L'informatique et le RGPD

Le RGPD n'attribue pas au DPO la responsabilité de la sécurité "physique" des données.
Néanmoins, un minimum de langage commun et de connaissances sont utiles, voire indispensables.

Testez vos connaissances avec ce Quiz !
--
Christophe Champoussin, Gérant d’Anaxia Conseil / Responsable pédagogique

- Vous devez répondre à toutes les questions
- Les questions qui appellent une réponse unique voient les propositions précédées d'un rond
- Les questions qui appellent une ou plusieurs réponses voient les propositions précédées d'un carré

_{Les données de ce formulaire sont recueillies par ANAXIA CONSEIL au titre de son intérêt légitime à développer son activité de formation ; elle sont destinées au service formation et}_{conservées pour une durée maximale de 3 ans après la fin de la relation commerciale, ou après votre dernière demande, puis seront anonymisées. Conformément à la loi "Informatique et Libertés" du 6 janvier 1978 modifiée et au Règlement Européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, vous disposez d'un droit d'accès et de rectification aux informations qui vous concernent ainsi que d'un droit d'opposition, du droit à la limitation du traitement et à l'effacement dans le cadre de la réglementation en vigueur. Vous pouvez exercer ces droits par courrier postal (joindre un justificatif d’identité) auprès de ANAXIA CONSEIL • 400 Avenue Roumanille • Village Greenside • BP 309 • 06906 SOPHIA ANTIPOLIS Cedex. Si vous estimez, après nous avoir contactés, que vos droits Informatique et Libertés ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL. Pour votre parfaite information, ANAXIA CONSEIL a désigné un délégué à la protection des données, que vous pouvez joindre à l’adresse mail dpo@anaxia-conseil.fr.}

Quand devons-nous effacer les données mémorisées dans nos copieurs multifonctions ? *

Ah bon ? Ça mémorise des données ?

À la fin de leur période de location

À chaque changement d'une cartouche d’impression

En cas de maintenance

Quelle(s) recommandation(s) pouvez -vous faire en tant que DPO à vos collègues en charge du marché des imprimantes partagées ? *

Veiller à la présence d’une broyeuse à immédiate proximité, si certaines impressions sont « sensibles »

Veiller à doter l’imprimante d’un code d’accès, afin d’éviter que des impressions sortent en l’absence de l’utilisateur qui les a « lancées »

En cas de maintenance

Que signifie le terme « time out » appliqué à une session informatique ? *

La durée de vie d'un ordinateur

Le temps d'amortissement financier d'un ordinateur

Le temps au bout duquel la session se ferme au niveau d'une application sans action de l'utilisateur

Il est prudent de verrouiller son poste de travail … *

Lorsqu'on part en réunion

Lorsqu'on va aux toilettes

Lorsqu'on prend un appel téléphonique à son bureau

Lorsqu'on part déjeuner

Une faille de sécurité … *

Est forcément exploitable par les pirates

Doit être le plus rapidement possible corrigée par un « patch » ou une nouvelle version

Doit être notifiée à la CNIL sous 72 heures

Qu’appelle-t-on une « zero day » ? *

Le moment à partir duquel commencent les « 72 heures » qu’a un responsable de traitement pour notifier une violation à la CNIL

Le jour où l’on découvre qu’un pirate est entrée dans notre système d’information

Une vulnérabilité (faille de sécurité) pour laquelle il n'existe aucun correctif connu

Qu’est-ce que le « BYOD » ? *

Buy Your Own Device

Bring Your Own Device

Build Your Own Device

Quelles sont les problématiques que soulève le BYOD, notamment pour un DPO ? *

L’équipement qui est la propriété du salarié risque-t-il d’infecter notre système d’information ?

L’équipement qui est la propriété du salarié risque-t-il d’exfiltrer nos actifs immatériels ?

L’équipement qui est la propriété du salarié abrite-t-il des données personnelles de l’entreprise qui pourraient faire l’objet d’une violation ?

Un « PC Zombi », c’est … *

Un ordinateur très lent

Un ordinateur dont on ne connait pas le propriétaire

Un ordinateur infecté (par un malware) et qui « obéit » à l’auteur de l’infection (pour diffuser du spam, par exemple, à l’insu de son propriétaire)

Un ordinateur fabriqué en Haïti

Au sein d’une DSI, de quoi est chargé un « DBA » ? *

De la messagerie électronique

De l’archivage et de la sauvegarde des données

Des bases de données

Du site web

En tant que DPO, quels sujets aborder avec un DBA ? *

Le chiffrement des bases de données

Le choix du fournisseur de base de données

La sécurité d’accès physique et logique aux bases de données

La traçabilité des accès aux données présentes dans les bases

En tant que DPO, de quoi parler avec un Webmaster technique ? *

La présence de cookies et autres traceurs

L’utilisation d’un outil de mesure d’audience

La présence d’un bouton « I like » de Facebook

L’appel aux polices de caractères de Google

Notre site web est équipé d'un reCAPTCHA de Google *

Aucun souci. Google nous assure qu’il est « GDPR compliant »

Ce module se traduit par un flux transfrontière vers les USA de données personnelles

L’utilisation de ce module est actuellement mis en cause par plusieurs autorités de contrôle européennes

Notre site est équipé du module « Google Analytics » *

Aucun souci. Google nous assure qu’il est « GDPR compliant »

Ce module se traduit par un flux transfrontière vers les USA de données personnelles

L’utilisation de ce module est actuellement mis en cause par plusieurs autorités de contrôle européennes

Une adresse IP est-elle une donnée personnelle ? *

Dans toutes les situations

Dans certaines situations, oui

Jamais

Qu'est-ce que le « DNS » ? *

Dernier de Nos Soucis

Domain Name System

Domaine Normalisé et Sécurisé

Le site web de votre entreprise est victime d’un « DoS » ? Que lui arrive-t-il ? *

Des clients mécontents bloquent les accès physiques au siège de votre entreprise

Votre site web reçoit tellement de visites (bien plus qu’il n’est capable d’en supporter) qu’il n’est plus en mesure de répondre aux internautes

Un mot d’ordre est lancé sur les réseaux sociaux afin d’appeler au boycott de vos produits ou services

Votre entreprise est victime d’un « défacement ». Que lui est-il arrivé ? *

Un client mécontent a « entartré » le PDG lors d’une intervention publique de ce dernier

Un pirate a réussi à s’introduire dans votre site web et en a changé le contenu

Quelles sont les grandes différences entre la méthode « classique » (dite en V) des projets informatiques et la méthode dite « agile » ? *

La seule différence de la méthode agile, c’est que des moyens supplémentaires sont mis à disposition pour aller plus vite

Dans la méthode agile, le client doit absolument préciser son besoin dès l’origine et ne peut pas le faire évoluer

La méthode agile donne plus de chances de satisfaire le client, celui-ci pouvant faire évoluer son expression de besoins au fil des « sprints »

Quelle est la démarche dans laquelle l’utilisateur dit qui il est (pour le singulariser parmi plusieurs utilisateurs) ? *

L’identification

L’authentification

Qu’est-ce que l’authentification forte ? *

C’est quand le mot de passe fait au moins 12 caractères

C’est quand on est obligé de d’authentifier avec un moyen biométrique (par exemple en posant un doigt sur un lecteur d’empreinte digitale)

C’est quand la cinématique d’authentification requiert au moins deux éléments d’authentification de type différents (cumul de différents facteurs)

Votre entreprise est victime d’un « ransomware » ; que lui est-il arrivé ? *

Un cadre dirigeant de votre entreprise a été kidnappé ; il sera libéré après le versement d’une rançon

Un salarié indélicat a exfiltré des données confidentielles de votre entreprise et les a vendues au plus offrant

Un virus a chiffré les données de votre entreprise et il faut payer une rançon pour obtenir la clé vous permettant de les déchiffrer et d’en reprendre le contrôle

Quel(s) intérêt(s) présente la « virtualisation » des serveurs informatiques (par exemple avec une solution de type WMware) ? *

Cela permet de mieux utiliser la capacité du serveur

Cela permet de réduire le nombre de serveurs (moins, mais mieux utilisés)

C’est une solution qui donne aux informaticiens une plus grande « souplesse » (par exemple pour tester des applications)

Dans le modèle « trois tiers », quels sont les trois tiers en question ? *

Le firewall

La base de données

Le client de messagerie

Le navigateur web

Le serveur d’application (la page web)

Dans le cadre du RGPD et pour le responsable de traitement, la sécurité est … *

Une obligation de résultats

Une obligation de moyens

Une obligation de moyens renforcée

En informatique, qu'est-ce qu'une API ? *

Un alphabet (International Phonetic Alphabet)

Une interface qui sert de « façade » normalisée par laquelle un logiciel offre des services à d'autres logiciel

Une prestation sociale (Allocation pour Parent Isolé)

En cas de publication d'API, à quoi un DPO devrait-il porter attention ? *

À sa sécurisation si l'API permet d'accéder à des données personnelles

À rien, c’est du ressort de la DSI

À la résistance de l'anonymisation ou de la pseudonymisation des données accessibles via l'API, si de tels procédés ont été mis en œuvre

Pour éviter d’avoir à notifier une violation à la CNIL en cas de perte ou de vol, il est recommandé … *

De chiffrer les PC portables de l’entreprise

De chiffrer les Smartphone professionnels

De chiffrer les clés USB

De ne rien faire

Qu’appelle-t-on le « Zero trust » ? *

Une stratégie de cybersécurité basée sur le moindre privilège et non sur la base d’une confiance implicite

Une vulnérabilité (faille de sécurité) pour laquelle il n'existe aucun correctif connu

C’est l’appellation du projet de loi qui prévoit le démantèlement des GAFA aux Etats-Unis

Le chiffrement … *

Est synonyme d’anonymisation

Consiste à séparer les données afin que certaines ne soient plus directement identifiantes

Consiste à rendre des données ou un document incompréhensible à toute personne qui n'a pas la clé de (dé)chiffrement

La sécurité d’un procédé de chiffrement dépend principalement de la sécurité des clés *

Oui

Non, cela dépend surtout de l’algorithme de chiffrement

Anonymisation et pseudonymisation sont deux termes synonymes *

Oui

Non

Le croisement de deux fichiers chacun anonymisés avec grand soin peut permettre d’identifier une personne *

C'est impossible

C’est malheureusement possible

En anonymisation, dans quels cas utilise-t-on la technique du mélange (shuffiling) ou de permutation (swapping), dans lequel les données sont « brassées » sans être modifiées ? *

Cette technique ne doit jamais être utilisée

Quand il est impératif de respecter les répartitions (de sexe, d’âge, de salaire, …)

Le RGPD l'exige

La pseudonymisation … *

Est promue par le RGPD (elle y est citée 17 fois)

Est un procédé irréversible

Peut être levée, de façon maîtrisée

Est une mesure de sécurité (de réduction des risques)

Permet de « sortir » du RGPD, d’échapper à ses contraintes

Un responsable de traitement perd une clé USB qui contient des données personnelles. Cette clé était chiffrée. Le responsable de traitement est-il dans l’obligation de notifier la violation à la CNIL au titre de l’article 33 du RGPD ? *

Oui, sans aucune hésitation

Oui, mais seulement si le procédé de chiffrement ne répondait pas à l’état de l’art

Non, en aucun cas

Pour qualifier la résistance d’une cinématique d’identification/authentification par mot de passe, seuls comptent la longueur et la composition du mot de passe *

Oui

Non, pas uniquement

Un responsable de traitement ne doit jamais conserver les mots de passe utilisateurs en clair *

C’est vrai

C’est faux. Autrement, comment ferait-il pour vérifier que l’utilisateur a saisi le bon mot de passe ?

La fonction de hash présente plusieurs caractéristiques qui en font son intérêt. Lesquelles ? *

Elle est irréversible et ne permet pas de « deviner » la donnée d’origine

Elle donne un résultat unique (et toujours le même)

Elle est secrète

Selon l’état de l’art actuel, hasher les mots de passe stockés n’est pas suffisant : il faut y ajouter du sel *

Oui, c’est recommandé

On peut se contenter seulement du hash

Pourquoi hasher les mots de passe ?

Il faut outiller les applications d’une solution de traçabilité *

Oui, mais il faut surtout prévoir l’exploitation de cette traçabilité

Oui, en laissant le sujet à la MOE (DSI)

Non, le RGPD ne nous y oblige pas

Concernant les traces (de connexion à un service, d’accès à des données, d’usage d’une application, …), quelles sont les propositions vraies ? *

Nul besoin de prévoir leur exploitation, il suffit d’en collecter un maximum et de les stocker – nous saurons bien les consulter après un incident ou une attaque

Les traces doivent permettre de savoir au moins qui a fait quoi et quand

Nul besoin d’en collecter et de les exploiter, le RGPD ne disant rien à ce sujet

C’est uniquement de la responsabilité de la DSI de se soucier du sujet et de déterminer, par exemple, leur durée de conservation

Il appartient au chef de projet MOA de déterminer les « événements redoutés » et les tableaux de bord, alarmes et autres indicateurs nécessaires. C’est sur la base de cette expression de besoins que doivent être déterminées les traces à collecter et à exploiter

Quelle est la doctrine de la CNIL concernant la durée de conservation des traces ? *

Elle n’accepte pas de durées supérieures à un mois

Elle ne s’intéresse pas au sujet et n’a pas émis de recommandation

Elle indique 6 mois comme durée standard

En Peer to Peer, un ordinateur peut être à la fois client et serveur *

Oui

Non

Il est recommandé que les pages d’un site web contenant un formulaire de saisie soit en https *

Oui

Non

Un cookie est forcément utilisé pour une finalité non-conforme au RGPD *

Oui

Non

Qu’est-ce qu’un « cookie tiers » ? *

Un cookie qui disparait du navigateur dès la fermeture de celui-ci

Un cookie qui provient d’une autre source que le site web visité

Un cookie déposé par le site web visité mais uniquement au 3ème clic

Qu’est-ce que le « fingerprinting » utilisé par les acteurs du eMarketing ? *

C’est un type de cookie particulier

C’est un procédé de reconnaissance d’empreinte digitale pour permettre aux clients de s’authentifier

C’est un procédé qui permet à un site web de distinguer (et donc de reconnaitre s’il se représente) un ordinateur, uniquement en « écoutant » ses caractéristiques (et non pas en accédant à son navigateur, ni en y inscrivant des cookies)

Le Big Data met en tension plusieurs principes du RGPD ; lesquels ?

Dans certains cas, le principe de finalité

Dans certains cas, la capacité à expliquer une décision automatique

Le Big Data ne soulève aucune question au regard du RGPD

Le « SaaS » est une forme du Cloud Computing ; mais laquelle ? *

Celle qui propose des composants (base de données, firewall, …)

Celle qui propose de l’infrastructure (de la bande passante, de la puissance de calcul, …)

Celle qui propose des services

Contacter l'auteur⋅rice de ce formulaire

Pour contacter l'auteur⋅rice de ce formulaire, cliquez ici

Ne communiquez aucun mot de passe via Framaforms.

L'informatique et le RGPD

Contacter l'auteur⋅rice de ce formulaire

Propulsé par Yakforms