Incidents de sécurité

L'essentiel

• Un incident est traité en six temps : détection, qualification, confinement, éradication, restauration, retour d'expérience. Chaque temps a un responsable désigné à l'avance (référent client, prestataire).
• Une violation de données personnelles se notifie à la CNIL « dans les meilleurs délais et au plus tard 72 h » après en avoir pris connaissance (art. 33 RGPD) ; les personnes concernées sont informées en cas de risque élevé (art. 34) ¹. Le prestataire, sous-traitant, prévient le cabinet sans délai.
• Trois scénarios sont détaillés : compromission de la Box, perte ou vol, ransomware.
• La fin de contrat et la fin de vie d'un disque sont traitées comme des procédures de sécurité : effacement cryptographique, destruction, certificat.
• Un exercice annuel sur table valide que la procédure est connue et jouable. Elle n'a encore jamais été jouée.

Rôles

Les coordonnées de chacun sont dans la fiche d'incident remise au client à l'installation, sur papier : en cas de ransomware, l'annuaire numérique peut être indisponible.

Procédure générale

1. Détection

Sources : alertes du monitoring (service arrêté, connexion admin hors fenêtre, pic de trafic sortant, disque plein), signalement d'un utilisateur (extrait d'un dossier inattendu dans une réponse, comportement anormal), avis de sécurité d'un éditeur, constat physique (machine absente). Tout extrait de document reçu par une personne qui n'y a pas droit est un incident, même sans intention malveillante.

2. Qualification

Questions à répondre en moins d'une heure, par écrit (heure, auteur) :

• Quoi : indisponibilité, altération, divulgation, perte ?
• Quels actifs : documents, embeddings, journaux, comptes, sauvegardes ?
• Des données personnelles sont-elles concernées ? Si oui, c'est une violation au sens du RGPD et le compte à rebours de 72 h démarre à la prise de connaissance ¹.
• Le secret professionnel est-il atteint ?
• L'incident est-il en cours ?

3. Confinement

Ordre proposé, du moins destructeur au plus destructeur :

1. Fermer l'accès VPN du prestataire s'il est suspecté, et tous les accès distants.
2. Débrancher le câble réseau de la Box (pas l'alimentation : la mémoire contient des preuves et le disque déchiffré reste accessible pour l'analyse).
3. Révoquer les sessions et jetons utilisateurs ; forcer le renouvellement des mots de passe.
4. Isoler les sauvegardes : couper l'accès de la Box au dépôt hors site pour éviter l'écrasement ou le chiffrement des copies.
5. Ne rien effacer : copie des journaux vers un support externe, photographies, horodatage.

4. Éradication

Identifier la cause (compte compromis, vulnérabilité, erreur de configuration, action interne). Principe : une machine dont la compromission est avérée n'est pas nettoyée, elle est réinstallée depuis l'image de référence, puis les données sont restaurées depuis une sauvegarde antérieure à la compromission. Rotation de tous les secrets (clés SSH, secrets applicatifs, clé du dépôt de sauvegarde si exposée, mots de passe).

5. Restauration

Suivre la procédure de reprise : choisir la sauvegarde, vérifier son intégrité, restaurer, contrôler les permissions, réindexer si nécessaire, tester avec le référent avant réouverture aux utilisateurs.

6. Retour d'expérience

Rapport sous 15 jours : chronologie, cause, données concernées, mesures prises, mesures à prendre, mise à jour du modèle de menace et de la checklist. Inscription au registre des violations (obligatoire pour toute violation, même non notifiée, art. 33.5) ¹.

Notifications

Scénarios types

Compromission de la Box

Signes : compte administrateur inconnu, processus ou container non répertorié, connexion sortante inhabituelle, modification de la configuration hors fenêtre de maintenance, alerte d'intégrité.

Perte ou vol de la machine ou d'un disque

Ransomware

Deux formes : sur un poste utilisateur (le plus probable) qui chiffre les partages accessibles, ou sur la Box elle-même.

Suppression sécurisée des données

Fin de contrat

Le contrat de sous-traitance impose la suppression ou la restitution des données au choix du client (art. 28.3.g RGPD ; voir RGPD). Procédure proposée :

Fin de vie d'un disque

La CNIL demande de « supprimer de façon sécurisée les données des matériels avant leur mise au rebut » et de ne pas réutiliser, revendre ou jeter des supports sans effacement ². Pour un SSD, l'écrasement logiciel classique n'est pas fiable (blocs réalloués, surprovisionnement). Politique proposée :

1. Le disque a toujours été chiffré (LUKS2) : destruction de l'en-tête LUKS = effacement cryptographique.
2. Commande d'effacement du firmware (ATA Secure Erase ou NVMe Format avec effacement cryptographique) si le disque répond encore.
3. Destruction physique (broyage, perçage des puces) pour tout disque qui a contenu des données couvertes par le secret professionnel, même après les étapes 1 et 2 : le coût d'un SSD est faible devant le risque.
4. Disque défaillant sous garantie : ne pas le renvoyer au constructeur s'il n'est pas prouvé chiffré et effacé ; préférer la destruction et la perte de la garantie.
5. Certificat de destruction (prestataire spécialisé ou attestation interne avec photo et numéro de série).

Exercice annuel

Une fois par an, un exercice sur table de deux heures avec le référent client et le prestataire : un scénario tiré au sort (compromission, vol, ransomware), déroulé de la procédure, vérification des contacts, des délais, de l'accès aux sauvegardes et à l'enveloppe de récupération. Compte rendu et mise à jour de cette page. Un test de restauration complète est joué en parallèle (voir l'expérience dédiée).

Questions ouvertes

Ce qu'il reste à tester

• Exercice d'incident : ransomware sur un poste du cabinetUn ransomware exécuté sur un poste utilisateur ayant accès au partage documentaire ne peut ni chiffrer les données de la Box (montage en lecture seule), ni altérer les sauvegardes (dépôt en ajout seul ou hors de portée), et la procédure d'incident permet une reprise sous 2 jours ouvrés avec une notification CNIL préparée dans les 72 heures.À tester
• Redémarrage à distance avec disque chiffré LUKS2 et TPM2Avec systemd-cryptenroll et un enrôlement TPM2 lié aux PCR du démarrage sécurisé, la Box redémarre sans saisie de mot de passe après un redémarrage ordinaire, refuse le déverrouillage automatique après une modification du chargeur ou de la désactivation de Secure Boot, et redevient déverrouillable avec la clé de récupération.À tester
• Scan de vulnérabilités des images Docker de la BoxLes images officielles de la pile retenue ne contiennent aucune vulnérabilité critique exploitable dans le contexte de la Box (services non exposés, réseau interne), et un scan mensuel automatisé avec Trivy plus un SBOM par image permettent de suivre les correctifs sans effort excessif.À tester
• Test de fuite de permissions du RAG (« l'avocat B ne voit jamais A »)Avec un filtre dossier_id calculé côté serveur et imposé par le moteur (RLS PostgreSQL ou JWT Qdrant), aucun chunk ni aucune réponse ne contient un canari hors de la portée de l'utilisateur, même lorsque la barrière applicative est désactivée.À tester
• Test de restauration complète sur machine viergeUne Box complète (système, configuration, base d'utilisateurs et permissions, index, journaux) peut être reconstruite sur une machine vierge en moins d'un jour ouvré à partir de la sauvegarde hors site chiffrée et des clés sous séquestre, sans intervention sur la Box d'origine.À tester
• Valider l'installation reproductibleUne personne compétente en administration Linux mais sans connaissance préalable du projet réinstalle la Box en moins d'une demi-journée à partir de la page Installation et du dépôt de configuration, et obtient le même résultat à la checklist de validation que l'installation initiale.À tester