Comment se préparer à un contrôle en ligne de la CNIL ?
L’audit de conformité d’un site internet consiste en la simulation d’un contrôle en ligne dans les mêmes conditions que ceux pouvant être réalisés par la CNIL. Il permet de se prémunir contre la concrétisation de risques juridiques et techniques concernant la protection des données personnelles. Les recommandations issues de l’audit favorisent la mise en conformité avec les législations actuelles (RGPD) et futures.
Pour l’audité, les objectifs de l’audit de site internet sont :
· De vérifier la conformité de son site internet au regard des recommandations de la CNIL ;
· De réduire les risques de sanction en cas de contrôle à distance par des agents de la CNIL ;
· De réduire les risques de fuite de données sur internet ;
· De proposer à ses clients et prospects un site internet respectueux de leur vie privée.
Dans le cadre de l’audit de conformité d’un site internet, DIGITEMIS propose une méthodologie s’inspirant de la procédure mise en place par la CNIL pour ses contrôles en ligne. L’audit se déroule ainsi :
1. Mise en place d’un matériel d’audit neutre ;
2. Réalisation de tests non intrusifs sur le site internet de l’audité et collecte de preuves ;
3. Rédaction de la partie technique du rapport et du support de restitution sur la base des preuves collectées ;
4. Analyse juridique des preuves collectées et rédaction de la partie juridique du rapport et du support ;
5. Réunion de restitution et présentation des constatations et des recommandations
Le contrôle de la conformité du site internet repose sur les référentiels suivants :
• Le Règlement Général sur la protection des données personnelles (RGPD) ;
• La loi Informatique et Libertés ;
• Les recommandations, la jurisprudence et la doctrine de la CNIL.
Les points de contrôle du site internet couvrent notamment :
• La présence des mentions légales obligatoires ;
• La conformité des formulaires de collecte de données ;
• L’existence de mesures de chiffrement des flux de données ;
• La conformité de la procédure de création de comptes ;
• Quand c’est nécessaire, le recueil du consentement des personnes au traitement de leurs données personnelles ;
• L’information des personnes sur les traitements effectués par le site internet ;
• La sécurité du dépôt des cookies et autres traceurs.
Pour en savoir plus :
Audit de site web CNIL
Audit de conformité CNIL
Je partage
Derniers articles
Renforcer la sécurité WordPress, du développement des plugins à la configuration serveur
Il y a peu, dans le cadre de recherches sur des plugins WordPress, notre pentester Vincent Fourcade a découvert une injection de code, côté client, dans un module du célèbre CMS. Celle-ci fut vérifiée et validée par les équipes de WPScan. Aujourd’hui, une CVE lui a été attribuée. L’occasion de revenir aujourd’hui sur la sécurité, au sens large, dans le CMS WordPress, que ce soit au niveau de la couche applicative, de la configuration du serveur ou du bureau. C’est parti !
Analyse des Métriques XSS : comprendre l’Impact des injections de code côté client
Lors des tests d’intrusion, l’injection de code côté client est généralement plus aisée à découvrir qu’une injection côté serveur. Le nombre de paramètres dynamiques transitant du back au front, la difficulté d’échapper correctement à l’entrée et à la sortie et la multitude d’encodage liés à l’affichage peuvent être des vrais casse-têtes pour qui souhaite faire la chasse à la XSS. Le JavaScript malveillant semble ainsi avoir de beaux jours devant lui. Cependant, il n’est pas rare qu’à l’issu de l’audit, la criticité d’une telle injection découle directement de la configuration des cookies présents sur l’application. En effet, l’absence de l’attribut HttpOnly majore irrémédiablement les risques liés à ce type d’attaque. Néanmoins, cela signifie-t-il que la présence de cet attribut doive absolument amenuiser la criticité d’une injection ?