Tribunes d'experts

Notification des incidents de sécurité : le RSSI doit se préparer à un changement en profondeur

Gérôme Billois - Manager de la practice Sécurité & risk management chez Solucom

La manière dont les incidents de sécurité sont gérés dans les grandes organisations a été profondément modifiée par l'ordonnance du 24 août 2011.

Sortie dans la torpeur de l'été, l'ordonnance du 24 août 2011 n'a que peu défrayé la chronique à ses débuts. Pourtant elle contient les bases d'un changement en profondeur de la manière dont les incidents de sécurité sont gérés dans les grandes organisations.

Transcription du second Paquet Télécom européen, cette ordonnance pose un nouveau principe : tout évènement entraînant « la violation de données à caractère personnel » doit être signalé « sans délai » à la CNIL, ainsi que, dans certains cas, aux personnes concernées.

Aujourd'hui cette ordonnance, qui vient modifier la loi Informatique et Libertés, vise uniquement les « fournisseurs de services de communications électroniques accessibles au public ». Cette terminologie semble désigner exclusivement les opérateurs télécoms. Mais le débat est aujourd'hui ouvert quant à son réel champ d'application.

Quoi qu'il en soit, si nous n'en sommes pas encore aux niveaux de transparence en vigueur dans les pays anglo-saxons, il s'agit d'une première en France. Le mouvement est amorcé vers une nécessaire professionnalisation de la gestion des incidents de sécurité. Autrefois cantonné à la DSI et à des considérations techniques, l'incident de sécurité devient subitement un sujet transverse à l'organisation, en lien direct avec sa stratégie de communication client. Et c'est bien au RSSI de s'emparer du sujet et de jouer son rôle de chef d'orchestre.

Bien évidemment la DSI ne doit pas être oubliée. Une réflexion doit être lancée pour revoir et améliorer les processus et l'outillage de détection et de gestion des incidents, tant ce sujet est souvent mal traité dans les grandes organisations. De plus, l'utilisation de moyens permettant de rendre les données « incompréhensibles », en clair le chiffrement, peut permettre de se dispenser de l'obligation de notification publique, limitant d'autant le risque sur l'image.

Le RSSI doit aussi se tourner vers d'autres entités. Dès à présent, des actions de sensibilisation doivent être lancées auprès de différentes directions. En collaboration avec la direction juridique, des procédures doivent décrire les modalités de notification à la CNIL. Avec les directions marketing et relation client, il convient de travailler sur l'information de l'ensemble de la chaîne de la relation client. L'effet sur les call-centers ou dans les agences pourrait être dévastateur si des millions de clients recevaient une notification les informant que leurs données ont été compromises. Enfin, la communication doit être associée, l'attention que les premiers cas susciteront dans les médias ne pouvant laisser place à l'improvisation.

Par ailleurs, la cartographie des risques doit intégrer ce nouveau risque, aux impacts majeurs, puisque un écart peut être passible de 5 ans de prison et de 300 000 € d'amendes.

Même si tous les types d'organisations ne sont pas encore concernés, la commission européenne a été claire, elle ciblera tôt ou tard toute organisation manipulant des données à caractère personnel. Ce sujet actuellement brûlant chez les opérateurs ne doit donc pas être négligé par les autres organisations qui devraient mettre à profit ce délai supplémentaire bienvenu pour refondre en profondeur leur gestion des incidents de sécurité !

. Web-profils.com, la place de marché du conseil et de l'ingénierie