Dans une institution publique, la sécurité n’est pas une fonction technique reléguée dans une salle serveurs. C’est la condition qui décide si un citoyen fera confiance à un service numérique, si un agent peut agir sans craindre pour sa propre responsabilité, et si un audit ne bloquera pas le projet suivant. La sécurité dans le secteur public est le véritable socle de la confiance, pas une formalité ajoutée à la fin d’un déploiement.
D’après notre expérience, la difficulté n’est pas d’acheter un outil mais de réunir identités, accès, journaux, consentements et obligations RGPD en un tout cohérent, puis de l’entretenir pendant des années. Même si votre institution n’a pas d’équipe sécurité propre, nous apportons cette compétence. Nous l’appuyons sur l’expérience de l’exploitation de systèmes et d’infrastructures pour l’administration publique et du travail sur des systèmes de sécurité, où le contrôle d’accès, la traçabilité et la confidentialité des données sont une exigence, pas un supplément.
Pourquoi la sécurité dans une institution publique est-elle le socle de la confiance ?
Une institution traite des données qu’un citoyen ne peut pas emporter ailleurs : un numéro d’identification national, des données de santé ou de patrimoine. Il n’y a pas de relation commerciale que l’on peut quitter, et le niveau de responsabilité est donc plus élevé que dans une entreprise ordinaire. C’est pourquoi nous traitons la sécurité comme une propriété du système entier : ce qui compte, c’est qui a reçu un accès et sur quelle base, si chaque opération laisse une trace, et si un incident peut être reconstitué après coup. Une fois cela en ordre, une institution peut prouver qu’elle maîtrise ses données, et une telle confiance est difficile à reconstruire après une seule fuite.
Comment gérer les identités et les accès (IAM) dans une institution ?
Le socle est la gestion des identités et des accès (IAM), une réponse claire à la question de qui est qui dans le système et de ce qu’il peut faire. Lorsque les agents changent, passent d’un service à l’autre et utilisent de nombreux systèmes à la fois, les accès échappent vite au contrôle sans cet ordre.
Nous concevons la couche IAM autour de quelques mécanismes qui réduisent réellement le risque :
- des rôles et des droits fondés sur la fonction (RBAC) plutôt qu’attribués à la main à des individus,
- le principe du moindre privilège, c’est-à-dire exactement autant d’accès que la tâche l’exige, et rien de plus,
- l’authentification multifacteur (MFA) et la connexion via une source d’identité centrale (SSO, fédération), pour que les mots de passe ne se multiplient pas,
- la révocation automatique des accès lorsqu’une personne change de rôle ou quitte l’institution, branchée sur le système RH.
Ainsi, l’accès suit le rôle plutôt que l’historique d’emploi. Le moindre privilège est le point clé : aucun accès par défaut, et chaque extension est une décision assumée avec un responsable et une date d’expiration. Un compte compromis n’ouvre alors à un attaquant non pas tout le système, mais seulement la part attribuée à ce rôle.
Comment construire une piste d’audit et des politiques de conservation ?
La traçabilité commence par une piste d’audit, un enregistrement incontestable de qui a fait quoi, sur quelles données et quand. Dans le secteur public, ce n’est pas un confort mais une preuve en cas de contrôle, de plainte d’un citoyen ou de procédure judiciaire. Nous construisons donc la journalisation pour couvrir les consultations et modifications de données sensibles, les changements de droits et les opérations d’administration, les journaux eux-mêmes étant protégés contre toute altération.
Les politiques de conservation vont de pair. Des données gardées « au cas où » indéfiniment sont à la fois un risque et une violation du principe de limitation de la conservation. Nous définissons donc la durée de vie de chaque catégorie de données et de journaux, le moment de leur archivage et celui de leur suppression définitive, et nous automatisons ces cycles pour que la conformité ne dépende pas de quelqu’un qui pense à faire le ménage.
Comment gérer les consentements et les données personnelles au titre du RGPD ?
Le RGPD dans l’administration publique a son caractère propre : la base du traitement est généralement une disposition légale ou une mission d’intérêt public plutôt qu’un consentement. Là où un consentement est nécessaire, il doit toutefois être recueilli sciemment, versionné et révocable, et le système doit pouvoir montrer sur quelle base et dans quel but il traite un enregistrement donné. Nous nous concentrons ici sur les mécanismes qui réalisent les droits des citoyens et les obligations du responsable de traitement :
- un registre des activités de traitement lié aux fonctions réelles du système, et non tenu à côté dans un tableur,
- le traitement des droits des personnes (accès, rectification, effacement, portabilité) disponible tant sur le plan procédural que technique,
- la minimisation et la pseudonymisation partout où des données complètes ne sont pas nécessaires à la tâche,
- le rattachement des consentements aux finalités, pour que le retrait d’un consentement arrête réellement ce traitement.
La conformité au RGPD devient ainsi un produit du fonctionnement du système, et non une documentation ajoutée après coup.
Pourquoi une institution a-t-elle besoin de revues régulières de protection des données ?
La sécurité n’est pas un état que l’on atteint puis que l’on coche. Le droit, les personnes, les intégrations et les menaces changent : un dispositif étanche il y a un an peut présenter des failles aujourd’hui. C’est pourquoi nous traitons les revues de protection des données comme un rythme régulier plutôt que comme une réaction à un contrôle : nous vérifions périodiquement les droits accordés, analysons les journaux à la recherche de schémas inhabituels, contrôlons l’actualité des politiques de conservation et testons les procédures de réponse aux incidents. Une telle revue attrape la dérive avant qu’elle ne devienne un incident.
Comment abordez-vous la conformité (cadres nationaux, NIS2) ?
Les institutions publiques évoluent dans un réseau dense d’exigences. Les cadres nationaux d’interopérabilité fixent des normes portant entre autres sur la sécurité de l’information et la disponibilité des systèmes, tandis que la directive NIS2 relève le niveau en matière de gestion des risques, de notification des incidents et de responsabilité des dirigeants.
Nous ne les traitons pas comme des listes de contrôle séparées. La plupart se ramènent aux mêmes fondamentaux : contrôle d’accès, traçabilité, gestion des risques et capacité à répondre à un incident. Si ceux-ci sont solides, la conformité au texte suivant consiste surtout à documenter ce qui fonctionne déjà, plutôt qu’à reconstruire le système. Nous conseillons ici en termes généraux et soutenons la mise en oeuvre technique, en laissant l’interprétation juridique aux juristes de l’institution.
Quelles compétences en sécurité fournissons-nous à une institution ?
C’est le coeur de notre modèle : même sans département sécurité propre, nous fournissons les personnes et les compétences qui font le travail. Nous pourvoyons des rôles précis, adaptés à l’étape du projet et aux manques de votre côté :
- des ingénieurs IAM et identité qui conçoivent les rôles, le SSO, la MFA et l’intégration à la source RH,
- des architectes sécurité qui réunissent authentification, chiffrement, journalisation et conservation en un modèle cohérent,
- des développeurs familiers des exigences du secteur public, qui écrivent du code en pensant à l’auditabilité et à la protection des données,
- un appui conformité qui traduit les exigences des cadres et de NIS2 en fonctions et configurations concrètes.
Nous ne facturons pas « la sécurité en général », seulement les compétences dont vous avez réellement besoin.
Comment procédons-nous chez RITS ?
Nous le faisons en tant que partenaire nearshore depuis la Pologne qui comprend les réalités de l’administration et l’exigence de traçabilité :
- nous vérifions les compétences avant le démarrage et construisons l’équipe autour de l’institution, pas « au cas où »,
- nous nous appuyons sur l’expérience de l’exploitation de systèmes et d’infrastructures pour le secteur public et sur des projets où la sécurité et le contrôle d’accès étaient le coeur de la solution,
- nous nous branchons sur les procédures et les outils existants de l’institution au lieu d’imposer notre propre univers, et nous travaillons dans un fuseau horaire proche, pour que les revues et la réponse aux incidents se déroulent sans délai.
Le plus souvent, nous livrons cela en logiciel sur mesure construit par notre équipe et, lorsqu’une compétence précise doit être complétée vite, en renfort d’équipe.
Par où commencer avec la sécurité et la conformité ?
Commencez par une réponse honnête à deux questions : qui a accès aux données aujourd’hui et sur quelle base, et pouvez-vous reconstituer ce qui leur est arrivé. Si l’une des deux réponses est « pas vraiment », c’est là que se trouve le plus grand risque et c’est par là que nous commençons : par l’IAM et la piste d’audit, et seulement ensuite nous refermons la conservation, les consentements et la conformité. Nous avons traité les différences entre modèles de collaboration dans notre article sur les modèles de collaboration IT.
Vous voulez mettre de l’ordre dans la sécurité et la conformité de votre institution ? Parlons-en - nous adapterons les compétences et l’approche à vos systèmes et à vos exigences.
Renforcez avec nous la sécurité et la conformité de votre institution