Fuite accidentelle de données au travail : que faire dans les 72 premières heures ?

Si vous êtes à l'origine d'une fuite accidentelle de données au travail, signalez-la immédiatement en interne, généralement à votre responsable hiérarchique, à l'équipe informatique ou au délégué à la protection des données. N'essayez pas de régler le problème en silence et n'attendez pas d'en connaître l'ampleur. Au Royaume-Uni et dans l’Union européenne, une organisation dispose de 72 heures à compter du moment où elle prend connaissance d’une fuite pour en informer l’autorité chargée de la protection des données lorsque des personnes sont exposées à un risque. Aux États-Unis, les délais varient selon les États et les secteurs d’activité, mais le compte à rebours commence également dès que l’organisation en a connaissance. Chaque heure d’hésitation de la part d’un employé réduit ce délai.

La plupart des fuites de données ne sont pas le fait de pirates informatiques. Elles trouvent souvent leur origine dans une simple erreur : un e-mail envoyé à la mauvaise personne, une feuille de calcul jointe par inadvertance, un ordinateur portable oublié dans un train. Cet article explique ce qui constitue une fuite de données, présente des exemples courants, décrit étape par étape les 72 premières heures à suivre, expose les règles de signalement en vigueur au Royaume-Uni, dans l'Union européenne et aux États-Unis, et explique comment s'assurer que les erreurs soient signalées plutôt que dissimulées.

Qu'est-ce qui est considéré comme une violation de données ?

Une violation de données à caractère personnel désigne tout incident de sécurité entraînant la perte, la destruction, l'altération, la divulgation ou l'accès non autorisé à des données à caractère personnel. Peu importe qu'il s'agisse d'un acte délibéré ou d'un accident, et il n'est pas nécessaire qu'il s'agisse d'une cyberattaque. Si une personne non autorisée peut consulter, modifier ou perdre des données concernant quelqu'un, il s'agit d'une violation.

Une violation ne se limite pas non plus aux fuites de données. La suppression d’un dossier client sans sauvegarde ou la perte d’accès aux données à la suite d’une attaque par ransomware en font également partie, car les données ne sont plus accessibles aux personnes qui en ont besoin. Bon nombre des incidents les plus graves, comme ceux présentés dans notre tour d’horizon des plus grandes cyberattaques aux Pays-Bas, ont justement commencé par ce type de violation de la disponibilité.

Exemples courants de fuites accidentelles de données au travail

• Un e-mail envoyé au mauvais destinataire. La fonction de saisie semi-automatique sélectionne la mauvaise « Sarah », et un récapitulatif des salaires est transmis à une personne extérieure à l'entreprise. Les autorités chargées de la protection des données, tant en Europe qu'aux États-Unis, classent les e-mails mal acheminés parmi les causes les plus courantes des violations de données signalées.
• « CC » au lieu de « Cci ». Une lettre d'information ou une mise à jour destinée aux clients est envoyée, et l'adresse e-mail de chaque destinataire est visible par tous les autres.
• Une pièce jointe erronée. Une personne souhaite envoyer un modèle, mais envoie à la place la version remplie avec des noms, des adresses ou des informations médicales.
• Un lien de partage trop accessible. Un document est partagé avec « toute personne disposant du lien », et ce lien se retrouve dans un e-mail transféré ou sur un canal public.
• Appareils perdus ou volés. Un ordinateur portable, un téléphone ou une clé USB non chiffrés disparaissent sur le chemin du retour.
• Du papier et des écrans. Des impressions laissées sur l'imprimante, des dossiers dans un sac poubelle, un écran affichant les données d'un client à la vue des visiteurs.
• Se faire piéger par un e-mail de hameçonnage. Un employé saisit ses identifiants de connexion sur une fausse page, et un pirate parvient à accéder à une boîte mail regorgeant de données personnelles.

Que faire dans les 72 premières heures suivant une fuite de données ?

1. Signalez-le en interne, sans délai. L'employé qui a constaté l'erreur en informe son responsable, le service informatique ou le délégué à la protection des données. Les délais légaux courent à compter du moment où l'organisation en prend connaissance ; ainsi, chaque jour de silence au sein de l'équipe est un jour perdu.
2. Limitez les dégâts. Si possible, demandez le retrait de l'e-mail, demandez au destinataire de le supprimer et d'en confirmer la suppression par écrit, révoquez le lien de partage, effacez à distance les données de l'appareil perdu ou réinitialisez le mot de passe compromis.
3. Déterminez ce qui s'est passé. Quelles données sont concernées, combien de personnes sont touchées, quel est leur degré de sensibilité et qui aurait pu y avoir accès ? Les données relatives à la santé, aux finances et aux enfants revêtent une importance particulière.
4. Évaluez le risque pour les personnes concernées. Cela pourrait-il entraîner une usurpation d'identité, une discrimination, un préjudice financier ou une détresse ? Cette évaluation permet de déterminer si vous devez informer l'autorité de contrôle et les personnes concernées, conformément aux règles expliquées ci-dessous.
5. Signalez-le lorsque cela est requis. Déposez la déclaration dans les délais, même si tous les détails ne sont pas encore connus ; vous pouvez généralement compléter les informations ultérieurement. Informez les personnes concernées de ce qui s’est passé et des mesures qu’elles peuvent prendre pour se protéger.
6. Consignez-la, même si vous ne la signalez pas. Tenez un registre interne de chaque violation, en y indiquant les faits, les conséquences et les mesures que vous avez prises. En vertu du RGPD, cette obligation s'applique également aux violations que vous avez décidé de ne pas signaler.
7. Tirez-en les leçons. Identifiez la cause et corrigez le processus : un paramètre de saisie automatique, une politique de partage, des simulations d'hameçonnage pour l'équipe qui s'est laissée piéger par la fausse page de connexion.

Règles relatives à la déclaration des violations de données au Royaume-Uni, dans l'Union européenne et aux États-Unis

Les étapes décrites ci-dessus s'appliquent partout, mais les délais légaux et les instances auxquelles vous devez rendre compte dépendent de votre lieu d'activité et du secteur dans lequel vous évoluez.

• Royaume-Uni. En vertu du RGPD britannique, toute violation susceptible de mettre des personnes en danger doit être signalée à l’Information Commissioner’s Office (ICO) dans les 72 heures suivant sa découverte. Si le risque pour les personnes concernées est élevé, vous devez également les en informer sans retard injustifié.
• Union européenne. Le RGPD fixe le même délai de 72 heures, la notification devant être adressée à l’autorité nationale chargée de la protection des données. Les organisations relevant de la directive NIS2 peuvent également être tenues de signaler les incidents majeurs à leur CSIRT national ou à l’autorité compétente : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans un délai d’un mois.
• États-Unis. Il n’existe pas de loi fédérale unique en matière de violation de données. Chaque État dispose de sa propre législation en matière de notification, avec des délais allant de « sans retard injustifié » à un nombre fixe de jours. À cela s’ajoutent des réglementations sectorielles, telles que la loi HIPAA pour le secteur de la santé, qui impose une notification dans un délai de 60 jours, et la règle de la SEC qui oblige les sociétés cotées à divulguer les incidents significatifs dans un délai de quatre jours ouvrés.
• Dans toutes les régions. Les contrats ont également leur importance. Les clients et les partenaires exigent souvent d'être informés dans un délai déterminé, parfois plus court que le délai légal.

Vous exercez vos activités au-delà des frontières ? Au sein de l'UE, les organisations dont le siège social est situé sur le territoire de l'Union ont généralement affaire à une seule autorité de référence. Aux États-Unis, c'est l'État dans lequel résident les personnes concernées qui détermine les règles applicables ; ainsi, une seule violation peut donner lieu à plusieurs notifications.

Pourquoi les employés cachent leurs erreurs, et comment y remédier

Le plus grand risque lié à la gestion des fuites de données n'est pas l'erreur en elle-même, mais le silence qui s'ensuit. Un employé qui a envoyé un fichier à la mauvaise adresse espère souvent que personne ne s'en apercevra, surtout s'il craint une sanction. Lorsque la fuite est finalement découverte, le délai est déjà dépassé et le mal est fait.

Les organisations qui gèrent efficacement les incidents de sécurité facilitent le signalement et le rendent sûr. Les collaborateurs savent exactement à qui s'adresser ; la première réaction est « merci de nous l'avoir signalé », et les erreurs sont abordées comme des problèmes de processus plutôt que comme des échecs personnels. La formation apporte une double aide : elle permet aux collaborateurs d'identifier un incident de sécurité, et elle fait du signalement une habitude bien ancrée plutôt qu'un aveu gênant.

Le conseil : prévenez les failles de sécurité grâce à de brèves sessions de formation hebdomadaires

Guardey aide les employés à éviter les erreurs quotidiennes à l’origine de la plupart des violations de sécurité. Chaque semaine, ils reçoivent un défi d’environ trois minutes, sur leur ordinateur portable ou via l’application mobile pour iOS et Android, portant sur des sujets tels que l’envoi sécurisé de données, le partage de fichiers, la détection des tentatives d’hameçonnage et le signalement d’incidents. La gamification, avec des classements et des séries de succès, favorise l’engagement des utilisateurs ; des simulations d’hameçonnage permettent de tester leurs acquis ; et des rapports prêts pour les audits présentent vos progrès en matière de RGPD, de NIS2 et de norme ISO 27001. Plus de 500 organisations, dont le Parlement européen, utilisent déjà Guardey. Découvrez-en davantage sur notre formation à la sensibilisation à la sécurité ou découvrez notre approche de la sensibilisation à la protection de la vie privée.

Vous travaillez avec un partenaire informatique ? Comment les MSP vous aident avant et après une violation de sécurité

De nombreuses petites et moyennes entreprises ne gèrent pas elles-mêmes leur infrastructure informatique, mais font appel à un prestataire de services gérés (MSP) : une société informatique qui assure la gestion de leurs systèmes, leur sécurité et leur assistance technique moyennant un forfait mensuel. Lorsqu’une violation de données se produit, c’est généralement vers eux qu’on se tourne en premier : est-il possible de rappeler l’e-mail, d’effacer le contenu de l’ordinateur portable, de savoir quelles boîtes de réception ont été consultées ? Si vous travaillez avec un MSP, demandez-lui si la prévention des violations de données et les formations de sensibilisation à la sécurité font partie de votre offre. Pour les MSP, proposer cette prévention est une étape logique pour les clients qui viennent de découvrir à quel point un seul e-mail mal envoyé peut coûter cher.

Guardey est disponible via plusieurs canaux de distribution, notamment e92plus, un distributeur à valeur ajoutée spécialisé dans la cybersécurité pour les MSP et les revendeurs au Royaume-Uni, en Irlande, au Benelux et dans les pays nordiques. Les MSP bénéficient d’une facturation mensuelle basée sur la consommation et d’un portail partenaire unique pour gérer les licences de tous leurs clients, avec l’appui de responsables partenaires MSP dédiés et d’un soutien marketing pour lancer un nouveau service sur le marché. Cela permet à un MSP de combiner des outils de protection des données et des formations au sein d’une offre gérée unique.

Foire aux questions sur les fuites accidentelles de données

Peut-on être licencié pour une fuite accidentelle de données au travail ?

Une erreur commise de bonne foi et signalée immédiatement constitue rarement un motif de licenciement, même si cela dépend des circonstances, de la législation locale en matière d'emploi et des politiques de votre employeur. Cacher une infraction, ignorer des procédures claires ou répéter la même erreur est considéré comme beaucoup plus grave. Signaler rapidement l'incident est presque toujours la meilleure chose à faire, tant pour l'entreprise que pour vous-même.

Faut-il signaler toutes les fuites de données ?

Non. En vertu du RGPD et du RGPD britannique, une violation ne doit être signalée à l'autorité compétente que si elle est susceptible de présenter un risque pour les personnes. Aux États-Unis, ce sont généralement les lois des différents États qui définissent les types de données nécessitant une notification. Chaque violation doit néanmoins être consignée en interne, y compris les raisons pour lesquelles elle n'a pas été signalée.

Quels sont les exemples de violations du RGPD ?

Parmi les exemples typiques, on peut citer l'envoi de données personnelles à un destinataire erroné, l'utilisation de la fonction « CC » au lieu de « Cci », le partage d'un fichier via un lien accessible à tous, la perte d'un ordinateur portable non chiffré, le fait de laisser des documents imprimés sans surveillance et le fait de permettre à un pirate d'accéder à une boîte mail par le biais d'une attaque par hameçonnage. La plupart de ces incidents trouvent leur origine dans une erreur humaine plutôt que dans une défaillance technique.

Comment éviter les fuites de données accidentelles ?

Associez quelques mesures de sécurité techniques, telles que l'envoi différé, le chiffrement et les liens de partage restreints, à des formations régulières. Les collaborateurs qui s'entraînent à identifier les situations à risque commettent moins d'erreurs et signalent beaucoup plus rapidement celles qui surviennent.

Aucune organisation ne parviendra jamais à éliminer totalement les erreurs. La différence réside dans ce qui se passe dans les minutes qui suivent une erreur : est-ce que l'employé décroche le téléphone ou ferme son ordinateur portable en espérant que tout ira bien ? Ce réflexe s'apprend.