La sécurité des données personnelles sur votre site Web

Publié le :

Dernière modification le :

Vous êtes ici : wp-rgpd.fr > blog > La sécurité des données personnelles sur votre site Web

Vous ne trouvez pas la réponse à votre question dans cet article ?

Contactez-moi

« Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité des données personnelles adapté au risque. » (RGPD, Article 32)

Sécurité des données : tous concernés !

La sécurité des données est un aspect fondamental du RGPD. Le Règlement dit que les données personnelles doivent être conservées « de façon maîtrisée » par le responsable de traitement comme par le sous-traitant.

L’atteinte aux données peut être accidentelle (comme la destruction du serveur par un incendie) ou illicite (piratage de votre site Web).

Les mesures de protection des données proposées dans cet article visent à les préserver d’un piratage.

L’obligation de sécurité des données

Privacy By Design et Privacy By Default

Les traitements mis en œuvre sur votre site doivent répondre aux exigences du RGPD et protéger les droits des personnes, ce qui se traduit par : 

  • La prise en compte des grands principes du RGPD dès la conception du site Web ou Privacy By Design,
  • La limitation des opérations de traitement au strict nécessaire. C’est le principe du Privacy By Default. Concrètement, vous devez toujours vous demander si le traitement est vraiment nécessaire et, si c’est le cas, fonctionner a minima (données recueillies, personnes ayant accès, durée de conservation des données…).

Des mesures techniques et organisationnelles adaptées au risque

Vous devez mettre en place des mesures de protection des données personnelles adaptées aux risques, afin de préserver :

  • La confidentialité des données,
  • L’intégrité des données,
  • La disponibilité des données.

Concrètement, qu’est-ce que cela veut dire ?

C’est protéger les données contre leur accès par un tiers non autorisé.

Concrètement, cela implique que vos supports de stockage des données (ordinateurs, disques durs externes…) soient conservés dans un local ou un meuble non accessibles (accès restreint) et protégés (cadenas, code d’accès). Veiller à la sécurité des données personnelles, c’est aussi ne pas consulter les données dans un espace public (transports en commun, Wi-Fi non sécurisé de l’hôtel…) et appliquer un principe de séparation des usages de vos appareils (certains étant destinés à votre vie professionnelle, d’autres à votre vie personnelle).

Sur votre site Web, c’est assurer la confidentialité de la base de données et des entrées de vos formulaires de contact : réserver l’accès à l’administration de votre site à un nombre restreint de personnes (dite aussi « bonne gestion des habilitations »), limiter le nombre de tentatives de connexions échouées, mettre en place une alerte en cas de connexion réussie (ou « journalisation des accès »)… 

C’est éviter toute altération ou modification malveillante des données.

L’intégrité des données est protégée grâce aux mesures destinées à préserver leur confidentialité. En effet, un accès illégitime aux données va permettre leur modification malveillante.

Sur votre site Web, vous pouvez vérifier l’intégrité de votre base de données grâce à un scan effectué par votre extension de sécurité (WordFence, Securipress…) qui vous indiquera si des modifications indues ont été détectées dans vos fichiers.

Saviez-vous que les données personnelles que vous conservez au sein de vos fichiers doivent être exactes ?

En effet, vous ne pouvez pas garder des données erronées ! Tenir vos fichiers à jour – et exempts de modifications malveillantes – est obligatoire.

La disponibilité des données c’est le fait qu’elles soient accessibles pour leur usage courant.

Si vous ne parvenez pas à accéder à vos données sur un lieu de stockage (et même si elles sont disponibles sur un autre espace de stockage), alors il y a atteinte à leur disponibilité. C’est également le cas s’il y a perte ou destruction des données (du fait d’un incendie ou d’une inondation dans vos locaux, par exemple).

Suite à un piratage, vous ne pouvez plus accéder au back office de votre site Web ?

Les données personnelles que vous traitez sont indisponibles. Elles ont fait l’objet d’un accès illégitime portant atteinte à leur confidentialité et présentant un risque pour leur intégrité car elles peuvent avoir été modifiées.

Si la sécurité des données vise à préserver les droits et libertés des personnes, elle protège également votre patrimoine informationnel et votre réputation.

L’obligation de sécurité des données à caractère personnel vaut pour chaque traitement dans son intégralité, c’est-à-dire que vous devez assurer la sécurité des données au-delà de votre site Web, donc au sein même de vos locaux.

Les mesures de sécurité des données sur votre site Web

Quel niveau de protection des données ?

Les mesures de sécurité doivent être décidées en fonction du contexte, c’est-à-dire selon les risques encourus par les personnes en cas de violation de leurs données.

Il vous appartient d’évaluer le niveau de protection approprié. Mais attention, le RGPD prévoit des mesures particulières pour les données sensibles.

Quelles mesures de sécurité des données mettre en place ?

Si la protection des données est obligatoire, le choix des mesures elles-mêmes est laissé à votre initiative. Le RGPD va distinguer des mesures physiques, logicielles, et organisationnelles.

C’est sécuriser l’accès physique à vos ordinateurs ou à vos disques durs de sauvegarde dans des locaux fermés à clé ou dans un meuble avec cadenas, par exemple.

Les mesures techniques que vous allez mettre en place sur votre site WordPress sont pour la plupart des mesures logicielles :

  • Sécuriser les postes de travail (par la mise en veille systématique ou l’interdiction de connecter des éléments extérieurs),
  • Systématiser les comptes individualisés (oubliez les comptes génériques comme « stagiaire »),
  • Tracer les accès à la base active comme aux archives (détection automatisée des accès),
  • Protéger le réseau IT et les serveurs,
  • Anticiper le risque de pertes ou de divulgation des données (ne pas déplacer vos disques durs de sauvegarde, ne pas consulter vos notifications de formulaires lors d’un voyage en train ou en avion…),
  • Le chiffrement de vos disques durs externes…

C’est l’organisation que vous aurez mise en place afin de protéger les données personnelles que vous traitez, comme par exemple :

  • Une checklist de mesures de sécurité,
  • Une politique de contrôle d’accès aux données,
  • La sensibilisation de vos salariés à la protection des données,
  • Une procédure de gestion des incidents liés aux données personnelles,
  • Des audits réguliers des procédures et des traitements…

Sur un site Web, les mesures mises en place visent majoritairement à limiter les attaques par force brute.

Mise en place opérationnelle

Une grande partie de ces mesures nécessitera des manipulations dans vos fichiers comme le .htaccess ou le wp-config.php. D’autres pourront être actionnées grâce à votre extension WordPress de sécurité. Après leur mise en place, n’oubliez pas de tester l’efficacité de vos mesures de sécurité.

Pour aller plus loin

Pour des mesures de sécurité concrètes, je vous recommande les articles de wpmarmite. Je vous invite aussi à consulter les recommandations pour sécuriser les sites Web de l’ANSSI, et le Guide RGPD destiné aux développeurs édité par la CNIL.

La checklist « sécurité des données » de votre site

Vous trouverez ci-dessous une checklist non exhaustive de mesures de sécurité pour votre site. Libre à vous d’y ajouter toute mesure supplémentaire que vous jugeriez utile au regard des risques liés à une atteinte à la sécurité des données sur votre site.

  • Mises à jour : WordPress, thèmes, extensions, traductions, PHP…
  • Nombre d’extensions limité
  • Choix d’un hébergement sécurisé
  • Protocoles HTTPS et TLS
  • Bonne gestion des habilitations (personnes ayant accès à l’administration du site)
  • Permissions des fichiers et répertoires
  • Modifier l’URL de connexion (ne pas garder /wp-login.php)
  • Choix des identifiants de connexion (bannir « admin »)
  • Robustesse de vos mots de passe (au moins 12 caractères, incluant chiffre, majuscule, minuscule, caractère spécial…)
  • Authentification à double facteur (2FA)
  • Modifier le préfixe de votre base de données
  • Extension de sécurité avec pare-feu, WAF et scan
  • Limiter le nombre de tentatives de connexion (bloquer l’accès à partir d’un certain nombre de tentatives infructueuses)
  • Journalisation des accès
  • Mise en place des en-têtes de sécurité HTTP
  • Masquer l’identifiant des auteurs
  • Empêcher le hotlinking des images
  • Protéger l’accès aux fichiers et répertoires sensibles (.htaccess, wp-config.php, /uploads…)
  • Empêcher les injections de fichiers
  • Désactiver XML-RPC
  • Modification périodique des clés de sécurité SALT
  • Désactiver les rapports d’erreur PHP (dans le php.ini) et masquer les erreurs PHP
  • Sauvegardes régulières
  • Chiffrement de vos appareils de sauvegarde (ordinateurs ou disques durs externes)
  • Mesures de sécurité renforcées en cas de traitement de données sensibles
  • Et toutes mesures de sécurité complémentaires et adaptées aux risques…

Quand la sécurité des données est défaillante…

Malgré toutes les mesures que vous avez mises en oeuvre pour assurer la sécurité des données personnelles, votre site a été piraté ? Vous êtes dans le cas d’une violation de données personnelles, qui selon la situation, peut vous obliger devant la CNIL et devant les personnes concernées.

Vous ne trouvez pas la réponse à votre question dans cet article ?

Contactez-moi