Les notions de la donnée

Principe de responsabilité du RGPD (article 5, paragraphe 2) : le responsable de traitement doit non seulement respecter les règles de protection des données, mais être en mesure de le démontrer, grâce à des mécanismes et procédures internes documentés.

Fiche 01 Gouvernance & conformité

Règlement (UE) 2024/1689, entré en vigueur le 1er août 2024, qui fixe des règles harmonisées pour l'intelligence artificielle dans l'Union européenne selon une approche par les risques : pratiques interdites, obligations renforcées pour les systèmes à haut risque, transparence pour d'autres usages. Il s'applique aussi aux acteurs hors Union dont les systèmes y sont utilisés.

052 01 Gouvernance & conformité

Analyse écrite qui évalue, avant sa mise en œuvre, les risques qu'un traitement de données personnelles fait peser sur les droits et libertés des personnes, ainsi que les mesures prévues pour les réduire. Elle est obligatoire quand le traitement est susceptible d'engendrer un risque élevé (article 35 du RGPD).

Fiche 01 Gouvernance & conformité

Traitement qui rend impossible, en pratique et de façon irréversible, toute identification d'une personne par quelque moyen que ce soit. Des données réellement anonymisées ne sont plus des données personnelles et sortent du champ du RGPD ; à défaut, il ne s'agit que de pseudonymisation.

Fiche 01 Gouvernance & conformité

Méthode de connexion qui exige au moins deux preuves d'identité de catégories distinctes : ce que l'on sait (mot de passe), ce que l'on possède (clé, application, carte) ou ce que l'on est (empreinte). Le vol du seul mot de passe ne suffit plus à ouvrir un compte.

Fiche 04 Sécurité des données

Capacité d'un acteur, en pratique l'Union européenne, à décider et à agir par lui-même dans les domaines critiques (technologies, industrie, défense, approvisionnements) sans dépendre excessivement de puissances extérieures, tout en restant ouvert sur le monde.

Fiche 02 Souveraineté numérique

Écart systématique dans les résultats d'un algorithme ou d'un système d'IA qui désavantage certaines personnes ou certains groupes, le plus souvent hérité des données d'entraînement, des choix de conception ou des conditions de déploiement. Il peut conduire à des discriminations, par exemple en matière de recrutement, de justice ou de prestations sociales.

Fiche 01 Gouvernance & conformité

Ensemble de données structurées, semi-structurées ou non structurées, collectées par une organisation en grande quantité et analysées pour en tirer des enseignements, par exemple en apprentissage automatique ou en modélisation prédictive. On le décrit par six caractéristiques : volume, vélocité, variété, véracité, valeur et variabilité.

017 03 Data & IA

Programme qui donne l'impression d'avoir une fonction utile, mais qui possède par ailleurs une fonction cachée et potentiellement malveillante, comme l'espionnage de l'utilisateur ou le vol de ses données. C'est la victime elle-même qui l'installe, en le croyant légitime.

Fiche Se protéger

Algorithme de chiffrement symétrique par blocs, dérivé de Rijndael et choisi en 2000 par l'institut américain NIST pour succéder au DES. Une même clé de 128, 192 ou 256 bits chiffre et déchiffre les données, stockées ou en transit (TLS, Wi-Fi WPA2, VPN). Les attaques réussies contre des systèmes qui l'emploient ont visé la gestion des clés, non l'algorithme.

024 04 Sécurité des données

Chiffrement dans lequel seuls l'expéditeur et le destinataire détiennent les clés nécessaires pour lire un message ou un fichier. Le fournisseur du service ne voit passer que des données chiffrées et ne peut pas les remettre en clair, y compris à la demande d'une autorité.

Fiche 04 Sécurité des données

Analyse du contenu d'un message ou d'un fichier directement sur l'appareil de l'utilisateur, avant son envoi, pour le comparer à une base de contenus recherchés. Le chiffrement de bout en bout n'est pas cassé en tant que tel, mais le contenu est examiné en clair sur le terminal avant d'être chiffré.

Fiche 02 Souveraineté numérique

Loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger d'une entreprise soumise au droit américain les données qu'elle contrôle, y compris lorsqu'elles sont stockées hors du territoire américain, par exemple dans un centre de données européen.

057 02 Souveraineté numérique

Offre de cloud qui garantit que les données et leur exploitation restent sous le contrôle d'acteurs et de juridictions européens, à l'abri des lois extraterritoriales. Le terme n'a pas de définition juridique européenne ; en France, la référence est la qualification SecNumCloud de l'ANSSI.

Fiche 02 Souveraineté numérique

Fichier qui agrège des millions de couples identifiant/mot de passe (souvent une adresse e-mail et un mot de passe), compilés à partir de fuites antérieures ou de logiciels voleurs d'identifiants, puis republiés ou vendus. Il sert au bourrage d'identifiants et se présente parfois comme une nouvelle fuite.

Fiche 04 Sécurité des données

Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées (RGPD, article 4, point 11). C'est l'une des six bases légales du RGPD, dont le responsable de traitement doit pouvoir démontrer la validité.

Fiche 01 Gouvernance & conformité

Processus qui transforme des informations brutes en renseignement exploitable : planification et orientation, recherche, traitement, production et analyse, diffusion, puis consommation et rétroaction, qui relance le cycle. Le nombre d'étapes retenues varie selon les auteurs et les doctrines.

Fiche 04 Sécurité des données

Partie d'Internet accessible uniquement au moyen de services d'anonymisation comme Tor, avec des adresses en .onion. On y trouve des usages légitimes de confidentialité, mais aussi des forums, des marchés et des sites de groupes criminels où se vendent ou se publient des données volées.

Fiche 04 Sécurité des données

Entreprise qui collecte des informations sur des personnes (achats à d'autres sociétés, documents publics, réseaux sociaux, navigation), les regroupe en profils ou en segments d'audience, puis les vend, ou en vend l'accès, à des annonceurs, des banques, des employeurs ou d'autres courtiers. Le RGPD s'applique à ceux qui ciblent des personnes situées dans l'Union.

026 01 Gouvernance & conformité

Règlement (UE) 2022/868, applicable depuis septembre 2023, qui organise le partage de données dans l'Union : conditions de réutilisation de certaines données protégées du secteur public, encadrement des intermédiaires de données (neutres, déclarés à une autorité) et altruisme des données, soit leur mise à disposition volontaire pour le bien commun.

012 01 Gouvernance & conformité

Démarche qui associe des données, des visualisations et un récit pour expliquer ce que les chiffres signifient et appuyer une décision. Elle va plus loin que la simple visualisation, qui montre le comment, car elle répond aussi au pourquoi et au pour quoi faire, en adaptant le message à son public.

049 03 Data & IA

Décision prise à l'égard d'une personne sur le seul fondement d'un traitement automatisé, sans intervention humaine, et produisant des effets juridiques ou l'affectant de manière significative. L'article 22 du RGPD l'interdit en principe, sauf contrat, texte légal ou consentement explicite, avec garanties.

Fiche 01 Gouvernance & conformité

Règlement européen (UE) 2022/1925 qui impose aux très grandes plateformes désignées « contrôleurs d'accès » (gatekeepers) des interdictions et des obligations : ne pas favoriser leurs propres services, s'ouvrir à l'interopérabilité, proposer un choix de navigateur ou de moteur de recherche. Les amendes peuvent atteindre 10 % du chiffre d'affaires annuel mondial.

021 02 Souveraineté numérique

Une donnée est un fait brut (chiffre, énoncé, caractère) sans signification en soi ; elle devient une information lorsqu'elle est traitée, organisée et replacée dans un contexte utile à la décision. Les ventes d'un mois sont une donnée ; leur comparaison avec celles des mois précédents est une information.

005 03 Data & IA

Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (article 4 du RGPD) : un nom, un numéro de téléphone, une adresse IP, un identifiant client ou le recoupement de plusieurs éléments. Les catégories particulières (santé, biométrie, opinions politiques, etc.) font l'objet d'une protection renforcée.

015 01 Gouvernance & conformité

Données personnelles issues d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne (visage, empreintes, iris, voix) et permettant de l'identifier de façon unique (article 4.14 du RGPD). Leur traitement à cette fin est en principe interdit (article 9).

Fiche 02 Souveraineté numérique

Acronyme de Redundant, Obsolete, Trivial : données redondantes (copies multiples), obsolètes (anciennes versions, fichiers oubliés) ou inutiles (sans valeur pour l'entreprise) qui encombrent le stockage. Elles alourdissent les coûts et les risques de fuite, et exposent au non-respect du RGPD si elles contiennent des données personnelles conservées trop longtemps.

004 01 Gouvernance & conformité

Au sens du RGPD, catégories particulières de données personnelles (article 9) : origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, biométriques, de santé, de vie sexuelle ou d'orientation sexuelle. Leur traitement est interdit par principe, sauf exception.

Fiche 01 Gouvernance & conformité

Droit d'obtenir du responsable du traitement l'effacement de ses données personnelles dans les meilleurs délais lorsqu'elles ne sont plus nécessaires, que le consentement est retiré, que le traitement est illicite ou que l'opposition est fondée (article 17 du RGPD, dit « droit à l'oubli »).

Fiche 01 Gouvernance & conformité

Droit de s'opposer à tout moment au traitement de ses données (article 21 du RGPD) : pour des raisons tenant à sa situation particulière lorsque le traitement repose sur l'intérêt légitime ou une mission d'intérêt public, et sans justification en cas de prospection.

Fiche 01 Gouvernance & conformité

Révision du cadre européen de l'identité numérique, le règlement (UE) 2024/1183, entré en vigueur le 20 mai 2024. Il impose à chaque État membre de proposer à ses citoyens, d'ici fin 2026, un portefeuille européen d'identité numérique pour stocker des justificatifs et s'authentifier en ligne et hors ligne.

Fiche 02 Souveraineté numérique

Ensemble des données qu'une personne ou une organisation laisse en utilisant Internet : celles qu'elle publie volontairement (messages, formulaires, comptes) et celles recueillies à son insu (adresse IP, témoins de navigation, journaux d'activité). Recoupées, elles peuvent révéler une identité, des habitudes ou une localisation.

Fiche 04 Sécurité des données

Base de données destinée à être utilisée notamment à des fins de recherche, d'études ou d'évaluations dans le domaine de la santé, qui réunit de grands volumes de données sur une longue durée pour les réutiliser dans plusieurs projets. En France, sa constitution relève d'un régime défini par la CNIL (consentement, référentiel ou autorisation).

Fiche 01 Gouvernance & conformité

Capacité à rendre compréhensible, pour les opérateurs comme pour les personnes concernées, la manière dont un système d'IA ou un algorithme aboutit à un résultat. L'AI Act et le RGPD en déclinent l'exigence par des obligations de transparence et par un droit à explication des décisions individuelles.

Fiche 01 Gouvernance & conformité

Application d'une loi nationale à des personnes, des entreprises ou des données situées hors du territoire de l'État qui l'a adoptée. En matière de données, elle permet par exemple à une autorité américaine d'exiger d'une entreprise américaine des données stockées en Europe.

Fiche 02 Souveraineté numérique

Fonction mathématique qui transforme des données de toute taille en une empreinte de longueur fixe, appelée valeur de hachage. Le calcul est déterministe et à sens unique : on ne remonte pas aux données d'origine, mais la moindre modification change l'empreinte, ce qui permet de contrôler l'intégrité d'un fichier ou de ne stocker qu'une empreinte du mot de passe.

023 04 Sécurité des données

Rôles définis par l'AI Act (article 3, points 3 et 4) : le fournisseur développe ou fait développer un système d'IA ou un modèle d'IA à usage général et le met sur le marché, ou met le système en service, sous son nom ; le déployeur utilise un système d'IA sous sa propre autorité, hors usage personnel non professionnel. Les obligations dépendent du rôle.

Fiche 01 Gouvernance & conformité

Initiative européenne lancée en 2019 par la France et l'Allemagne pour bâtir une infrastructure de données fédérée, fondée sur des règles communes de transparence, d'interopérabilité et de portabilité. Gaia-X ne fournit pas de cloud : il définit des règles et des labels que les fournisseurs adoptent volontairement.

Fiche 02 Souveraineté numérique

Système européen de navigation par satellite, civil et géré par des institutions européennes (Commission européenne, Agence spatiale européenne, EUSPA), déclaré opérationnel en 2016. Il offre un service de positionnement ouvert et gratuit, reçu par de nombreux smartphones, et donne à l'Europe une alternative au GPS américain, placé sous contrôle militaire des États-Unis.

058 02 Souveraineté numérique

Geospatial Intelligence : exploitation et analyse d'imagerie et d'informations géospatiales pour décrire, évaluer et représenter visuellement des éléments physiques et des activités rattachées à un lieu (définition du droit américain). Appliqué aux sources ouvertes, il croise cartes, images et données de localisation publiques.

Fiche 04 Sécurité des données

Requête de recherche avancée qui combine des opérateurs du moteur (comme site: et filetype:) pour faire remonter des informations sensibles indexées par erreur : répertoires, pages de connexion, fichiers contenant des identifiants. La pratique est aussi appelée Google hacking ou dorking.

Fiche 04 Sécurité des données

Cadre de politiques, de rôles et de règles qui régit la disponibilité, la facilité d'utilisation, l'intégrité et la sécurité des données d'une organisation, afin qu'elles soient cohérentes, fiables et utilisées à bon escient. Elle s'appuie sur des responsables désignés et soutient la conformité à des textes comme le RGPD.

032 01 Gouvernance & conformité

Variante du hameçonnage dans laquelle un cybercriminel se fait passer pour une personne ou une organisation de confiance auprès d'une cible précise, souvent un responsable, afin d'obtenir des informations confidentielles, des accès ou des fonds. Le message est adapté à sa victime et l'attaque relève de la manipulation psychosociale.

Fiche 04 Sécurité des données

Fournisseur de cloud qui exploite à très grande échelle un réseau mondial de centres de données et alloue à la demande des capacités de calcul et de stockage quasi illimitées. Le terme désigne surtout Amazon Web Services, Microsoft Azure et Google Cloud.

Fiche 02 Souveraineté numérique

L'IAM (Identity and Access Management) regroupe les processus et les outils qui permettent de créer et de suivre les identités numériques, de vérifier qui se connecte et de contrôler ce que chacun peut faire, de l'arrivée d'une personne dans l'organisation jusqu'à son départ.

Fiche 04 Sécurité des données

Manipulation visant à obtenir un bien ou une information en exploitant la confiance, l'ignorance ou la crédulité de personnes plutôt qu'une faille technique. Hameçonnage, faux conseillers bancaires et faux supports techniques en sont des formes courantes.

Fiche 04 Sécurité des données

Attaque qui consiste à glisser des instructions SQL dans une donnée saisie ou transmise à une application, de sorte que la base de données exécute une requête détournée. Elle permet de lire, modifier ou supprimer des données, et se prévient d'abord par des requêtes paramétrées.

Fiche 04 Sécurité des données

Base légale du RGPD (article 6.1.f) qui autorise un traitement de données personnelles sans consentement lorsque l'organisme poursuit un intérêt licite, précis et réel, que le traitement est nécessaire et que les droits des personnes ne prévalent pas. Elle suppose une mise en balance documentée.

Fiche 01 Gouvernance & conformité

Logiciel ou matériel employé par un utilisateur malveillant pour capturer ce qu'une personne frappe au clavier, ce qui lui permet notamment d'obtenir des mots de passe. Il agit à l'insu de l'utilisateur et fait souvent partie d'une attaque plus large.

Fiche Se protéger

Programme dont l'objectif est de collecter des informations sur un appareil et sur l'usage qui en est fait, puis de les transmettre à un tiers, à l'insu de son propriétaire. Le stalkerware est un logiciel espion utilisé pour surveiller un proche, notamment un conjoint.

Fiche Se protéger

Format de stockage sur bande magnétique en cartouche, conçu à la fin des années 1990 par un consortium d'industriels dont IBM et HP, pour la sauvegarde et l'archivage de gros volumes de données. Une cartouche rangée hors ligne échappe aux attaques en ligne comme les rançongiciels, et chaque génération augmente la capacité par cartouche.

041 04 Sécurité des données

Logiciel malveillant qui infecte un appareil sans aucune action de son propriétaire, ni clic ni ouverture de fichier. Il exploite une faille dans la façon dont une messagerie ou une application d'appel traite les données reçues, d'où des intrusions silencieuses comme celles du logiciel espion Pegasus. Les mises à jour rapides restent la première parade.

029 Se protéger

Données structurées qui décrivent d'autres données : auteur, dates de création et de modification, format, taille, droits d'utilisation. Elles servent à indexer, rechercher et gérer les contenus, mais peuvent aussi révéler des informations sensibles, comme le lieu et l'heure d'une photo ou l'auteur d'un document.

034 03 Data & IA

Principe du RGPD (article 5, paragraphe 1, point c) selon lequel les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement : on ne collecte et ne conserve que ce qui sert réellement l'objectif poursuivi.

Fiche 01 Gouvernance & conformité

Au sens de l'AI Act (article 3, point 63), modèle d'IA présentant une généralité significative, capable d'exécuter de manière compétente un large éventail de tâches distinctes et pouvant être intégré dans une variété de systèmes ou d'applications en aval, y compris lorsqu'il est entraîné par auto-supervision à grande échelle.

Fiche 01 Gouvernance & conformité

Méthode d'analyse prédictive qui estime, à partir de données historiques sur des individus et leurs actions, la probabilité qu'une personne accomplisse une action donnée, comme acheter un produit. Elle sert notamment au marketing ciblé, à la détection de fraude et à la fidélisation des clients.

030 03 Data & IA

Principe de sécurité selon lequel chaque utilisateur, application ou compte ne reçoit que les droits et ressources strictement nécessaires à sa fonction. Il limite ce qu'un compte compromis ou une erreur de manipulation permet d'atteindre.

Fiche 04 Sécurité des données

Obligation du responsable du traitement de notifier à l'autorité de contrôle, dans les meilleurs délais et si possible sous 72 heures, toute violation de données personnelles susceptible d'engendrer un risque, et d'en informer les personnes concernées si le risque est élevé (articles 33 et 34 du RGPD).

Fiche 01 Gouvernance & conformité

Operations Security : méthode qui consiste à identifier les informations critiques d'une activité, à analyser les menaces, les vulnérabilités et les risques, puis à appliquer des contre-mesures, en se plaçant du point de vue d'un adversaire. Elle cible les indices non classifiés, souvent issus de données ouvertes, qui permettent de reconstituer ce qu'on veut protéger.

Fiche 04 Sécurité des données

Open Source Intelligence, ou renseignement de source ouverte : collecte et analyse systématiques d'informations librement accessibles (presse, réseaux sociaux, registres publics, données techniques) pour en tirer un renseignement exploitable. Enquêteurs, équipes de sécurité et journalistes l'emploient, tout comme les cybercriminels qui préparent leurs attaques.

027 04 Sécurité des données

Accès dissimulé, logiciel ou matériel, qui permet de se connecter de façon furtive à une machine distante. Elle peut être introduite par du code malveillant, comme elle peut résulter d'une mise en œuvre incorrecte d'un protocole.

Fiche Se protéger

Traitement automatisé de données personnelles qui consiste à les utiliser pour évaluer certains aspects personnels d'une personne, notamment pour analyser ou prédire son rendement au travail, sa situation économique, sa santé, ses préférences, sa fiabilité, son comportement ou ses déplacements (article 4.4 du RGPD).

Fiche 01 Gouvernance & conformité

Traitement de données personnelles de façon qu'elles ne puissent plus être attribuées à une personne précise sans informations supplémentaires, conservées séparément et protégées (article 4, point 5, du RGPD). Les données pseudonymisées restent des données personnelles.

Fiche 01 Gouvernance & conformité

Code malveillant déployé par des attaquants pour obtenir le paiement d'une rançon : il empêche la victime d'accéder à ses fichiers, généralement en les chiffrant, puis lui propose le moyen de les déchiffrer ou de les récupérer contre paiement. Les données sont souvent aussi copiées, ce qui permet une seconde extorsion.

Fiche 04 Sécurité des données

Document tenu par le responsable de traitement et le sous-traitant qui recense leurs activités de traitement de données personnelles : finalités, catégories de données et de personnes, destinataires, transferts, durées de conservation. Prévu à l'article 30 du RGPD, il sert à piloter et à prouver la conformité.

Fiche 01 Gouvernance & conformité

Stratégie de sauvegarde qui complète la règle 3-2-1 (trois copies des données, sur deux types de supports différents, dont une hors site) par une copie supplémentaire conservée hors ligne, déconnectée du réseau, afin qu'une cyberattaque comme un rançongiciel ne puisse pas la compromettre.

046 04 Sécurité des données

Opération qui consiste à retrouver l'identité d'une personne à partir de données pseudonymisées ou présentées comme anonymes, en les recoupant avec d'autres informations. Si elle reste possible par des moyens raisonnables, les données demeurent des données personnelles soumises au RGPD.

Fiche 01 Gouvernance & conformité

Personne physique ou morale, autorité publique ou organisme qui détermine les finalités (pourquoi) et les moyens (comment) d'un traitement de données personnelles. Défini à l'article 4 du RGPD, il porte la responsabilité principale de la conformité et doit pouvoir la démontrer.

Fiche 01 Gouvernance & conformité

Le règlement général sur la protection des données (règlement (UE) 2016/679) encadre tout traitement de données personnelles dans l'Union européenne. Applicable depuis le 25 mai 2018, il fixe des principes, des droits pour les personnes et des amendes pouvant atteindre 4 % du chiffre d'affaires mondial.

Fiche 01 Gouvernance & conformité

Arrêt rendu le 16 juillet 2020 par la Cour de justice de l'Union européenne, qui a invalidé le Privacy Shield, mécanisme encadrant les transferts de données personnelles vers les États-Unis, en raison du risque d'accès des services de renseignement américains. Il impose aussi de vérifier la protection du pays de destination, même avec des clauses contractuelles types.

020 02 Souveraineté numérique

Note de 0 à 10 attribuée à une vulnérabilité par le standard CVSS (Common Vulnerability Scoring System), maintenu par FIRST, pour exprimer sa gravité technique : de faible (0,1 à 3,9) à critique (9,0 à 10,0). Il décrit la faille, non le risque réel pour une organisation donnée.

Fiche 04 Sécurité des données

Découpage d'un réseau informatique en zones distinctes (postes, serveurs métiers, administration), entre lesquelles les échanges sont filtrés. Elle limite la propagation d'une intrusion et la possibilité, pour un attaquant, de rebondir d'un poste compromis vers des serveurs critiques.

Fiche 04 Sécurité des données

Ensemble des appareils, logiciels et services (messagerie, stockage en ligne, outils collaboratifs) utilisés pour le travail sans avoir été recensés ni validés par le service informatique. Ils échappent à la gestion des actifs, aux sauvegardes et à la supervision de l'organisation.

Fiche 04 Sécurité des données

Outil de supervision de la sécurité (système de gestion des informations et des événements de sécurité) qui centralise les journaux des pare-feux, serveurs et applications, puis les met en corrélation pour détecter en temps quasi réel les comportements suspects et lever des alertes. Il conserve l'historique utile aux enquêtes après incident et aux rapports de conformité.

038 04 Sécurité des données

Fraude par laquelle un escroc, se faisant passer pour l'abonné auprès de son opérateur, obtient une nouvelle carte SIM liée à son numéro. Il reçoit alors les appels, les SMS et les codes à usage unique de la victime, ce qui lui permet d'accéder à ses comptes en ligne.

Fiche Se protéger

Site, le plus souvent accessible via Tor, sur lequel un groupe de rançongiciel nomme ses victimes et publie ou menace de publier les données volées afin de les pousser à payer (double extorsion). Le CERT-FR parle de site de divulgation ; en anglais, on dit leak site.

Fiche 04 Sécurité des données

Hameçonnage mené par SMS (contraction de « SMS » et de « phishing ») : un message usurpe l'identité d'une administration, d'une banque ou d'un service de livraison pour inciter son destinataire à cliquer sur un lien, à rappeler un numéro ou à communiquer des données personnelles ou bancaires.

Fiche Se protéger

Faux compte en ligne, doté d'une identité fictive crédible, qu'un utilisateur emploie pour agir sans révéler sa vraie identité. Il sert à des recherches en sources ouvertes (OSINT), mais aussi à l'ingénierie sociale, à la désinformation et à la manipulation des plateformes. Il enfreint les règles des réseaux sociaux, qui bannissent les comptes repérés.

028 04 Sécurité des données

Social Media Intelligence : renseignement tiré des réseaux sociaux, terme proposé en 2012 par David Omand, Jamie Bartlett et Carl Miller. Il couvre aussi bien l'exploitation non intrusive de publications ouvertes que l'accès intrusif à des contenus privés, réservé à des pouvoirs étatiques.

Fiche 04 Sécurité des données

Personne ou organisme qui traite des données personnelles pour le compte du responsable de traitement, sur instruction documentée de celui-ci. Défini à l'article 4 du RGPD, il est encadré par un contrat obligatoire (article 28) et porte des obligations propres, notamment de sécurité.

Fiche 01 Gouvernance & conformité

Capacité d'un État, d'une organisation ou d'une entreprise à maîtriser ses infrastructures numériques et à prendre ses décisions technologiques en toute indépendance. Elle ne se confond pas avec l'isolement : il s'agit de pouvoir choisir ses dépendances, sur les plans technique, juridique, économique, politique et culturel.

060 02 Souveraineté numérique

Technique de fraude qui consiste à falsifier le numéro affiché sur le téléphone du destinataire d'un appel, souvent grâce à des passerelles VoIP, pour se faire passer pour une banque, une administration ou un particulier. Le numéro affiché n'est donc jamais une preuve d'authenticité de l'appelant.

062 Se protéger

Le SSO (Single Sign-On, authentification unique) permet à un utilisateur de s'authentifier une seule fois auprès d'un fournisseur d'identité pour accéder à plusieurs services, sans ressaisir ses identifiants. Il s'appuie sur des protocoles comme SAML 2.0 ou OpenID Connect.

Fiche 04 Sécurité des données

Ensemble des points d'un système, d'un composant ou d'un environnement par lesquels un attaquant peut tenter d'entrer, d'agir ou d'extraire des données (services exposés, comptes, applications, équipements). Plus elle est étendue, plus les occasions d'intrusion se multiplient.

Fiche 04 Sécurité des données

Au sens de l'AI Act (article 3, point 1), système automatisé conçu pour fonctionner à différents niveaux d'autonomie et qui, pour des objectifs explicites ou implicites, déduit des entrées qu'il reçoit comment générer des sorties (prédictions, contenus, recommandations ou décisions) pouvant influencer des environnements physiques ou virtuels.

Fiche 01 Gouvernance & conformité

Au sens de l'AI Act (article 6), système d'IA utilisé comme composant de sécurité d'un produit réglementé (annexe I) ou relevant d'un domaine listé à l'annexe III (recrutement, éducation, accès au crédit, biométrie, justice). Il est soumis à des exigences renforcées : gestion des risques, qualité des données, documentation, contrôle humain.

Fiche 01 Gouvernance & conformité

Pratique abusive qui consiste à enregistrer un nom de domaine très proche de celui d'une marque ou d'une organisation, en exploitant une faute de frappe ou une graphie voisine. Le faux site capte des visiteurs et sert souvent au hameçonnage ou à la diffusion de logiciels malveillants.

Fiche 04 Sécurité des données

Prise de contrôle d'un compte (messagerie, réseau social, service en ligne ou accès professionnel) par un tiers malveillant, au détriment de son titulaire légitime, avec des identifiants trop simples, réutilisés ou obtenus par hameçonnage. En anglais, on parle d'account takeover.

Fiche 04 Sécurité des données

Escroquerie par téléphone (contraction de « voice » et « phishing ») dans laquelle un faux interlocuteur, se faisant passer pour une banque, une administration ou un fournisseur, pousse la victime à révéler des informations sensibles comme des coordonnées bancaires ou des codes de validation. Elle débute souvent par un SMS ou un e-mail invitant à rappeler un numéro.

047 Se protéger

Vulnérabilité qui n'a fait l'objet d'aucune publication ou n'a reçu aucun correctif au moment où elle est exploitée. Les utilisateurs ne disposent donc pas encore d'une mise à jour pour s'en protéger. L'exploit zero-day désigne le code qui s'en sert pour attaquer un système.

Fiche 04 Sécurité des données

Modèle de sécurité qui n'accorde aucune confiance implicite à un utilisateur, un appareil ou un système du seul fait de sa position sur le réseau : chaque demande d'accès est authentifiée et autorisée avant l'ouverture d'une session vers une ressource. Il est formalisé par le NIST (SP 800-207) et détaillé par l'ANSSI.

Fiche 04 Sécurité des données