Sécurité des données : protéger les données de l'entreprise en 6 étapes

La sécurité des données regroupe les mesures qui protègent les informations d'une organisation contre la perte, le vol, l'altération et la divulgation, de leur collecte à leur suppression. Elle ne se résume ni à un pare-feu ni à un antivirus : elle commence par savoir quelles données on détient, ce qu'elles valent et qui doit y accéder. Voici pourquoi le sujet presse, ce que demandent les textes et une méthode en six étapes.

La sécurité des données vise quatre propriétés, que l'on retrouve dans les critères DICP : la disponibilité (la donnée est accessible quand on en a besoin), l'intégrité (elle n'a pas été modifiée sans autorisation), la confidentialité (seules les personnes autorisées la consultent) et la preuve ou traçabilité (on sait qui a fait quoi). Elle s'applique à toutes les données : fichiers clients, données financières, secrets de fabrication, dossiers du personnel.

Deux notions voisines sont souvent confondues :

• La protection des données personnelles, au sens du RGPD, est plus large sur un point : elle couvre aussi la licéité, la finalité, la durée de conservation et les droits des personnes. Mais elle est plus étroite sur un autre : elle ne concerne que les données qui identifient une personne. La sécurité en est l'une des obligations (article 32).
• La sécurité du système d'information protège les équipements, réseaux et applications. La sécurité des données en dépend, mais raisonne à partir de l'information elle-même : où elle se trouve, qui la manipule, où elle circule, y compris chez les fournisseurs et dans le cloud.

Les fuites augmentent. Selon son rapport annuel 2025, publié en mai 2026, la CNIL a reçu 6 167 notifications de violations de données en 2025, en hausse de 9,5 % sur un an, dont une sur deux liée à un piratage. Les défauts de sécurité représentent environ un tiers de ses contrôles et près de 30 % de ses sanctions, et l'autorité annonce consacrer en 2026 la moitié de ses contrôles et de ses procédures à la sécurité des données. En entreprise, le baromètre 2025 du CESIN montre que, parmi les organisations victimes d'une attaque réussie, plus de la moitié (52 %) ont subi un vol de données.

Les sanctions deviennent lourdes. En janvier 2026, la CNIL a prononcé deux décisions qui servent désormais de référence :

• Free et Free Mobile, 42 millions d'euros (27 millions pour Free Mobile, 15 millions pour Free), rapporte IT-Connect. Après une intrusion en octobre 2024 touchant les données de 24 millions de contrats, dont des IBAN, la CNIL a relevé une authentification au VPN de télétravail insuffisamment robuste, une détection des comportements anormaux inefficace, un courriel d'information des abonnés incomplet et, chez Free Mobile, des données d'anciens abonnés conservées trop longtemps.
• France Travail, 5 millions d'euros, selon la décision publiée par la CNIL. Début 2024, des attaquants ont pris le contrôle de comptes de conseillers par ingénierie sociale et accédé aux données des personnes inscrites depuis 20 ans. La CNIL pointe une authentification trop faible, une journalisation insuffisante et des droits d'accès trop larges. Surtout, elle note que la plupart des mesures nécessaires avaient été identifiées dans les analyses d'impact, sans jamais être mises en œuvre.

Le secteur de la santé n'est pas épargné, comme le montre notre article sur la cyberattaque d'un hôpital sanctionnée par la CNIL.

• RGPD. L'article 32 demande des mesures « appropriées » au risque et en cite plusieurs : la pseudonymisation et le chiffrement, la capacité à garantir durablement la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir l'accès aux données après un incident, et une procédure de test régulier de l'efficacité des mesures. L'article 5 impose en outre de limiter la durée de conservation, et l'article 34 d'informer clairement les personnes en cas de violation à risque élevé.
• NIS 2. Pour les entités essentielles et importantes, l'article 21 cite notamment des politiques de cryptographie et de chiffrement, la sécurité des ressources humaines, des politiques de contrôle d'accès, la gestion des actifs et l'authentification multifacteur.
• ISO 27002. La version 2022 de l'ISO/IEC 27002 consacre des mesures précises à la classification de l'information, au masquage des données, à la prévention des fuites, à la suppression de l'information, à la sauvegarde et à l'usage de la cryptographie.
• NIST CSF 2.0. Le cadre de cybersécurité du NIST range la sécurité des données (catégorie PR.DS) dans la fonction « Protéger » : les données sont gérées selon la stratégie de risque de l'organisation pour en préserver la confidentialité, l'intégrité et la disponibilité.

Pour les données personnelles, la référence pratique est le guide de la sécurité des données personnelles de la CNIL. Son édition 2024 compte 25 fiches en cinq parties, avec des fiches nouvelles sur le cloud, les applications mobiles, l'intelligence artificielle, les interfaces de programmation (API) et le pilotage de la sécurité. La CNIL précise qu'elle s'en sert elle-même pour apprécier la sécurité des traitements qu'elle contrôle.

1. Inventorier et classer les données

Recensez les grands ensembles de données (clients, salariés, finances, recherche, fournisseurs), où ils sont stockés, qui en est responsable et avec qui ils sont partagés. La cartographie du système d'information et, pour les données personnelles, le registre des traitements sont de bons points de départ ; le shadow IT est l'angle mort classique. Classez ensuite chaque ensemble selon sa sensibilité, avec trois ou quatre niveaux simples (public, interne, confidentiel, secret) définis dans la politique de sécurité. C'est la classe qui décidera des protections.

2. Collecter moins et supprimer ce qui ne sert plus

C'est la mesure la plus efficace et la plus oubliée. L'expert américain Bruce Schneier l'a résumé dès 2016 dans un texte devenu classique : les données sont un « actif toxique », et il n'y a pas de meilleure sécurité que de supprimer celles dont on n'a pas besoin. Le RGPD l'impose pour les données personnelles avec ses principes de minimisation et de durée de conservation limitée, et l'affaire Free Mobile montre qu'un fichier d'anciens clients jamais purgé alourdit une fuite.

3. Contrôler les accès

Chaque personne n'accède qu'aux données nécessaires à sa mission (principe du moindre privilège), les comptes à privilèges sont séparés et limités, et l'authentification multifacteur protège les accès distants et les données sensibles. C'est l'idée centrale du modèle zero trust. Dans le dossier France Travail, des droits trop larges ont multiplié le volume de données exposées.

4. Chiffrer et pseudonymiser

Les données sensibles sont chiffrées en transit et au repos, y compris sur les postes portables, les supports amovibles et les sauvegardes, avec des clés gérées à part. Quand une donnée doit être exploitée sans révéler l'identité des personnes (tests, statistiques), la pseudonymisation remplace les identifiants par des alias. L'ENISA rappelle qu'aucune technique ne convient à tous les cas et qu'un procédé robuste demande une vraie expertise ; une donnée pseudonymisée reste d'ailleurs une donnée personnelle. Notre guide sur l'anonymisation et la pseudonymisation détaille la différence.

5. Tracer et détecter

Journalisez les accès aux données sensibles, conservez les traces et surveillez les comportements anormaux : extraction massive, connexion inhabituelle, consultation de dossiers sans lien avec l'activité. Les deux sanctions de janvier 2026 reprochent justement une détection inefficace. Une alerte doit déclencher votre processus de gestion des incidents, y compris la notification à la CNIL sous 72 heures quand des données personnelles sont touchées.

6. Sauvegarder et tester la restauration

Une sauvegarde hors ligne, isolée du réseau et régulièrement restaurée lors de tests est la dernière ligne de défense face à un rançongiciel. L'ANSSI y consacre un guide, Sauvegarde des systèmes d'information, et son guide d'hygiène informatique en 42 mesures reste la base pour tout le reste. C'est aussi un pilier de la cyber résilience.

Les données confiées à des tiers suivent les mêmes règles : la gestion des risques tiers vérifie que vos prestataires et hébergeurs appliquent des mesures à la hauteur, et le choix d'un hébergement qualifié comme SecNumCloud se justifie pour les données les plus sensibles.

• Des mesures identifiées mais jamais appliquées. C'est le reproche le plus frappant de la décision France Travail. Une analyse d'impact ou une analyse de risques ne protège rien tant que ses mesures n'ont ni responsable, ni échéance, ni suivi.
• Tout protéger au même niveau. Sans classification, on chiffre la plaquette commerciale et on oublie le fichier RH sur un partage réseau ouvert.
• Garder les données « au cas où ». Chaque fichier conservé sans raison élargit la surface d'une fuite et le montant d'une sanction.
• Négliger l'humain. France Travail a été visé par ingénierie sociale : la sensibilisation des équipes qui manipulent des données sensibles fait partie des mesures.
• Mal informer après une fuite. Free a aussi été sanctionné parce que son courriel aux abonnés ne disait pas clairement quelles conséquences craindre ni comment s'en protéger. La communication de crise se prépare avant l'incident.