Les meilleures pratiques pour sécuriser vos données

Mots de passe réutilisés, appareils jamais mis à jour, sauvegarde absente le jour d’un rançongiciel : la plupart des pertes de données tiennent à quelques réflexes manquants. Voici les meilleures pratiques pour sécuriser vos données, particulier comme entreprise, appuyées sur les recommandations publiques de l’ANSSI, de la CNIL et de Cybermalveillance.gouv.fr.

Pourquoi la sécurité des données est un enjeu concret #

Pour un particulier, une fuite de données peut ouvrir la voie à l’usurpation d’identité, à des fraudes bancaires ou à la prise de contrôle de comptes de messagerie et de réseaux sociaux. Les identifiants, les coordonnées bancaires et les documents d’identité sont les informations les plus recherchées par les escrocs.

Pour une entreprise, l’incident se double d’un coût de remise en état, d’une perte de confiance des clients et partenaires et d’un risque juridique. La CNIL rappelle que le responsable d’un fichier est astreint à une obligation de sécurité : il doit prendre les mesures nécessaires pour protéger les données collectées et empêcher leur divulgation à des tiers non autorisés. En cas de violation de données personnelles, la fiche réflexe de Cybermalveillance.gouv.fr rappelle qu’il faut notifier la CNIL dans les 72 heures.

À lire Applications du quotidien : organisation, santé et démarches

Pratiques recommandées pour sécuriser vos données #

Ces mesures sont simples, peu coûteuses et couvrent l’essentiel des risques du quotidien. Elles valent pour vos données personnelles comme pour vos données professionnelles.

Gestion des mots de passe

Un mot de passe solide reste la première barrière contre un accès non autorisé. Dans sa recommandation de 2022 (délibération n° 2022-100), la CNIL donne trois exemples de robustesse équivalente quand le mot de passe est le seul moyen d’authentification :

• 12 caractères minimum mêlant majuscules, minuscules, chiffres et caractères spéciaux ;
• 14 caractères minimum avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
• une phrase de passe d’au moins sept mots.

Surtout, chaque service doit avoir un mot de passe unique : un mot de passe réutilisé qui fuit sur un site ouvre tous les autres comptes. Pour retenir des dizaines de secrets différents, l’ANSSI recommande d’utiliser un coffre-fort de mots de passe, qui les stocke chiffrés et peut les générer.

Authentification à deux facteurs (2FA)

L’authentification à deux facteurs exige, en plus du mot de passe, un second élément : un code temporaire, une notification sur un téléphone ou une clé physique. Même volé, le mot de passe ne suffit plus. Dans son guide sur l’authentification multifacteur et les mots de passe (2021), l’ANSSI conseille de privilégier l’authentification multifacteur et, parmi les facteurs, ceux fondés sur la possession d’un appareil ou d’un jeton.

À lire Tendances de la robotique en 2026 : cobots, soins, humanoïdes

Mises à jour régulières de sécurité

Les mises à jour corrigent des vulnérabilités connues, que les attaquants exploitent dès qu’elles sont publiées. Activez les mises à jour automatiques du système, du navigateur et des applications, et redémarrez vos appareils quand ils le demandent : une mise à jour téléchargée mais jamais installée ne protège pas. Un appareil qui ne reçoit plus de mises à jour de son fabricant ne devrait plus contenir de données sensibles.

Logiciels de sécurité #

Quelques familles d’outils complètent ces réflexes. Les systèmes d’exploitation récents en intègrent déjà une partie : vérifiez qu’ils sont activés avant d’en ajouter d’autres.

Services de sauvegarde #

La sauvegarde est la seule parade quand tout le reste a échoué, notamment face à un rançongiciel qui chiffre vos fichiers. Cybermalveillance.gouv.fr recommande de sauvegarder régulièrement, de conserver plusieurs sauvegardes sur différents supports, dont une dans un lieu différent, et de déconnecter le support de sauvegarde après usage pour qu’il ne soit pas chiffré lui aussi.

Si un rançongiciel frappe malgré tout, la fiche réflexe de Cybermalveillance.gouv.fr déconseille de payer la rançon : rien ne garantit la récupération des données. Elle recommande de couper la connexion à Internet sans éteindre les machines touchées, de débrancher les sauvegardes connectées au réseau et de porter plainte avant de réinstaller.

À lire Raspberry Pi Zero 3 W et Pi 4 Model A : ce que révèle le code du noyau Linux

Formations en ligne #

Se former à la cybersécurité réduit fortement le risque d’erreur humaine, à commencer par le clic sur un lien d’hameçonnage. Les ressources publiques sont un bon point de départ : Cybermalveillance.gouv.fr publie des fiches pratiques sur les sauvegardes, le phishing ou les rançongiciels, l’ANSSI diffuse ses guides de bonnes pratiques et la CNIL propose un guide de la sécurité des données personnelles destiné aux professionnels. Les plateformes de cours en ligne offrent aussi des modules d’initiation à la sécurité numérique pour aller plus loin.

Ce que révèlent les grandes fuites de données #

Les fuites les plus médiatisées de la dernière décennie montrent que les mêmes failles reviennent : un accès tiers mal contrôlé, un correctif non appliqué, une intrusion détectée trop tard.

1. L’attaque de Target en 2013 #

Fin 2013, l’enseigne américaine Target a confirmé que les données d’environ 40 millions de cartes bancaires utilisées dans ses magasins avaient été exposées, puis que des informations personnelles (nom, adresse, téléphone, e-mail) concernant jusqu’à 70 millions de clients avaient aussi été dérobées, les deux groupes se recoupant en partie. L’intrusion est partie des identifiants d’un prestataire de climatisation qui avait accès à une application de l’entreprise : un cas d’école de sécurité de la chaîne d’approvisionnement et de gestion des accès tiers.

2. La fuite des données chez Equifax en 2017 #

L’agence d’évaluation de crédit Equifax a annoncé en septembre 2017 une violation exposant les données de 147 millions de personnes. Les attaquants ont exploité une vulnérabilité logicielle dont le correctif n’avait pas été appliqué, ce qui rappelle l’importance des mises à jour régulières et des audits de sécurité. Selon la FTC, l’accord conclu avec les autorités américaines prévoit jusqu’à 425 millions de dollars pour les personnes touchées.

À lire Débuter en électronique : matériel, budget et premiers repères

3. La violation des données de Yahoo en 2013-2014 #

Yahoo a subi deux incidents distincts, en 2013 et en 2014. En octobre 2017, l’entreprise a revu le bilan du vol d’août 2013 : environ 3 milliards de comptes, soit tous ses comptes utilisateurs, avaient été touchés, contre plus d’un milliard annoncé auparavant. Yahoo a indiqué que les données volées ne comprenaient ni mots de passe en clair ni données de carte bancaire. Le délai entre l’intrusion et sa mesure complète illustre l’importance d’une culture de sécurité proactive et de la formation des équipes.

4. Le cas de Marriott en 2018 #

Marriott International a révélé fin novembre 2018 qu’une intrusion dans la base de réservation de Starwood, groupe hôtelier racheté en 2016, avait pu toucher jusqu’à 500 millions de clients. Les attaquants avaient accès au réseau de Starwood depuis 2014. En janvier 2019, Marriott a ramené l’estimation à 383 millions d’enregistrements au plus. Cet incident souligne l’importance de la détection des intrusions et de l’audit de sécurité lors d’une acquisition d’entreprise.

Leçons tirées des violations #

Ces cas montrent que la sécurité des données demande une vigilance constante. Quelques leçons reviennent à chaque fois :

• la nécessité d’un chiffrement robuste des données sensibles ;
• des politiques strictes de gestion des accès, y compris pour les prestataires ;
• l’application rapide des correctifs et des audits de sécurité réguliers ;
• la sensibilisation des employés aux bonnes pratiques de sécurité.

Questions fréquentes #