RGPD : quelles mesures techniques une PME doit-elle vérifier ?

Pourquoi le RGPD concerne aussi la technique ?

Beaucoup de PME associent le RGPD aux registres, consentements, contrats ou politiques de confidentialité. Ces éléments sont importants, mais ils ne suffisent pas si les données personnelles sont mal protégées techniquement.

En pratique, les données personnelles peuvent être stockées dans Microsoft 365, des dossiers partagés, des logiciels métier, des postes, des serveurs, des boîtes mail, des sauvegardes ou des exports Excel. Si les accès sont trop ouverts ou si les sauvegardes ne sont pas maîtrisées, le risque reste élevé.

Un audit conformité RGPD permet de vérifier les mesures techniques qui soutiennent la protection des données.

Les premières mesures techniques RGPD à vérifier

Une PME n’a pas besoin de commencer par des dispositifs complexes. Elle doit d’abord vérifier les fondamentaux : qui accède aux données, comment les comptes sont protégés, où les données sont stockées, comment elles sont sauvegardées et comment les incidents sont détectés.

• Les comptes utilisateurs sont-ils correctement protégés ?
• Les droits d’accès sont-ils limités au strict nécessaire ?
• Les comptes d’anciens salariés sont-ils désactivés ?
• Les données personnelles sont-elles sauvegardées ?
• Les sauvegardes sont-elles testées ?
• Les postes et serveurs sont-ils à jour ?
• Microsoft 365 est-il sécurisé ?
• Les partages externes sont-ils maîtrisés ?
• Les incidents peuvent-ils être détectés et documentés ?

1. Vérifier la gestion des accès

La première mesure technique RGPD à vérifier concerne les accès. Les données personnelles ne doivent pas être accessibles à tout le monde. Chaque collaborateur doit disposer uniquement des droits nécessaires à son activité.

Dans une PME, les droits s’accumulent souvent avec le temps. Un salarié change de poste, un prestataire intervient, un accès temporaire est créé, puis les droits ne sont pas toujours retirés.

• Identifier les dossiers contenant des données personnelles.
• Vérifier les droits d’accès aux partages réseau.
• Contrôler les droits dans SharePoint, OneDrive et Teams.
• Limiter les accès aux données RH, clients, paie ou santé si concernées.
• Supprimer les droits inutiles ou historiques.
• Documenter les accès sensibles.

Si l’entreprise utilise un annuaire local, un audit Active Directory peut aider à identifier les groupes, droits utilisateurs et comptes sensibles.

2. Sécuriser les comptes et les mots de passe

Les comptes utilisateurs sont souvent le premier point d’entrée. Si un compte est compromis, un attaquant peut accéder aux e-mails, fichiers, applications et données personnelles disponibles pour cet utilisateur.

Il faut donc vérifier les mots de passe, le MFA, les comptes administrateurs, les comptes partagés et les comptes inactifs.

• Activer le MFA sur les comptes sensibles.
• Limiter les comptes administrateurs.
• Supprimer ou désactiver les comptes inactifs.
• Éviter les comptes partagés non tracés.
• Vérifier les comptes prestataires.
• Mettre en place une procédure lors des départs.

3. Contrôler Microsoft 365, OneDrive, SharePoint et Teams

Microsoft 365 contient souvent une grande partie des données de l’entreprise : e-mails, contrats, fichiers clients, documents RH, échanges Teams, documents commerciaux et informations internes.

Pour une PME, les points sensibles sont les partages externes, les liens anonymes, les comptes invités, les administrateurs Microsoft 365 et les règles de messagerie.

• Le MFA est-il activé sur les comptes importants ?
• Les comptes administrateurs sont-ils limités ?
• Les partages externes OneDrive et SharePoint sont-ils contrôlés ?
• Les invités Teams sont-ils encore nécessaires ?
• Les liens anonymes sont-ils autorisés ou limités ?
• Les règles de transfert Exchange sont-elles vérifiées ?

Un audit sécurité Microsoft 365 permet de vérifier ces réglages et de réduire les risques d’exposition des données.

4. Vérifier les sauvegardes et la restauration

La disponibilité des données est aussi un enjeu important. Une PME doit pouvoir récupérer ses informations après une suppression accidentelle, une panne, une erreur humaine, un ransomware ou une corruption de fichiers.

Une sauvegarde fiable ne se limite pas à une tâche en succès. Elle doit couvrir les données critiques, être protégée et avoir été testée en restauration.

• Les données personnelles sont-elles incluses dans les sauvegardes ?
• La fréquence de sauvegarde est-elle adaptée à l’activité ?
• La rétention est-elle suffisante ?
• Les sauvegardes sont-elles protégées contre les ransomwares ?
• Des tests de restauration sont-ils réalisés ?
• Microsoft 365 est-il couvert si nécessaire ?

Pour vérifier ce point, un audit sauvegarde PRA PCA est particulièrement utile.

5. Protéger les postes et les serveurs

Les postes de travail et les serveurs manipulent souvent des données personnelles. Ils doivent donc être maintenus, protégés et suivis. Un poste non à jour ou mal protégé peut devenir un point d’entrée vers les fichiers de l’entreprise.

• Systèmes Windows ou serveurs maintenus à jour.
• Antivirus, EDR ou protection endpoint active.
• Verrouillage automatique des sessions.
• Droits administrateurs locaux limités.
• Chiffrement des postes portables si nécessaire.
• Inventaire des équipements utilisés.

Ces contrôles peuvent être intégrés à un audit sécurité informatique PME, afin de vérifier l’ensemble des risques techniques.

6. Sécuriser le réseau et les accès distants

Le réseau transporte les données de l’entreprise. Si le firewall, les VPN, le Wi-Fi ou les VLAN sont mal configurés, des données personnelles peuvent être exposées ou accessibles à des personnes non autorisées.

• Firewall revu et règles documentées.
• VPN protégés avec MFA si possible.
• Wi-Fi invité isolé du réseau interne.
• Segmentation entre postes, serveurs, invités et équipements sensibles.
• Ports exposés sur Internet contrôlés.
• Accès administratifs non exposés inutilement.

Un audit réseau informatique permet de vérifier ces éléments et de réduire les risques d’accès non maîtrisé.

7. Mettre en place de la traçabilité

La traçabilité permet de comprendre ce qui s’est passé en cas d’incident : connexion suspecte, suppression, accès non autorisé, transfert de fichiers, modification de droits ou tentative d’intrusion.

Une PME n’a pas forcément besoin d’un dispositif complexe dès le départ, mais elle doit au minimum conserver certains journaux utiles et savoir où chercher en cas de problème.

• Journaux de connexion Microsoft 365.
• Logs VPN et firewall.
• Historique des accès administrateurs.
• Alertes sur les connexions inhabituelles.
• Suivi des créations ou suppressions de comptes.
• Documentation des incidents et actions correctives.

8. Gérer les départs et changements de poste

Les départs de collaborateurs sont un point critique. Un compte laissé actif peut donner accès à des e-mails, fichiers, applications métier et données personnelles alors que la personne ne travaille plus dans l’entreprise.

• Désactivation rapide du compte.
• Retrait des licences et accès cloud.
• Suppression des accès VPN.
• Revue des groupes Active Directory ou Microsoft 365.
• Transfert contrôlé des données utiles.
• Conservation ou suppression selon les règles internes.

9. Préparer la gestion des incidents

Une PME doit savoir quoi faire en cas de perte, fuite, accès non autorisé, ransomware, compte compromis ou suppression accidentelle. La gestion d’incident doit être simple, mais documentée.

• Identifier les personnes à prévenir en interne.
• Conserver les preuves techniques utiles.
• Bloquer rapidement les comptes compromis.
• Analyser les accès et fichiers concernés.
• Restaurer les données si nécessaire.
• Documenter les actions réalisées.
• Prévoir l’escalade vers le DPO, la direction ou un prestataire.

Si un compte Microsoft 365 est compromis, l’article Que faire si un compte Microsoft 365 a été piraté ? détaille les premières actions à mener.

Quand demander un audit conformité RGPD ?

Un audit conformité RGPD orienté mesures techniques est utile dès qu’une PME souhaite vérifier si ses données personnelles sont correctement protégées. Il est aussi recommandé après une migration, un incident ou un changement d’organisation.

• Vous ne savez pas qui accède aux données personnelles.
• Vous utilisez Microsoft 365 avec beaucoup de partages externes.
• Les comptes d’anciens salariés ne sont pas toujours désactivés rapidement.
• Les sauvegardes n’ont jamais été testées récemment.
• Vous avez subi un phishing, une fuite ou une suspicion d’accès non autorisé.
• Vous devez rassurer un client, partenaire ou assureur.
• Votre organisation a grandi rapidement sans revue des accès.

Conclusion : le RGPD doit être soutenu par des contrôles techniques

Pour une PME, la conformité RGPD ne repose pas uniquement sur des documents. Elle dépend aussi de mesures techniques concrètes : accès maîtrisés, comptes sécurisés, sauvegardes fiables, postes protégés, réseau contrôlé, Microsoft 365 durci et incidents documentés.

En vérifiant ces points, l’entreprise réduit le risque de fuite, de perte de données ou d’accès non autorisé. Elle dispose aussi d’une meilleure base pour construire un plan d’action réaliste.