Modèle de traitement de données RGPDGestion des vulnérabilités et tests d'intrusion

Par: bc4946f8-1de1-4b70-bb67-62a0ce536160

Organisme : PrivéOrganisme : PublicFonction : Systèmes d'information

Ce modèle de traitement est relatif à la recherche et à la correction des failles de sécurité des systèmes d'information : scans de vulnérabilités, tests d'intrusion (internes ou par un prestataire), suivi des correctifs, ainsi qu'à la gestion des comptes de test utilisés pendant ces opérations.

Finalités (4)

La finalité d'un traitement est l'objectif principal de l'utilisation des données personnelles. Ces données doivent être collectées pour un but bien déterminé et légitime et ne doivent pas être traitées ultérieurement de façon incompatible avec cet objectif initial

Détection des vulnérabilités par scans et audits

Rechercher les failles des serveurs, postes, sites web et applications au moyen d'outils de recherche de failles, notamment pour les traitements les plus critiques (la CNIL cite des outils de scan et des audits dans ses fiches serveurs et sites web). Base retenue : intérêt légitime de l'organisme à protéger ses systèmes, la sécurité relevant par ailleurs de l'article 32 du RGPD.

Intérêts légitimes du responsable du traitement ou d'un tiers

Réalisation de tests d'intrusion

Vérifier la résistance des systèmes à une attaque simulée, en interne ou par un prestataire, de façon régulière et avant toute mise en production d'une nouvelle version (recommandation de la CNIL pour les sites web). Choix du responsable de traitement.

Intérêts légitimes du responsable du traitement ou d'un tiers

Suivi et correction des vulnérabilités

Assurer une veille sur les alertes de sécurité (par exemple celles du CERT-FR), prioriser et installer les correctifs, puis vérifier leur application. La CNIL recommande d'installer sans délai les correctifs de failles critiques.

Intérêts légitimes du responsable du traitement ou d'un tiers

Gestion des comptes de test et d'audit

Créer, encadrer et supprimer les comptes temporaires utilisés par les testeurs. La CNIL déconseille les comptes génériques partagés et les données réelles en test, sauf environnement sécurisé au niveau de la production.

Intérêts légitimes du responsable du traitement ou d'un tiers

Données (4)

L’article 30 du RGPD exige l’inscription des catégories de données traitées. Il s’agit ici de définir les catégories de données traitées. Celles-ci peuvent être dites courantes ou sensibles.

Rapports de scans et de tests d'intrusion

Détails des données

Adresses IP, noms de machines et services exposésoptionel

Identifiants de comptes découverts lors du testoptionel

Description des failles et preuves d'exploitationoptionel

Règles de conservation

Sort final

Suivi des vulnérabilités et des correctifs

Détails des données

Référence et criticité de la vulnérabilitéoptionel

Équipe ou agent responsable de la correctionoptionel

Dates de détection, de correction et de vérificationoptionel

Règles de conservation

Sort final

Comptes de test et d'audit

Détails des données

Identifiant nominatif du testeur ou du compte de testoptionel

Période de validité et périmètre des droits accordésoptionel

Règles de conservation

Sort final

Journaux des opérations de test

Détails des données

Journaux de connexion et d'actions des testeursoptionel

Règles de conservation

Base active:

De 6 mois à 1 an glissants (recommandation CNIL)

Recommandation CNIL, non obligatoire.

Sort final

Personnes concernées (3)

Une personne concernée est toute personne dont les données sont collectées, retenues ou traitées par le traitement de données en question. Ex : Dans le cadre d'un traitement de gestion du recrutement, n'importe quel candidat pour le poste concerné constitue une personne concernée

Utilisateurs des SI
Administrateurs des systèmes d’information et les prestataires autorisés
Employés

Auteur:

bc4946f8-1de1-4b70-bb67-62a0ce536160

Créé le:03/10/2026

Mis à jour le:03/10/2026

Nombre d'utilisations:0