RGPD

Le Règlement Général sur la Protection des Données est un règlement Européen ayant pour vocation d’uniformiser les pratiques et les droits relatifs aux données à caractère personnel des citoyens de l’Union Européenne.

Chez Assecio, nous vous accompagnons sur le renforcement du niveau de sécurité de ces données via des tests d’intrusion, mais également dans l’optimisation des mesures de sécurité, ou encore la réalisation de cartographies ou de processus de gestion des incidents pour vous simplifier la conformité RGPD.

Tests d'intrusion applicatifs, infra, mobiles

Analyse d'Impact relative à la Protection des Données (AIPD)

Audit de conformité RGPD & sécurité des traitements

Cartographie et classification des données personnelles

Gestion des incidents et notification de violations de données

Tests d’intrusion applicatifs, infra, mobiles

article 32

L’article 32 du RGPD impose la mise en œuvre de mesures techniques appropriées garantissant la sécurité du traitement. L’un des moyens évidents pour y répondre est la réalisation de tests de sécurité.

Nous vous proposons la réalisation de ces tests sous forme de tests d’intrusion conformément à votre méthodologie si celle-ci est déjà définie, mais pouvons également vous accompagner dans la création de ce processus, incluant la périodicité, les méthodes et étapes préalables à la réalisation de ce type de tests.

Nos tests d’intrusion, à finalité non destructive et alignés avec les bonnes pratiques du métier comme l’OWASP ou encore le MITRE ATT&CK Framework, peuvent être réalisés :

sur des environnements Cloud (AWS, GCP, Azure, etc.) indépendamment de la couche d’abstraction utilisée ;
sur des environnements on-premise hébergés par vous-même ou un sous-traitant.

Les tests ont pour objectif de vérifier le niveau de sécurité autour des données à caractère personnel traitées sur le périmètre concerné, en lien avec le registre des traitements, la sensibilité des données gérées ainsi que le secteur d’activité de votre organisme.

Chez Assecio, nous nous occupons :

de vous challenger sur le périmètre à tester en fonction de la criticité de vos actifs et de votre environnement ;
d’identifier les parties prenantes à contacter, faisant partie du test ;
de réaliser le protocole (ou mandat) d’audit ;
de vous accompagner dans la collecte des informations nécessaires à la bonne réalisation du test (accès à distance ou sur site, comptes, outils) ;
de vous conseiller sur la périodicité ou la mise à jour de votre programme de résilience.

Toute offre de test d’intrusion inclut par défaut un contre-audit, réalisable en général 3 mois après le test initial, pour confirmer la correction des vulnérabilités.

Article 32 : Sécurité du traitement

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins: […]

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement. […]

Analyse d'Impact relative à la Protection des Données (AIPD)

article 35

L’article 35 du RGPD impose la réalisation d’une analyse d’impact relative à la protection des données personnelles (AIPD) lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées.

Nous vous proposons la réalisation complète de cette AIPD, ou PIA (Privacy Impact Analysis), conformément à la méthodologie CNIL et aux lignes directrices du CEPD, ainsi que son intégration dans votre processus interne existant.

Chez Assecio, nous vous accompagnons pour :

identifier les traitements nécessitant une AIPD ;
évaluer les risques associés à chaque finalité ;
déterminer les mesures techniques et organisationnelles adaptées ;
documenter la conformité et préparer les échanges avec la CNIL si nécessaire.

Article 35 : Analyse d’impact relative à la protection des données

Lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d’opérations de traitement similaires qui présentent des risques élevés similaires. […]

7. L’analyse contient au moins :

a) une description systématique des opérations de traitement envisagées et des finalités du traitement, y compris, le cas échéant, l’intérêt légitime poursuivi par le responsable du traitement;

b) une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités;

c) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1; et

d) les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du présent règlement, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes affectées. […]

Audit de conformité RGPD & sécurité des traitements

article 25

Les articles 24, 25 et 32 du RGPD imposent une responsabilité démontrée et une protection des données dès la conception.

Nous vous proposons la réalisation d’un audit global de conformité RGPD, intégrant la revue de vos mesures de sécurité, de vos procédures internes et de la documentation associée.

Chez Assecio, nous structurons le projet en trois grandes étapes :

Analyse du contexte et des activités: Recueil des informations clés sur les activités, les processus, les ressources et les risques.
Évaluation et identification des écarts avec le Règlement sur la Protection des Données, des bonnes pratiques ainsi que l’ensemble des fiches pratiques et décisions émises par la CNIL
- Entretiens avec le DPO, les directions et les parties prenantes métiers et techniques.
- Diagnostic de l’existant (gouvernance, technique, organisation, conformité).
- Évaluation selon les attentes du règlement et en ligne avec les pratiques actuelles.
Construction de la feuille de route RGPD
- Plan d’actions hiérarchisé par niveau de priorité.
- Évaluation des coûts, ressources, délais et dépendances.
- Proposition d’une gouvernance et d’indicateurs de suivi.

Les livrables sont composés d’un diagnostic complet de la situation actuelle, de la feuille de route budgétée et planifiée, ainsi que d’une synthèse stratégique à destination des directions et décideurs, et du DPO.

Article 25 : Protection des données dès la conception et protection des données par défaut

[…] le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée.
Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s’applique à la quantité de données à caractère personnel collectées, à l’étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée. […]

Cartographie et classification des données personnelles

article 30

La connaissance précise des données personnelles traitées au sein d’une organisation constitue le socle fondamental de la conformité RGPD.

Les articles 5 et 30 du règlement imposent aux responsables de traitement et à leurs sous-traitants de documenter l’ensemble des activités de traitement, d’en déterminer les finalités et d’en assurer la traçabilité et la sécurité.

La cartographie et la classification des données permettent d’obtenir une vision claire des flux, des traitements et de leur criticité, tout en facilitant la priorisation des mesures de protection à mettre en œuvre.

Nous vous proposons un accompagnement complet visant à identifier, documenter et structurer vos traitements de données personnelles, de manière à renforcer votre conformité et votre sécurité opérationnelle.

Chez Assecio, nous commençons par une phase d’analyse du contexte et de compréhension des processus métiers: L’objectif est d’obtenir une représentation fidèle des traitements réellement effectués, et non simplement de ceux déclarés.

Nous procédons ensuite à une cartographie complète des traitements, permettant de visualiser les relations entre les applications, les processus et les acteurs internes ou externes. Cette cartographie met en évidence les zones de risques, les dépendances critiques et les éventuels transferts de données hors de l’Union européenne.

Elle sert de support à la mise à jour du registre des activités de traitement, exigé par l’article 30 du RGPD.

Enfin, nous réalisons la classification des données personnelles en fonction de leur sensibilité et de leur finalité d’usage.

Cette étape permet de définir des niveaux de protection adaptés : exigences de chiffrement, règles de conservation, modalités d’accès et obligations de supervision.

La classification devient ainsi un outil de pilotage pour les mesures de sécurité et de conformité RGPD, tout en facilitant les futures analyses d’impact (AIPD) et la gestion du cycle de vie des données.

L’offre se concrétise par la remise d’un registre des traitements consolidé, d’une cartographie graphique des flux et d’un rapport d’analyse de sensibilité des données.

Ces livrables constituent une base documentaire exploitable pour vos audits, vos contrôles internes et vos démarches de conformité continue.

Article 30 – Registre des activités de traitement

Chaque responsable du traitement et, le cas échéant, le représentant du responsable du traitement tiennent un registre des activités de traitement effectuées sous leur responsabilité. […]
Chaque sous-traitant et, le cas échéant, le représentant du sous-traitant tiennent un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable du traitement, comprenant :

a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données;

b) les catégories de traitements effectués pour le compte de chaque responsable du traitement;

c) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l’article 49, paragraphe 1, deuxième alinéa, les documents attestant de l’existence de garanties appropriées;

d) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’article 32, paragraphe 1.

3. Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite y compris la forme électronique. […]

Gestion des incidents et notification de violations de données

articles 32, 33 et 34

La capacité à détecter, qualifier et notifier les violations de données personnelles constitue un pilier essentiel de la conformité RGPD.

Les articles 33 et 34 du règlement imposent à toute organisation de documenter et notifier sans délai les incidents susceptibles d’affecter la sécurité des données personnelles, que ce soit à l’autorité de contrôle ou aux personnes concernées.

La mise en place d’un dispositif de gestion structurée des incidents permet non seulement de satisfaire à ces exigences, mais également de renforcer la résilience et la transparence de l’organisation face aux événements de sécurité.

Nous vous proposons un accompagnement complet visant à évaluer, formaliser et tester votre dispositif de gestion des incidents, depuis la détection jusqu’à la notification, afin de garantir une réponse efficace et conforme à la réglementation.

Cela comprend la définition des rôles et responsabilités (équipes techniques, DPO, direction, communication), la formalisation d’un workflow clair de détection, qualification, décision et notification conforme aux attentes du RGPD mais également de la norme ISO 27001, et l’intégration de ce processus dans vos outils existants (ticketing, SOC, SIEM, outils de suivi).

Nous définissons également les critères de gravité et d’impact permettant de qualifier les incidents en “violation de données” au sens du RGPD et de déclencher la notification correspondante.

En complément, nous mettons en place la documentation de conformité associée :

registres et journaux des incidents de sécurité,
modèles de rapports de violation à destination de la CNIL,
modèles de notifications à adresser aux personnes concernées,
fiches réflexes et guides pratiques pour les équipes opérationnelles.

Ces éléments garantissent la traçabilité des décisions et la capacité à justifier des choix opérés en cas de contrôle.

Enfin, nous vous proposons en option d’organiser un exercice de gestion de crise, simulant un incident, afin d’évaluer la réactivité des équipes, de valider la pertinence du processus et d’améliorer la coordination interservices.

Cet exercice permet de mesurer les délais de réaction, la qualité de la communication interne et la conformité des notifications effectuées dans le délai de 72 heures prévu par le RGPD.

Article 32 : Sécurité du traitement

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : […]

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique;

Article 33 : Notification à l’autorité de contrôle d’une violation de données à caractère personnel

En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.

Article 34 : Communication à la personne concernée d’une violation de données à caractère personnel

Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.

Parce que notre objectif est de vous accompagner sur l’ensemble de vos besoins et votre conformité, nous nous sommes associés à La Robe Numérique pour aller plus loin : Appui DPO ou DPO externalisé, accompagnement contrôle CNIL ou encore formation au règlement, vous pouvez nous confier votre conformité RGPD.

Nos services

Découvrez notre gamme de services pour vous accompagner dans votre stratégie cybersécurité, qu’elle soit drivée par vos besoins métiers ou vos mises en conformité.

J'ai un besoin stratégique

Vous souhaitez être accompagné dans votre roadmap cybersécurité, vous avez un projet ou une solution à auditer, ou encore un besoin métier clef au sein de votre organisation.

ISO 27001

Vous êtes certifiés ISO 27001 ou en cours de mise en conformité – Vous souhaitez réaliser des tests d’intrusion, des audits internes ou encore avoir du support sur votre SMSI.

PCI DSS

Vous gérez des données de cartes bancaires, êtes un commerçant ou un prestataire de service de paiement, et souhaitez challenger le niveau de sécurité de votre périmètre CDE.

DORA

Vous êtes un organisme bancaire ou un prestataire TIC, et avez un programme de tests de résilience opérationnelle à dérouler, des tests d’intrusion au test du PCA.

ISO 42001

Vous vous intéressez à l’intelligence artificielle, vous avez une démarche d’implémentation de SMIA ou souhaitez tester les agents, les fournisseurs et les solutions IA implémentées.

RGPD

Que vous soyez DPO ou simplement concerné par le RGPD, vous avez un besoin relatif à la gestion des risques, une analyse d’impact ou encore de tester une solution gérant des DCP.

NIS 2

Vous êtes concernés par la directive NIS 2 ou pensez l’être, et souhaitez évaluer les dispositifs mis en œuvre pour démarrer ou vérifier votre conformité en tant que EE/EI.

Qui sommes-nous ?

Parce que cet ensemble peut être une mise en conformité initiale ou son maintien, la découverte d’un nouveau périmètre, un enjeu interne fort ou encore la nécessité de tester la robustesse d’une solution avant mise en production : l’adaptabilité de nos méthodes à vos enjeux nous permettront, ensemble, de voir le plus loin possible.

Pourquoi nous choisir ?

Notre engagement : une pluricompétence et des valeurs claires pour vous accompagner avec excellence dans vos projets les plus complexes.

Technicité

Des certifications et de nombreuses années d’expérience passées à auditer, conseiller et se faire auditer.

Indépendance

Des constats et recommandations transparentes, objectives et alignées avec nos expertises.

Objectivité

Une approche factuelle basée sur des méthodologies éprouvées et reconnues.

Sur mesure

Une approche et un conseil adapté à votre contexte et vos enjeux spécifiques.