Trop souvent le même écueil : la cybersécurité reste vue comme un simple sujet IT, jamais comme un impératif de conformité RGPD. Les récentes décisions de la formation restreinte de la CNIL viennent briser cette illusion 🛡️
1. Fin de la tolérance pour le secteur public 🏛️
La CNIL ne se limite plus aux simples rappels à l’ordre. Les collectivités territoriales et mairies font désormais face à des amendes administratives publiques.
Le signal : Le statut public ne constitue plus un bouclier contre les sanctions pécuniaires.
L’impact : Les élus et directions engagent désormais directement leur responsabilité et la réputation de leur institution.
2. Le non-respect de l’état de l’art devient une faute caractérisée 🔐
Les manquements sanctionnés ne relèvent pas d’attaques ultra-sophistiquées, mais de négligences élémentaires sur l’hygiène numérique de base.
Mots de passe vulnérables : Politiques de robustesse inexistantes ou obsolètes (longueur insuffisante, absence de complexité, pas de hachage robuste avec sel).
Absence de MFA : Accès distants (VPN, messagerie, portails administratifs) ouverts sans authentification multifacteur.
Traçabilité déficiente : Absence de journalisation des accès ou durées de rétention des logs inadaptées pour investiguer un incident.
Gestion des habilitations laxiste : Comptes dormants non désactivés et privilèges d’accès excessifs.
3. Recommandations prioritaires pour nos missions d’audit et de conseil 📋
A/ Durcir immédiatement la gestion des identités et des accès (IAM) 🔑
Imposer le MFA sur l’ensemble des accès distants et comptes d’administration.
Aligner la politique de mots de passe sur les dernières recommandations techniques de la CNIL et de l’ANSSI.
B/ Établir une revue stricte des habilitations et des prestataires 👥
Automatiser la purge des comptes obsolètes lors des départs d’agents.
Auditer les accès distants concédés aux prestataires informatiques tiers (infogérants, éditeurs métiers).
C/ Garantir l’intégrité des journaux d’événements 📊
Déployer une politique de journalisation conforme : horodatage fiable, rétention minimale de 6 mois, protection contre l’altération.
D/ Décloisonner DPO et RSSI 🤝
Rapprocher les analyses d’impact relatives à la protection des données (AIPD) des analyses de risques cyber (EBIOS RM).
L’article 32 du RGPD doit être traité comme un cahier des charges technique opposable, pas comme une clause de style. La négligence cyber est officiellement qualifiée de violation du RGPD… et c’est une bonne chose !
🔗 Source : https://www.cnil.fr/fr/sanctions-cybersecurite-collectivites-territoriales
