Archives par mot-clé : dpo

Pirater le domicile pour pirater le bureau, le RGPD en question

En 2021, l’utilisation exponentielle d’appareils connectés, d’applications et de services web dans notre vie professionnelle et privée augmentera la surface d’attaque de la maison connectée au point de soulever de nouveaux risques majeurs pour les individus et leurs employeurs. Parmi ces risques des fuites d’informations qui rentrent dans le périmètre du RGDP, le Règlement Général de la Protection des Données.

Le RGPD, on en a énormément entendu parlé depuis mai 2018. Alors qu’auparavant, les entreprises regardaient ailleurs, il aura fallu suivre les règles imposées par l’Europe pour protéger les internautes, les clients, les employés, les élèves, les patients … bref toutes les informations que les individus ont pu laisser dans les mains d’entreprises privées et publiques. Les RGPD formations se retrouvent par dizaines. Seulement, les confinements imposés par la lutte contre la pandémie de COVID-19 ont rajouté une couche d’insécurité pour les données avec le télétravail. Rajoutant des cheveux gris sur bon nombre de têtes des DPO RGPD.

La menace qui pèse sur les foyers connectés ne date pas d’hier. Cependant, l’émergence de fonctionnalités accrues dans les appareils domestiques et professionnels, et le fait que ces appareils s’interconnectent plus que jamais, représente une nouveauté et les données personnelles et professionnelles sont en ligne de mire. À cela s’ajoute la croissance historique du recours au télétravail, entrainant un usage de ces appareils plus important que jamais. Suivre une formation RGPD pourrait être proposée aux salariés découvrant le télétravail.

Objectif des pirates Versus objectif RGPD

L’année 2020 a vu la pandémie faire passer les employés du bureau à la maison, transformant ainsi l’environnement domestique en un environnement de travail. Depuis le début de la crise Covid-19, la surveillance des appareils de la plateforme McAfee a montré, par exemple, une augmentation de 22 % du nombre de dispositifs domestiques connectés dans le monde. Plus de 70 % du trafic de ces appareils provenait de smartphones, d’ordinateurs portables ou fixes, et de télévisions, et plus de 29 % provenait d’appareils IoT tels que les dispositifs de streaming, les consoles de jeu, les vêtements et accessoires connectés, ainsi que les lampes intelligentes. Autant de nid à données.

Les cybercriminels se sont concentrés davantage sur la surface d’attaque à domicile avec une montée en flèche des messages de phishing sur les canaux de communication. Le nombre de liens de hameçonnages bloqués par l’éditeur a augmenté de plus de 21 % de mars à novembre 2020, avec une moyenne de plus de 400 liens par foyer. Cette augmentation est significative comme a pu le prouver le blog cybersécurité ZATAZ.COM et suggère qu’un flux de messages de phishing contenant des liens malveillants est entré dans les réseaux domestiques par les appareils aux mesures de sécurité les plus faibles.

Des millions d’employés sont individuellement devenus responsables de la sécurité informatique de leur employeur, évoluant dans un bureau à domicile équipés de dispositifs non protégés, de la cuisine au salon, en passant par la chambre à coucher. Nombre de ces appareils domestiques sont « orphelins » : leurs fabricants ne les prennent pas en charge correctement avec des mises à jour de sécurité pour faire face aux nouvelles menaces ou vulnérabilités. Cela contraste avec un environnement professionnel où les dispositifs sont renforcés par des mesures de sécurité à l’échelle de l’entreprise. Les collaborateurs travaillent désormais avec des équipements de qualité grand public qu’ils configurent eux-mêmes. Ils ne disposent pas de la gestion centrale, des mises à jour régulières des logiciels et du contrôle de sécurité de l’entreprise.

« C’est pourquoi nous pensons que les cybercriminels feront de la maison une surface d’attaque pour des campagnes visant non seulement les utilisateurs mais aussi les entreprises, souligne Fabien Rech, Vice-Président Europe du Sud, Benelux et Israël chez McAfee. Les pirates profiteront de l’absence de mises à jour régulières des logiciels, du manque de dispositifs de sécurité, de la faiblesse des politiques de protection de la vie privée, des exploits de vulnérabilités et de la vulnérabilité des utilisateurs à l’ingénierie sociale« .

En compromettant l’environnement domestique, ces acteurs malveillants lanceront une série d’attaques sur les appareils des entreprises et des consommateurs en 2021.

RGPD : la CNIL précise les compétences du DPO

Le RGPD est entré en vigueur depuis plus de 5 mois et le ratio du nombre d’entreprises en conformité serait encore faible (inférieur à 25%) en France, si l’on en croit différentes études récentes et non-officielles. On sait en revanche que la CNIL, garante de la protection des données des citoyens français, a reçu 13 000 déclarations de DPO, soit seulement 16% des 80 000 estimées nécessaires. Le Délégué à la Protection des Données est pourtant considéré par la CNIL comme la clé de voûte de la conformité au règlement européen.

Pour mémoire, le RGPD est la nouvelle réglementation mise en place le 25 mai 2018 par l’Union Européenne pour contraindre toutes les organisations à garantir leur contrôle sur la collecte, le stockage et l’utilisation des données à caractère personnel des ressortissants européens. Les conséquences peuvent être très lourdes pour les entreprises, avec des amendes pouvant atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial. Sans compter bien sûr le risque sur la réputation de la société, sa perte de clientèle, les frais de procédures en cas de plaintes, etc.

RGPD et DPO : quelles sont les obligations de l’entreprise ?

Pour être en mesure de tenir leurs engagements, les entreprises doivent donc se doter d’un DPO, dont les missions sont stratégiques : conseils organisationnels, techniques et juridiques sur la bonne sécurité des données, relations avec la CNIL et les autres DPO, gestion des demandes d’exercice des droits, du respect des règles (Accountability) et des risques encourus.

D’après la CNIL, dans le cadre de la mise en application du RGPD, l’entreprise a l’obligation de :
Choisir son DPO en fonction de son expertise.
Veiller à ce que son expert reçoive la formation et les moyens matériels, financiers et intellectuels nécessaires pour mener à bien sa mission.
Veiller à ce que son DPO exerce ses activités sans conflit d’intérêts, en toute indépendance, qu’il puisse rendre compte de son action au plus haut niveau de l’entreprise.

Le choix du DPO doit être pris en fonction de ses compétences, mais aussi de son expérience de la protection des données, selon l’exposition aux risques identifiés de l’entreprise (classement risques EBIOS) :
Exposition basse : un minimum de 2 ans d’expérience peut être suffisant.
Exposition très haute : un minimum de 5 à 15 ans d’expérience peut s’avérer nécessaire.

Si l’on considère la pénurie actuelle de DPO et le caractère récent du métier, ces exigences d’expérience peuvent apparaître compliquées à remplir par tous.

Compétences et savoir-faire du DPO

Pour répondre aux nombreux questionnements des entreprises, la CNIL a publié au Journal Officiel le 11 octobre un référentiel listant les 17 critères cumulatifs auxquels un DPO doit pouvoir répondre pour être certifié par un organisme certificateur. Une démarche d’autant plus attendue que les profils ont été jugés très hétérogènes parmi les 13 000 DPO déclarés à la CNIL. Les compétences et savoir-faire que les DPO doivent satisfaire peuvent être regroupés en trois catégories, organisationnelle, juridique et technique :

Les savoirs organisationnels : le DPO conseille l’entreprise dans l’élaboration de procédures et politiques, ce qui induit des connaissances en gouvernance des entreprises. Par ailleurs, il est en mesure de mener un audit de conformité et de proposer des mesures de réduction ou gestion des risques, de les évaluer et d’en surveiller la mise en œuvre.

Les savoirs techniques et informatiques : le DPO doit mettre en œuvre les principes de minimisation ou d’exactitude, d’efficacité et d’intégrité des données et pouvoir exécuter les demandes de modification et d’effacement de données, ce qui impacte les systèmes et solutions de l’entreprise. Le DPO doit être ainsi force de conseils et de recommandations pour la mise en œuvre du « Privacy by Design » dans l’entreprise.

Les savoirs juridiques

Le DPO est un expert en protection juridique et règlementaire des données à caractère personnel. Outre le RGPD, il peut conseiller l’entreprise en cas de conflit de lois. Il participe à l’élaboration des contrats avec les partenaires, peut négocier avec le DPO du partenaire les clauses de protection de données personnelles. Il a également un rôle essentiel à jouer en matière de contentieux : il est l’interlocuteur de la CNIL et il instruit les plaintes des personnes concernées.

Avec ce référentiel de certification, l’entreprise dispose donc désormais d’éléments pour vérifier l’adéquation des savoirs en place en interne. Et force est de constater que le DPO doit faire figure de super-héros multi-compétences aux expertises transverses dans de nombreux domaines. Par ailleurs, il s’avère dans la pratique que la seule connaissance du texte de loi est insuffisante pour être en mesure de répondre à ces exigences.

La nécessaire montée en expertise du DPO

L’entreprise qui constate ne pas être en capacité à répondre aux critères du référentiel se trouve dans une position potentiellement à risque. Si elle dispose déjà d’un DPO en place, déclaré à la CNIL ou pas encore, il s’agit de mesurer l’écart d’expertise à combler et de l’accompagner en mettant à sa disposition les moyens matériels, financiers et intellectuels pour lui permettre d’atteindre les objectifs.

Selon l’exposition aux risques identifiées par l’entreprise, elle peut faire le choix d’une montée en expertise dans les catégories prioritaires pour elle. Par exemple, si l’organisation a une part importante de son activité en gestion par des prestataires externes. Elle devra les auditer régulièrement et réviser sa politique contractuelle. Le DPO, très attendu sur les aspects juridiques et audits. Il pourra alors avoir besoin d’un soutien sur des points précis tels que : auditer un traitement ou une conformité, mener un DPIA et gérer les risques, élaborer une procédure…

Le référentiel de la CNIL fixe le plancher des connaissances au suivi d’une formation de 35h sur le RGPD, afin d’en avoir une vision synthétique. Cela pourra s’avérer insuffisant tant la plupart des missions du DPO requiert des expertises fines dans des domaines très divers.

En prenant en compte l’isolement du DPO dans ses fonctions du fait de leur nature, et que la collaboration ou l’émulation avec des profils plus seniors dans l’entreprise est donc rarement possible, il n’est effectivement pas simple d’organiser un accompagnement dans sa montée en compétence. La CNIL encourage donc les DPO à s’organiser en groupes de travail réunis par secteurs d’activité, territoires ou même pour les indépendants à mutualiser leurs fonctions pour plusieurs entreprises. Cette approche ne produira néanmoins des résultats qu’à moyen terme et remplacera difficilement un transfert de savoir-faire par des DPO seniors.

Le choix de l’externalisation

Si l’entreprise ne dispose pas encore de DPO, ou si l’écart d’expertise à combler est trop important, l’externalisation totale ou partielle des fonctions de DPO peut être une option viable. Pour une entreprise de petite ou moyenne taille qui ne souhaite pas disposer d’un DPO en interne, avoir recours à des services extérieurs mutualisés est une des possibilités les plus pertinentes. Mais une externalisation partielle présente aussi l’avantage d’accompagner le DPO interne dans une partie de ses activités, avec un partage des pratiques professionnelles à l’aune des contraintes de l’entreprise. Une approche qui gagnera en efficacité si elle envisage un plan global de formation du DPO. (Par Patricia Chemali-Noël, Expert en Protection des Données chez Umanis)