Chapitre 11 — Gouvernance, Conformité & Sensibilisation

La gouvernance établit le cadre stratégique de la sécurité. Ce module couvre les politiques de sécurité, les réglementations clés (GDPR, HIPAA, PCI-DSS), et la sensibilisation à la sécurité.

Politiques de Sécurité

Mémorisez ! Hiérarchie des documents de sécurité : Politique (QUOI) → Standard (spécifications, COMMENT mesurer) → Guideline (recommandation, non obligatoire) → Procédure (instructions étape par étape, COMMENT faire). Les politiques viennent de la direction — les procédures viennent des techniciens.

AUP (Acceptable Use Policy) : définit l'utilisation acceptée des ressources IT de l'organisation (emails, internet, équipements). Signée par tous les employés.
Password Policy : longueur minimale, complexité, historique, MFA. Alignée sur NIST SP 800-63.
Clean Desk Policy : les documents sensibles doivent être rangés (pas visibles) quand le poste est non occupé. Protection contre le shoulder surfing.
BYOD Policy : règles pour les appareils personnels utilisés dans un contexte professionnel.
Incident Response Policy : qui fait quoi, comment, quand lors d'un incident. Lie le CSIRT (Computer Security Incident Response Team).
Data Retention Policy : combien de temps conserver chaque type de données. Équilibre légal (doit conserver N ans) et sécurité (plus longtemps = plus de risques).

Réglementations Clés

Réglementation	Domaine	Géographie	Sanctions
GDPR	Protection des données personnelles (PII)	UE (tout organisme traitant des données de citoyens EU)	4% du CA mondial ou 20M€
HIPAA	Données de santé (PHI)	États-Unis	Jusqu'à 1,9M$/an/catégorie
PCI-DSS	Données de carte de paiement	Mondial (toute organisation qui traite des cartes)	Amendes des réseaux de cartes, perte de droits de traitement
SOX (Sarbanes-Oxley)	Contrôles financiers des sociétés cotées US	États-Unis (cotées en bourse)	Pénalités pénales pour dirigeants
GLBA	Données financières personnelles	États-Unis (institutions financières)	Amendes fédérales

GDPR — Points Clés

72 heures : délai maximum pour notifier une violation de données à l'autorité de contrôle (CNIL en France).
Droit à l'effacement (Right to be forgotten) : les individus peuvent demander la suppression de leurs données.
Privacy by Design : intégrer la protection des données dès la conception des systèmes (pas en option).
Consentement explicite : le consentement doit être libre, spécifique, éclairé et univoque.
DPO (Data Protection Officer) : obligatoire pour les organisations traitant des données sensibles à grande échelle.

PCI-DSS — Points Clés

12 exigences PCI-DSS principales, organisées en 6 objectifs : réseau sécurisé, protection des données porteur, programme de vulnérabilités, contrôle d'accès, surveillance, politique de sécurité.
Niveaux de conformité : basés sur le volume de transactions annuelles (Niveau 1 = >6M transactions, audit annuel QSA + scan trimestriel ASV).
Tokenisation : remplacer les numéros de carte par des tokens — réduit la portée PCI-DSS (les tokens ne sont pas des données de carte).
Segmentation réseau : isoler les systèmes qui traitent des données de carte (CDE = Cardholder Data Environment) — réduit la portée de l'audit.

Astuce Examen

Le GDPR s'applique à TOUTE organisation qui traite des données de citoyens UE — même une entreprise américaine. Les 72 heures de notification sont une cible fréquente. PCI-DSS est un standard de l'industrie (non une loi), mais le non-respect peut mener à la perte du droit de traiter des paiements par carte.

Sensibilisation à la Sécurité

Security Awareness Training : formation des employés sur les menaces (phishing, ingénierie sociale, mots de passe, etc.). L'humain reste le maillon le plus faible.
Simulations de phishing : envoyer de faux emails de phishing aux employés pour mesurer leur vigilance et identifier ceux qui nécessitent plus de formation. Mesure : taux de clic.
Principe du moindre privilège : les employés ne doivent avoir accès qu'aux ressources strictement nécessaires à leur fonction.
Séparation des tâches (SoD) : diviser les tâches critiques entre plusieurs personnes pour éviter qu'une seule puisse commettre une fraude seule.
Rotation des fonctions (Job Rotation) : changer régulièrement les responsabilités des employés — détecte les fraudes, réduit la dépendance.
Congé obligatoire (Mandatory Vacation) : obliger les employés critiques à prendre des congés — détecte les fraudes continues (quelqu'un d'autre doit reprendre le poste).

Quiz — Gouvernance & Conformité

1. Le GDPR exige qu'une violation de données soit notifiée à l'autorité de contrôle dans un délai de :

24 heures 72 heures 7 jours 30 jours

GDPR Article 33 = 72 heures pour notifier l'autorité de contrôle (CNIL en France) dès qu'on prend connaissance d'une violation de données personnelles. Si l'organisation est incapable de notifier dans ce délai, elle doit expliquer pourquoi dans sa notification tardive. Les particuliers (personnes affectées) sont notifiés si le risque est élevé.

2. PCI-DSS s'applique à :

Uniquement aux banques et institutions financières Uniquement aux entreprises cotées en bourse Uniquement aux organisations aux États-Unis Toute organisation qui stocke, traite ou transmet des données de cartes de paiement (Visa, Mastercard, Amex...), dans le monde entier

PCI-DSS = standard de l'industrie des cartes de paiement, pas une loi. S'applique à TOUTE entité qui touche aux données de carte : commerçants en ligne, restaurants, hôtels, prestataires de paiement. La conformité est exigée par les réseaux de cartes (Visa, MC). Non-conformité = amendes, perte du droit d'accepter les cartes.

3. La hiérarchie des documents de sécurité du plus général au plus spécifique est :

Politique → Standard → Guideline → Procédure Procédure → Standard → Guideline → Politique Guideline → Standard → Procédure → Politique Standard → Politique → Procédure → Guideline

Politique = QUOI (haut niveau, stratégie). Standard = spécifications mesurables (COMMENT satisfaire la politique). Guideline = recommandation non obligatoire. Procédure = instructions étape par étape (COMMENT faire concrètement). Exemple : Politique "les données doivent être chiffrées" → Standard "AES-256 minimum" → Guideline "préférer ECC" → Procédure "voici comment chiffrer avec BitLocker..."

4. Une politique d'AUP (Acceptable Use Policy) est principalement :

Un guide technique pour configurer les équipements réseau Une procédure de réponse aux incidents Un document signé par les employés définissant l'utilisation acceptable des ressources IT de l'organisation Un accord de confidentialité entre l'organisation et ses fournisseurs

AUP = règles d'utilisation des ressources IT. Couvre : utilisation d'internet, email professionnel, logiciels autorisés, appareils personnels, réseaux sociaux, surveillance des communications. Signée à l'embauche. Protège l'organisation légalement si un employé abuse des ressources IT (utilisation personnelle excessive, téléchargement illégal...).

5. Le "Privacy by Design" exigé par le GDPR signifie :

Créer une page de politique de confidentialité sur le site web Intégrer la protection des données personnelles dès la conception des systèmes et processus, plutôt que comme une solution ajoutée après coup Chiffrer toutes les données par défaut Avoir un DPO nommé avant de lancer tout projet

Privacy by Design = principe de conception. Ex: lors du développement d'une nouvelle application : collecter le minimum de données nécessaires (data minimisation), consentement intégré dans le workflow, données pseudonymisées par défaut, options de suppression prévues. Pas une protection qu'on ajoute après le lancement — elle doit être architecturée dès le départ.

6. La "tokenisation" en PCI-DSS est utilisée pour :

Chiffrer les numéros de carte avant stockage Anonymiser l'identité des porteurs de cartes Générer des codes OTP pour l'authentification des paiements Remplacer le numéro de carte réel par un token sans valeur — réduisant la portée PCI-DSS car le marchand ne stocke jamais la vraie donnée de carte

Tokenisation = substitution. Le numéro de carte 4111-1111-1111-1111 est remplacé par un token "8a2e3f7c" stocké chez le marchand. Seul le prestataire de paiement maintient la correspondance token ↔ vrai numéro. Si le marchand est piraté, le token volé est inutilisable. Réduit la portée PCI-DSS car le marchand ne détient plus de données de carte.

7. Le principe de "séparation des tâches" (Separation of Duties) est conçu pour :

Permettre à plusieurs employés de partager le même compte pour travailler en équipe Former les employés sur plusieurs fonctions pour augmenter la flexibilité Prévenir la fraude et les erreurs en divisant les tâches critiques entre plusieurs personnes, de sorte qu'une seule personne ne puisse pas commettre et dissimuler une action malveillante Simplifier la gestion des privilèges en regroupant les fonctions similaires

SoD = "four eyes principle". Ex bancaire : une personne crée un virement, une autre l'approuve, une troisième l'exécute. Si ces trois rôles sont une seule personne = fraude possible. Ex IT : le développeur ne doit pas pouvoir déployer son propre code en production sans revue. SoD est un contrôle compensant majeur contre la fraude interne.

8. Les simulations de phishing (phishing simulations) sont utilisées pour : Tester et mesurer la vigilance des employés face aux emails de phishing, identifier ceux qui nécessitent plus de formation Former les employés à créer de faux emails pour des exercices d'équipe rouge Tester les filtres anti-spam de l'organisation Identifier les vulnérabilités dans le serveur de messagerie

Phishing simulations = campagnes de phishing contrôlées envoyées aux employés. Mesures : taux d'ouverture, taux de clic sur le lien, taux de saisie de credentials. Les "cliqueurs" sont redirigés vers une page de formation immédiate. Outil clé de sensibilisation — démontre concrètement la vulnérabilité à l'ingénierie sociale.

9. SOX (Sarbanes-Oxley) concerne principalement : La protection des données personnelles des consommateurs Les contrôles de sécurité et l'intégrité des systèmes financiers des sociétés cotées en bourse aux États-Unis Les données de santé des patients américains La sécurité des systèmes de contrôle industriel

SOX (2002) = réaction aux scandales Enron/WorldCom. Exige des contrôles internes sur les rapports financiers (Section 302 : attestation par le CEO/CFO, Section 404 : évaluation annuelle des contrôles). Implications IT : audit trails des modifications de données financières, contrôle d'accès strict aux systèmes ERP, intégrité des logs. Dirigeants passibles de prison en cas de fraude.

10. Le "congé obligatoire" (Mandatory Vacation) est un contrôle de sécurité qui : Protège les employés du burnout pour éviter les erreurs Réduit le risque de social engineering pendant les absences Donne du temps pour former les remplaçants Force quelqu'un d'autre à reprendre le poste temporairement, ce qui permet de détecter les fraudes ou irrégularités que l'employé absent dissimulait

Mandatory Vacation = contrôle anti-fraude. Exemple : un employé qui gère seul les paiements fournisseurs peut dissimuler des détournements. Pendant ses congés obligatoires, un remplaçant prend le relais — et peut détecter des irrégularités. Ce contrôle est particulièrement important dans les postes financiers et IT avec accès privilégié.