Le RGPD impose une protection spécifique à certaines catégories de données dites « données sensibles ». Celles-ci étant vues comme particulièrement à risques, voient leur régime de protection renforcé. Dans la pratique, comment sont hébergées ces données critiques, avec quel niveau de sécurité et pourquoi est-ce aussi une question de souveraineté ?
Données critiques, de quoi parle-t-on ?
Afin de protéger les informations sensibles contre une exposition inappropriée, il ne suffit pas seulement de comprendre où elles se trouvent dans un SI ou dans le Cloud ; il est également essentiel de savoir quelles sont les menaces potentielles et les risques induits. Définir leur typologie et leur criticité et apporter la réponse idoine en fonction est donc un préambule indispensable.
La notion de « donnés critiques » englobe toutes les données sensibles pouvant susciter l’intérêt des cybercriminels. Si l’on pense souvent aux données personnelles (origine ethnique, opinion politique…) et notamment aux données de santé, il convient de compléter la liste avec les données bancaires, les données militaires et les données gouvernementales. Tombées entre de mauvaises mains, ces données peuvent être utilisées à des fins illégales. Elles peuvent par exemple être exploitées pour extorquer d’importantes sommes d’argent auprès de leurs propriétaires, pour déstabiliser des entreprises ou des gouvernements, pour de l’espionnage militaire ou commercial et dans le pire des cas, pour attaquer une nation. L’exemple le plus récent et marquant étant la fuite massive concernant 220 millions de brésiliens et listant leurs informations personnelles (Nom, prénom, date de naissance, nom des deux parents, statut marital, niveau d’éducation), leurs coordonnées (email, adresse avec coordonnées GPS), équivalents du numéro de sécurité sociale, niveau de revenu, score de crédit… !
Les données militaires sous bonne garde
En 2014, le Ministère de la Défense s’est lancé dans un projet de cloud ultra sécurisé, avec un budget alloué de 260 millions d’euros. Un investissement massif mais tout à fait compréhensible vu le caractère hautement confidentiel des données. Des informations concernant l’Armée de terre, la Marine, l’Armée de l’air et la Gendarmerie y sont stockées, notamment tout ce qui concerne les ressources humaines, les ressources matérielles, la logistique ou encore des informations relatives aux relations et échanges avec d’autres pays. Dirigé par le Général Patrick Bazin, la DIRISI (Direction Interarmées des Réseaux d’Infrastructure et des Systèmes d’Information) a déployé des data centers sécurisés à Paris, à Bordeaux, à Toulon, à Orléans et à Rennes.
Pour compléter cette démarche, particulièrement la gestion des projets IT des Armées sur l'ensemble de leur cycle de vie, un nouvel acteur rattaché à la DGA est créé en ce début 2021 : l'AND (Agence du numérique de défense).
C’est un peu moins le cas pour les données de santé…
À travers sa branche cloud Azure, Microsoft propose deux offres spécialement taillées pour les données gouvernementales : Azure Government et Azure Government Top Secret. Le concept a été travaillé avec le Département de la Défense américaine mais s’ouvre à tous les gouvernements en mal d’hébergeurs fiables pour stocker des données aussi importantes. Décision prise par la France pour son Health Data Hub et qui avait provoqué une vague de contestations, encore plus depuis l'invalidation du Privacy Shield par le juge européen en juillet dernier. Jusqu’à ce qu’Olivier Véran annonce y mettre un terme d’ici 2 ans.
Tout n'est pas aussi confus en matière de données de santé. Les hébergeurs de données de santé sur support numérique doivent être, depuis 2016, certifiés HDS (hébergement de données de santé), par l'’Agence du Numérique. Ce qui implique que l’hébergement de ces données soit réalisé dans des conditions de sécurité adaptées à leur criticité. A date plus de 80 acteurs sont certifiés, normalisant ainsi un élément important de la chaine de sécurisation des données critiques de santé.
La CNIL a musclé la protection des données bancaires
Par ailleurs, en 2013, la Commission Nationale de l’Informatique et des Libertés (CNIL) a jugé bon de mettre à jour les règlementations visant à sécuriser les paiements par carte bancaire. À la lumière de quelques incidents assortis de plaintes, la CNIL a préconisé l’interdiction de la mémorisation du cryptogramme au dos des cartes bancaires et de la photocopie de ces dernières. Idem pour la conservation des numéros de carte au-delà de délai nécessaire pour la transaction. Toutes ces mesures avaient été mentionnées dans la précédente recommandation de la CNIL (en 2003), mais à l’époque les utilisateurs de cartes pouvaient donner leur accord pour que les sites mémorisent ces données. Les récentes modifications sont plus strictes, interdisant formellement la conservation de ces informations.
Les citoyens ont peu conscience du volume de données les concernant qui est collecté et qui circule entre entités privées et publiques et encore moins des risques afférents. De fait, les citoyens savent rarement ce qu’ils peuvent faire quand ils estiment que leurs droits ont été bafoués en matière de respect et protection de leurs données personnelles. Profitons de la date du 28 janvier, Journée de la Protection des Données, pour rappeler ce qui est fait en leur nom sur ce sujet par les organes gouvernementaux et transnationaux : Protection of personal data and privacy - Conseil de l’Europe.
