Devoir d’alerte, d’escalade et de réexamen

Une chaîne en six étapes

Accepter un risque doit devenir une décision

Si un risque ne peut être corrigé dans le délai, une autorité identifiée doit pouvoir signer une acceptation motivée du risque résiduel, avec durée, mesures compensatoires et date de réévaluation. Cette trace protège aussi l’exécutant qui a correctement signalé l’impossibilité de corriger.

Notification d’une violation : séparer les dates

Il faut distinguer intrusion, détection, constatation d’une violation de données personnelles, notification au régulateur et information publique. Le RGPD prévoit, lorsqu’une violation présente un risque, une notification à l’autorité dans les meilleurs délais et si possible dans les 72 heures après en avoir pris connaissance. CNIL — Notifier une violation de données personnelles

Transparence sans exposer les systèmes

Le portail peut afficher dates d’audit, nombre de constats critiques, échéances, statut de remédiation et propriétaire du risque sans publier une vulnérabilité exploitable, un secret de défense ou un détail technique utile à un attaquant.

Le cycle obligatoire d’une alerte critique

1. Qualifier : mineure, significative, majeure ou critique selon un référentiel commun.
2. Attribuer : tout risque significatif possède un propriétaire nommé et une échéance.
3. Remédier : la mesure est planifiée avec budget, dépendances et preuve de réalisation.
4. Escalader : si l’équipe n’a pas le pouvoir ou les moyens, l’alerte remonte formellement.
5. Accepter ou corriger : l’autorité compétente assume explicitement le risque résiduel ou finance la correction.
6. Réexaminer : l’acceptation n’est jamais illimitée ; elle expire ou doit être revue après un incident significatif.

Le principal bénéfice juridique est la disparition du flou « tout le monde savait ». Le système peut répondre qui savait, quand, avec quel pouvoir, quelle demande de moyens, quelle décision et quelle date de prochaine revue.

Le devoir d’alerte protège aussi celui qui n’a pas le budget

Un RSSI ou une équipe technique peut identifier un risque sans avoir la capacité de financer une migration ou d’arrêter un service. La réforme doit éviter de transformer la personne la plus proche techniquement du problème en bouc émissaire. Lorsqu’elle a documenté le risque, proposé des mesures, signalé les limites de moyens et escaladé vers l’autorité compétente, sa responsabilité doit être appréciée sur ses propres actes.

À l’inverse, une autorité dotée du budget et du pouvoir de décision ne devrait pas pouvoir se retrancher derrière l’existence d’un avis technique non suivi. Le portail de traçabilité n’aurait pas besoin de publier les détails sensibles : il suffirait de rendre visibles les dates, statuts, propriétaires, échéances et décisions d’acceptation.

Quatre niveaux d’alerte pour éviter l’urgence permanente

Toutes les vulnérabilités ne peuvent pas être traitées comme des crises nationales. Le système doit donc distinguer des niveaux de criticité et leur associer des exigences de délai, de traçabilité et d’escalade. Une anomalie mineure relève du traitement courant ; une faiblesse significative exige un propriétaire et une échéance ; une alerte majeure impose un suivi renforcé ; un risque critique déclenche une décision formelle de remédiation, d’isolement, de réduction du service ou d’acceptation motivée.

L’intérêt n’est pas d’inventer une nouvelle couleur de tableau de bord. La classification doit déterminer ce qui arrive ensuite : qui reçoit l’alerte, quand le budget doit être arbitré, quel délai maximal s’applique, qui peut prolonger ce délai et quelle preuve de correction doit être conservée.

Quelles traces conserver sans fabriquer une bureaucratie paralysante ?

Le dossier minimal peut rester court : identifiant du risque, date de détection, source de l’alerte, niveau de criticité, système ou mission concernée, propriétaire, mesure proposée, budget demandé, décision, échéance, statut de remédiation et prochaine revue. Les échanges techniques détaillés restent dans les outils de sécurité ; la gouvernance conserve seulement les éléments permettant de prouver le chemin de décision.

Cette séparation est essentielle au Portail de données publiques. Le public peut voir la gouvernance agrégée sans recevoir la configuration d’un système, le détail d’une faiblesse exploitable ou des informations protégées. La transparence porte sur le fait qu’un risque est connu et traité, non sur la manière de l’exploiter.

Continuer la lecture

Dossier maître : responsabilité personnelle des décideurs publics · Contrôler les dépenses publiques · Portail de données publiques

Les indicateurs qui permettent de vérifier que l’escalade fonctionne

Un dispositif d’alerte ne se juge pas au nombre de tickets ouverts. Il faut suivre la part des constats critiques attribués à un propriétaire, le délai médian entre détection et décision, la proportion de risques ayant reçu un budget ou une mesure compensatoire, le nombre d’acceptations de risque arrivées à échéance sans réexamen et le taux de fermeture après contrôle. Ces indicateurs révèlent si l’organisation transforme réellement les alertes en décisions.

Ils doivent être interprétés avec prudence : une hausse du nombre d’alertes peut traduire une dégradation, mais aussi une meilleure détection. C’est pourquoi le Portail doit toujours associer volume, criticité, délai et statut de remédiation.

Une escalade n’est complète que lorsque le risque atteint l’échelon qui peut réellement décider

Le RSSI peut détecter et qualifier un risque sans disposer du pouvoir de financer la remédiation. Le DPO peut alerter sur la protection des données sans administrer l’infrastructure. Un directeur technique peut proposer un remplacement sans pouvoir modifier la trajectoire budgétaire. La procédure doit donc empêcher qu’une alerte soit considérée comme « traitée » simplement parce qu’elle a été envoyée par courriel.

Pour chaque risque majeur ou critique, la chaîne d’escalade doit produire un accusé de réception, une autorité de décision, une option de remédiation, une échéance, les mesures compensatoires et un statut d’acceptation ou de refus. Si l’échelon saisi n’a pas le pouvoir requis, il doit transférer l’arbitrage vers l’échelon supérieur et conserver la trace de ce transfert.

Quand l’inaction devient-elle caractérisée ?

Le simple retard ne suffit pas. Il faut une obligation d’agir suffisamment précise, une alerte crédible, un risque grave connu, un pouvoir effectif ou une possibilité d’escalade, un délai raisonnable et une abstention qui ne soit justifiée ni par une impossibilité objective ni par une mesure compensatoire sérieuse. Cette matrice rejoint la prudence de l’article 121-3 du Code pénal : on ne déduit pas la faute du seul résultat dommageable.

La notification d’une violation de données est une chaîne différente de l’escalade préventive. Les obligations et délais de notification doivent être vérifiés sur les sources officielles, notamment le service CNIL de notification des violations.