Hypothèse de travail : nous raisonnons comme si, dans quelques semaines, l’intégralité du corpus de factures électroniques accessible à une plateforme ou au système de facturation de l’entreprise allait être exfiltrée. Que faut-il changer maintenant pour que le pirate obtienne le minimum légal et le minimum stratégique, tout en respectant intégralement les obligations fiscales, comptables et commerciales ?

RÉSUMÉ EXÉCUTIF

La réponse courte est double.

Premièrement, une entreprise française ne peut pas rendre invisible son client dans une facture B2B légale. Le nom ou la raison sociale, l’adresse et l’identifiant des parties font partie des informations obligatoires, tout comme la quantité, la dénomination précise et le prix unitaire des biens ou services. Les règles françaises excluent même les désignations trop génériques qui ne permettent pas d’identifier le bien ou la prestation. [S1, S2]

Deuxièmement, cela ne signifie absolument pas qu’il faille transformer chaque facture en dossier de renseignement commercial. Une entreprise peut réduire très fortement ce qu’un vol massif permettrait de comprendre en adoptant une doctrine de facturation minimaliste, en séparant la facture du dossier commercial, en utilisant des références non sémantiques, en supprimant tous les champs facultatifs révélateurs, en évitant les pièces jointes sensibles, en compartimentant les plateformes et en durcissant les accès.

L’objectif réaliste n’est donc pas de rendre une fuite inoffensive. C’est impossible si toutes les factures légales sont volées. L’objectif est de transformer une fuite qui révélerait toute la stratégie commerciale en une fuite qui révèle surtout le squelette fiscal minimal de transactions dont les détails stratégiques restent ailleurs.

La stratégie recommandée repose désormais sur quinze couches :

LA LIMITE ABSOLUE : CE QUE L’ENTREPRISE NE PEUT PAS CACHER LÉGALEMENT

Une facture professionnelle doit identifier les parties. Le droit français exige notamment le nom, l’identifiant et l’adresse du fournisseur et du client. Pour chaque bien ou service, la quantité, la dénomination précise et le prix unitaire hors taxe sont également requis. Le BOFiP précise que la dénomination doit permettre d’identifier le bien ou la prestation et qu’un terme générique non suivi de références n’est pas suffisant. [S2, S16]

Cela interdit plusieurs fausses bonnes idées qui seraient juridiquement dangereuses :

Aucune stratégie de protection ne doit donc chercher à tromper Bercy, le client, l’expert-comptable ou un contrôleur. La bonne stratégie consiste à retirer tout ce qui n’est pas nécessaire, pas à falsifier ce qui l’est.

SCÉNARIO ROUGE : SUPPOSONS QUE TOUTES LES FACTURES SOIENT VOLÉES

Pour concevoir une défense utile, il faut partir d’un scénario volontairement pessimiste. L’attaquant obtient les fichiers structurés, les rendus PDF associés, les historiques disponibles et les métadonnées accessibles. Il peut faire travailler des logiciels d’analyse et de l’intelligence artificielle sur l’ensemble.

Même sans voler le CRM, les contrats ou les dossiers techniques, un corpus complet de factures peut révéler :

La DGSI indique que ses Flash ingérence présentent des actions d’ingérence économique dont des sociétés françaises sont régulièrement victimes. Le scénario dans lequel une base de facturation intéresse un acteur étranger ou un concurrent n’est donc pas absurde en matière de sécurité économique. [S7]

PREMIÈRE IDÉE MAJEURE : CRÉER UNE FACTURE À DEUX COUCHES

C’est probablement la mesure la plus importante qu’une entreprise puisse appliquer sans attendre une modification de la loi.

Couche 1 : la facture légale. Elle contient exactement ce qui est nécessaire pour identifier les parties, l’opération, la quantité, le prix, la TVA, le règlement et les autres mentions réellement obligatoires.

Couche 2 : le dossier commercial et technique. Il contient les éléments qui expliquent en détail la relation, le projet, l’usage, les livrables, les collaborateurs, les spécifications, le planning, les plans, les nomenclatures, les comptes rendus et les informations sensibles. Ce dossier reste hors du circuit de facturation électronique et passe par un canal séparé fortement sécurisé.

L’idée peut se résumer ainsi :

Si le corpus de factures fuit mais pas le coffre de correspondance ni le dossier commercial, l’attaquant voit encore les parties, les montants et certaines prestations. Il perd cependant une grande partie du contexte qui transforme une donnée comptable en renseignement stratégique.

COMMENT RÉDIGER UNE FACTURE QUI DIT LE STRICT NÉCESSAIRE

Le BOFiP impose une dénomination assez précise pour identifier le bien ou la prestation. Il exclut les termes génériques non suivis de références. Cette formulation ouvre une voie pratique intéressante : une description normalisée, suffisamment identifiable, peut être accompagnée d’une référence contractuelle neutre, à condition que l’ensemble reste juridiquement suffisant. Cette politique doit être validée selon le secteur par l’expert-comptable, le fiscaliste ou le conseil de l’entreprise. [S2]

Exemple de mauvaise pratique :

« Étude de vulnérabilité sur le prototype de radar HERMÈS destiné au client final X, site de Y, analyse du module Z, 37 heures de l’ingénieur Jean Dupont. »

Exemple de doctrine minimisée à étudier avec son conseil :

« Prestation d’ingénierie spécialisée, contrat K7F4-921C, 37 heures. »

Le second libellé ne doit être utilisé que s’il permet bien d’identifier la prestation au regard du contrat et des règles applicables. La différence essentielle est qu’il ne publie pas le nom interne du projet, la finalité du système, le site, le nom de l’ingénieur et le rôle du client final.

MATRICE DE MINIMISATION DES CHAMPS

Les mentions générales obligatoires peuvent être vérifiées dans la documentation du ministère et du BOFiP. Les factures électroniques doivent en outre placer plusieurs mentions dans des champs structurés dédiés. [S1, S2, S16]

DEUXIÈME IDÉE MAJEURE : UTILISER DES RÉFÉRENCES QUI NE RACONTENT RIEN

Beaucoup d’entreprises protègent leur réseau mais divulguent leur stratégie dans leurs propres identifiants.

À éviter :

À préférer :

Ces codes ne sont pas destinés à cacher la transaction au client ou à l’administration. Ils empêchent seulement qu’un identifiant interne raconte à lui seul le nom du programme, le niveau de confidentialité, le client final ou la nature stratégique de l’opération.

La table qui traduit K7F4-921C en véritable nom de projet doit être protégée comme une donnée sensible et idéalement conservée dans un domaine séparé du système de facturation. Un coffre de secrets, une base chiffrée ou un référentiel métier à droits très restreints peut remplir ce rôle.

Pour des organisations très sensibles, on peut aller plus loin avec des références pseudonymisées calculées par un mécanisme cryptographique de type HMAC. Le principe consiste à générer une référence stable à partir d’un secret détenu uniquement par l’entreprise. Un pirate qui ne possède pas la clé ne peut pas facilement recalculer le sens des références. Cette technique ne remplace pas les champs légaux et doit rester un mécanisme interne.

TROISIÈME IDÉE MAJEURE : CONTRACTUALISER DE MANIÈRE À NE PAS SURDÉTAILLER LA FACTURE

La Commission d’examen des pratiques commerciales a rendu en 2024 un avis consultatif intéressant sur une prestation administrative facturée au forfait. Elle indique qu’un professionnel peut proposer une prestation à prix forfaitaire, que le contrat doit détailler le contenu du forfait et que, dans le cas d’un forfait mensuel, la facture peut ne faire référence qu’au seul forfait mentionné dans le contrat pour la dénomination précise de la prestation. Cet avis éclaire la pratique mais ne constitue ni une disposition législative ni une décision de justice. [S10]

C’est une piste extrêmement utile pour la confidentialité, à condition de ne jamais fabriquer artificiellement un forfait dans le seul but de dissimuler des opérations qui devraient être facturées autrement.

Lorsqu’un modèle économique s’y prête réellement, une entreprise peut concevoir ses offres autour de prestations cohérentes :

Le détail des tâches, des équipes, des horaires, des machines, des incidents, des livrables et des sites peut alors rester dans le contrat, le bon d’intervention ou le rapport d’exécution, au lieu d’être recopié dans chaque facture, si les règles fiscales, commerciales et sectorielles sont respectées.

QUATRIÈME IDÉE MAJEURE : NE JAMAIS UTILISER LA FACTURE COMME CONTENEUR DE DOSSIER

Le précédent italien est particulièrement instructif. L’autorité italienne de protection des données a demandé, pour certaines factures du secteur juridique, que les champs décrivant les biens et services ainsi que les éventuelles pièces jointes soient rendus inintelligibles dans les traitements centraux, afin d’assurer une protection par défaut. Elle avait déjà exigé que la base fiscale se limite aux données nécessaires aux contrôles automatisés, en excluant la description du bien ou du service. [S8, S9]

Ce précédent ne modifie pas le droit français et ne permet pas à une entreprise française de chiffrer unilatéralement les champs que sa plateforme doit traiter. Il prouve cependant une chose importante : la séparation entre données fiscales nécessaires et contenu commercial détaillé est une vraie question de conception, déjà traitée par une autorité européenne.

Doctrine immédiate recommandée :

Un lien placé sur la facture ne doit pas être un simple lien secret de type « quiconque possède l’URL peut ouvrir le document ». Si la facture est volée, le lien le serait aussi. Le portail séparé doit demander une véritable authentification du client et idéalement une authentification forte.

CINQUIÈME IDÉE MAJEURE : COMPARTIMENTER LES PLATEFORMES

La FAQ officielle indique qu’une entreprise peut faire des choix distincts de plateforme pour la facturation électronique et le e-reporting. Elle peut aussi utiliser des plateformes différentes pour l’émission et la réception de ses factures. [S3]

Pour une entreprise à très forte sensibilité économique, cette possibilité peut servir de mécanisme de compartimentation. Par exemple :

Avantage : aucun prestataire commercial unique n’a nécessairement la vision complète des flux entrants et sortants de l’entreprise.

Inconvénient : la complexité augmente, les interfaces se multiplient et donc la surface d’attaque peut elle aussi augmenter. Cette stratégie n’a de sens que si l’entreprise sait gérer plusieurs fournisseurs, plusieurs identités et plusieurs chaînes de surveillance. Pour une petite entreprise, une excellente plateforme unique peut être plus sûre que trois plateformes mal administrées.

Le bon principe est donc de choisir entre centralisation et compartimentation à partir d’une analyse de risque, pas d’une intuition.

SIXIÈME IDÉE MAJEURE : SÉPARER LA BANQUE, LES CONTACTS ET LA FACTURATION

La liste générale des mentions obligatoires publiée par le ministère ne fait pas de l’IBAN, du téléphone ou du courriel d’un contact nominatif une mention générale obligatoire de toute facture. Des obligations particulières ou des exigences contractuelles peuvent néanmoins exister selon le secteur. [S16]

Cela permet plusieurs mesures simples :

Une adresse ou un numéro dédié à un seul écosystème peut jouer le rôle de marqueur de provenance. Si cette adresse reçoit soudain un message frauduleux, l’entreprise dispose d’un indice utile sur la source probable de la fuite. Il ne s’agit pas d’une preuve absolue, mais d’un outil de détection.

SEPTIÈME IDÉE MAJEURE : TRAITER LA PLATEFORME AGRÉÉE COMME UN FOURNISSEUR CRITIQUE

Le cadre français impose déjà des garanties importantes. La plateforme doit notamment satisfaire aux conditions d’immatriculation et d’audit prévues par les textes, disposer d’une certification ISO/IEC 27001 couvrant son activité de facturation dans les conditions réglementaires, respecter les règles d’implantation et d’exploitation applicables, documenter l’identification et l’authentification ainsi que ses processus d’émission, de réception et de transmission. Les audits portent notamment sur la conformité, la traçabilité, les traitements, l’intégrité et la conservation. Le décret n° 2026-677 et l’arrêté du 27 juillet 2026 ont encore actualisé ce cadre, notamment la terminologie de « plateforme agréée », les audits de surveillance, l’interopérabilité et la mobilité. [S4, S5, S15, S31, S32]

Ces exigences constituent un socle. Une entreprise peut contractuellement demander beaucoup plus. La grille qui suit mélange volontairement des exigences de nature différente : elle ne doit pas être lue comme si chaque ligne était imposée par la réglementation. Les passkeys, clés HSM par tenant, double approbation des exports, quotas ou mécanismes de blocage automatique sont notamment des exigences de sécurité ou de contrat à rechercher selon le niveau de risque, et non des obligations générales uniformément imposées à toutes les plateformes.

HUITIÈME IDÉE MAJEURE : SÉCURISER L’IDENTITÉ AVANT DE SÉCURISER LES SERVEURS

Les incidents récents montrent qu’un compte légitime compromis peut être aussi dangereux qu’une faille logicielle. Une entreprise qui choisit une plateforme robuste mais protège mal le compte de son comptable peut perdre la bataille avant même que la plateforme ne soit attaquée.

Le référentiel NIS 2 mis à disposition par l’ANSSI insiste notamment sur la gestion des comptes, le contrôle d’accès, le chiffrement, la segmentation, l’authentification multifacteur, la cartographie de l’écosystème et les procédures de crise. Ces principes sont utiles même aux entreprises qui ne sont pas directement soumises à NIS 2. [S6]

Configuration recommandée pour les comptes de facturation sensibles :

SI LE PIRATE ENTRE QUAND MÊME : RÉDUIRE LE PÉRIMÈTRE D’IMPACT

Le chiffrement au repos est utile, mais il ne suffit pas si l’attaquant obtient un compte que l’application elle-même est autorisée à utiliser pour déchiffrer des factures. Le véritable objectif est d’empêcher qu’un seul compte ou une seule clé permette de lire tout le corpus.

Mesures à exiger ou rechercher chez un fournisseur haut de gamme :

C’est ce que l’on appelle réduire le blast radius, c’est-à-dire le rayon d’explosion. On part du principe qu’une porte finira peut-être par s’ouvrir, mais on refuse qu’elle donne accès à tout le bâtiment.

UNE IDÉE TRÈS FORTE POUR LA FRANCE : L’ENVELOPPE À DIVULGATION SÉLECTIVE

Voici une architecture qui n’est pas aujourd’hui une fonction qu’une entreprise peut imposer seule au système français, mais qui mérite d’être proposée au débat public et aux concepteurs de plateformes.

Le principe : la facture électronique serait divisée logiquement en deux enveloppes.

La seconde enveloppe serait chiffrée dès le système de l’émetteur avec une clé permettant au destinataire autorisé de la lire. La plateforme transporterait le contenu sans disposer d’une clé générale permettant d’ouvrir toutes les factures.

Problème actuel : les plateformes doivent effectuer des contrôles de structure et extraire certaines données. Une telle architecture nécessiterait donc que les champs devant être contrôlés restent accessibles ou que les contrôles soient réalisés avant chiffrement avec une preuve vérifiable. C’est un sujet de normalisation et de réglementation, pas un réglage qu’une PME peut activer demain matin.

Le précédent italien est néanmoins remarquable. L’autorité italienne a précisément demandé de rendre inintelligibles certains champs de description et pièces jointes dans certaines situations, tout en conservant l’inaltérabilité de la facture. Cela démontre qu’une logique de divulgation sélective est techniquement et juridiquement concevable. [S8]

LES TECHNOLOGIES DE RECHERCHE QUI POURRAIENT ALLER ENCORE PLUS LOIN

Plusieurs familles de technologies de protection de la vie privée peuvent, à terme, permettre de calculer, vérifier ou rapprocher des données sans exposer tout le contenu en clair.

Les techniques de cette section relèvent de la catégorie « PISTE PROSPECTIVE » : elles sont présentées comme des voies de recherche ou d’architecture, non comme des fonctions actuellement exigées ou garanties par le dispositif français.

Des travaux de recherche sur la facturation et le billing montrent que le chiffrement homomorphe et le calcul multipartite sécurisé peuvent protéger des données individuelles tout en permettant certains calculs. Des travaux sur la mobilité intelligente ont également évalué expérimentalement le chiffrement homomorphe dans un scénario incluant facturation et billing. Ces résultats ne prouvent pas qu’une solution prête à déployer existe pour la réforme française, mais ils démontrent que l’idée de traiter des données financières sans tout révéler en clair fait l’objet de recherches sérieuses. [S12, S13, S14]

L’ITALIE DONNE UN PRÉCÉDENT TRÈS PRÉCIEUX

Le système italien de facturation électronique a suscité des critiques fortes de l’autorité de protection des données. En 2018, le Garante a indiqué que l’Agence fiscale devait se limiter à mémoriser les données fiscales nécessaires aux contrôles automatisés et exclure la description du bien ou du service de cette base. En 2021, il a demandé pour certaines factures du secteur juridique que les champs de description et les pièces jointes soient rendus inintelligibles dans certains traitements, tout en préservant l’inaltérabilité du document. [S8, S9]

Pour la France, ce précédent suggère trois principes très intéressants :

PLAN D’URGENCE : 18 JOURS AVANT LE 1ER SEPTEMBRE 2026

Voici un plan pragmatique qu’une entreprise peut engager sans attendre une réforme nationale.

POLITIQUE INTERNE PRÊTE À ADOPTER

Une entreprise peut transformer les principes précédents en règle interne simple :

Les pièces justificatives comptables doivent être conservées pendant dix ans. La réduction des copies inutiles ne signifie donc pas supprimer l’archive légale. Elle signifie éviter que la même archive complète reste sans nécessité dans dix environnements différents. [S11]

CE QUI NE MARCHERA PAS, MÊME AVEC UNE EXCELLENTE POLITIQUE

Il faut être lucide sur les limites.

La bonne métrique n’est donc pas « aucune information ne fuite ». La bonne métrique est « combien d’informations stratégiques supplémentaires un pirate peut-il déduire au-delà du minimum que la loi oblige à placer sur la facture ? »

LES DIX MESURES QUI DONNENT LE MEILLEUR RAPPORT EFFORT / PROTECTION

PROPOSITION DE RÉFORME POUR L’ÉTAT ET LES PLATEFORMES

Si l’on veut traiter sérieusement le risque systémique, les entreprises seules ne suffisent pas. Plusieurs protections devraient être étudiées à l’échelle du dispositif national :

ANALYSE COMPLÉMENTAIRE : CE QU’ELLE AJOUTE AU DOSSIER

Cette analyse complémentaire renforce plusieurs points essentiels. Il ajoute une couche qui manquait au premier dossier : il ne suffit pas de réduire ce que la facture révèle. Il faut aussi réduire ce qu’un attaquant peut agréger, empêcher qu’un compte compromis donne accès à tout le système, préparer la preuve juridique du secret des affaires et rendre l’exploitation concurrentielle des données volées plus risquée pour celui qui les achète ou les utilise.

Trois précisions sont cependant indispensables pour ne pas transformer de bonnes idées en fausses sécurités :

La doctrine consolidée devient donc : protéger la facture, protéger le graphe, protéger l’identité, protéger les interfaces, protéger l’archive, préparer la riposte juridique et modifier uniquement les organisations économiques qui ont une réalité opérationnelle.

LA DOCTRINE « ASSUME BREACH » : CONCEVOIR L’ENTREPRISE COMME SI LA FUITE ÉTAIT INÉVITABLE

« Assume breach » signifie : concevoir la défense en supposant qu’une barrière finira un jour par être franchie. Ce principe ne signifie pas qu’un piratage total est certain. Il impose de raisonner sur les conséquences d’un compte légitime compromis, d’un prestataire pénétré ou d’une extraction massive et de rendre chaque compromission aussi locale que possible.

SI UNE PORTE EST FORCÉE, ELLE NE DOIT JAMAIS OUVRIR SUR TOUT LE BÂTIMENT.

Cinq objectifs doivent être poursuivis simultanément :

GUERRE ÉCONOMIQUE : LA FACTURE VOLÉE PEUT DEVENIR UNE BASE DE RENSEIGNEMENT

La DGSI indique publiquement que ses Flash ingérence décrivent des actions d’ingérence économique dont des sociétés françaises sont régulièrement victimes. Une base de facturation structurée peut intéresser un acteur qui cherche à reconstituer un graphe clients-fournisseurs, des dépendances, des rythmes d’achat, des prix, des volumes ou des signaux de montée en cadence.

L’intelligence artificielle ne crée pas la fuite. Elle change cependant l’économie de l’exploitation. Un corpus de millions de lignes, de documents et de relations peut être rapproché, classé et exploré beaucoup plus vite qu’avec une équipe humaine. La défense doit donc viser non seulement la confidentialité d’un document isolé, mais la valeur analytique de l’ensemble du corpus.

Il faut être précis sur le terme concurrence déloyale. Toute connaissance obtenue à partir d’une fuite ne devient pas automatiquement, par elle-même, un acte de concurrence déloyale. En revanche, la jurisprudence française a déjà qualifié de concurrence déloyale la détention ou l’exploitation d’informations confidentielles détournées dans certaines situations. Le régime du secret des affaires offre en parallèle des actions spécifiques lorsque ses conditions sont remplies.

La préparation juridique est donc une mesure de cybersécurité à part entière.

CONTRE-MESURE 1 : CRÉER MAINTENANT UN PROGRAMME « SECRET DES AFFAIRES »

Le Code de commerce protège une information comme secret des affaires lorsqu’elle répond aux conditions légales, notamment lorsqu’elle n’est pas généralement connue ou aisément accessible, qu’elle possède une valeur commerciale du fait de son caractère secret et qu’elle fait l’objet de mesures de protection raisonnables. Cette dernière condition est fondamentale.

Attention : inscrire une information dans un registre interne, apposer la mention « secret des affaires » ou prévoir une clause de confidentialité ne suffit pas, à lui seul, à créer automatiquement la protection légale. Le classement interne constitue un élément de preuve parmi d’autres. Il doit être corroboré par les conditions de l’article L.151-1 du Code de commerce et par des mesures de protection effectivement mises en œuvre : accès restreints, besoin d’en connaître, segmentation, clauses adaptées, traçabilité, contrôle des destinataires et gestion des habilitations. [S19]

Une entreprise qui veut pouvoir agir rapidement après une fuite doit commencer avant la fuite à démontrer que certaines informations étaient effectivement traitées comme secrètes.

À classer formellement, selon le métier :

Pour chaque catégorie, il faut documenter qui peut accéder, pour quelle raison, pendant combien de temps, depuis quels systèmes et avec quelles traces. L’objectif n’est pas seulement de mieux protéger. Il est aussi de fabriquer les preuves qui permettront, si nécessaire, de demander au juge de faire cesser l’utilisation ou la divulgation, d’ordonner la destruction de fichiers et de réclamer réparation.

LA MEILLEURE PREUVE DU SECRET DE DEMAIN SE CONSTRUIT AVANT LA FUITE.

CONTRE-MESURE 2 : LA CONFIDENTIALITÉ DOIT ÊTRE BILATÉRALE

Une entreprise peut rendre ses propres références parfaitement opaques et perdre tout le bénéfice si son client écrit dans le bon de commande un nom de projet explicite. Le numéro du bon de commande doit figurer sur la facture lorsqu’il a été préalablement établi par l’acheteur. Il faut donc agir des deux côtés.

Annexe contractuelle recommandée avec les partenaires stratégiques :

CONTRE-MESURE 3 : EXPLOITER JURIDIQUEMENT LA DIFFÉRENCE ENTRE FACTURE ET DONNÉES STRUCTURÉES

Le point le plus important de cette analyse complémentaire est confirmé, mais il faut le formuler avec précision. L’article 242 nonies J prévoit que les données de facturation transmises à l’administration sous une forme structurée sont choisies parmi les mentions obligatoires, à l’exception de la dénomination précise du bien livré ou du service rendu. Cette dénomination demeure obligatoire sur la facture elle-même. Il serait toutefois faux d’en conclure qu’elle n’est jamais structurée : l’article 41 septies D, dans sa rédaction modifiée par l’arrêté du 27 juillet 2026, prévoit qu’à compter du 1er septembre 2027 les factures électroniques comportent également sous format structuré plusieurs données supplémentaires, dont la dénomination précise. La distinction porte donc sur ce qui est transmis à l’administration au titre de l’article 242 nonies J, et non sur l’existence éventuelle d’un champ structuré dans la facture. [S17, S32]

Cette distinction conduit à une règle opérationnelle : ce qui doit être exact et suffisamment précis pour le client doit l’être, mais rien ne justifie d’ajouter spontanément des détails qui ne sont ni obligatoires, ni nécessaires au paiement, ni indispensables à l’identification de l’opération.

Exemples de détails à bannir lorsqu’ils ne sont pas nécessaires :

CONTRE-MESURE 4 : DES OFFRES COMMERCIALES QUI RÉVÈLENT MOINS PAR CONSTRUCTION

Quand l’économie réelle le permet, un forfait, un abonnement, un lot cohérent ou un jalon contractuel peut réduire la granularité du renseignement contenu dans une facture. Il ne s’agit jamais de masquer artificiellement des opérations. Il s’agit de concevoir l’offre commerciale de manière à ce que le détail opérationnel vive dans le contrat et le dossier d’exécution, pas dans la facture.

Exemples à étudier selon le métier :

La facture périodique peut réduire certains signaux temporels, mais elle ne fait pas disparaître les obligations de description. Elle ne doit donc jamais être présentée comme un camouflage magique.

CONTRE-MESURE 5 : MODIFIER LE GRAPHE COMMERCIAL UNIQUEMENT LORSQUE L’ÉCONOMIE RÉELLE LE JUSTIFIE

Même une facture parfaitement minimisée révèle encore une relation entre un vendeur et un acheteur. Dans quelques secteurs très sensibles, le seul moyen de retirer une relation directe d’un corpus donné consiste à modifier réellement l’organisation commerciale ou logistique.

Trois pistes structurantes existent :

Le commissionnaire est défini par le Code de commerce comme celui qui agit en son propre nom pour le compte d’un commettant. Cette piste ne doit jamais être transformée en société écran fictive.

Le hub logistique ne doit jamais servir à inscrire une fausse adresse de livraison. Il doit être le lieu où le fournisseur livre réellement.

L’assujetti unique TVA est une piste réservée aux groupes remplissant les conditions légales. Les opérations internes sont étrangères au système de TVA et ne sont pas soumises aux règles de facturation TVA de droit commun. Il faut cependant prendre en compte les autres obligations comptables, fiscales et déclaratives et faire valider la structure par un fiscaliste.

CONTRE-MESURE 6 : LA TABLE DE CORRESPONDANCE EST LE VRAI COFFRE-FORT

Une facture peut porter la référence CT-K7F4-921C. Si le même environnement contient un fichier indiquant que CT-K7F4-921C correspond au programme secret, au client final, au site et au prototype, le pirate n’a besoin que de deux clics supplémentaires.

Règle de séparation forte :

La table de correspondance doit être classée secret des affaires et faire l’objet de contrôles d’accès et de journaux plus stricts que les factures elles-mêmes.

CONTRE-MESURE 7 : INTERDIRE LES INTÉGRATIONS « ASPIRATEUR »

La future fuite la plus grave pourrait ne pas être la fuite de la plateforme elle-même. Elle pourrait être le vol d’un jeton d’API disposant de droits trop larges et permettant de remonter depuis la facturation vers le CRM, les contrats, la GED ou l’ERP complet.

Architecture recommandée :

API signifie Application Programming Interface. Il s’agit de l’interface par laquelle deux logiciels échangent automatiquement. Le principe du moindre privilège impose que chaque API ne puisse exécuter que la fonction strictement nécessaire.

CONTRE-MESURE 8 : UNE API QUASI UNIDIRECTIONNELLE

Le flux normal d’émission doit pouvoir pousser une facture sans ouvrir en retour une capacité de lecture illimitée. L’objectif est fonctionnellement proche d’un sens unique : le système interne envoie ce qui est nécessaire et le compte utilisé pour cette opération ne peut pas aspirer l’historique.

À demander immédiatement à la plateforme :

CONTRE-MESURE 9 : UNE SEULE ARCHIVE DE RÉFÉRENCE, PAS DIX COPIES EXPLOITABLES

L’entreprise doit conserver ses factures selon les durées légales. Cette obligation ne signifie pas qu’elle doit conserver dix copies immédiatement interrogeables dans dix systèmes différents.

Doctrine de réplication minimale :

Plus il existe de copies complètes, plus l’entreprise multiplie les chemins possibles vers le même butin.

CONTRE-MESURE 10 : SÉPARER STOCKAGE CHAUD ET STOCKAGE FROID

Le stockage chaud contient les documents immédiatement consultables par les applications courantes. Le stockage froid contient l’historique dans une archive volontairement moins accessible.

Objectif : une compromission du système quotidien ne doit pas donner automatiquement dix ans d’historique.

La possibilité dépendra du contrat et de l’architecture de la plateforme. Il faut la négocier et ne pas supposer que l’archive opérationnelle du prestataire est nécessairement la seule archive légale de l’entreprise.

CONTRE-MESURE 11 : LIMITER LA RÉTENTION CHEZ CHAQUE INTERMÉDIAIRE

Les plateformes sont soumises à des obligations de traitement, de conservation et de traçabilité. L’entreprise doit néanmoins comprendre exactement ce qui reste chez son prestataire, combien de temps, dans quelles sauvegardes et sous quelle forme.

Questions à poser par écrit :

L’objectif n’est pas de violer une obligation de conservation. Il est d’éviter une conservation opérationnelle éternelle et immédiatement requêtable partout.

CONTRE-MESURE 12 : UN COUPE-CIRCUIT QUI FONCTIONNE MÊME SI L’ADMINISTRATEUR EST VOLÉ

Le plan de crise doit permettre de neutraliser le canal de facturation en quelques minutes, y compris lorsque le compte administrateur principal est compromis.

Le coupe-circuit doit permettre :

SSO signifie Single Sign-On, ou authentification unique. Une compromission du fournisseur d’identité ne doit pas empêcher l’entreprise de reprendre le contrôle de la plateforme.

CONTRE-MESURE 13 : PRÉPARER LA SORTIE DE LA PLATEFORME AVANT L’INCIDENT

Le changement de plateforme doit être considéré comme un scénario de continuité d’activité. Le droit prévoit désormais un processus de changement de plateforme de réception. L’entreprise doit connaître à l’avance les étapes techniques et contractuelles.

À documenter :

CONTRE-MESURE 14 : « UNE FACTURE NE CHANGE JAMAIS UN RIB »

Une fuite massive de factures ne servirait pas seulement au renseignement économique. Elle permettrait aussi de fabriquer des fraudes au faux fournisseur extrêmement crédibles. Le pirate connaîtrait le vrai client, le vrai fournisseur, les montants plausibles et le rythme de paiement.

AUCUNE MODIFICATION D’IBAN N’EST VALABLE PARCE QU’ELLE FIGURE SUR UNE FACTURE, UN COURRIEL OU UN MESSAGE DE PLATEFORME.

Toute modification doit exiger :

Verification of Payee, ou VoP, est le service de vérification de concordance entre l’IBAN et l’identité du bénéficiaire. Il constitue un filtre utile contre la substitution de coordonnées bancaires, mais ne remplace pas la confirmation indépendante.

CONTRE-MESURE 15 : UN COMPTE D’ENCAISSEMENT QUI N’EST PAS LE CŒUR DE LA TRÉSORERIE

Lorsqu’elle est compatible avec l’organisation bancaire de l’entreprise, une architecture de collecte dédiée peut réduire le risque associé à l’exposition d’un IBAN.

À étudier avec la banque :

Cette architecture ne masque pas le client. Elle limite l’impact financier et facilite la détection d’anomalies.

CONTRE-MESURE 16 : SEGMENTER LES PORTEFEUILLES STRATÉGIQUES

Si l’organisation et le routage le permettent, l’entreprise peut étudier une segmentation par établissement, adresse de facturation, activité ou portefeuille stratégique. Le but n’est pas de créer artificiellement des entités. Il est d’éviter qu’un utilisateur ou un compte quotidien puisse interroger l’intégralité du corpus.

La bonne question à poser à la plateforme est : peut-on isoler techniquement un portefeuille critique sans donner au même rôle de lecture un accès transversal à tous les autres ?

CONTRE-MESURE 17 : IMPOSSIBLE DE TÉLÉCHARGER 250 000 FACTURES SANS DÉCLENCHER UNE CRISE

Le contrôle le plus important n’est pas l’existence d’un mot de passe complexe. C’est la capacité du système à reconnaître une utilisation qui n’a aucun sens économique.

À exiger :

Un comptable normal n’a pas besoin de télécharger l’histoire complète de l’entreprise. Si le produit ne permet pas de limiter ce comportement, cela doit compter négativement dans le choix du fournisseur.

CONTRE-MESURE 18 : LE JOURNAL DE PREUVE DOIT ÊTRE HORS DE LA PLATEFORME

Si la seule trace des exports, changements de droits et connexions inhabituelles reste dans le système compromis, l’attaquant peut potentiellement compromettre la preuve en même temps que la donnée.

À mettre en place lorsque possible :

CONTRE-MESURE 19 : MARQUER LES DOCUMENTS SANS FAUSSE DONNÉE

Une facture ne doit jamais contenir de fausses informations destinées à piéger un pirate. En revanche, l’entreprise peut renforcer la traçabilité en conservant des empreintes cryptographiques, des identifiants uniques légitimes et des journaux permettant d’établir quelle version a circulé par quel canal.

Une empreinte cryptographique est une valeur calculée à partir d’un fichier. Si le fichier change, l’empreinte change. Elle permet donc d’aider à démontrer l’intégrité d’un document sans ajouter d’information commerciale fausse.

À proscrire : faux clients, faux montants, fausses adresses, fausses opérations, fausses factures et données leurres dans le document légal.

CONTRE-MESURE 20 : PRÉPARER LA RIPOSTE CONTRE CELUI QUI ACHÈTE OU UTILISE LES DONNÉES VOLÉES

Le programme secret des affaires n’empêche pas l’attaque. Il change la position juridique de l’entreprise après l’attaque. Le Code de commerce considère notamment comme illicite l’obtention d’un secret par accès non autorisé à un fichier qui le contient ou dont il peut être déduit. Il vise aussi l’utilisation ou la divulgation lorsque la personne savait, ou aurait dû savoir selon les circonstances, que l’information provenait d’une source illicite.

Le juge peut notamment ordonner de faire cesser l’utilisation ou la divulgation, ordonner la destruction ou la remise de fichiers et accorder des dommages et intérêts. Le calcul du préjudice peut tenir compte des conséquences économiques négatives, du manque à gagner, de la perte subie, de la perte de chance et des bénéfices réalisés par l’auteur de l’atteinte.

La jurisprudence sur la concurrence déloyale montre en outre que la détention d’informations confidentielles détournées d’un concurrent peut, dans certaines circonstances, constituer un acte déloyal. Il faut donc préparer immédiatement le dossier de preuve plutôt que découvrir ces exigences après la perte d’un marché.

Kit juridique à préparer maintenant :

CONTRE-MESURE 21 : PRÉPARER LA RÉPONSE RGPD ET CNIL AVANT LA FUITE

Une fuite de factures B2B n’est pas automatiquement une violation de données à caractère personnel. Elle le devient dès lors que le corpus compromis contient des données permettant d’identifier directement ou indirectement des personnes physiques : entrepreneur individuel, nom d’un salarié ou d’un contact, courriel nominatif, téléphone, coordonnées bancaires ou autres informations personnelles. La réponse « secret des affaires » et la réponse RGPD doivent alors fonctionner en parallèle.

Le RGPD impose de documenter toute violation de données à caractère personnel. Lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, le responsable du traitement doit la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Lorsqu’un risque élevé est susceptible d’en résulter, les personnes concernées doivent également être informées dans les meilleurs délais, sous réserve des exceptions prévues par le règlement. Le sous-traitant, lorsqu’il agit en cette qualité, doit notifier au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance. [S33, S34]

Kit RGPD à préparer avant l’incident :

UNE FUITE DE FACTURES PEUT DÉCLENCHER DEUX DOSSIERS EN PARALLÈLE : PROTECTION DU SECRET ÉCONOMIQUE ET VIOLATION DE DONNÉES PERSONNELLES.

CE QUI PEUT ÊTRE FAIT AVANT SEPTEMBRE, CE QUI DOIT ATTENDRE

CHECK-LIST CONTRACTUELLE À ENVOYER À UNE PLATEFORME AGRÉÉE

Une entreprise devrait obtenir une réponse écrite à chacune de ces questions avant de considérer le prestataire comme acceptable. Sauf lorsqu’une obligation réglementaire est expressément identifiée, il s’agit ici d’exigences contractuelles recommandées ou de bonnes pratiques de cybersécurité à adapter au risque propre de l’entreprise :

CHECK-LIST INTERNE « SI TOUTES NOS FACTURES FUITENT DEMAIN »

CONCLUSION

Si l’on sait qu’un coffre peut un jour être forcé, la première règle n’est pas de renoncer à avoir un coffre. C’est de ne pas y ranger, sans nécessité, les plans de l’usine, la liste des clients stratégiques, le nom des projets secrets, les coordonnées de chaque ingénieur et les détails de chaque opération en plus de l’argent qui doit réellement s’y trouver.

La facture électronique française impose certaines informations. Celles-là doivent être exactes et accessibles selon les règles prévues. Mais l’entreprise conserve une marge considérable sur tout le reste.

La doctrine la plus robuste peut être résumée en une phrase :

SI TOUTES MES FACTURES SONT VOLÉES DEMAIN, JE VEUX QUE LE PIRATE Y TROUVE LE MINIMUM LÉGAL, PAS LE MODE D’EMPLOI STRATÉGIQUE DE MON ENTREPRISE.

Cette approche ne supprime pas le risque systémique de la réforme. Elle réduit en revanche immédiatement la valeur du butin, et elle peut être appliquée avant même que les pouvoirs publics décident d’aller plus loin sur la cryptographie, la minimisation ou la confidentialité par conception.