Sécurité web et RGPD : 5 mesures indispensables pour PME

Ce qu’il faut retenir

De nombreuses entreprises associent encore le RGPD aux bandeaux cookies, aux mentions légales ou aux formulaires de consentement. Pourtant, la protection des données repose également sur des mesures techniques et organisationnelles.

Un site insuffisamment protégé peut exposer des données transmises par les visiteurs, des comptes d’administration ou des informations conservées dans sa base de données.

Pourquoi la sécurité web concerne-t-elle le RGPD ?

L’article 32 du RGPD prévoit des mesures techniques et organisationnelles adaptées au risque. Cette exigence concerne les traitements de données personnelles réalisés au moyen d’un site internet, quelle que soit la taille de l’entreprise.

En pratique, la sécurité web d’une PME doit notamment tenir compte des risques suivants :

• les accès non autorisés aux comptes et aux données ;
• la perte ou l’indisponibilité des informations ;
• la divulgation de données personnelles ;
• les erreurs de configuration ;
• l’exploitation de composants non mis à jour ;
• la compromission d’un compte administrateur.

Le RGPD ne fixe pas une liste identique de réglages pour tous les sites. Les protections pertinentes dépendent des données traitées et des risques identifiés. Pour approfondir le sujet, consultez notre guide sur la sécurité d’un site web.

Quels sites de TPE et PME sont concernés par le RGPD ?

Un site est concerné lorsqu’il traite des données permettant d’identifier directement ou indirectement une personne. Cela peut arriver même sur un site vitrine.

Examinez notamment les fonctionnalités suivantes :

• formulaire de contact ou de demande de devis ;
• inscription à une newsletter ;
• boutique en ligne ;
• espace client ;
• formulaire de réservation ;
• outils de mesure d’audience ;
• traceurs publicitaires ;
• connexion à un CRM ou à une plateforme d’emailing.

Un formulaire demandant un nom et une adresse email traite déjà des données personnelles. L’entreprise doit alors déterminer les responsabilités de chacun, notamment lorsque des prestataires interviennent dans l’hébergement ou l’exploitation du site.

Les 5 mesures de sécurité web à examiner en priorité

Ces cinq mesures constituent une base de travail. Elles ne remplacent pas une analyse des risques adaptée à votre activité, à votre site et aux données traitées.

1. Protéger les échanges avec HTTPS et TLS

HTTPS utilise TLS pour protéger les échanges entre le navigateur et le site. Cette protection est particulièrement nécessaire pour les pages de connexion et les formulaires transmettant des données personnelles.

Vérifiez notamment que :

• le certificat est valide ;
• les pages concernées utilisent HTTPS ;
• les versions et la configuration de TLS sont adaptées ;
• les contenus chargés sur ces pages ne contournent pas la protection.

Le chiffrement des échanges ne protège pas, à lui seul, la base de données ou les comptes administrateur. Les en-têtes de sécurité web peuvent aussi contribuer à réduire certains risques, selon leur configuration.

2. Maintenir le CMS, les thèmes et les extensions à jour

WordPress, PrestaShop, Joomla et leurs extensions reçoivent des correctifs. Un composant vulnérable peut ouvrir un accès aux données ou permettre une modification du site.

Une procédure de maintenance devrait prévoir :

• l’inventaire des composants installés ;
• la suppression des extensions inutilisées ;
• le suivi des correctifs disponibles ;
• une sauvegarde avant les changements importants ;
• la vérification du site après mise à jour.

La CNIL recommande de limiter le nombre de composants d’un site, d’en assurer la veille et de les mettre à jour. La sécurité web dépend aussi de cette maintenance régulière. Pour un cas particulier, consultez notre guide pour sécuriser un site WordPress.

3. Contrôler les accès administrateur

Une personne disposant d’un compte administrateur peut modifier le site et accéder à certaines données. Chaque accès doit donc correspondre à un besoin réel.

Les pratiques à examiner comprennent :

• des comptes individuels plutôt que des comptes partagés ;
• des mots de passe robustes et uniques ;
• une authentification multifacteur lorsque cela est possible ;
• des droits limités aux tâches de chaque utilisateur ;
• la désactivation rapide des accès devenus inutiles ;
• une revue régulière des comptes privilégiés.

La gestion des comptes est un élément central de la sécurité web. Elle s’inscrit dans une démarche plus large de sécurité informatique pour PME.

4. Sauvegarder et tester la restauration

Une sauvegarde aide à rétablir la disponibilité des données après une panne, une erreur ou une attaque. Sa valeur dépend surtout de la possibilité de restaurer réellement le site.

Prévoyez des sauvegardes :

1. adaptées à la fréquence de modification du site ;
2. protégées contre les accès non autorisés ;
3. conservées séparément de l’environnement principal ;
4. surveillées pour détecter les échecs ;
5. testées régulièrement par une restauration.

La sécurité web comprend aussi la capacité à reprendre l’activité après un incident. Notre article sur la stratégie de sauvegarde 3-2-1-1-0 pour PME détaille cette approche.

5. Organiser la gestion des données personnelles

La sécurité du site ne dépend pas seulement de ses réglages. Il faut aussi savoir quelles données sont collectées, pourquoi elles le sont et qui peut y accéder.

La démarche peut comprendre :

• l’inventaire des traitements et des données collectées ;
• la définition de durées de conservation adaptées ;
• la gestion des droits d’accès ;
• l’encadrement des prestataires concernés ;
• une procédure de suppression des données ;
• la documentation des mesures de sécurité.

Cette documentation aide l’entreprise à piloter ses actions et à justifier ses choix en cas de contrôle. Elle relie les réglages de sécurité web à la gestion effective des données personnelles.

Violation de données : que faire après un incident ?

Une violation de données personnelles peut toucher leur confidentialité, leur intégrité ou leur disponibilité. Une fuite n’est donc pas le seul cas à envisager : une perte de données peut aussi constituer une violation.

Lorsqu’un incident est détecté, il faut déterminer les données concernées, limiter ses conséquences et documenter les faits ainsi que les mesures prises.

Dans quel délai faut-il notifier la CNIL ?

Si la violation présente un risque pour les droits et libertés des personnes, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Un retard doit être motivé.

Lorsque le risque pour les personnes est élevé, celles-ci peuvent également devoir être informées. La CNIL précise les conditions et la démarche sur sa page Notifier une violation de données personnelles.

Comment vérifier et documenter la sécurité web de son site ?

Un premier contrôle peut porter sur HTTPS, les composants exposés, certains réglages de sécurité et les informations visibles publiquement. Il permet de repérer des points à examiner, sans établir à lui seul la conformité RGPD du site.

Pour aller plus loin, rapprochez les constats techniques de votre inventaire des données, des accès, des prestataires et des procédures internes. La fiche de la CNIL sur la sécurisation des sites web fournit des recommandations concrètes.

Conserver des preuves utiles sans diffuser les informations sensibles

Gardez une trace des mises à jour, des tests de restauration, des revues d’accès et des corrections effectuées. Les rapports techniques peuvent toutefois contenir des informations sensibles : leur diffusion doit être maîtrisée.

À ce sujet, découvrez comment classer les rapports d’audit et de diagnostic cyber.