Synergies et divergences

Dernière mise à jour le 01/07/2022

Points communs et synergies

Des bonnes pratiques ainsi que des synergies peu évidentes entre écoconception, cybersécurité et protection des données ont été identifiées.

Transcription

• By design
• Minimisation
• Souveraineté numérique
• Formation des personnes
• Conformité aux référentiels et réglementations
• Maîtrise du système d’information
• Cycle de vie
• Amélioration continue

By design

L’écoconception, la cybersécurité et la protection des données ont en commun le principe de prendre en compte les enjeux dès la conception.

• Security by design
  Principe qui consiste à penser les processus de sécurité et à identifier les vulnérabilités dès la conception d’un produit ou d’un service numérique.
• Privacy by design
  Principe qui fait référence à la protection de la vie privée dès la conception des systèmes d’information, en référence à l’article 25 du RGPD qui introduit également la notion de « Privacy by default ».
• Green by design
  Plus rarement utilisée qu’écoconception, cette expression a une signification similaire, la prise en compte de l’environnement dès la conception et avant même la conception, puisque cela peut amener à faire différemment voire à ne pas numériser.

Il s’agit d’être dans l’anticipation : la cybersécurité est l’anticipation des menaces possibles, l’écoconception l’anticipation des impacts. Autres exemples d’anticipation : l’anticipation des accroissements de volumes dans le temps, l’anticipation des pertes de valeurs par obsolescence des informations ou par perte de connaissance, l’anticipation des dettes techniques, …

Minimisation

Selon la CNIL, le principe de minimisation du RGPD prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

Ce principe de protection des données, que l’on peut désigner comme principe de la moindre-donnée, converge avec le principe de l’écoconception qui consiste à ajuster au besoin les fonctionnalités, et donc les données collectées, via par exemple des formulaires, au strict nécessaire.

Par ailleurs, le fait de minimiser les données contribue à la réduction de l’empreinte environnementale du numérique en diminuant le volume de données qui transitent, et par conséquent les besoins en énergie, infrastructures réseau et stockage.

Au niveau de l’écoconception le principe de minimisation prend la forme de la moindre-fonctionnalité. Ce principe qui consiste à ne réaliser que des fonctionnalités essentielles et ajustées aux besoins des utilisateurs, et donc à limiter les composants, a un effet positif sur la cybersécurité puisque cela permet de réduire la surface d’attaque.

Enfin, au niveau de la cybersécurité, le principe du moindre-privilège, c’est-à-dire la limitation des droits au strict minimum sur les postes clients, réduit le nombre de logiciels installés et évite l’installation intempestive d’applications sur les postes clients, ce qui, en plus de diminuer la surface d’attaque, est susceptible de réduire les impacts liés à l’usage du poste de travail (consommation d’énergie) ainsi que l’obsolescence matérielle prématurée due aux logiciels installés ou encore à un espace disque saturé dû à ces mêmes logiciels.

Souveraineté numérique

Selon les experts, la souveraineté numérique est un concept peu évident à définir, notamment en termes de périmètre. La loi « Pour une république numérique » définit 3 grands piliers au sujet de la souveraineté numérique : maîtrise, pérennité, et indépendance du système d’information.

Un exemple de souveraineté numérique est la relocalisation de l’hébergement des systèmes, services et données sur le territoire national, à condition que ceux-ci ne soient pas soumis au Cloud Act, loi fédérale américaine permettant à des opérateurs établis en dehors des Etats-Unis de saisir administrativement des données personnelles.

Côté RGPD, les données doivent être stockées au sein de l’Union européenne ou d’un pays bénéficiant d’une décision d’adéquation (ou autre pays en justifiant de mesures organisationnelles et techniques permettant de garantir le niveau de sécurité de la donnée). Il n’y a pas d’obligation à être sur le territoire français. Par contre, il faut être vigilant vis-à-vis des sous-traitants américains qui, même s’ils hébergent la donnée en France, restent soumis au Cloud Act (Cf les mises en demeure de la CNIL concernant l’utilisation de Google Analytics).

La souveraineté numérique contribue donc aussi à la souveraineté et à la protection des données, ainsi qu’à la réduction des impacts du numérique liés à la consommation d’énergie en raison d’un mix énergétique national moins carboné que dans d’autres pays européens ou hors Union Européenne.

Une autre forme de souveraineté numérique est la maîtrise des approvisionnements, voire de la production des équipements, un sujet qui recoupe des enjeux de cybersécurité, environnementaux et sociaux (respect des droits de l’homme).

Conformité aux référentiels et réglementations

L’écoconception, la cybersécurité et la protection des données ont en commun des référentiels et règlements spécifiques à chacun des domaines.

• RGS - référentiel général de sécurité
• RGPD - règlement général sur la protection des données
• RGI - référentiel général d’interopérabilité
• RGESN - référentiel général d’écoconception de services numériques

Ont également fait leur apparition le cyberscore, évaluation du niveau de sécurité des sites Internet, et le label « EBIOS Risk Manager », label ANSSI pour les solutions logicielles.

En outre, il est nécessaire de mettre à jour régulièrement ces référentiels car les règles peuvent vite devenir obsolètes.

Cependant, le respect de la réglementation a un coût.

Mais le non-respect de la réglementation peut aussi amener à d’importantes sanctions financières, jusqu’à 4% du chiffre d’affaires en cas de non-respect du RGPD. La CNIL a sanctionné des entreprises avec des retombées médiatiques importantes. Par exemple Google a eu une sanction à hauteur de 150 millions d’euros par application de la directive ePrivacy transcrite dans la loi Informatique et Libertés.

Il n’y a pas que le coût financier, les sanctions peuvent être rendues publiques entraînant un impact sur l’image de l’organisation, parfois plus craintes que les sanctions financières.

Respecter la réglementation en matière de RGPD peut donc apporter des gains ou pertes évitées. Les pertes évitées grâce à la cybersécurité vont dans le même sens.

La confiance engendrée par la mise en conformité aux règles de cybersécurité, protection des données ou écoconception peut aussi se traduire par des gains financiers.

Dans le même ordre d’idées, au-delà des impacts positifs sur l’environnement, la protection des données et la cybersécurité, le gain financier réalisé grâce à l’écoconception peut être substantiel, car un service numérique éco-conçu peut nécessiter moins de temps de réalisation et donc moins de ressources, moins de maintenance, moins d’infrastructures, etc. Un audit d’écoconception peut aussi permettre de détecter du code coûteux et de réaliser des économies sur certaines opérations.

Sur un sujet connexe à l’écoconception, le non-respect du RGAA est aussi passible d’une amende de 20 000 euros. Cette somme peut paraître dérisoire à certaines structures, les conditions sont donc en passe de se durcir.

Les différents domaines peuvent être soumis à des audits de conformité, obligatoires pour la sécurité (audit de cybersécurité) et la protection des données (audit de conformité), mais pas encore pour l’écoconception de service numérique, même si le référentiel général d’écoconception de service numérique peut aider dans une démarche volontariste d’audit.

Maîtrise du système d’information

La maîtrise du système d’information est bénéfique aux trois domaines.

• Maîtrise du parc / Inventaire à jour
  La maîtrise du parc permet d’identifier les équipements non ou sous-utilisés.
• Rationalisation
  La rationalisation permet d’optimiser le système d’information, par exemple en réduisant le nombre de machines ayant la même fonction, ou le nombre de services ayant le même objectif. Cela peut néanmoins occasionner des problèmes au niveau de la cybersécurité qui privilégie les environnements plus cloisonnés.
• Cartographie des données
  L’établissement d’une cartographie des données (et sa mise à jour) permet de recenser, visualiser et traiter les données collectées. La cartographie permet d’identifier les données qui doivent faire l’objet d’une suppression ou d’un archivage d’intermédiaire, mais aussi les risques en termes de sécurité des données.
• Maîtrise de la sous-traitance
  La maîtrise de la sous-traitance au travers d’un plan d’assurance sécurité, la responsabilité du traitement ou de clauses environnementales ou géographiques (exclusion des acteurs extra-européens des prestations), permet de limiter les impacts dans tous les domaines.
• Maintenance longue
  Une maintenance longue permet de corriger les anomalies (bugs ou de sécurité) et de réduire l’obsolescence induite sur le matériel. La maintenance des navigateurs anciens peut toutefois favoriser les failles de sécurité. Certains navigateurs présentant des vulnérabilités et n’étant plus mis à jour sont blacklistés. Les systèmes d’exploitation trop anciens, non mis à jour, peuvent présenter des failles de sécurité.
• Décommissionnement
  Le décommissionnement est un arrêt du service numérique, accompagné d’une gestion des données, des couches logicielles, des ressources et matériels associés. Cette pratique associée à l’écoconception mais aussi à la cybersécurité et à la protection des données, permet de réduire la surface d’attaque et limiter les failles de sécurité des systèmes obsolètes, le volume de données à protéger, de libérer de l’espace de stockage et des ressources, et de réduire la consommation énergétique. Plus généralement, le décommissionnement contribue à réduire l’empreinte environnementale d’un service numérique, mais aussi son coût financier en termes de stockage, maintenance etc…

Cycle de vie

L’approche cycle de vie permet d’appliquer les bonnes pratiques à chaque phase d’un projet (conception, usage, fin d’usage), quel que soit le domaine. Elle s’applique à chacun des trois domaines : écoconception, protection des données et cybersécurité.

Par exemple, les règles du RGPD s’appliquent à la fin de vie des données qui doivent faire l’objet d’un archivage intermédiaire ou de suppression au bout d’une durée donnée en fonction de la finalité du traitement. Dans certains cas, le responsable s’appuiera sur des obligations légales ou sur des recommandations de la CNIL. Dans les autres cas, il devra définir une durée légitime et la documenter.

Amélioration continue

L’écoconception, la cybersécurité et la protection des données sont des démarches d’amélioration continue. Différentes approches ou méthodes permettent d’améliorer la qualité dans les trois domaines. L’approche « Shift Left » permet l’anticipation des problèmes grâce à la prise en compte des enjeux dès le début du cycle de vie du produit ou du service et tout au long du processus.

Comment intégrer l’écoconception, la cybersécurité et la protection des données dans les méthodes Agile ? Proposition de solution : par la mesure par exemple, avec la possibilité de comparer par « release » (version mise en ligne), l’empreinte globale après l’ajout d’une fonctionnalité. L’internalisation des compétences aide à l’appropriation de ces sujets dans la méthode. Le coach Agile a pour rôle de s’assurer de la bonne communication entre les différents acteurs.

Formation des personnes, « miser sur le capital humain »

Que ce soit en matière d’écoconception, de cybersécurité ou de protection des données, la formation des personnes est cruciale, et ce dès la formation initiale, avec par exemple l’éducation des ingénieur(e)s en informatique et en électronique aux enjeux environnementaux et de cybersécurité, en leur apportant des connaissances organisationnelles et méthodologiques.
La montée en compétences au sein des organisations peut s’opérer de manière individuelle en développant une expertise et en validant les acquis par une certification.

Il existe des certifications spécifiques à chaque domaine :

• Certification des compétences du DPO (délégué à la protection des données) : certification mise en place par la CNIL et l’AFNOR, et délivrée par un organisme certificateur agréé par la CNIL.
• Certificat de connaissances sur l’écoconception des services numériques
• Différentes certifications de compétences de cybersécurité

Il s’agit aussi d’acquérir des compétences transverses, pour permettre par exemple aux experts techniques de s’approprier le sujet juridique.

Mais la montée en compétences doit surtout être collective car il s’agit de processus dynamiques qui nécessitent la certification des personnes plus que des outils. La montée en compétence des équipes est donc plus importante que des labels délivrés à un instant t. Les compétences peuvent se développer via :

• Le challenge entre experts pour produire le meilleur
• Du mentorat interne
• Des ateliers

Enfin, il est essentiel d’internaliser les compétences sur ces sujets.

Focus sur d’autres pratiques synergétiques

Domaines :

• écoconception
• cybersécurité
• protection des données

Divergences

La mise en application des principes de cybersécurité et de protection des données peut avoir des impacts négatifs en termes de consommation de ressources et d’énergie et donc augmenter les impacts environnementaux.