Public cible
Débutants, étudiants et professionnels qui souhaitent acquérir une pratique structurée dans ce domaine.
Sécurité et RGPD applicatif
Sécurité et RGPD applicatif
Se connecter pour s'inscrireSécurité applicative et RGPD
Protéger les données personnelles par des contrôles d’accès, des mesures techniques et des preuves de conformité.
-
-
Objectifs
Comprendre les notions essentielles et les appliquer dans un projet vérifiable.
-
Prérequis
Aucune connaissance préalable n’est strictement obligatoire ; les prérequis détaillés sont précisés dans les ateliers.
-
Niveau
Bac+2
-
Ressources
- Documentation officielle et références citées dans les ateliers.
- Exercices, examens et projet de synthèse du catalogue.
-
Validation des compétences
La validation repose sur les évaluations actives et les livrables pratiques du cours.
-
Besoins techniques
Un ordinateur, un navigateur et les outils indiqués dans le premier atelier sont suffisants pour commencer.
Modules associés
Exercices, examens et projets
Sécurité et RGPD applicatif
Sécurité et RGPD applicatif
Protéger les données personnelles tout au long du cycle de vie d’une application avec des contrôles techniques, des preuves et une réponse d’incident.
À la fin du cours
- Limiter la collecte et classifier les données personnelles.
- Contrôler les accès, consentements et durées de conservation.
- Chiffrer, journaliser et tester les traitements sensibles.
- Préparer la réponse à un incident et la preuve de conformité.
Organisation
Le cours suit la cartographie, les accès, les protections et la réponse à incident.
Prérequis : Bases de sécurité applicative et gestion de données.
Cartographier les données
Identifier les données personnelles, leur finalité, leur origine, leur destination et leur durée de conservation. Minimiser la collecte et éviter les champs inutiles.
Construire un registre des traitements qui relie l’application, les sous-traitants, les accès et les mesures de sécurité. Le registre doit être maintenu avec le code.
finalité : commander ; données : nom, email, adresse ; conservation : 3 ans après dernière commande
Point de contrôle : Chaque donnée collectée possède une finalité et une durée documentées.
Consentement et contrôle d’accès
Le consentement doit être libre, informatif, spécifique et révocable. Une case précochée n’est pas un consentement valable. Donner une information claire sur l’objectif et la conséquence du refus.
Appliquer le moindre privilège, authentifier les utilisateurs et journaliser les accès sensibles. Séparer les fonctions d’administration et tester les tentatives horizontales et verticales.
POST /account/export → utilisateur propriétaire uniquement → audit journalisé
Point de contrôle : Un utilisateur ne peut pas lire, modifier ou exporter les données d’un autre.
Protection technique
Chiffrer les données sensibles au repos et en transit, gérer les clés séparément et limiter les copies. Valider les entrées, protéger les sessions et éviter les secrets dans le code.
Tester les vulnérabilités, corriger les dépendances et conserver une preuve de test. Une mesure est efficace lorsqu’elle est mesurée et maintenue dans le cycle de livraison.
Méthode
- Identifier le risque.
- Choisir la mesure.
- Tester la protection.
- Documenter la preuve.
Point de contrôle : Une revue technique vérifie les accès, le chiffrement, les logs et les tests de sécurité.
Incident et conformité
Préparer la détection, la qualification, la conservation des preuves et la notification. Limiter l’impact avant de corriger, puis documenter les décisions et les mesures ajoutées.
Le responsable de traitement, le sous-traitant et les utilisateurs ont des rôles différents. Définir les contacts, les délais et la procédure de mise hors service d’un traitement.
Événement : export massif inhabituel; réponse : désactiver le token, conserver les logs, évaluer la notification.
Point de contrôle : Un exercice d’incident révèle un propriétaire, une preuve et un délai décisionnel.
Livrables et validation
Le livrable doit montrer une compréhension personnelle, des choix explicités et une vérification par un cas de test ou une procédure reproductible.
- Un registre des traitements et une cartographie des données.
- Une matrice des rôles, accès et consentements.
- Un plan de chiffrement, logging et tests de sécurité.
- Une procédure d’incident et un dossier de preuves.
Critère de réussite : La conformité est démontrée par des contrôles testés, des traces d’accès, une minimisation vérifiable et un exercice d’incident.
Publié le 29/11/2025