01
Minimisation des données
Ne stocker que ce qui est nécessaire. Cartographie annuelle des données par catégorie et durée de conservation.
Définition, obligations RGPD (notification CNIL sous 72h), exemples célèbres (MOVEit, Equifax, Snowflake), conséquences et 5 réflexes de protection. Tout sur le data breach : risque cyber n°2 après le ransomware.
Une fuite de données (ou data breach) désigne l'exfiltration ou l'exposition non-autorisée d'informations confidentielles : données personnelles, financières, commerciales, propriété intellectuelle. Au sens du RGPD article 4, elle est qualifiée de violation de données personnelles dès lors qu'elle concerne des informations identifiantes.
La fuite de données déclenche des obligations strictes : notification CNIL sous 72h, information directe des personnes si risque élevé, sanctions financières jusqu'à 4 % du CA mondial. Causes possibles multiples : cyberattaque (ransomware avec exfiltration), erreur humaine (mail à mauvaise adresse), mauvaise configuration cloud (bucket S3 public), acte malveillant interne, perte d'équipement non chiffré. Pour la dimension organisationnelle complète, voir crise cyber.
147 M de personnes touchées. Vulnérabilité Apache Struts non patchée. Sanction 700 M$ avec FTC.
2 600+ organisations victimes via l'exploitation d'un zero-day par Cl0p. Centaines de millions d'enregistrements exfiltrés.
Ticketmaster, AT&T, Santander parmi 165+ victimes. Vol de credentials clients sans MFA.
10 M de demandeurs d'emploi exposés via un prestataire compromis. Sanction CNIL et plan de remédiation imposé.
43 M de personnes potentiellement exposées. Compromission d'un compte prestataire avec accès large. CNIL en cours d'instruction.
19 M de comptes clients exposés (IBAN inclus). Compromission interne via accès prestataire. Action de groupe en cours.
Ne stocker que ce qui est nécessaire. Cartographie annuelle des données par catégorie et durée de conservation.
Chiffrement au repos (disques, BDD) et en transit (TLS). Particulièrement strict sur les supports mobiles et le cloud.
MFA généralisée, principe du moindre privilège, revue trimestrielle des droits. Désactivation immédiate au départ.
Sensibilisation aux erreurs typiques (envoi à mauvaise adresse, partage cloud public, perte de matériel). Simulations annuelles.
Plan formalisé incluant notifications CNIL/CERT-FR/personnes, exercice annuel testant la chaîne complète sous 72h.
Twist intervient sur la dimension organisationnelle, communicationnelle et juridique de la fuite de données : la dimension technique est traitée par le RSSI/SOC.
Une fuite de données (data breach) est l'exfiltration ou l'exposition non-autorisée d'informations confidentielles : données personnelles, financières, commerciales, propriété intellectuelle. Au sens du RGPD, c'est une violation de données personnelles dès lors qu'elle concerne des informations identifiantes.
Cinq actions immédiates : confiner l'incident (isoler les systèmes), mobiliser DPO + RSSI + juriste, notifier la CNIL sous 72h, informer les personnes concernées si risque élevé, communication publique transparente.
L'article 33 du RGPD impose une notification à la CNIL sous 72 heures à compter de la prise de connaissance. Le défaut de notification expose à une sanction jusqu'à 10 M€ ou 2 % du CA mondial : qui s'ajoute aux conséquences de l'incident lui-même.
Trois cercles. Toujours : la CNIL sous 72h. Si risque élevé : information directe des personnes concernées. Si NIS 2 est transposée et que l'entité en relève : notification CERT-FR sous 24h en alerte précoce, 72h en notification. Si OIV : notification ANSSI au titre de la LPM.
Cinq leviers : minimisation des données, chiffrement systématique au repos et en transit, gestion stricte des accès (MFA, moindre privilège), formation des collaborateurs, plan de réponse aux fuites formalisé et exercé annuellement.
30 minutes pour cadrer vos enjeux et dessiner une trajectoire réaliste. Gratuit, sans engagement.
Discuter avec un consultant