La sécurité des systèmes d'information : obligations légales
Ce que la loi impose en sécurité : mesures appropriées, notification des violations, NIS 2, DORA, ANSSI, régimes sectoriels, plainte pour l'assureur et responsabilité des dirigeants.
- 28 cartes
- 6 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Questions
- Ranger et relier
- Sur la frise
- Les chiffres
- Mises en situation
Quelques cartes du deck
Violation de données : de quoi s'agit-il ?
Voir la réponse
Atteinte à la sécurité qui entraîne la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à celles-ci, accidentellement ou illicitement.
Elle n'est pas toujours un piratage : un ordinateur perdu, un courriel envoyé au mauvais destinataire ou une panne qui détruit les données sont aussi des violations.
Que demande l'article 32 du RGPD au responsable de traitement et à son sous-traitant ?
- Des mesures proportionnées au risque et à l'état de l'art
- Les mesures de sécurité les plus coûteuses du marché
- Les mesures d'une liste unique publiée par la CNIL
- Le chiffrement de toutes les données, sans autre exigence
Voir la réponse
Des mesures proportionnées au risque et à l'état de l'art
Le texte ne fixe pas de liste : il impose une proportion entre le risque et les mesures, avec par exemple le chiffrement, la pseudonymisation, la restauration des données et des tests réguliers.
La notification à la CNIL doit intervenir dans les meilleurs délais et, si possible, … heures au plus tard après en avoir pris ….
Voir la réponse
La notification à la CNIL doit intervenir dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance.
Le délai part de la connaissance de la violation, pas de sa survenue, et il court en heures continues : les week-ends et jours fériés comptent.
Notification de violation : de quoi s'agit-il ?
Voir la réponse
Information de l'autorité de protection des données, et parfois des personnes, que le responsable de traitement doit donner après une violation.
Elle est due sous 72 heures à l'autorité, sauf si la violation n'est pas susceptible d'engendrer un risque. Toute violation, notifiée ou non, doit figurer au registre interne.