Speaker #0Alors aujourd'hui, je voulais t'emmener dans une salle de réunion. Une salle de réunion dans laquelle je me retrouve quand même de temps en temps. Et autour de la table, il y a le RSSI, le DPO, le responsable SOC, un CIO, un juriste, le responsable métier, parfois même la CEO, et la question paraît presque ridicule tant elle est simple. Combien de temps devons-nous conserver nos logs ? 3 mois ? 1 an ? 5 ans ? Pourtant, cette question est aujourd'hui suffisamment importante pour être discutée devant la Cour de justice de l'Union Européenne dans l'affaire C-661/24. J'ai tué tout le monde avec ça. Bienvenue dans Compliance Without Coma, le podcast qui parle de cybersécurité, de gouvernance et d'ISO 27001 sans te plonger dans le coma. Je suis Fabrice De Paepe et depuis plus de 20 ans maintenant, j'accompagne des organisations à mettre en place des systèmes de management qui fonctionnent vraiment. Et aujourd'hui, j'aimerais t'expliquer pourquoi la gouvernance est probablement le sujet le plus important et pourtant le plus mal compris. Tu te rends compte que l'affaire des logs est suffisamment prise au sérieux que pour remonter à la Cour de Justice Européenne ? Je te mettrai l'article public en descriptif du podcast, tiens. Je l'ai lu, c'est du droit, et ça fait dormir. Mais en lisant, justement, entre les lignes, de quoi cela parle-t-il ? Cette affaire concerne notamment la conservation de données de communication électronique en Belgique. Ça y est, t'as le contexte ? Je sens pointer le conflit d'intérêt déjà entre NIS2 2 et la loi Télécom en Belgique. L'objectif affiché est légitime. Lutter contre la fraude, protéger les réseaux et... permettre l'identification des auteurs d'actes malveillants. Mais immédiatement, une question apparaît. À partir de quel moment protège-t-on encore la société ? Et à partir de quel moment porte-t-on une atteinte disproportionnée à la vie privée ? L'avocat général rappelle que la difficulté ne réside pas uniquement dans la durée de conservation. Il s'interroge aussi sur les catégories de données concernées, les critères permettant de fixer cette durée, et les garanties offertes contre les abus et les limites du pouvoir laissé aux opérateurs. Et c'est en fait précisément ça que je trouve intéressant, parce qu'au fond, c'est pas une affaire de log, c'est une affaire de gouvernance. Hashtag gouvernance, tu l'as, n'est-ce pas ? Imagine maintenant cette même discussion dans ton entreprise. Et donc le RSSI prend la parole. Si nous ne gardons pas suffisamment longtemps les journaux... « Comment voulez-vous que mon équipe reconstruise une attaque découverte dans 6 mois Le responsable SOC enchaine. « Oui, d'autant plus que nos corrélations reposent sur ces données. Sans elles, certaines attaques deviendront invisibles. » Et alors là, le DPO répond. « Très bien, mais plus vous conservez des données longtemps, plus vous augmentez votre exposition en cas de fuite et plus vous devez être capable de justifier cette conservation. » Et alors là, le juriste intervient. attention, parfois c'est la même personne que le DPO, la personne intervient et dit, mais sur quelle base légale repose cette durée ? Pourquoi 3 ans et pas 18 mois, par exemple ? Ce qui a réveillé le CFO, parce que lui regarde le coût de stockage, et il rappelle que le métier veut de la simplicité. La CEO écoute tout le monde et finit par demander, ok, messieurs-dames, mais, excusez-moi, mais finalement, qui a raison ? Et ma réponse est toujours la même, parce que tout le monde a raison, parce que chacun défend un risque différent. Le RSSI protège l'entreprise, le DPO protège les personnes, le juriste protège la conformité, le SOC protège la capacité d'enquête, le CFO protège les finances, la CEO protège la pérennité de l'entreprise, avec une stratégie. Et c'est précisément là que commence la difficulté. Et en fait, c'est pourquoi les registres de log sont probablement l'un des sujets les plus complexes que je dois implémenter, et toi aussi très certainement. Parce qu'un registre de log n'est jamais un simple tableau Excel. Derrière chaque ligne, il y a une décision. Pourquoi collectons-nous cette information ? Qui est propriétaire de cette donnée ? Est-ce qu'elle contient des données personnelles ? Qui peut y accéder ? Pendant combien de temps doit-on la conserver ? Est-ce en lien avec notre contrôle ISO ? Ou comment s'assure-t-on de cela techniquement ? Est-ce qu'on a une obligation légale, une exigence contractuelle, un besoin d'investigation, ou alors tout simplement une exigence métier ? Et très rapidement, je me retrouve à organiser des workshops avec le RSSI, le DPO, les responsables métiers, les administrateurs système, les équipes SOC, les propriétaires des applications, parfois les équipes RH, parfois le département juridique. Parce qu'une entreprise ne possède pas un journal. Elle en possède parfois plusieurs centaines et décentralisées. Des journaux Windows, Linux, des firewalls, des VPN, des proxys, des applications, on a un ERP, on a du CRM, du cloud. des DB, une messagerie, des solutions SAS. Et chacun de ces journaux, in fine, possède sa propre logique, sa propre durée de conservation, ses propres contraintes, ses propres propriétaires. Et je peux t'assurer d'une chose, personne autour de la table n'a envie d'être non conforme. Mais les équipes veulent bien faire. Le problème, c'est qu'elles doivent satisfaire des exigences qui semblent parfois contradictoires. Le SOC veut davantage de données, Le DPO veut davantage de minimisation. Le juridique veut davantage de justification. Le métier veut davantage de simplicité. La direction veut davantage de sécurité, sans augmenter les coûts, en les réduisant même pour mon CFO. Et il m'est déjà arrivé de passer une demi-journée entière sur un seul registre de log. Pas parce que l'outil était compliqué, mais parce que, autour de la table, il y avait 8 personnes, 8 contraintes, 8 responsabilités. 8 visions différentes, et finalement, personne n'avait complètement tort. Et personne n'avait complètement raison. Il fallait arbitrer. À la fin de la réunion, nous n'avions pas trouvé LA bonne réponse. Nous avions trouvé la meilleure décision possible, compte tenu des risques que l'organisation était prête à accepter. Et c'est exactement ça, la gouvernance. Et c'est aussi pour cette raison que je ne demande presque jamais simplement « Combien de temps gardez-vous vos logs ? » Je demande aussi « Pourquoi avez-vous choisi cette durée ? » Et là, le silence s'installe parfois. Parce que les réponses sont souvent « parce qu'on a toujours fait comme ça » ou « parce que Microsoft conserve un an dans notre licence » . « Ah tiens, t'es souverain avec Microsoft ? » « Oups, non, ça c'est pour un autre podcast. » Ou encore « parce que le stockage ne coûte plus grand-chose » . Ce ne sont pas des analyses de risque, ce sont des habitudes. Et c'est précisément ce que cette affaire devant la Cour de justice nous rappelle. Les décisions les plus difficiles en cybersécurité ne sont presque jamais techniques, ce sont des arbitrages. Entre la sécurité, la vie privée, la conformité, les coûts, les performances, les enquêtes, les libertés individuelles. Et si tu es RSSI ou DPO, responsable conformité, ou même dirigeant, tu sais probablement de quoi je parle. Parce qu'au final, il n'existe pas de bouton marqué « bonne décision » . Il n'existe que des risques. Des risques que tu choisis d'accepter ou que tu devrais être capable d'expliquer. Peut-être devant un auditeur. Et pas de podcast, celui-là. Peut-être devant un client. Et rarement devant un juge. Mais, finalement, la probabilité d'occurrence, elle est là malgré tout. Alors, soyons clairs, je ne pense pas que cet épisode t'ait fait sourire. Il y a du droit dedans. Bah, je déteste ça. Mais il t'a sûrement aidé à réfléchir. Si cela t'a aidé et que tu me découvres, alors abonne-toi. Partage-le avec un RSSI, un DPO, un juriste ou un dirigeant qui pense encore qu'en cybersécurité, il existe toujours une bonne réponse. On se retrouve vendredi prochain, déjà, pour un nouvel épisode de Compliance Without Coma. D'ici là, prends soin de toi coma breaker et rappelle-toi, en cyber, le plus difficile n'est pas de prendre une décision, c'est de pouvoir l'expliquer, des mois plus tard, devant un auditeur, un client ou parfois un juge. En tout cas, documente bien tes choix.
