Fuite de données personnelles Des données ont fuité ? Les bons gestes, et vos obligations
Un fichier clients publié, un ordinateur volé, un dossier partagé resté ouvert, un chantage par e-mail : une fuite de données se gère vite et avec méthode. Voici quoi faire, dans l’ordre, et comment nous pouvons vous aider.
Comment une fuite de données arrive
On imagine souvent un piratage spectaculaire. En réalité, beaucoup de fuites ont une origine très simple :
- un attaquant qui a copié des fichiers avant de lancer un rançongiciel, et qui menace de les publier ;
- une boîte mail piratée, dont les messages et pièces jointes ont été lus ;
- un ordinateur portable ou une clé USB perdus ou volés, sans chiffrement ;
- un lien de partage ouvert « à toute personne disposant du lien », ou un fichier envoyé au mauvais destinataire ;
- une fuite chez un prestataire ou un logiciel en ligne qui héberge vos données.
Les signes qui doivent alerter : un e-mail de chantage citant vos données, un client qui reçoit des messages frauduleux très bien renseignés, vos fichiers repérés sur un site de publication, ou une alerte de votre prestataire.
Les premiers gestes, dans l’ordre
- Stoppez la fuite. Fermez le partage ouvert, coupez les accès du compte concerné, changez les mots de passe, isolez l’appareil touché sans l’éteindre.
- Gardez les preuves. Captures d’écran, e-mails de chantage, journaux de connexion : ne supprimez rien, ils serviront à l’analyse et à la plainte.
- Évaluez ce qui a fuité. Quelles données, combien de personnes, quel niveau de sensibilité : coordonnées, pièces d’identité, coordonnées bancaires, données de santé, mots de passe.
- Notifiez la CNIL dans les 72 heures si la fuite présente un risque pour les personnes concernées. La déclaration se fait en ligne, et peut être complétée ensuite si toutes les informations ne sont pas encore connues.
- Informez les personnes concernées si le risque pour elles est élevé, avec des conseils concrets : changer leur mot de passe, se méfier des faux e-mails ou appels.
- Prévenez votre assureur si vous avez une assurance cyber, et portez plainte auprès de la police ou de la gendarmerie.
- Ne payez pas en cas de chantage. Rien ne garantit que les données seront supprimées. Appelez-nous avant toute réponse.
Même sans risque pour les personnes, toute violation de données doit être consignée dans votre registre interne des violations : ce qui s’est passé, les conséquences et les mesures prises.
Ce que nous faisons pour vous
1
Stopper la fuite
Nous identifions par où les données sortent et nous fermons l’accès, sur place ou à distance.
2
Comprendre
Nous analysons les traces pour établir ce qui a été copié ou consulté, depuis quand et par qui.
3
Préparer les déclarations
Nous vous aidons à rassembler les éléments pour la CNIL, l’assureur et la plainte, et à rédiger l’information des personnes concernées.
4
Fermer la porte
Nous corrigeons la faille à l’origine de la fuite et renforçons ce qui doit l’être pour éviter que cela recommence.
Vous avez un délégué à la protection des données (DPO) ? Nous travaillons avec lui. Sinon, nous vous guidons dans les démarches, en lien avec votre conseil juridique si nécessaire.
Éviter la prochaine fuite
Audit
Savoir où sont vos données
Un état des lieux montre où sont stockées vos données sensibles, qui y accède et ce qui est partagé à l’extérieur.
Microsoft 365
Maîtriser les partages
Liens ouverts, invités extérieurs, comptes inactifs : un réglage soigné de Microsoft 365 évite beaucoup de fuites.
Sensibilisation
Former les équipes
Le mauvais destinataire, le faux e-mail, la clé USB perdue : des réflexes simples réduisent les erreurs.
RSSI externalisé
Être accompagné
Un responsable sécurité externalisé tient à jour vos règles, votre registre et votre préparation aux incidents.
Questions fréquentes sur les fuites de données
Faut-il toujours prévenir la CNIL ?
La notification à la CNIL est obligatoire dans les 72 heures dès que la violation présente un risque pour les droits et libertés des personnes. S’il n’y a vraiment aucun risque, par exemple des données chiffrées dont la clé n’a pas fuité, une inscription dans votre registre interne suffit. Dans le doute, mieux vaut notifier.
Que se passe-t-il si nous dépassons les 72 heures ?
Notifiez quand même, le plus vite possible, en expliquant la raison du retard. La CNIL accepte une notification en plusieurs temps : une première déclaration rapide, complétée ensuite.
Doit-on prévenir tous nos clients ?
Les personnes concernées doivent être informées si le risque pour elles est élevé, par exemple en cas de fuite de coordonnées bancaires, de pièces d’identité ou de données de santé. Le message doit être clair et donner des conseils concrets.
La fuite vient de notre prestataire, qui est responsable ?
Votre prestataire doit vous prévenir sans tarder, mais c’est en principe à vous, responsable des données, de notifier la CNIL et d’informer les personnes. Demandez-lui tous les éléments par écrit.
Nous recevons un chantage à la publication, que faire ?
Ne répondez pas et ne payez pas sans être accompagné. Conservez le message, appelez-nous au 06 30 39 95 06 et portez plainte. Le dispositif public 17Cyber peut aussi vous orienter.
Comment savoir si nos adresses e-mail ont déjà fuité ?
Des services publics de vérification, comme Have I Been Pwned, indiquent si une adresse apparaît dans une fuite connue. Si c’est le cas, changez le mot de passe concerné et activez la double authentification.
Une fuite de données ? Appelez-nous
Nous vous aidons à stopper la fuite, à respecter vos obligations et à rassurer vos clients.
Ou appelez-nous au 06 30 39 95 06, joignable 7j/7 et 24h/24.