Sécurité et RGPD applicatif
Sécurité et RGPD applicatif
Se connecter pour s'inscrireVotre progression
0 / 0 étapes complétées
0
Syllabus
-
-
Objectifs
-
Validations de compétences
-
Public cible
Aucun public cible spécifié pour ce module.
-
Besoins techniques
-
Prérequis
- Aucun prérequis
-
Niveau
-
Historique du module
Aucune action enregistrée
Sécurité et RGPD applicatif
Protéger les données personnelles tout au long du cycle de vie d’une application avec des contrôles techniques, des preuves et une réponse d’incident.
À la fin du cours
- Limiter la collecte et classifier les données personnelles.
- Contrôler les accès, consentements et durées de conservation.
- Chiffrer, journaliser et tester les traitements sensibles.
- Préparer la réponse à un incident et la preuve de conformité.
Organisation
Le cours suit la cartographie, les accès, les protections et la réponse à incident.
Prérequis : Bases de sécurité applicative et gestion de données.
Cartographier les données
Identifier les données personnelles, leur finalité, leur origine, leur destination et leur durée de conservation. Minimiser la collecte et éviter les champs inutiles.
Construire un registre des traitements qui relie l’application, les sous-traitants, les accès et les mesures de sécurité. Le registre doit être maintenu avec le code.
finalité : commander ; données : nom, email, adresse ; conservation : 3 ans après dernière commande
Point de contrôle : Chaque donnée collectée possède une finalité et une durée documentées.
Consentement et contrôle d’accès
Le consentement doit être libre, informatif, spécifique et révocable. Une case précochée n’est pas un consentement valable. Donner une information claire sur l’objectif et la conséquence du refus.
Appliquer le moindre privilège, authentifier les utilisateurs et journaliser les accès sensibles. Séparer les fonctions d’administration et tester les tentatives horizontales et verticales.
POST /account/export → utilisateur propriétaire uniquement → audit journalisé
Point de contrôle : Un utilisateur ne peut pas lire, modifier ou exporter les données d’un autre.
Protection technique
Chiffrer les données sensibles au repos et en transit, gérer les clés séparément et limiter les copies. Valider les entrées, protéger les sessions et éviter les secrets dans le code.
Tester les vulnérabilités, corriger les dépendances et conserver une preuve de test. Une mesure est efficace lorsqu’elle est mesurée et maintenue dans le cycle de livraison.
Méthode
- Identifier le risque.
- Choisir la mesure.
- Tester la protection.
- Documenter la preuve.
Point de contrôle : Une revue technique vérifie les accès, le chiffrement, les logs et les tests de sécurité.
Incident et conformité
Préparer la détection, la qualification, la conservation des preuves et la notification. Limiter l’impact avant de corriger, puis documenter les décisions et les mesures ajoutées.
Le responsable de traitement, le sous-traitant et les utilisateurs ont des rôles différents. Définir les contacts, les délais et la procédure de mise hors service d’un traitement.
Événement : export massif inhabituel; réponse : désactiver le token, conserver les logs, évaluer la notification.
Point de contrôle : Un exercice d’incident révèle un propriétaire, une preuve et un délai décisionnel.
Livrables et validation
Le livrable doit montrer une compréhension personnelle, des choix explicités et une vérification par un cas de test ou une procédure reproductible.
- Un registre des traitements et une cartographie des données.
- Une matrice des rôles, accès et consentements.
- Un plan de chiffrement, logging et tests de sécurité.
- Une procédure d’incident et un dossier de preuves.
Critère de réussite : La conformité est démontrée par des contrôles testés, des traces d’accès, une minimisation vérifiable et un exercice d’incident.