Plus de six ans après l’entrée en vigueur du Règlement général sur la protection des données (GDPR), de nombreuses organisations disposent de programmes de conformité matures. Les collaborateurs suivent des formations de sensibilisation à la sécurité, les politiques sont documentées et acceptées, et les délégués à la protection des données assurent un suivi régulier de la conformité. Pourtant, les violations de données continuent de découler du même problème de fond : le risque humain. Qu’il s’agisse d’identifiants compromis, de privilèges d’accès excessifs ou de comportements à risque, les personnes restent l’une des principales sources de cyber-risque pour une organisation.

Le GDPR n’a jamais été conçu comme un exercice documentaire. Si les formations, les politiques, les audits et les registres de conformité sont des éléments essentiels d’un programme, le règlement exige aussi des organisations qu’elles identifient, évaluent et réduisent les risques liés aux personnes qui accèdent aux données personnelles et les traitent. La conformité ne doit pas seulement démontrer que des contrôles de sécurité existent, mais aussi qu’ils réduisent effectivement le risque.

C’est précisément le problème que le Human Risk Intelligence (HRI) est conçu pour résoudre. En offrant une vision continue et pilotée par la donnée du risque humain, le HRI permet aux organisations d’identifier les utilisateurs à haut risque, de prioriser la remédiation et de réduire le risque de façon proactive avant qu’il ne se traduise par un incident de sécurité.

Dans ce blog, nous verrons comment le HRI exploite les enseignements issus de la formation de sensibilisation, des simulations de phishing, de la gestion des politiques internes et de la surveillance du dark web, et comment il aide les organisations à dépasser la conformité à cocher pour construire une approche du GDPR plus proactive et guidée par le risque.

‍

Pourquoi les activités de conformité ne suffisent pas

Les cyberattaques récentes montrent qu’une conformité documentée ne suffit pas, à elle seule, à prévenir les incidents de sécurité.

• En octobre 2023, une société de tests génétiques a révélé que des attaquants avaient compromis environ 6,9 millions de comptes utilisateurs via une attaque par credential stuffing. Plutôt que d’exploiter un pare-feu ou une vulnérabilité zéro-day, les attaquants ont utilisé des identifiants exposés lors de violations précédentes pour accéder aux comptes dont les mots de passe avaient été réutilisés. L’authentification multifacteur (MFA) n’était pas imposée de manière homogène dans l’organisation, et aucun processus continu ne permettait d’identifier les identifiants de collaborateurs ou de clients déjà exposés sur les marchés criminels avant que les attaquants ne les exploitent.
  
  Malgré un programme de confidentialité et une équipe sécurité dédiée, l’entreprise a fait l’objet d’enquêtes réglementaires au Royaume-Uni et au Canada, ainsi que d’un règlement de plus de 30 millions de dollars aux États-Unis.
• Un schéma similaire s’est produit l’année précédente lors d’attaques contre deux grands exploitants de casinos et de complexes hôteliers de Las Vegas. Dans ces incidents, les attaquants n’ont jamais eu besoin de voler un mot de passe. Ils ont contacté le service d’assistance interne, se sont fait passer de manière convaincante pour un collaborateur et ont persuadé un agent de réinitialiser le MFA sur un compte à privilèges. L’une des organisations aurait subi des pertes supérieures à 100 millions de dollars à la suite de l’attaque.

Dans les deux cas, la cause première n’était ni un système non corrigé ni un exploit technique sophistiqué. C’était un risque humain qui n’avait été ni identifié, ni priorisé, ni traité avant que les attaquants n’exploitent ces faiblesses. Ces incidents mettent en lumière une réalité importante : une organisation peut afficher une conformité solide sur le papier tout en restant vulnérable en pratique. Sans visibilité continue sur le risque humain, elle risque de passer à côté des personnes et des comportements les plus susceptibles de contribuer à la prochaine violation.

Ce que mesure réellement le Human Risk Intelligence

Le HRI offre aux organisations une vision continue et pilotée par la donnée du risque humain. Plutôt que de traiter la complétion des formations, l’hygiène des mots de passe, l’activité des comptes et les niveaux d’accès comme des rapports distincts gérés dans des outils distincts, il corrèle ces signaux en un profil d’exposition unique et mis à jour en continu pour chaque personne de l’organisation. Ce profil s’organise généralement autour de quatre piliers.

‍

Aucun pilier n’est dangereux en soi. Un dirigeant disposant de larges privilèges d’accès n’a rien d’inhabituel. La plupart des collaborateurs échouent à une simulation de phishing à un moment ou à un autre, et les changements de mot de passe en retard sont courants dans les grandes organisations. Pris isolément, ces facteurs méritent de l’attention, mais n’indiquent pas nécessairement un risque élevé.

Le risque devient bien plus significatif lorsque plusieurs indicateurs convergent sur la même personne. Un collaborateur disposant d’accès privilégiés, avec une hygiène de mots de passe insuffisante, des échecs répétés en phishing et une formation de sécurité obsolète présente un niveau de risque nettement plus élevé que ne le suggérerait chacun de ces facteurs pris séparément.

Comprendre le risque comme la combinaison de plusieurs facteurs comportementaux et techniques, c’est ce qui distingue une stratégie proactive de réduction du risque d’un programme de conformité traditionnel. Comme le montrent les sections suivantes, ce principe sous-tend plusieurs exigences clés du GDPR et explique pourquoi une visibilité continue sur le risque humain est essentielle à une conformité efficace.

Human Risk Intelligence · Article 32 & considérant 83

L’article 32 est l’une des dispositions du GDPR les plus souvent invoquées lors des enquêtes sur les violations de données. Il impose aux organisations de mettre en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque. Pour déterminer ce qui est approprié, elles doivent tenir compte de facteurs tels que l’état de l’art, les coûts de mise en œuvre, ainsi que la nature, la portée, le contexte et les finalités de leurs traitements.

Le considérant 83 renforce cette exigence en précisant que les organisations doivent évaluer en continu les risques liés au traitement des données personnelles et mettre en place des mesures pour les atténuer. Ensemble, ces dispositions sont claires : le GDPR ne prescrit pas un ensemble figé de contrôles de sécurité. Il attend des organisations qu’elles évaluent leur risque en continu et adaptent leurs mesures à mesure que ce risque évolue.

Les violations récentes illustrent les conséquences d’un manquement à cette exigence.

• Au milieu de l’année 2024, une série de cyberattaques a touché plus de 100 organisations utilisant une plateforme de données cloud partagée, dont un grand opérateur télécom et une billetterie mondiale. La plateforme elle-même n’a pas été compromise. Les attaquants ont obtenu l’accès en utilisant des identifiants volés lors de violations sans lien, sur des comptes clients où le MFA n’était pas imposé. La plupart des organisations concernées disposaient probablement de politiques de sécurité documentées. Bien moins nombreuses étaient celles qui maintenaient une vision continue des comptes dépourvus de MFA tout en ayant accès à des systèmes ou des données sensibles. C’est précisément ce type de visibilité permanente sur le risque que le considérant 83 attend des organisations.
  ‍
• Autre exemple en janvier 2024, lorsqu’un groupe soutenu par un État lié aux services de renseignement russes a compromis des comptes de messagerie d’entreprise chez un grand acteur technologique, y compris ceux de dirigeants. Les attaquants ont obtenu un accès initial via un ancien compte de test protégé par des contrôles faibles, avant d’exploiter des permissions OAuth excessives pour maintenir un accès durable. L’incident montre que les mesures de sécurité appropriées doivent dépasser les seuls systèmes de production. Comptes dormants, environnements de test oubliés, identités héritées et permissions applicatives excessives peuvent tous créer un risque organisationnel important s’ils ne sont pas surveillés et gérés en continu.

L’aspect le plus souvent négligé de l’article 32 est peut-être que l’identification du risque n’est qu’un point de départ. Un score de risque ne suffit pas à satisfaire le GDPR. Les organisations démontrent leur conformité lorsque les risques identifiés déclenchent des actions de remédiation concrètes et mesurables : imposer le MFA aux utilisateurs à haut risque, désactiver les comptes dormants, retirer les permissions OAuth inutiles ou réduire des privilèges d’accès excessifs.

Tout aussi important : la capacité à démontrer que ces actions ont été menées et que le niveau de risque associé a diminué. Ce cycle continu — identifier le risque, prioriser la remédiation, vérifier une réduction mesurable — transforme le HRI d’un tableau de bord de reporting en une preuve de conformité effective au GDPR.

Formation de sensibilisation & simulations de phishing · Article 39

La formation de sensibilisation à la sécurité est un élément fondamental d’une protection des données efficace dans le GDPR. L’article 39(1)(b) identifie la sensibilisation et la formation des collaborateurs comme l’une des missions essentielles du délégué à la protection des données, aux côtés du contrôle de la conformité et de la réalisation des audits associés. Cela réaffirme un principe important : protéger les données personnelles ne dépend pas seulement de la technologie, mais aussi de la capacité des collaborateurs à reconnaître les risques de sécurité et à y réagir.

Malgré cette exigence, de nombreuses organisations s’appuient encore sur une approche uniforme de la sensibilisation. Des sessions annuelles dispensées à tous, quels que soient le rôle ou le niveau de risque, peuvent cocher une case de conformité, mais produisent rarement un changement de comportement durable. La question n’est pas de savoir si la formation existe, mais si elle est pertinente, opportune et suffisamment répétée pour influencer les comportements. Il est tout aussi important d’en mesurer l’efficacité par des simulations de phishing réalistes plutôt que par de simples quiz de connaissances.

Tous les collaborateurs ne font pas face aux mêmes menaces. Une personne du service financier visée par de la fraude au président (BEC) et de la fraude à la facture n’a pas besoin des mêmes conseils qu’une nouvelle recrue marketing ou qu’un administrateur IT doté d’accès privilégiés. Si l’article 39(1)(b) ne prescrit pas de méthode pédagogique précise, il attend clairement des organisations qu’elles démontrent une progression de la sensibilisation dans le temps.

Le HRI transforme la formation de sensibilisation d’une activité de conformité en une stratégie mesurable de réduction du risque. Il évalue si la formation change les comportements en combinant résultats des simulations de phishing, performance en sensibilisation et autres indicateurs de risque dans le profil global de chaque personne. La formation est réussie non pas lorsqu’elle est terminée, mais lorsqu’elle entraîne une réduction mesurable du risque.

Gestion des politiques internes · Article 24 & considérant 78

L’article 24 place la responsabilité de la protection des données directement sur le responsable du traitement. Il impose de mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques liés aux traitements, en tenant compte de leur nature, de leur portée, de leur contexte et de leurs finalités. Surtout, ces mesures doivent inclure des politiques de protection des données appropriées.

Le considérant 78 complète cette exigence en encourageant les organisations à établir des politiques internes soutenant les principes de protection des données dès la conception et par défaut. Ensemble, ces dispositions sont claires : le GDPR ne se satisfait pas de politiques documentées. Les organisations doivent pouvoir démontrer que ces politiques sont intégrées aux opérations quotidiennes et qu’elles évoluent avec les risques.

C’est là que de nombreux outils de gestion des politiques atteignent leurs limites. Les politiques sont publiées, les collaborateurs les acceptent, et ces acceptations sont enregistrées. Cela prouve qu’une politique existe, mais pas qu’elle est respectée ni qu’elle reste adaptée à l’évolution du paysage de risque. L’article 24 attend des organisations que leurs politiques contribuent activement à la réduction du risque.

Le HRI transforme la gestion des politiques d’un exercice de conformité statique en un contrôle de sécurité opérationnel. Plutôt que de traiter les acceptations comme des enregistrements isolés, il les corrèle avec d’autres indicateurs de risque humain : privilèges d’accès, performance en sensibilisation, hygiène des mots de passe et comportements. Les équipes sécurité et conformité peuvent ainsi savoir non seulement qui a accepté les politiques critiques, mais aussi si des personnes à haut risque ne l’ont pas fait.

Les politiques deviennent également dynamiques plutôt que statiques. Elles peuvent être revues et rappelées lorsqu’un collaborateur change de fonction, obtient des privilèges élevés, commence à traiter de nouvelles catégories de données personnelles ou adopte des comportements qui augmentent le risque. Les politiques deviennent ainsi des contrôles vivants, qui s’adaptent à l’évolution de l’organisation. Cette distinction entre documenter une politique et démontrer qu’elle influence les comportements est au cœur de l’intention de l’article 24 et du considérant 78.

Surveillance du dark web · Articles 33 & 34

La détection précoce est essentielle pour respecter le délai de notification de 72 heures du GDPR. Les articles 33 et 34 fixent des attentes claires en matière de notification. L’article 33 impose de notifier l’autorité de contrôle d’une violation de données personnelles dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance de l’incident. L’article 34 impose d’informer les personnes concernées dans les meilleurs délais lorsqu’une violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

Ces deux obligations dépendent d’un facteur critique : la rapidité de détection. Le délai de 72 heures ne commence pas au moment de la violation, mais au moment où l’organisation en prend connaissance. Pour beaucoup, c’est là que se situe la plus grande difficulté. Bien souvent, les organisations apprennent la compromission de comptes par des sources externes : forces de l’ordre, chercheurs en sécurité ou clients signalant une activité suspecte.

La surveillance continue du dark web aide à combler ce déficit de visibilité en alertant tôt lorsque des identifiants d’entreprise apparaissent dans des bases de violations connues ou sur des marchés criminels. Au lieu d’attendre qu’un attaquant exploite des identifiants exposés, l’organisation peut identifier les comptes potentiellement concernés, enquêter sur l’exposition et agir avant que le risque ne s’aggrave.

Cette approche proactive soutient la conformité au GDPR de deux manières importantes. D’abord, elle permet d’identifier bien plus tôt des incidents potentiels, ce qui améliore la capacité à respecter l’esprit du délai de 72 heures de l’article 33. Ensuite, en détectant les identifiants exposés avant qu’ils ne soient utilisés, l’organisation peut souvent corriger le problème avant qu’il ne devienne une violation de données personnelles nécessitant une notification au titre de l’article 34.

En définitive, la surveillance du dark web donne aux organisations une visibilité plus précoce sur l’exposition des identifiants, permettant une réponse plus rapide, réduisant le risque organisationnel et renforçant leur capacité à satisfaire les exigences du GDPR en matière de détection et de notification.

Réunir les exigences du GDPR grâce au Human Risk Intelligence

Bien que les articles 24, 32, 33, 34 et 39 traitent d’aspects différents du GDPR, ils servent tous le même objectif : aider les organisations à identifier, gérer et réduire le risque en continu.

Plutôt que de privilégier des actions de conformité ponctuelles, ces dispositions promeuvent une approche continue et fondée sur les preuves de la protection des données personnelles. L’article 24 exige que les politiques se reflètent dans les opérations quotidiennes. L’article 32 exige une évaluation et une atténuation continues des risques de sécurité. Les articles 33 et 34 exigent de détecter les incidents et d’y répondre rapidement. L’article 39 exige de démontrer que les efforts de sensibilisation améliorent les comportements.

Répondre à ces exigences repose sur une capacité commune : maintenir une vision continue et unifiée du risque humain dans toute l’organisation. Le HRI apporte cette capacité en réunissant sensibilisation, performance en phishing, données d’identité et d’accès, hygiène des mots de passe, conformité aux politiques et autres indicateurs comportementaux dans une vue unique et actualisée en continu. Au lieu de dépendre de rapports déconnectés issus de multiples outils, les organisations obtiennent la visibilité nécessaire pour prioriser la remédiation, mesurer les progrès et démontrer que leur programme de sécurité réduit activement le risque, au lieu de simplement documenter la conformité.

Human Risk Intelligence : la couche manquante de la conformité au GDPR

Le GDPR n’a jamais eu pour objectif de prescrire un ensemble figé de contrôles de sécurité. Il a été conçu pour rester pertinent à mesure que la technologie et les cybermenaces évoluent. Plus de six ans de décisions d’application ont rendu son intention de plus en plus claire : les organisations doivent comprendre leur risque en continu, adapter leurs mesures de sécurité en conséquence et réduire ce risque avant qu’il ne se traduise par un incident.

Le HRI apporte la capacité opérationnelle pour répondre à cette attente. Il corrèle en continu les signaux issus de la formation de sensibilisation, des simulations de phishing, de la gestion des politiques, des contrôles d’identité et d’accès, de l’hygiène des mots de passe et de l’exposition des identifiants pour créer une vision unifiée du risque humain. Plus important encore, il convertit ces enseignements en actions de remédiation mesurables, permettant d’identifier les utilisateurs à haut risque, de prioriser les interventions et de démontrer que le risque a diminué dans le temps.

En définitive, le Human Risk Intelligence fait le lien entre conformité réglementaire et sécurité opérationnelle, transformant le GDPR d’un cadre servant à démontrer la conformité en un cadre permettant de réduire le risque en continu.

Prêt à réduire le risque humain ?

Si votre organisation souhaite dépasser la conformité à cocher et construire une approche plus proactive du GDPR, le Human Risk Intelligence peut vous aider. Découvrez comment une visibilité continue sur le risque humain permet d’identifier les utilisateurs à haut risque, de prioriser la remédiation et de démontrer une réduction mesurable du risque dans toute votre organisation.

Découvrez le Human Risk Intelligence ou réservez une démo pour voir comment il peut renforcer votre stratégie de conformité au GDPR.

‍