Pourquoi la conformité sur papier ne vous protégera pas.

Introduction

Un document de gouvernance ne garantit pas à lui seul une sécurité opérationnelle efficace. Trop souvent, les organisations confondent la conformité documentaire et la conformité opérationnelle.

La première atteste que les politiques, procédures et contrôles existent, la seconde reflète leur application réelle et leur efficacité.

Il n’est pas rare qu’une organisation donne une apparence de conformité réglementaire alors que le niveau de maîtrise du risque est inférieur aux attentes.

Conséquences

Dans un contexte d’une résistance au changement et face à une conformité théorique, le résultat peut être préoccupant puisque l’organisation et sa direction ont cette illusion de protection alors que cette situation laisse place à de véritables failles opérationnelles.

Les conséquences se matérialisent par la présence de contrôles peu efficaces, combinée au non-respect des guides et procédures, qui constitue un risque important pour l’organisation.

Lorsque cette situation s’accompagne d’une résistance au changement et d’un manque d’expertise interne en cybersécurité, elle crée un véritable déficit de maîtrise des risques, compromettant à la fois la protection des données, l’efficacité des contrôles et la conformité réglementaire.

Anecdote

Ce type de situation est parfaitement illustré par ma petite anecdote vécue ce mois-ci suite à la visite d’un notaire en lien avec des documents de succession.

Le cas du notaire français manipulant des données hautement sensibles qui continue d’envoyer des pièces confidentielles par simple courriel non sécurisé alors que sur leur site vitrine il est indiqué tout le contraire !

Que ce soit la Commission nationale de l’informatique et des libertés (CNIL) et|ou le Règlement Général sur la Protection des Données (RGPD), il est obligatoire de chiffrer les flux ou les fichiers contenant des données sensibles.

Rappel : un courriel classique transite en clair sur le réseau, comme une carte postale.

Factuellement depuis ma visite chez ce notaire mes données confidentielles sont dorénavant stockées en clair sur des serveurs de messagerie tiers potentiellement non sécurisés ou piratés. Cette situation m’expose maintenant minimalement à des tentatives d’hameçonnage, ou dans le scénario le plus critique, à un vol d’identité.

Qui est responsable en cas de fuite de données issue de cet échange d’informations confidentielles par courriel non sécurisé ?

L’ article 32 du RGPD impose de mettre en œuvre des mesures techniques appropriées (comme le chiffrement et la pseudonymisation) pour garantir la sécurité des données. L’envoi de données de type PII en clair (par un protocole SMTP classique non sécurisé) expose l’étude notariale à des conséquences non négligeables (Amendes administratives de la CNIL).

Selon le site vitrine , l’étude notariale semble avoir mis en place une gouvernance formelle, avec des politiques et des procédures visant à assurer la conformité réglementaire, mais si un des notaires résiste au changement et que celui-ci décide de ne pas respecter ces obligations on arrive à quelque chose de particulièrement dangereux.

Le principal maillon faible de la cybersécurité

La sécurité d’un système est aussi solide que son maillon le plus faible, et ce maillon est très souvent l’humain.

👉 Dans mon anecdote, le notaire s’avère être le maillon faible.

Conclusion

Votre organisation peut être certifiée ISO 27001, détenir un SOC 2 Type II mais ces différents documents ne garantissent en aucun cas la présence d’une ressource interne malveillante et|ou négligente.

Les comportements contraires à l’éthique au sein d’une organisation tout comme l’accumulation de dette technologique, constituent l’un des facteurs qui peuvent être à l’origine d’un événement d’intérêt voire d’un incident de sécurité tel que ceux qui font la une en France. [La France est-elle une passoire numérique ?] , [Piratage du fisc.]

Vous voulez savoir où se situe votre entreprise face à ces risques ? Réservez une évaluation stratégique de 20 minutes.