Chapitre 6 — Sécurisation des données¶

Présentation de ce chapitre

1. Pourquoi ce chapitre conclut le module¶

Les chapitres précédents ont porté sur la détection et la compréhension des menaces (malwares, techniques d'attaque). Ce dernier chapitre déplace le regard vers l'objectif final que ces menaces visent le plus souvent : les données elles-mêmes. Un système parfaitement protégé contre les malwares mais dont les données sont mal classifiées, mal chiffrées ou non sauvegardées reste vulnérable, en particulier face à des menaces comme le ransomware (chapitre 1), dont l'objectif porte précisément sur la disponibilité et la confidentialité des données. La sécurisation des données est donc le complément indispensable, et non un sujet indépendant, de tout ce qui précède.

2. Chiffrement au repos et en transit¶

Le chiffrement des données constitue la protection technique fondamentale de leur confidentialité, à distinguer selon l'état des données concernées :

Chiffrement au repos (data at rest) : protège les données stockées durablement (disque, base de données, sauvegarde), contre un accès non autorisé en cas de vol physique du support ou de compromission du système de stockage. Il se décline typiquement au niveau du disque entier (chiffrement intégral), d'un système de fichiers, ou au niveau applicatif (chiffrement d'un champ particulier avant son enregistrement en base).
Chiffrement en transit (data in transit) : protège les données pendant leur transmission sur un réseau, contre l'interception. C'est le rôle de protocoles comme TLS (étudié en détail dans le module Cryptographie), désormais quasi systématique pour toute communication sensible sur Internet.

# Exemple pédagogique : chiffrement symétrique d'un fichier au repos avec OpenSSL
openssl enc -aes-256-cbc -pbkdf2 -salt -in donnees.csv -out donnees.csv.enc

# Déchiffrement correspondant
openssl enc -d -aes-256-cbc -pbkdf2 -in donnees.csv.enc -out donnees.csv

Un principe souvent négligé mérite d'être souligné : le chiffrement protège la confidentialité des données, mais ne remplace ni un contrôle d'accès rigoureux (une donnée déchiffrée par un utilisateur légitime redevient lisible), ni une gestion sérieuse des clés — une clé de chiffrement mal protégée annule l'essentiel du bénéfice du chiffrement lui-même.

3. Classification des données selon leur sensibilité¶

La classification des données consiste à catégoriser les informations d'une organisation selon leur niveau de sensibilité, afin d'appliquer des mesures de protection proportionnées — ni excessives (coûteuses et contre-productives sur des données peu sensibles), ni insuffisantes (risquées sur des données critiques). Un schéma de classification simple et couramment rencontré distingue :

Niveau	Exemple	Mesures typiques associées
Public	Communication officielle, documentation publique	Aucune restriction particulière
Interne	Documents de travail internes non sensibles	Accès réservé aux membres de l'organisation
Confidentiel	Données financières, contrats, données personnelles	Chiffrement, contrôle d'accès strict, journalisation des accès
Hautement confidentiel / secret	Secrets industriels, données de santé, identifiants d'accès critiques	Chiffrement renforcé, accès restreint et tracé, procédures d'approbation

Cette classification n'a de valeur que si elle est effectivement appliquée : elle doit être portée par une politique claire (qui décide du niveau d'un document, comment il est marqué et communiqué) et par des outils qui appliquent automatiquement les mesures associées à chaque niveau, plutôt que de reposer uniquement sur la discipline individuelle des utilisateurs.

4. Contrôle d'accès¶

Le contrôle d'accès régit qui peut consulter, modifier ou supprimer une donnée donnée, en s'appuyant en général sur deux principes complémentaires :

Principe du moindre privilège : chaque utilisateur ou processus ne dispose que des droits strictement nécessaires à l'exercice de sa fonction, ni plus. Ce principe limite mécaniquement l'ampleur des dégâts en cas de compte compromis — un lien direct avec la notion de confinement vue au chapitre 5.
Séparation des tâches : une action sensible (par exemple, une modification critique de configuration) nécessite l'intervention coordonnée de plusieurs personnes distinctes, réduisant le risque d'abus ou d'erreur isolée.

Les modèles courants de contrôle d'accès incluent le contrôle d'accès basé sur les rôles (Role-Based Access Control, RBAC), qui attribue des droits à des rôles fonctionnels plutôt qu'individuellement à chaque utilisateur, facilitant la gestion à grande échelle et l'audit des droits accordés.

5. Prévention de la perte de données (DLP)¶

Les solutions de prévention de la perte de données (Data Loss Prevention, DLP) visent à détecter et bloquer les transferts non autorisés de données sensibles, qu'ils soient malveillants (exfiltration par un attaquant ou un employé malintentionné) ou accidentels (erreur humaine, envoi par erreur d'un fichier sensible). Elles s'appuient typiquement sur :

l'inspection de contenu, capable de reconnaître des motifs caractéristiques de données sensibles (numéros de documents d'identité, structures de données personnelles, mots-clés associés à une classification donnée) ;
le contrôle des canaux de sortie (messagerie, périphériques amovibles, services de stockage en ligne, impression), sur lesquels des règles de blocage ou d'alerte peuvent être appliquées ;
l'intégration avec la classification des données (section 3) : une règle DLP peut, par exemple, bloquer automatiquement l'envoi externe d'un document marqué « confidentiel ».

Le DLP illustre un principe déjà rencontré au chapitre 5 avec l'EDR : la valeur de l'outil dépend largement de la qualité de sa configuration et de son intégration avec les autres briques de sécurité (classification, contrôle d'accès), plutôt que de sa seule installation.

6. Sauvegardes et plans de reprise¶

Face à une menace comme le ransomware (chapitre 1) ou à un incident de disponibilité de toute autre nature (panne, erreur humaine, sinistre), la sauvegarde des données constitue la dernière ligne de défense, souvent la plus décisive en pratique.

Une politique de sauvegarde robuste répond à quelques principes largement reconnus dans l'industrie, souvent résumés par la règle dite 3-2-1 :

3 copies des données au minimum (l'original plus deux copies) ;
sur 2 supports différents (par exemple disque local et stockage distant), pour limiter le risque qu'une même défaillance matérielle affecte toutes les copies ;
dont 1 copie hors site (ou déconnectée), pour se prémunir d'un sinistre physique localisé ou, précisément, d'un ransomware qui chiffrerait des sauvegardes restées connectées et accessibles en écriture depuis le système compromis.

Deux indicateurs structurent un plan de reprise d'activité (Disaster Recovery Plan) :

le RPO (Recovery Point Objective) : quantité maximale de données qu'une organisation accepte de perdre, exprimée en durée depuis la dernière sauvegarde valide ;
le RTO (Recovery Time Objective) : durée maximale acceptable d'indisponibilité avant restauration complète du service.

Une sauvegarde n'a de valeur que si sa restauration a été testée régulièrement : une sauvegarde jamais restaurée en conditions réelles présente un risque non négligeable de s'avérer inutilisable au moment critique, un constat récurrent dans les retours d'expérience de réponse à incident.

7. Lien avec le RGPD et les référentiels de protection des données¶

De nombreuses juridictions imposent aujourd'hui des obligations légales spécifiques concernant la protection des données à caractère personnel, dont le Règlement général sur la protection des données (RGPD) de l'Union européenne constitue l'exemple le plus connu et le plus souvent cité comme référence internationale. Sans entrer dans le détail juridique précis, qui dépasse le cadre de ce module et varie selon les juridictions, quelques principes généraux qu'il porte recoupent directement les notions techniques de ce chapitre :

minimisation : ne collecter et ne conserver que les données réellement nécessaires, ce qui réduit d'autant la surface exposée en cas de compromission ;
sécurité par défaut et dès la conception (privacy by design), qui recoupe les principes de classification et de contrôle d'accès vus dans ce chapitre ;
notification des violations de données dans des délais contraints, ce qui fait le lien direct avec les procédures de réponse à incident du chapitre 5 ;
droits des personnes concernées (accès, rectification, effacement), qui supposent une bonne maîtrise de l'inventaire et de la classification des données détenues.

Au-delà du cadre européen, des référentiels techniques tels que les publications spéciales du NIST sur la sécurité de l'information et l'assainissement des supports de stockage fournissent des recommandations opérationnelles reconnues internationalement pour la mise en œuvre technique de ces principes.

À retenir¶

Le chiffrement au repos et en transit protège la confidentialité des données, mais doit être complété par un contrôle d'accès rigoureux et une gestion sérieuse des clés.
La classification des données par sensibilité permet d'appliquer des mesures de protection proportionnées, à condition d'être effectivement portée par une politique claire et des outils qui l'appliquent.
Le contrôle d'accès (moindre privilège, séparation des tâches, RBAC) et les solutions DLP limitent respectivement l'ampleur d'une compromission et le risque d'exfiltration, malveillante ou accidentelle.
La règle 3-2-1 (trois copies, deux supports, une hors site) et le test régulier de restauration constituent la meilleure défense pratique contre les menaces visant la disponibilité des données, notamment le ransomware.
Le RPO et le RTO formalisent, respectivement, la perte de données et l'indisponibilité maximales acceptables par une organisation.
Le RGPD et les référentiels comme les publications du NIST recoupent, au niveau des principes généraux, l'ensemble des notions techniques abordées dans ce chapitre : minimisation, sécurité dès la conception, notification d'incident, maîtrise de l'inventaire des données.

Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou