La sécurité des données : une affaire de technologie et de personnes

Rémy Magnac, respon­s­able Sécu­rité, nous explique com­ment Digi­poste appréhende l’enjeu stratégique de la pro­tec­tion et de la sécuri­sa­tion des don­nées. Entretien.

Qu’est-ce que Digiposte ?

Digi­poste est la boîte aux let­tres numérique de La Poste qui per­met aux entre­pris­es de dématéri­alis­er des doc­u­ments incon­tourn­ables de la vie de leurs salariés et de sécuris­er leur envoi et leur con­ser­va­tion côté col­lab­o­ra­teur. Digi­poste per­met aus­si aux par­ti­c­uliers de gér­er leurs doc­u­ments admin­is­trat­ifs et les don­nées per­son­nelles sen­si­bles asso­ciées en toute sécu­rité. Aujourd’hui, nous accom­pa­gnons près de 10 000 entre­pris­es qui dématéri­alisent et déposent les bul­letins de paie dans les cof­fres-forts numériques de leurs salariés. Nous avons aus­si près de 6 mil­lions d’abonnés (plus de 3 mil­lions d’entre eux sont des salariés).

Au-delà de la con­ser­va­tion des fich­es de paie, Digi­poste per­met aus­si à ses abon­nés de col­lecter des doc­u­ments comme les relevés d’imposition, des fac­tures type EDF/e‑commerçant, leurs relevés ban­caires mais aus­si des doc­u­ments émis par les organ­ismes de san­té (relevé Ameli, Mutuelle…). Il s’agit de don­nées sen­si­bles et con­fi­den­tielles qu’il con­vient de sécuris­er avec efficacité.

Et c’est le cas de Digi­poste : nous sommes con­formes aux normes d’archivage et de sécu­rité des don­nées français­es (ISO 27001, AFNOR NF Z 42–013), aux décrets sur le cof­fre-fort numérique (décret n°2018–418 et décret n° 2018–853) et au Règle­ment général sur la pro­tec­tion des don­nées (RGPD). Nous pos­sé­dons aus­si la cer­ti­fi­ca­tion HDS (hébergeurs de don­nées de san­té). À ce jour, nous sécurisons plus de 300 mil­lions de doc­u­ments pour le compte de nos abonnés.

Au sein de Digiposte, vous êtes responsable sécurité Digiposte. Quelles sont votre feuille de route et vos principales missions ?

J’ai deux mis­sions prin­ci­pales afin d’assurer la sécu­rité de Digi­poste. Pre­mière­ment, je suis en charge de con­cevoir et d’adapter le plan de sécu­rité de Digi­poste en prenant en compte nos évo­lu­tions tech­nologiques et l’apparition des men­aces. L’enjeu est clé, il s’agit de pou­voir anticiper les men­aces exis­tantes et futures afin d’être en mesure de con­tr­er d’éventuelles attaques. Par exem­ple, nous nous pré­mu­nis­sons bien évidem­ment con­tre les attaques de ransomware.

Ces attaquants s’infiltrent dans les sys­tèmes d’information, choi­sis­sent les doc­u­ments et don­nées qu’ils esti­ment avoir de la valeur et les chiffrent pour faire une demande de rançon en con­trepar­tie du déchiffre­ment des don­nées. Cette men­ace, nous l’avions déjà anticipée chez Digi­poste il y a une dizaine d’années. La mod­i­fi­ca­tion des don­nées au sein des cof­fres-forts n’est tout sim­ple­ment pas permise.

Ma deux­ième mis­sion con­siste à con­trôler le niveau et la qual­ité des dis­posi­tifs de sécu­rité. A cet effet, nous avons mis en place des tests automa­tisés, des audits plusieurs fois par an avant les mis­es en pro­duc­tion, de la veille et de la sur­veil­lance active en direct du sys­tème d’information. Tout cela dans l’optique de prévenir le risque de cyber­at­taques, mais aus­si pour adapter et faire évoluer notre système.

Quelles sont les dernières évolutions gouvernementales et réglementaires sur la protection des données et comment Digiposte se positionne-t-il sur ce sujet ? 

Alors que le vol­ume de don­nées pro­duites jour après jour ne cesse d’augmenter, les piratages sont plus fréquents, plus vir­u­lents et plus médi­atisés. Plus que jamais la col­lecte, l’exploitation et le stock­age des infor­ma­tions sont por­teurs d’enjeux stratégiques notam­ment en ter­mes de pro­tec­tion des don­nées à car­ac­tère per­son­nel. Cette dimen­sion a pris encore plus d’importance depuis le début de la crise san­i­taire. Le récent rap­port d’activité de l’Agence nationale de la sécu­rité des sys­tèmes d’information (ANSSI) souligne claire­ment l’accélération et l’augmentation du risque et des men­aces de toutes formes. Par ailleurs, le Plan France Relance de l’économie com­porte, lui-aus­si, un volet cyber­sécu­rité avec un bud­get notable de 136 mil­lions d’euros sur 2 ans.

C’est pourquoi il est impor­tant d’asseoir la sou­veraineté numérique française. À notre niveau, nous essayons de con­tribuer à cet enjeu qui dépasse large­ment la ques­tion de la sim­ple local­i­sa­tion du stock­age en France ou Europe. Se pose égale­ment la ques­tion de la dépen­dance tech­nologique à un nom­bre réduit d’acteurs, notam­ment les GAFA et les fab­ri­cants de semi-con­duc­teurs, et de l’exposition à des lois étrangères, comme le CLOUD Act ou encore la lég­is­la­tion chi­noise, qui sont intru­sives et posent un risque de con­trôle… Face à cela, nous soutenons les ini­tia­tives des agences gou­verne­men­tales comme la qual­i­fi­ca­tion Sec­Num­ClouD ou l’agrément HDS pour les hébergeurs de don­nées de san­té. Sur un plan règle­men­taire, on peut aus­si citer la Loi de pro­gram­ma­tion militaire.

Quels sont les enjeux que pose la gestion des données sur le plan technologique, notamment en termes de sécurisation ?

Les tech­nolo­gies sont pri­mor­diales pour assur­er la sécu­rité des don­nées. Nous nous intéres­sons aux nou­velles méth­odes de chiffre­ments, au déploiement de l’authentification dou­ble fac­teur… À Digi­poste, deux procédés impor­tants sont mis en place. Pre­mière­ment, tous les accès à la salle des cof­fres sont con­trôlés, tracés et horo­datés. Le chiffre­ment nous per­met de cacher le con­tenu des doc­u­ments, seuls ceux ayant les clés de déchiffre­ment y ont accès. Nous avons aus­si dévelop­pé le pro­duit afin d’assurer une sécuri­sa­tion opti­male de la con­nex­ion. Seul l’utilisateur con­naît ses iden­ti­fi­ants (ni Digi­poste, ni l’employeur n’y ont accès). Nous avons mis en place un mécan­isme de dis­posi­tif de con­fi­ance (« trust­ed device »).

“Les utilisateurs de Digiposte ont des profils variés, ils peuvent être des non-initiés, des internautes occasionnels ou encore des passionnés de technologie.”

Chaque fois que l’utilisateur se con­necte via un nou­v­el appareil, celui-ci est d’abord recon­nu et pour se con­necter, l’utilisateur doit entr­er un code unique et lim­ité dans le temps reçu sur son e‑mail. Une fois que le code a bien été entré et qu’on est assuré que c’est bien l’utilisateur qui se con­necte, l’appareil est ajouté à l’historique d’appareils con­nus. L’utilisateur peut aus­si choisir d’activer la dou­ble authen­tifi­ca­tion par l’application et recevra, à chaque nou­velle con­nex­ion, un code unique à entr­er pour s’identifier et accéder à son cof­fre. Nous effec­tuons aus­si des cam­pagnes de sen­si­bil­i­sa­tion sur le for­mat et la sécuri­sa­tion des mots de passe (en accord avec les recom­man­da­tions de la CNIL en la matière) et iden­ti­fi­ants auprès de nos util­isa­teurs. Comme nous le savons, nom­breux sont ceux qui utilisent le même mot de passe pour dif­férents sites et applications.

Nos util­isa­teurs ont des pro­fils var­iés, ils peu­vent être des non-ini­tiés, des inter­nautes occa­sion­nels ou encore des pas­sion­nés de tech­nolo­gie (“geeks”). Nous avons une approche péd­a­gogique lorsque nous com­mu­niquons auprès d’eux. Nous leur expliquons, au tra­vers de nos newslet­ters , com­ment cette pra­tique facilite le bour­rage d’identifiants (« cre­den­tial stuff­ing ») si leurs don­nées ont été récupérées par des acteurs malveil­lants. Dans cette démarche de sécuri­sa­tion, nous avons aus­si noué des parte­nar­i­ats avec des experts de la sécu­rité par exem­ple avec l’INRIA avec qui nous étu­dions de nou­veaux algo­rithmes résis­tants à des attaques post-quantiques.

Quel est le positionnement éthique de Digiposte sur la gestion et la protection des données ?

La con­fi­den­tial­ité est au cœur de l’ADN du groupe La Poste qui en a tou­jours été garant pour le cour­ri­er physique. Aujourd’hui, c’est très naturelle­ment que cela se trans­pose à Digi­poste. Autre point impor­tant que nous avons déjà men­tion­né, nous ne mod­i­fions et n’accédons pas aux doc­u­ments déposés dans les coffres-forts.

En par­al­lèle, le RGPD est venu normer le cadre autour de la pro­tec­tion des don­nées et de leur con­fi­den­tial­ité en France et en Europe notam­ment avec la néces­sité d’avoir le con­sen­te­ment de l’utilisateur pour le recueil, l’exploitation et la con­ser­va­tion des infor­ma­tions personnelles.

Enfin, le cof­fre-fort Digi­poste est la pro­priété de son util­isa­teur, celui-ci est donc maître de ses don­nées personnelles.

La Poste n’exploite pas les don­nées des cof­fres forts numériques Digi­poste, rap­pelons-le, le mod­èle économique La Poste ne repose pas sur la revente de don­nées à des tiers. Même si les bul­letins de paie sont déposés par l’employeur, c’est le salarié qui en est le pro­prié­taire et qui le reste même s’il change d’entreprise.

Quels sont les enjeux économiques de la protection des données ? 

La sécu­rité et la con­for­mité régle­men­taire ont un coût économique très impor­tant. Face à cet enjeu, le groupe La Poste a choisi d’investir dans un ser­vice dédié à la lutte con­tre la cyber­crim­i­nal­ité qui inter­vient à plusieurs niveaux : la veille tech­nologique, la sur­veil­lance du dark web, l’analyse des ten­ta­tives d’attaques, l’automatisation de leur neu­tral­i­sa­tion, et le suivi des anom­alies dans les plans de risques résiduels…

Les analy­ses de risques en amont per­me­t­tent au final la cou­ver­ture des risques en assur­ant l’adéquation entre le risque méti­er et les moyens mis en œuvre pour les réduire. Elles facili­tent la pri­or­i­sa­tion des sujets clés et du cœur de méti­er Digi­poste tout au long de la démarche. Et pour relever ce défi, au-delà des moyens matériels, il faut bien évidem­ment des com­pé­tences et des tal­ents. Ce sont nos experts qui nous per­me­t­tent d’avancer sur ces sujets et de garan­tir un niveau de pro­tec­tion opti­mal. Au-delà des com­pé­tences internes, nous tra­vail­lons avec des cab­i­nets spé­cial­isés recon­nus sur la place publique, par des audi­teurs cer­ti­fiés indi­vidu­elle­ment (cer­ti­fi­ca­tions GIAC GPEN Pen­tester & ISO 27005 Risk Manager).

---

Articles similaires :

Sécuris­er le cloud, par le cloud La cyber­sécu­rité reste au coeur des préoc­cu­pa­tions des entreprises Les data et l’intelligence arti­fi­cielle au ser­vice de la détec­tion des risques « L’innovation ne doit plus être perçue comme un coût, mais un investissement » 25 ans d’expertise et d’expérience au ser­vice de la cybersécurité Quand la data et le dig­i­tal sont au ser­vice des prob­lé­ma­tique com­plex­es de l’industrie