AVCA Legal

AVCA Legal · Sensibilisation

Formation Cybersécurité & bonnes pratiques

Un parcours de sensibilisation fondé sur les fiches officielles de la CNIL et le socle ANSSI/CPME. Support, quiz et attestation. Version 1.0 — juillet 2026.

Support de formation

1. L'obligation de sécurité & la démarche en 3 niveaux10 min

Comprendre l'obligation de sécurité et la mettre en œuvre progressivement.

Une obligation légale
  • Tout organisme qui traite des données personnelles est astreint à une obligation de sécurité (art. 32 RGPD, loi Informatique et Libertés).
  • Il doit mettre en œuvre des mesures techniques et organisationnelles appropriées, proportionnées au risque (approche par les risques).
Une démarche en trois niveaux (CNIL)
  • Niveau 1 — Démarrer : appliquer les 12 règles essentielles de sécurité de l'ANSSI et de la CPME (socle minimal).
  • Niveau 2 — Hygiène informatique : déployer les mesures fondamentales de protection des systèmes courants.
  • Niveau 3 — Protection spécifique : mesures renforcées et proportionnées pour les traitements les plus sensibles, après analyse de risque.
À retenir : La sécurité est une obligation légale (art. 32 RGPD). · On progresse par niveaux : 12 règles ANSSI/CPME, hygiène, puis protection spécifique.

Source : CNIL — Sécurité des données ; ANSSI/CPME

2. Mots de passe & authentification12 min

Créer et gérer des mots de passe robustes ; activer la double authentification.

Un mot de passe robuste
  • Au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ; OU 14 caractères (maj/min/chiffres) ; OU une phrase de passe d'au moins 7 mots.
  • Un mot de passe unique par compte ; s'appuyer sur un gestionnaire de mots de passe pour les générer et les conserver.
  • Ne plus imposer de renouvellement périodique aux utilisateurs standards (seulement aux comptes à privilèges).
Renforcer l'authentification
  • Activer l'authentification multifacteur (MFA), en priorité sur les messageries et les comptes administrateurs.
  • Côté système : limiter les tentatives échouées (temporisation, captcha, blocage après 10 échecs) et stocker les mots de passe hachés et salés (scrypt, Argon2), jamais en clair.
  • En cas de compromission : forcer le changement à la prochaine connexion, notifier la CNIL sous 72 h, alerter l'utilisateur.
À retenir : 12 caractères mixtes, ou 14, ou une phrase de 7 mots — un mot de passe par compte. · Activez la double authentification (MFA) ; utilisez un gestionnaire de mots de passe.

Source : CNIL — Recommandation mots de passe (délib. n° 2022-100 du 21 juillet 2022)

3. Hameçonnage & ingénierie sociale10 min

Reconnaître et déjouer le phishing et les manipulations.

Les pièges les plus courants
  • Hameçonnage (phishing) : courriel/SMS imitant un tiers de confiance pour voler des identifiants ou faire ouvrir une pièce jointe malveillante.
  • Credential stuffing (réutilisation de mots de passe volés), fraude au président, arnaque aux données bancaires.
  • L'ingénierie sociale exploite la confiance et l'urgence : rester méfiant face à toute demande inhabituelle.
Les bons réflexes
  • Vérifier l'expéditeur, ne pas cliquer sur un lien douteux, ne jamais saisir ses identifiants via un lien reçu.
  • En cas de doute sur un virement/une demande sensible : vérifier par un second canal (téléphone connu).
  • Signaler immédiatement au service informatique tout message suspect ou toute erreur commise.
À retenir : Le phishing est la porte d'entrée n°1 : vérifier l'expéditeur, ne pas cliquer, signaler. · Face à une demande sensible urgente, vérifier par un second canal.

Source : CNIL — Rançongiciel ; Cyberattaque : le sous-traitant au centre de la crise

4. Postes, mobiles & mises à jour10 min

Sécuriser son poste et ses appareils au quotidien.

Le poste de travail
  • Verrouillage automatique de la session ; antivirus à jour et pare-feu actif.
  • Activer la mise à jour automatique de tous les logiciels et systèmes (correctifs de sécurité).
  • Utiliser un compte « utilisateur » standard au quotidien, pas un compte administrateur.
Mobilité
  • Protéger téléphones et ordinateurs par un code de verrouillage complexe et activer le chiffrement des données.
  • Séparer les usages professionnels et personnels (ne pas mélanger comptes et matériels).
  • En déplacement, éviter les Wi-Fi publics ou passer par le VPN de l'entreprise ; n'installer d'applications que depuis les magasins officiels.
À retenir : Mises à jour automatiques + antivirus + verrouillage : le socle du poste. · Chiffrez les appareils mobiles ; méfiez-vous des Wi-Fi publics (VPN).

Source : CNIL — Les règles essentielles pour protéger les données

5. Sauvegardes & rançongiciels12 min

Se protéger des rançongiciels et savoir réagir.

Prévenir
  • Règle 3-2-1 : 3 copies des données, sur 2 supports différents, dont 1 conservée hors ligne (déconnectée) et à distance.
  • Tester régulièrement la restauration des sauvegardes ; segmenter le réseau et filtrer les flux entre postes et serveurs.
  • Mettre à jour OS, antivirus, navigateur, lecteur PDF ; désactiver les macros bureautiques ; limiter les droits d'écriture sur les serveurs.
Réagir en cas d'attaque
  • Éteindre les machines touchées et prévenir immédiatement le service informatique.
  • Ne pas payer la rançon (aucune garantie de restitution) ; conserver les preuves (journaux, copies) et déposer plainte.
  • Consigner la violation au registre et notifier la CNIL sous 72 h ; informer les personnes en cas de risque élevé.
À retenir : Sauvegardes 3-2-1 avec une copie hors ligne testée = meilleure protection anti-rançongiciel. · En cas d'attaque : isoler, ne pas payer, conserver les preuves, notifier sous 72 h.

Source : CNIL — Multiplication des attaques par rançongiciel ; ANSSI

6. Chiffrement & cryptologie pour tous8 min

Comprendre les usages du chiffrement au quotidien.

Les quatre fonctions
  • Hachage : empreinte permettant de vérifier l'intégrité d'un fichier (privilégier SHA-2, ex. SHA-256).
  • Code d'authentification de message (MAC) et signature numérique : garantissent authenticité et intégrité.
  • Chiffrement : garantit la confidentialité (symétrique = une clé partagée ; asymétrique = clé publique/privée ; hybride = les deux).
Réflexes
  • Vérifier la présence de HTTPS (cadenas) : il matérialise un chiffrement des échanges.
  • Ne jamais stocker de mot de passe en clair (hachage salé).
  • En cryptographie asymétrique : la clé publique se diffuse, la clé privée reste strictement secrète.
À retenir : HTTPS protège les échanges ; le hachage vérifie l'intégrité. · La clé privée ne se partage jamais.

Source : CNIL — Comprendre les grands principes de la cryptologie et du chiffrement

7. Sécuriser ses données dans le cloud10 min

Maîtriser le chiffrement et les transferts dans le cloud.

Chiffrement et clés
  • Distinguer chiffrement au repos, en transit (TLS/IPSec) et de bout en bout (côté client).
  • Qui détient les clés ? Le chiffrement côté serveur laisse le fournisseur accéder aux données en clair ; le chiffrement côté client l'en empêche.
  • Répartir clairement titularité, contrôle, possession et accès des clés entre le client et le fournisseur.
Transferts et outils web
  • Pour tout transfert hors UE, privilégier le chiffrement côté client (bout en bout) pour éliminer l'accès du fournisseur, y compris face aux autorités étrangères.
  • Les outils de sécurisation web (WAF, anti-DDoS, CDN) collectent des données personnelles (IP, URL, horodatage) : les encadrer.
  • Éviter le déchiffrement TLS inutile ; s'il est nécessaire, minimiser, pseudonymiser et informer les personnes.
À retenir : Bout en bout (côté client) = le fournisseur n'accède jamais aux données en clair. · Vérifier la localisation des données et l'encadrement des transferts hors UE.

Source : CNIL — Informatique en nuage (Cloud)

8. Violations de données : reconnaître & réagir10 min

Identifier une violation et déclencher la bonne procédure.

Qu'est-ce qu'une violation ?
  • Une violation suppose un traitement de données personnelles ET une altération de ces données : perte de confidentialité, d'intégrité ou de disponibilité.
  • Exemples : fuite de données, cyberattaque, perte ou vol de matériel contenant des données.
La procédure
  • Alerter immédiatement en interne (DPO, service informatique) dès la découverte.
  • Notifier la CNIL sans délai et au plus tard 72 h après connaissance, si la violation présente un risque pour les personnes (art. 33).
  • Informer les personnes concernées en cas de risque ÉLEVÉ (art. 34) ; consigner TOUTE violation au registre des violations (art. 33.5). Un sous-traitant alerte sans délai le responsable de traitement (art. 33.2).
À retenir : Violation = traitement de données + atteinte (confidentialité / intégrité / disponibilité). · Réflexe : alerte interne immédiate, notification CNIL sous 72 h, registre des violations.

Source : CNIL — Les violations de données personnelles (art. 33-34 RGPD)

9. Sécurité des sites web & sous-traitants10 min

Éviter les failles web courantes et encadrer les prestataires.

Les 5 failles web les plus fréquentes
  • Mots de passe mal stockés/trop simples ; absence de limitation des tentatives.
  • Authentification insuffisante et défaut de contrôle des droits d'accès (accès aux données d'autrui).
  • URL incrémentales prévisibles ; documents confidentiels indexés (robots.txt seul ne protège pas — ajouter authentification et droits).
Encadrer la sous-traitance
  • Ne retenir que des prestataires présentant des garanties suffisantes ; formaliser des clauses de sécurité et de confidentialité (art. 28 RGPD).
  • Le sous-traitant doit alerter le responsable sans délai en cas de violation et ne notifier en son nom qu'avec accord préalable.
  • Préparer la gestion de crise : cellule multidisciplinaire (RSSI, DPO), rôles définis, communication claire aux clients.
À retenir : Contrôle d'accès et stockage sécurisé des mots de passe évitent la majorité des failles web. · Encadrez vos sous-traitants par contrat (art. 28) et préparez la cellule de crise.

Source : CNIL — Sécurité des sites web (5 problèmes) ; Cyberattaque : le sous-traitant au centre de la crise

Quiz de validation (14 questions)

1. Quelle politique de mot de passe est conforme à la recommandation de la CNIL (sans mesure complémentaire) ?
2. Que faut-il activer en priorité sur une messagerie ou un compte administrateur ?
3. Comment un mot de passe doit-il être conservé côté serveur ?
4. En quoi consiste la règle de sauvegarde « 3-2-1 » ?
5. Face à une attaque par rançongiciel, que recommande la CNIL ?
6. Vous recevez un courriel urgent vous demandant vos identifiants via un lien. Que faites-vous ?
7. Dans quel délai notifier une violation de données à la CNIL lorsqu'elle présente un risque pour les personnes ?
8. Qu'est-ce qui caractérise une « violation de données personnelles » ?
9. Quelle pratique renforce la sécurité du poste au quotidien ?
10. Que signifie la présence de « HTTPS » (cadenas) sur un site ?
11. Quel chiffrement empêche le fournisseur cloud d'accéder à vos données en clair ?
12. En déplacement, comment se connecter au réseau de l'entreprise en sécurité ?
13. Que doit prévoir un contrat avec un prestataire qui traite vos données (art. 28 RGPD) ?
14. Quel principe applique-t-on pour la gestion des droits d'accès ?

Sources officielles

Formation de sensibilisation fondée sur les recommandations de la CNIL et de l'ANSSI. Ne constitue pas un conseil juridique personnalisé (loi n° 71-1130).