Pourquoi la s\u00e9curit\u00e9 des donn\u00e9es est un enjeu concret<\/h2>\n
Pour un particulier<\/strong>, une fuite de donn\u00e9es peut ouvrir la voie \u00e0 l’usurpation d’identit\u00e9, \u00e0 des fraudes bancaires ou \u00e0 la prise de contr\u00f4le de comptes de messagerie et de r\u00e9seaux sociaux. Les identifiants, les coordonn\u00e9es bancaires et les documents d’identit\u00e9 sont les informations les plus recherch\u00e9es par les escrocs.<\/p>\n Pour une entreprise<\/strong>, l’incident se double d’un co\u00fbt de remise en \u00e9tat, d’une perte de confiance des clients et partenaires et d’un risque juridique. La CNIL rappelle que le responsable d’un fichier est astreint \u00e0 une obligation de s\u00e9curit\u00e9<\/strong> : il doit prendre les mesures n\u00e9cessaires pour prot\u00e9ger les donn\u00e9es collect\u00e9es et emp\u00eacher leur divulgation \u00e0 des tiers non autoris\u00e9s. En cas de violation de donn\u00e9es personnelles, la fiche r\u00e9flexe de Cybermalveillance.gouv.fr rappelle qu’il faut notifier la CNIL dans les 72 heures.<\/p>\n Ces mesures sont simples, peu co\u00fbteuses et couvrent l’essentiel des risques du quotidien. Elles valent pour vos donn\u00e9es personnelles<\/strong> comme pour vos donn\u00e9es professionnelles.<\/p>\n Un mot de passe<\/strong> solide reste la premi\u00e8re barri\u00e8re contre un acc\u00e8s non autoris\u00e9. Dans sa recommandation de 2022 (d\u00e9lib\u00e9ration n\u00b0 2022-100), la CNIL donne trois exemples de robustesse \u00e9quivalente quand le mot de passe est le seul moyen d’authentification :<\/p>\n Surtout, chaque service doit avoir un mot de passe unique<\/strong> : un mot de passe r\u00e9utilis\u00e9 qui fuit sur un site ouvre tous les autres comptes. Pour retenir des dizaines de secrets diff\u00e9rents, l’ANSSI recommande d’utiliser un coffre-fort de mots de passe<\/strong>, qui les stocke chiffr\u00e9s et peut les g\u00e9n\u00e9rer.<\/p>\n L’authentification \u00e0 deux facteurs<\/strong> exige, en plus du mot de passe, un second \u00e9l\u00e9ment : un code temporaire, une notification sur un t\u00e9l\u00e9phone ou une cl\u00e9 physique. M\u00eame vol\u00e9, le mot de passe ne suffit plus. Dans son guide sur l’authentification multifacteur et les mots de passe (2021), l’ANSSI conseille de privil\u00e9gier l’authentification multifacteur et, parmi les facteurs, ceux fond\u00e9s sur la possession d’un appareil ou d’un jeton.<\/p>\n Les mises \u00e0 jour corrigent des vuln\u00e9rabilit\u00e9s<\/strong> connues, que les attaquants exploitent d\u00e8s qu’elles sont publi\u00e9es. Activez les mises \u00e0 jour automatiques du syst\u00e8me, du navigateur et des applications, et red\u00e9marrez vos appareils quand ils le demandent : une mise \u00e0 jour t\u00e9l\u00e9charg\u00e9e mais jamais install\u00e9e ne prot\u00e8ge pas. Un appareil qui ne re\u00e7oit plus de mises \u00e0 jour de son fabricant ne devrait plus contenir de donn\u00e9es sensibles.<\/p>\n Quelques familles d’outils compl\u00e8tent ces r\u00e9flexes. Les syst\u00e8mes d’exploitation r\u00e9cents en int\u00e8grent d\u00e9j\u00e0 une partie : v\u00e9rifiez qu’ils sont activ\u00e9s avant d’en ajouter d’autres.<\/p>\n La sauvegarde est la seule parade quand tout le reste a \u00e9chou\u00e9, notamment face \u00e0 un ran\u00e7ongiciel qui chiffre vos fichiers. Cybermalveillance.gouv.fr recommande de sauvegarder r\u00e9guli\u00e8rement, de conserver plusieurs sauvegardes sur diff\u00e9rents supports, dont une dans un lieu diff\u00e9rent, et de d\u00e9connecter<\/strong> le support de sauvegarde apr\u00e8s usage pour qu’il ne soit pas chiffr\u00e9 lui aussi.<\/p>\n Si un ran\u00e7ongiciel frappe malgr\u00e9 tout, la fiche r\u00e9flexe de Cybermalveillance.gouv.fr d\u00e9conseille de payer la ran\u00e7on : rien ne garantit la r\u00e9cup\u00e9ration des donn\u00e9es. Elle recommande de couper la connexion \u00e0 Internet sans \u00e9teindre les machines touch\u00e9es, de d\u00e9brancher les sauvegardes connect\u00e9es au r\u00e9seau et de porter plainte avant de r\u00e9installer.<\/p>\n Se former \u00e0 la cybers\u00e9curit\u00e9<\/strong> r\u00e9duit fortement le risque d’erreur humaine, \u00e0 commencer par le clic sur un lien d’hame\u00e7onnage. Les ressources publiques sont un bon point de d\u00e9part : Cybermalveillance.gouv.fr publie des fiches pratiques sur les sauvegardes, le phishing ou les ran\u00e7ongiciels, l’ANSSI diffuse ses guides de bonnes pratiques et la CNIL propose un guide de la s\u00e9curit\u00e9 des donn\u00e9es personnelles destin\u00e9 aux professionnels. Les plateformes de cours en ligne offrent aussi des modules d’initiation \u00e0 la s\u00e9curit\u00e9 num\u00e9rique pour aller plus loin.<\/p>\n Les fuites les plus m\u00e9diatis\u00e9es de la derni\u00e8re d\u00e9cennie montrent que les m\u00eames failles reviennent : un acc\u00e8s tiers mal contr\u00f4l\u00e9, un correctif non appliqu\u00e9, une intrusion d\u00e9tect\u00e9e trop tard.<\/p>\n Fin 2013, l’enseigne am\u00e9ricaine Target<\/strong> a confirm\u00e9 que les donn\u00e9es d’environ 40 millions de cartes bancaires<\/strong> utilis\u00e9es dans ses magasins avaient \u00e9t\u00e9 expos\u00e9es, puis que des informations personnelles (nom, adresse, t\u00e9l\u00e9phone, e-mail) concernant jusqu’\u00e0 70 millions de clients<\/strong> avaient aussi \u00e9t\u00e9 d\u00e9rob\u00e9es, les deux groupes se recoupant en partie. L’intrusion est partie des identifiants d’un prestataire de climatisation qui avait acc\u00e8s \u00e0 une application de l’entreprise : un cas d’\u00e9cole de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement<\/strong> et de gestion des acc\u00e8s tiers.<\/p>\n L’agence d’\u00e9valuation de cr\u00e9dit Equifax<\/strong> a annonc\u00e9 en septembre 2017 une violation exposant les donn\u00e9es de 147 millions de personnes<\/strong>. Les attaquants ont exploit\u00e9 une vuln\u00e9rabilit\u00e9 logicielle dont le correctif n’avait pas \u00e9t\u00e9 appliqu\u00e9, ce qui rappelle l’importance des mises \u00e0 jour r\u00e9guli\u00e8res<\/strong> et des audits de s\u00e9curit\u00e9. Selon la FTC, l’accord conclu avec les autorit\u00e9s am\u00e9ricaines pr\u00e9voit jusqu’\u00e0 425 millions de dollars pour les personnes touch\u00e9es.<\/p>\n Yahoo<\/strong> a subi deux incidents distincts, en 2013 et en 2014. En octobre 2017, l’entreprise a revu le bilan du vol d’ao\u00fbt 2013 : environ 3 milliards de comptes<\/strong>, soit tous ses comptes utilisateurs, avaient \u00e9t\u00e9 touch\u00e9s, contre plus d’un milliard annonc\u00e9 auparavant. Yahoo a indiqu\u00e9 que les donn\u00e9es vol\u00e9es ne comprenaient ni mots de passe en clair ni donn\u00e9es de carte bancaire. Le d\u00e9lai entre l’intrusion et sa mesure compl\u00e8te illustre l’importance d’une culture de s\u00e9curit\u00e9 proactive<\/strong> et de la formation des \u00e9quipes.<\/p>\n Marriott International<\/strong> a r\u00e9v\u00e9l\u00e9 fin novembre 2018 qu’une intrusion dans la base de r\u00e9servation de Starwood<\/strong>, groupe h\u00f4telier rachet\u00e9 en 2016, avait pu toucher jusqu’\u00e0 500 millions de clients<\/strong>. Les attaquants avaient acc\u00e8s au r\u00e9seau de Starwood depuis 2014. En janvier 2019, Marriott a ramen\u00e9 l’estimation \u00e0 383 millions d’enregistrements au plus. Cet incident souligne l’importance de la d\u00e9tection des intrusions<\/strong> et de l’audit de s\u00e9curit\u00e9 lors d’une acquisition d’entreprise.<\/p>\n Ces cas montrent que la s\u00e9curit\u00e9 des donn\u00e9es demande une vigilance constante. Quelques le\u00e7ons reviennent \u00e0 chaque fois :<\/p>\nPratiques recommand\u00e9es pour s\u00e9curiser vos donn\u00e9es<\/h2>\n
Gestion des mots de passe<\/h3>\n
\n
Authentification \u00e0 deux facteurs (2FA)<\/h3>\n
Mises \u00e0 jour r\u00e9guli\u00e8res de s\u00e9curit\u00e9<\/h3>\n
Logiciels de s\u00e9curit\u00e9<\/h2>\n
Services de sauvegarde<\/h2>\n
\n
Formations en ligne<\/h2>\n
Ce que r\u00e9v\u00e8lent les grandes fuites de donn\u00e9es<\/h2>\n
1. L\u2019attaque de Target en 2013<\/h2>\n
2. La fuite des donn\u00e9es chez Equifax en 2017<\/h2>\n
3. La violation des donn\u00e9es de Yahoo en 2013-2014<\/h2>\n
4. Le cas de Marriott en 2018<\/h2>\n
Le\u00e7ons tir\u00e9es des violations<\/h2>\n
\n
\n
Questions fr\u00e9quentes<\/h2>\n
Quelle longueur minimale pour un mot de passe ?<\/summary>
La double authentification est-elle vraiment utile ?<\/summary>
Faut-il payer la ran\u00e7on en cas de ran\u00e7ongiciel ?<\/summary>
Une entreprise doit-elle signaler une fuite de donn\u00e9es ?<\/summary>
O\u00f9 trouver de l’aide apr\u00e8s une cyberattaque ?<\/summary>
![\"d\u00e9couvrez](\"https:\/\/ataox.org\/blog\/wp-content\/uploads\/2025\/01\/Les-meilleures-pratiques-pour-securiser-vos-donnees.png\")
\n<\/figure>\n\n