TP – Conduire une mini-AIPD, traiter un cas d'usurpation d'identité et qualifier des infractions
BTS SIO SISR 1re année – Bloc 3 – S09
Note
But. Situation : Comment évaluer un traitement à risque, protéger l'identité numérique de l'organisation et connaître les limites légales de l'administrateur ?
Comment ce TP fonctionne. Avant de manipuler, tu écris ce que tu anticipes (« J'anticipe »). Puis tu testes et tu notes ce que tu constates. Tu comprends ce que fait chaque commande (« Je comprends »). Un bilan de compétences clôt la séance. Les manipulations se font sur des machines virtuelles de laboratoire, isolées du réseau de l'établissement. Les identifiants communs d'un TP sont des identifiants de laboratoire : ils ne se réutilisent jamais ailleurs.
Objectif
Décider si un traitement exige une AIPD et en conduire une version réduite, traiter un cas d'usurpation d'identité visant une organisation, puis qualifier juridiquement quatre situations d'administrateur.
Contraintes
- Binôme, durée : 3 h 20.
- Tous les cas sont fictifs. Ne cherche pas à reproduire les manipulations sur de vrais sites ou de vrais comptes.
- Les articles de loi se relisent sur Légifrance ; les critères et la méthode sur cnil.fr.
Partie A. Mini-AIPD du cas MediLink (75 min)
Lis l'annexe MediLink.
A1. Faut-il une AIPD ?
Coche, pour chacun des neuf critères, s'il s'applique et justifie en quelques mots.
| # | Critère | Oui / Non | Justification |
|---|---|---|---|
| 1 | Évaluation ou notation | ||
| 2 | Décision automatisée à effet significatif | ||
| 3 | Surveillance systématique | ||
| 4 | Données sensibles ou très personnelles | ||
| 5 | Grande échelle | ||
| 6 | Croisement de jeux de données | ||
| 7 | Personnes vulnérables | ||
| 8 | Usage innovant | ||
| 9 | Exclusion d'un droit ou d'un service |
J'anticipe. Combien de critères penses-tu cocher ? Conclusion ? ______________________
Éléments de réponse
Au moins cinq : évaluation (score), données de santé, grande échelle, personnes vulnérables, usage innovant (apprentissage automatique), et la géolocalisation. L'AIPD est obligatoire.
A2. Étape 2 : nécessité et proportionnalité
Pour chaque ligne, note Conforme, Partiel ou Non conforme, puis une action.
| Point | Évaluation | Action proposée |
|---|---|---|
| Base légale des quatre finalités (un seul consentement pour tout) | ||
| Minimisation (géolocalisation en continu ?) | ||
| Durée de conservation | ||
| Information et droits (formulaire sans procédure, pas d'opposition au score) | ||
| Sous-traitance (SMS hors UE sans contrat, éditeur aux États-Unis) |
A3. Étape 3 : risques
Complète au moins trois risques (un par événement redouté). Cote de 1 à 4.
| Événement redouté | Sources de risque | Gravité | Vraisemblance | Score | Mesures à ajouter | Score résiduel |
|---|---|---|---|---|---|---|
| Accès illégitime à des données de santé | ||||||
| Modification non désirée (mesures ou score faussés) | ||||||
| Disparition de données (perte, rançongiciel) |
Questions.
- Pourquoi la gravité d'une fuite de données de santé est-elle élevée même pour une seule personne ? ______________________
- Quelles mesures réduisent la vraisemblance, lesquelles réduisent la gravité ? ______________________
- Après vos mesures, le risque résiduel est-il acceptable ? Faut-il consulter la CNIL ? ______________________
A4. Étape 4 : validation
Rédige un plan d'action de cinq lignes maximum : mesure, responsable, échéance.
Partie B. Usurpation de l'identité d'une organisation (45 min)
Situation (fictive). Atelier Lumière est une société d'encadrement et de photographie qui utilise le domaine atelier-lumiere.example. La responsable constate :
- Un site
atelier-Iumiere.example(avec un « I » majuscule à la place du « l ») qui copie son catalogue et reçoit des commandes ; - Des clients disent avoir reçu un courriel signé « de la direction » depuis une adresse en
@atelier-lumiere.example(la vraie) leur demandant un acompte sur un nouvel IBAN ; - Un compte de réseau social « Atelier Lumière – Service client » qui n'est pas le sien et demande des données personnelles ;
- Une photo d'une salariée publiée sur ce faux site sans son accord.
J'anticipe. Le courriel (point 2) provient de l'adresse du vrai domaine. Est-ce forcément un piratage de la messagerie ? ______________________
Éléments de réponse
Non. L'en-tête « From » d'un courriel est falsifiable si le domaine n'est pas protégé par SPF, DKIM et DMARC : on peut envoyer un message en usurpant l'adresse sans accéder à la messagerie. L'analyse des en-têtes complets du message dit d'où il vient réellement.
Remplis la fiche d'actions :
| Point | Type de problème | Preuves à conserver | Réaction immédiate | Mesure durable |
|---|---|---|---|---|
| 1. Faux site | ||||
| 2. Faux courriel | ||||
| 3. Faux compte | ||||
| 4. Photo sans accord |
Questions.
- À qui signaler le faux site ? Le faux compte ? Quel organisme prévenir pour les clients lésés ? ______________________
- Pourquoi faut-il prévenir les clients sans attendre la fin de l'enquête ? ______________________
- Quel enregistrement DNS permet de déclarer quels serveurs peuvent envoyer du courrier pour le domaine ? ______________________
Partie C. Qualifier quatre situations (40 min)
Pour chaque situation, indique si elle est licite ou non, l'infraction éventuelle (article), et ce que l'administrateur aurait dû faire.
| # | Situation | Licite ? | Qualification | Bonne pratique |
|---|---|---|---|---|
| 1 | Un technicien, curieux, ouvre la messagerie du directeur avec le mot de passe d'un poste partagé, « pour vérifier ». | |||
| 2 | Un étudiant lance un scan de ports sur le réseau de son établissement, sans autorisation, « pour s'entraîner ». | |||
| 3 | Pour une panne, un administrateur ouvre le dossier d'un salarié nommé « PERSONNEL – ne pas ouvrir », en son absence, sans motif urgent. | |||
| 4 | Un ex-salarié a conservé l'accès VPN et copie le fichier clients à son retour chez un concurrent. |
Questions.
- Qu'est-ce qui rend un accès frauduleux ? ______________________
- Quel document protège à la fois l'organisation et l'administrateur pour les contrôles de journaux ? ______________________
Retour en entreprise
Si ta situation le permet : observe comment ton entreprise traite ce sujet, note en quelques lignes l'écart avec le TP, et, avec l'accord de ton tuteur, réalise une partie sur une situation réelle. Anonymise tes captures. Voir Transfert en entreprise.
Bilan de la séance
Remplis ce bilan seul, honnêtement : il sert à décider ce qu'il faut reprendre. Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise (le vocabulaire des grilles nationales d'évaluation) ; Non évalué si tu n'as pas travaillé la compétence aujourd'hui.
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.1 – Protéger les données à caractère personnel | ||
| B3.2 – Préserver l'identité numérique de l'organisation |
Note
Les codes sont ceux du référentiel (l'arrêté numérote des activités : les codes « B… » sont un usage courant).
Je sais faire, sans aide :
- Appliquer les critères de la CNIL pour décider d'une AIPD ;
- Coter un risque par vraisemblance et gravité et proposer des mesures ;
- Réagir à une usurpation d'identité de l'organisation ;
- Citer les infractions informatiques principales du Code pénal ;
- Situer les limites de l'action d'un administrateur.
Ce que je dois reprendre : ______________________
Ma question à poser à l'enseignant : ______________________