Notions générales
Qu’est-ce que la journalisation ?
C’est l’enregistrement dans des « fichiers journaux » ou (« logs ») des activités des utilisateurs, des anomalies et des événements liés à la sécurité. C’est un élément primordial pour assurer la sécurité des traitements, obligation posée à l’article 5 du RGPD.
Quel est le but de ces fichiers de journalisation ?
Les fichiers permettent d’assurer la traçabilité des accès et des actions des utilisateurs dans un système informatique avec un grand nombre d’acteurs. La journalisation est donc un outil que la CNIL recommande fortement d’utiliser : il permet de détecter sur les systèmes informatiques les incidents, les intrusions, et les utilisations non autorisées ou détournements effectués par les usagers.
Qu’est-ce qui est inclu dans les fichiers journaux ?
Au minimum, les accès des utilisateurs en incluant leurs identifiants, la date et l’heure de leur connexion et de leur déconnexion. Dans certains cas, il peut être utile de stocker d’autres données comme le détail des actions effectuées par l’utilisateur et les types de données consultées.
Combien de temps sont conservées les informations issues des fichiers journaux ?
Ils doivent, selon les recommandations de la CNIL regrouper les évènements sur une période glissante comprise entre 6 mois et 1 an, sauf cas particuliers. Ces cas sont regroupés dans le schéma suivant :
Quelles sont les règles à respecter durant leur mise en place ?
Il faut nécessairement informer les utilisateurs de la mise en place de ce système.
Ils doivent être régulièrement consultés pour détecter d’éventuelles anomalies ou incidents de sécurité.
Ils ne doivent pas être détournés pour d’autres finalités non compatibles, comme le suivi du temps de travail des salariés par exemple.
Les utilisateurs habilités doivent être informés de la mise en place du dispositif de journalisation, de la nature des données collectées, et de la durée de conservation de ces dernières.
Quels sont les obstacles à la mise en place d’une journalisation, et les solutions proposées par la CNIL dans sa recommandation sur la journalisation du 14 octobre 2021 ?
Comment tenir une journalisation effective ?
Les opérations de création, consultation, modification et suppression des données doivent être enregistrées dans un fichier comprenant : l’auteur, l’horodatage, la nature de l’opération et la référence des données concernées. Ce fichier doit être tenu séparément du fichier principal, afin que seuls des opérationnels habilités puissent y accéder.
Comment répondre le plus efficacement à la finalité de sécurisation des données ?
Les alertes doivent remonter rapidement pour pouvoir répondre à la finalité de sécurisation des données. Il est souvent nécessaire d’automatiser les procédures d’alertes en cas d’utilisation non autorisée ou détournée pour pouvoir réagir le plus rapidement possible. La sécurisation doit donc se faire de manière active.
La création de ces journaux entraîne la conservation de données personnelles au-delà de la durée de conservation du traitement initial, comment se conformer aux autres principes du RGPD à cet égard ?
Le responsable de traitement doit veiller à ce que cette durée ne soit pas excessive, et à minimiser l’inclusion de ces données personnelles dans les données de journalisation. Les procédures d’utilisation et de conservation des données de journalisation doivent être formalisées et documentées.
La conservation des données de journalisation pourrait-il conduire à ce que le système informatique en soit impacté si ces fichiers sont trop volumineux et nombreux ?
La durée moyenne de conservation optimale se situe entre 6 mois et 1 an, afin d’effectuer une balance entre identification des atteintes et volume de données trop important.
Dans quels cas la journalisation peut-elle être supérieure à 1 an ?
Elle peut être supérieure lorsqu’elle est nécessaire pour dissuader les atteintes aux données, ou justifiée par la spécificité du traitement. (obligation légale particulière, finalité, menace…)