Mesures de sécurité en clair

Que sont les mesures de sécurité, exactement ?

Mesures de sécurité (controls, en anglais) sont les leviers concrets par lesquels le risque baisse — par exemple MFA, des sauvegardes régulières, des droits d’accès clairs, le chiffrement ou la supervision. Elles sont la mise en pratique de la sécurité : là où la Gestion des risques décrit ce qui doit être protégé, les mesures répondent à la question du comment. Le mot « control » vient du monde des normes internationales ; l’article 32 du RGPD, directement applicable en France, parle pour sa part de Mesures techniques et organisationnelles.

Les familles de mesures

• Préventives : elles empêchent l’incident (contrôle d’accès, chiffrement, MFA, par exemple).
• Détectives : elles rendent l’incident visible (supervision, journalisation, alerte).
• Réactives : elles limitent les dégâts (sauvegardes, Réponse à incident, plans d’urgence).

Les mesures, les normes et l’article 32 du RGPD

L’annexe A de la norme ISO/IEC 27001 recense 93 mesures reconnues en quatre thèmes (organisationnel, humain, physique, technologique) — une orientation éprouvée au niveau international, utile aussi pour préparer NIS2. Le compendium IT-Grundschutz du BSI, standard allemand, décrit en complément des mesures adaptées au besoin de protection ; en France, l’ANSSI publie le ReCyF, non obligatoire, avec un outil de comparaison avec l’ISO 27000 et le règlement d’exécution (UE) 2024/2690. Sur le fond, ces mesures recouvrent très largement les mesures techniques et organisationnelles de l’article 32 du RGPD — seuls les mots changent. La comparaison mérite d’être faite : en matière de protection des données, la France est liée depuis longtemps par un texte de l’Union directement applicable ; en matière de NIS2, elle ne l’est pas encore, faute de loi de transposition promulguée.

Mesures et gestion des risques

Les mesures ne se choisissent pas au hasard : elles se déduisent méthodiquement du travail mené en analyse des risques : à chaque risque pertinent la mesure qui convient — ni plus, ni moins. C’est exactement l’approche fondée sur les risques qu’exige l’article 21 de NIS2. En France, la directive n’est pas transposée et cette exigence n’est pas encore opposable ; l’approche, elle, reste la bonne. Concrètement : un commerçant en ligne de taille moyenne constate dans son analyse des risques que la compromission des comptes d’administration est son plus grand risque. Comme mesures préventives, il déploie la MFA sur tous les comptes d’administration, restreint les droits d’administrateur à quelques personnes selon le principe du moindre privilège et chiffre les bases de données concernées. En complément, il met en place des mesures détectives : les connexions sont journalisées et les accès inhabituels signalés automatiquement. Pour le pire des cas, il tient prêtes, comme mesures réactives, des sauvegardes régulièrement testées et un plan d’urgence clair. Chaque mesure est documentée, rattachée à une personne responsable et à un risque précis, et porte une date de contrôle. On peut ainsi démontrer devant une autorité que la protection est proportionnée et que l’approche fondée sur les risques attendue par NIS2 est bien en place. En France, une telle démonstration n’est pas encore exigible — mais le ReCyF de l’ANSSI permet déjà de s’y adosser, et l’entreprise qui l’applique peut s’en prévaloir en cas de contrôle.

Pour aller plus loin : ISO/IEC 27001 (systèmes de management de la sécurité de l’information)