divulgation non autorisée [de données à caractère personnel] [cité à l’article 32 « sécurité du traitement » Règlement RGPD n°2016/679 du 27 avril 2016] :

2 – Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite ».

—> NDLR : définition de « violation » de données à caractère personnel (article 4 RGPD) : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.

Clés secrètes et biclés asymétriques [Guide de sélection d’algorithmes cryptographiques – ANSSI – 8 mars 2021] :

Les clés mises en œuvre par les mécanismes cryptographiques doivent être construites à partir de valeurs aléatoires qui doivent impérativement provenir d’un générateur aléatoire de qualité, en général spécialement prévu pour cet usage 3 . Pour les mécanismes symétriques, ceci permet d’assurer leur résistance contre la recherche exhaustive, attaque générique consistant pour un adversaire à tester toutes les clés possibles. Pour les mécanismes asymétriques, ceci permet également d’assurer leur résistance contre la meilleure attaque générique, mais aussi de se prémunir contre les attaques reposant sur une connaissance partielle de la clé. En effet, dans le cas des mécanismes asymétriques, la recherche exhaustive n’est jamais la meilleure attaque, et une connaissance partielle de la clé peut en outre avoir des conséquences catastrophiques pour la sécurité.

service de coffre-fort numérique [Loi République Numérique n°2016-1321 du 7 octobre 2016] :

un service de coffre-fort numérique est un service qui a pour objet :

1) La réception, le stockage, la suppression et la transmission de données ou documents électroniques dans des conditions permettant de justifier de leur intégrité et de l’exactitude de leur origine ;

2) La traçabilité des opérations réalisées sur ces documents ou données et la disponibilité de cette traçabilité pour l’utilisateur ;

3) L’identification de l’utilisateur lors de l’accès au service par un moyen d’identification électronique respectant l’article L. 136 ;

4) De garantir l’accès exclusif aux documents électroniques, données de l’utilisateur ou données associées au fonctionnement du service à cet utilisateur, aux tiers autres que le prestataire de service de coffre-fort numérique, explicitement autorisés par l’utilisateur à accéder à ces documents et données et, le cas échéant, au prestataire de service de coffre-fort numérique réalisant un traitement de ces documents ou données au seul bénéfice de l’utilisateur et après avoir recueilli son accord exprès dans le respect de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

5) De donner la possibilité à l’utilisateur de récupérer les documents et les données stockées dans un standard ouvert aisément réutilisable et exploitable par un système de traitement automatisé de données, sauf dans le cas des documents initialement déposés dans un format non ouvert ou non aisément réutilisable qui peuvent être restitués dans leur format d’origine, dans des conditions définies par décret.

Le service de coffre-fort numérique peut également proposer des services de confiance au sens du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/ CE.

Ce service de coffre-fort numérique peut bénéficier d’une certification établie selon un cahier des charges proposé par l’autorité nationale de la sécurité des systèmes d’information après avis de la Commission nationale de l’informatique et des libertés et approuvé par arrêté du ministre chargé du numérique.

Les modalités de mise en œuvre du service de coffre-fort numérique et de sa certification par l’Etat sont définies par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés.

incident affectant les systèmes d’information et de communication [d’un département ministériel] [Décret n°2019-1088 du 25 octobre 2019 relatif à la sécurité numérique du système d’information et de communication de l’Etat et de ses établissements publics]:

Chaque ministre désigne un fonctionnaire de sécurité des systèmes d’information chargé de l’assister dans l’exercice de sa responsabilité en matière de sécurité numérique mentionnée à l’article 2. Ce fonctionnaire est placé sous l’autorité du haut fonctionnaire mentionné à l’article R. 1143-1 du code de la défense.

Le fonctionnaire de sécurité des systèmes d’information s’assure de l’application cohérente par son département ministériel et par les organismes placés sous la tutelle de celui-ci des orientations générales et des règles de sécurité numérique relatives aux systèmes d’information et de communication.

Il déclare à l’Agence nationale de la sécurité des systèmes d’information les incidents affectant les systèmes d’information et de communication de son département ministériel et des organismes placés sous la tutelle de celui-ci.

Les responsabilités de ce fonctionnaire sont précisées par arrêté du Premier ministre.

—> NOTE : l’article 4-1 du Décret n°2019-1088 du 25 octobre 2019 a été modifiée par le Décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d’information et de communication de l’Etat et de ses établissements publics et entre en vigueur le 1er octobre 2022 <—NOTE

interconnexion [Directive CCEE n°2018/1972 du 11 décembre 2018] :

un type particulier d’accès mis en œuvre entre opérateurs de réseaux publics au moyen de la liaison physique et logique des réseaux de communications électroniques publics utilisés par la même entreprise ou une entreprise différente, afin de permettre aux utilisateurs d’une entreprise de communiquer avec les utilisateurs de la même entreprise ou d’une autre entreprise, ou d’accéder aux services fournis par une autre entreprise lorsque ces services sont fournis par les parties concernées ou par d’autres parties qui ont accès au réseau.