Toutes les violations de données ne sont pas dues à un pirate informatique malveillant et à une attaque externe. Parfois, ce ne sont pas des tiers malveillants qui mettent à mal les systèmes de sécurité. Ce sont plutôt des employés qui ne respectent pas les règles de gouvernance de l'information, ou des règles de traitement des données qui se heurtent à la réalité.
Dans ces situations, même les technologies de cybersécurité les plus sophistiquées au monde peuvent s'avérer insuffisantes pour empêcher une fuite de données dommageable ou un manquement à la conformité. C'est une leçon que UK Government Investments (UKGI) a récemment apprise à ses dépens après la fuite en ligne de données potentiellement sensibles pendant près de deux jours.
Ce n'est ni le premier ni le dernier exemple de ce genre. La bonne approche pour renforcer la résilience d'une entreprise consiste à équilibrer les technologies de sécurité et la gouvernance de l'information.
Que s'est-il passé à UKGI ?
L'incident survenu chez UKGI, organisme chargé de la gestion des intérêts commerciaux de l'État dans les entreprises, revêt un caractère paradoxal, compte tenu de son positionnement en tant qu'expert en gouvernance d'entreprise. Dans son rapport annuel d'août, l'agence du Trésor a indiqué qu'une fuite de données survenue en 2025-2026 était due à la divulgation accidentelle d'un fichier interne. Ce fichier contenait des informations confidentielles de haut niveau, ainsi que les noms et adresses électroniques professionnelles de 51 fonctionnaires, qui ont été accessibles au public pendant une quarantaine d'heures. Le responsable était un membre du personnel n'ayant pas respecté les procédures de sécurité informatique en vigueur.
UKGI a signalé l'incident au Bureau du commissaire à l'information (ICO) et a entrepris un examen externe qui a fourni des recommandations sur les moyens de renforcer sa préparation et ses contrôles en cas d'incident – dont « l'écrasante majorité » a été ou sera mise en œuvre.
Les défis en matière de gouvernance sont partout
Bien que cet incident soit passé sans conséquences majeures, des cas similaires ont eu un impact bien plus important. On peut citer quelques exemples :
En 2025, l'ICO (Information Commissioner's Office) a réprimandé la Poste pour avoir publié sur son site web un document juridique non expurgé relatif au scandale informatique Horizon. Ce document contenait le nom, l'adresse et la fonction de gérant de bureau de poste de plus de 500 personnes impliquées dans des litiges avec la Poste, et ces informations sont restées accessibles au public pendant près de deux mois. La Poste a échappé de justesse à une amende d'un million de livres sterling.
Le conseil municipal de Hammersmith & Fulham a également été réprimandé par l'ICO l'année dernière après avoir accidentellement divulgué les données de 6 528 personnes, dont 2 342 enfants, en réponse à une demande d'accès à l'information. Le fichier Excel en question comportait 35 sous-classeurs cachés contenant ces informations, notamment des données sur des enfants demandeurs d'asile. Ces informations personnelles sont restées accessibles pendant près de deux ans.
Le Service de police d'Irlande du Nord (PSNI) a mis en danger de nombreux agents et employés en divulguant leurs informations personnelles, notamment leurs noms, grades et fonctions, dans une réponse sous forme de tableur à une demande d'accès à l'information. Bien que ces informations n'aient été accessibles au public que pendant quelques heures, il semblerait qu'elles aient été obtenues par des républicains dissidents. Le PSNI a échappé à une amende de 5.6 millions de livres sterling uniquement grâce à une politique de sanctions financières pour le secteur public mise en place par l'ICO après la pandémie de Covid-19.
À quoi ressemble une pratique exemplaire ?
De tels incidents illustrent un problème croissant : dans de nombreuses organisations, les investissements dans les contrôles de sécurité techniques ont largement dépassé les financements alloués à la gouvernance de l'information, selon Muhammad Yahya Patel, vCISO EMEA chez Huntress.
« La gouvernance de l'information, c'est-à-dire savoir quelles données vous détenez, où elles se trouvent, qui peut y accéder, comment elles doivent être traitées et si ces règles sont effectivement appliquées, est un travail ingrat », explique-t-il à IO (anciennement ISMS.online). « C'est l'aspect le plus souvent négligé. Il ne donne pas lieu à des présentations captivantes au conseil d'administration. Pourtant, c'est le mécanisme de contrôle essentiel entre un document de politique et le moment où un employé prend une décision concernant un fichier sensible, un vendredi à 4 heures. »
Patel soutient qu'une approche proportionnée de la gestion des risques implique d'accepter que tous les risques ne nécessitent pas de solution technique. « Parfois, le contrôle adéquat consiste en un processus plus clair, une meilleure formation dispensée au moment où le risque se présente plutôt qu'annuellement, ou une simple vérification par les pairs avant la publication ou le partage d'informations sensibles », a-t-il ajouté.
Jake Taylor, responsable du secteur public chez Filigran, partage cet avis, arguant que les organisations ne peuvent pas protéger ce qu'elles ignorent posséder.
« Avec la restructuration et la réorganisation des ministères et des organismes gouvernementaux, le paysage des menaces au Royaume-Uni va considérablement s’élargir, créant des failles que les acteurs malveillants pourront exploiter. La gouvernance des données devient alors aussi importante, voire plus importante, que les défenses techniques », explique-t-il à IO.
« Les dirigeants doivent comprendre que la sécurité ne peut exister sans contrôle, sans équilibre et sans visibilité claire. »
Taylor encourage les équipes à auditer régulièrement leur activité, en consignant et en vérifiant qui accède aux dossiers sensibles afin de détecter rapidement les comportements inhabituels. Il exhorte également les organisations à minimiser les obstacles rencontrés par les utilisateurs.
« Veillez à ce que les règles de sécurité n'empêchent pas les employés de faire leur travail, car ils risquent de trouver des solutions de contournement dangereuses », poursuit-il. « Par ailleurs, essayez de décloisonner les services. Incitez vos équipes juridiques, informatiques, de conformité et de sécurité à collaborer dans le cadre d'une stratégie de données unifiée. »
Introduction d'une approche de surveillance continue
Les experts interrogés par IO s'accordent à dire qu'une approche continue de la gouvernance et de la conformité est préférable. Cela implique de collecter des preuves et de surveiller en permanence les écarts de conformité afin de repérer les problèmes et d'y remédier rapidement, plutôt que d'attendre un audit pour que des problèmes anciens, qui se sont aggravés, soient mis au jour.
« Les contrôles ponctuels, comme les audits annuels et les tests d'intrusion, ne reflètent l'état et les vulnérabilités de vos données que pour une seule journée, créant ainsi une fausse impression de sécurité », explique Taylor. « Une surveillance continue garantit l'exactitude de votre cartographie des données, de vos règles d'accès et de vos politiques de conservation à chaque instant. »
Patel de Huntress ajoute que la surveillance continue est déjà bien établie en cybersécurité et que la gouvernance de l'information doit suivre le même chemin.
« La surveillance automatisée qui signale lorsque des documents sensibles sont rendus publics, le déclenchement d’une alerte de risque lorsque des données sensibles sont partagées – lorsque les autorisations d’accès changent de manière inattendue ou lorsque des données circulent en dehors des circuits autorisés – transforme une exposition de 40 heures en une exposition de quatre minutes », explique-t-il.
« La technologie nécessaire existe et est mature. Ce qui fait généralement défaut, c'est la volonté organisationnelle de la mettre en œuvre avec autant de rigueur que les contrôles de sécurité techniques. »
L'IA présente à la fois des avantages et des inconvénients : elle simplifiera et complexifiera cette tâche. D'une part, l'IA parallèle engendre de nouveaux risques. IBM affirme que 43 % des incidents de sécurité survenus l'an dernier étaient liés à une utilisation non autorisée de l'IA. D'autre part, comme l'explique Patel de Huntress, les outils d'IA pourraient simplifier la gouvernance grâce à la classification automatisée des documents sensibles, la surveillance continue des flux de données, la détection des anomalies et l'application des politiques à la vitesse de la machine.
« Les organisations qui tireront le meilleur parti de l’IA en matière de gouvernance de l’information sont celles qui auront investi suffisamment dans la compréhension de leur patrimoine de données pour savoir ce qui doit être protégé et pourquoi », conclut-il.
« L’IA amplifie les bonnes pratiques de gouvernance de l’information. Elle amplifie également les conséquences des mauvaises pratiques, et c’est un aspect que la plupart des dirigeants n’ont pas encore pleinement pris en compte. »
Élargissez vos connaissances
Podcast : Phishing for Trouble S2 E10 : Built to Last : How Compliance Enables Business Resilience
