Fuites de données : 8 mesures immédiates pour une mairie ou une PME en AURA

Quand ça fuit, tu n’as pas “un problème IT”. Tu as une crise.

Une fuite de données, ce n’est pas juste un fichier qui part. C’est du risque humain (usagers, administrés, clients, salariés), du risque opérationnel (services bloqués, facturation à l’arrêt), du risque juridique (RGPD, contrats), et un risque réputationnel qui te tombe dessus en 24 heures.

Et ça arrive plus souvent. La CNIL indique 5 629 violations de données notifiées en 2024, soit +20 % en un an (rapport annuel 2024, CNIL). Dans ce contexte, ton sujet n’est pas “comment éviter à 100 %”. Ton sujet, c’est comment réagir proprement.

Cet article te donne un plan de réponse à incident non technique, taillé pour une fuite de données mairie ou une PME en cybersécurité PME Auvergne-Rhône-Alpes. Priorité aux 72 heures, puis aux 30 jours. Objectif : stopper l’hémorragie, comprendre ce qui est touché, protéger les personnes, décider vite (dont notification CNIL si nécessaire), et remettre l’organisation d’aplomb.

Avant les 8 mesures : incident ou violation de données personnelles ?

Le RGPD parle de violation de données personnelles dès qu’il y a divulgation, accès non autorisé, perte, destruction ou altération de données personnelles (CNIL). Donc un PC volé avec un fichier RH, un compte mail compromis, une base client exposée via un prestataire, tout ça peut entrer dans le cadre.

Point clé : tu peux notifier même si tu n’es pas sûr à 100 % au départ, puis compléter ou requalifier. Le RGPD permet une notification progressive si tu n’as pas tout en 72 heures, à condition d’expliquer (lignes directrices citées par la CNIL et le CEPD).

Les 8 mesures immédiates, structurées en 72 heures puis 30 jours

1) Stabiliser et circonscrire (0 à 6 heures)

Ta première mission : stopper l’hémorragie. Pas “nettoyer”, pas “mettre à jour dans le calme”. Stopper.

• Isole ce qui est suspect : poste, serveur, compte, accès distant, boîte mail, compte admin, outil SaaS.
• Ne réinstalle pas dans la panique. Tu risques d’effacer les traces utiles (logs, preuves) et de perdre le fil.
• Gèle les changements non essentiels : pas de déploiement, pas de grosse migration, pas de “on change tous les mots de passe au hasard” sans plan.
• Décide un pilote : un responsable de crise (DG, DGS, DSI, RSSI, selon taille). Une personne tranche.

Pourquoi c’est vital : sur PME et secteur public, les attaques liées au rançongiciel sont une tendance majeure au niveau mondial (Verizon DBIR 2025, “Public Sector Snapshot” et volet SMB). Ce n’est pas “juste un mail”. Ça peut s’étendre.

2) Lancer l’inventaire minimal des données touchées (0 à 24 heures)

Tu n’as pas besoin d’un audit parfait. Tu as besoin d’un inventaire minimal pour décider : qui est concerné, et quel niveau de risque.

• Quelles catégories : état civil, listes électorales, données scolaires, CCAS, RH, paie, facturation, données clients, données de santé (rare en PME mais possible), pièces d’identité, RIB.
• Où étaient les données : poste, NAS, serveur, cloud, messagerie, CRM, outil de billetterie, prestataire, clé USB, disque externe.
• Quel volume : quelques dossiers, un service, une base complète.
• Qui pouvait y accéder : agents, prestataires, comptes partagés, comptes admin, sous-traitants.

La CNIL recommande de raisonner risque pour les droits et libertés des personnes pour décider de notifier. Concrètement : est-ce que ça peut mener à de l’usurpation, du phishing ciblé, de la fraude, de la stigmatisation, une atteinte financière ?

Documente tout dans un journal de crise : horodatage, décisions, hypothèses, actions. Ce doc te servira pour l’assurance, pour tes prestataires, et si la CNIL te demande des comptes.

3) Identifier les comptes compromis et geler les accès (0 à 24 heures)

Dans beaucoup d’incidents réels, le compte est la porte d’entrée. Ta priorité : reprendre le contrôle des identités.

• Désactive ou réinitialise en priorité : comptes admin, messagerie, VPN, accès distant, outils de support, comptes prestataires.
• Coupe les accès “qui traînent” : comptes d’anciens salariés, comptes partagés, boîtes fonctionnelles sans responsable.
• Active ou renforce la MFA (double facteur) là où c’est possible. L’ANSSI la met parmi les règles d’hygiène majeures (cyber.gouv.fr).
• Vérifie les règles de transfert mail et délégations (classique après compromission). Si tu as Microsoft 365, c’est un réflexe de base.

Si tu ne fais ça qu’à moitié, tu “traites” un incident pendant que l’attaquant est encore connecté.

4) Rotation ciblée des secrets et mots de passe (0 à 48 heures, puis itératif)

Après une fuite, tu dois partir du principe que certains identifiants ont pu être capturés. Mais tu ne peux pas tout changer n’importe comment. Fais ciblé et dans le bon ordre.

• Priorité 1 : comptes admin, comptes de service, comptes qui donnent accès à beaucoup de données (CRM, RH, GED, finances, messagerie).
• Priorité 2 : clés API, jetons d’accès, intégrations (ERP, outil de paiement, outils marketing, connecteurs).
• Priorité 3 : comptes utilisateurs standards, surtout s’ils ont accès à des données personnelles.

Si tu utilises des secrets pour des automatisations (API, webhooks, tokens), ne laisse pas ça en arrière-plan. Tu dois pouvoir révoquer et réémettre proprement.

Pour cadrer ce point côté “secrets”, tu peux aussi t’appuyer sur ce contenu Lyon IA : https://lyon-ia.com/blog/1password-for-agents-et-gestion-des-secrets-autoriser-des-agents-ia-sans-fuite

5) Vérifier les sauvegardes et préparer la restauration (0 à 72 heures)

Si tu as une fuite, tu peux aussi avoir une destruction, une altération, ou un chiffrement (rançongiciel). Les sauvegardes deviennent ton assurance-vie. Mais une sauvegarde non testée, c’est un mythe.

• Vérifie l’existence : quelles sauvegardes, quels systèmes, quelle fréquence.
• Vérifie la restaurabilité : fais un test de restauration sur un périmètre réduit.
• Vérifie la protection : sauvegardes isolées, idéalement hors-ligne ou à accès très restreint. L’ANSSI insiste sur la protection des sauvegardes et la formalisation d’un PRA (monservicesecurise.cyber.gouv.fr).
• Décide la stratégie : restaurer maintenant (au risque de restaurer un système encore compromis) ou attendre d’avoir plus de certitudes.

Si tu veux cadrer la partie “sauvegardes qui fonctionnent vraiment”, tu peux lire : https://lyon-ia.com/blog/automatiser-ses-sauvegardes

6) Organiser la journalisation et conserver les preuves (0 à 72 heures, puis sur 30 jours)

Tu vas devoir répondre à des questions simples, et tu n’auras pas envie d’improviser :

• Comment l’attaquant est entré ?
• Depuis quand ?
• Qu’est-ce qu’il a consulté, exfiltré, modifié ?
• Qu’est-ce que tu as fait, et à quel moment ?

Donc tu centralises ce qui existe déjà : logs de connexion, journaux serveurs, traces VPN, alertes antivirus/EDR, logs des outils SaaS, historiques de partage de fichiers, exports d’admin console.

Ne joue pas au forensique si tu ne sais pas faire. Mais conserve, capture, horodate. Même des captures d’écran et exports CSV peuvent sauver ton dossier.

7) Communiquer sans te tirer une balle dans le pied (24 à 72 heures)

La communication, ce n’est pas du “PR”. C’est une mesure de sécurité. Si tu la rates, tu crées du chaos interne, tu rates des signaux, et tu laisses les rumeurs faire le boulot.

• Interne : consignes simples. Qui contacter. Quoi ne pas faire (ne pas supprimer des mails, ne pas “tester” des liens, ne pas brancher de clés USB inconnues). Quel canal officiel (Teams, mail, téléphone).
• Opérationnel : quels services continuent, quels services sont stoppés, quelles alternatives temporaires (papier, prise de rendez-vous, bascule sur un site d’info).
• Externe : si tu communiques, reste factuel. Ce que tu sais. Ce que tu fais. Ce que tu ne sais pas encore. Quand tu reviendras avec une mise à jour.

Pour une mairie, pense “continuité de service” : état civil, inscriptions, cantine, urbanisme, police municipale. Pour une PME : production, facturation, paie, relation client, logistique.

Et si tu es dépendant d’un opérateur ou d’un service externe, prévois une com orientée continuité. Ça fait écho à ce cas de figure : https://lyon-ia.com/blog/orangesosh-en-panne-a-lyon-pca-ia-automatisation-quand-le-reseau-tombe

8) Décider et lancer la notification CNIL (si nécessaire) + informer les personnes (72 heures, puis compléments)

Le RGPD est clair : si la violation de données personnelles présente un risque pour les droits et libertés des personnes, tu dois notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir eu connaissance (RGPD, rappel CNIL).

Deux points qui t’aident à ne pas te paralyser :

• La notification peut être progressive. Tu envoies ce que tu as, puis tu complètes.
• Mieux vaut notifier et ajuster que de laisser passer la fenêtre et bricoler ensuite.

Ensuite, si le risque est élevé pour les personnes, tu dois aussi informer les personnes concernées (article 34) avec un message compréhensible et des conseils concrets (CNIL).

Dans le plan de réponse à incident, cale-toi une checklist “notification” :

• Nature de la violation (perte, accès non autorisé, divulgation…).
• Catégories de données et de personnes concernées.
• Volume estimé.
• Conséquences probables.
• Mesures déjà prises et à venir.
• Contact (DPO si tu en as un, sinon contact désigné).

Focus : 3 scénarios très concrets en Auvergne-Rhône-Alpes

Scénario A : vol d’équipement contenant des données (mairie ou PME)

Cas typique : PC portable volé dans un véhicule, smartphone pro perdu, disque dur externe oublié, ordinateur de salle en libre service. En local, ça arrive dans toutes les structures, surtout quand il y a du terrain (agents techniques, élus, commerciaux, interventions).

Les conséquences opérationnelles sont souvent sous-estimées : accès à la messagerie, récupération de mots de passe, rebond vers des outils SaaS, vol de documents (RH, usagers, devis, fichiers clients).

Les 72 heures :

• Inventaire des données présentes sur l’appareil (même approximatif).
• Révocation des sessions et jetons (messagerie, VPN, applications).
• Rotation ciblée des mots de passe.
• Évaluation du risque : appareil chiffré ou pas, verrouillage, MDM, etc. (même si tu n’es pas expert, note ce que tu sais).

Scénario B : fuite massive via un système tiers (prestataire, SaaS, infogérant)

Cas typique : un outil de relation usagers, un CRM, un prestataire paie, une plateforme de prise de rendez-vous, un hébergeur, un intégrateur. La fuite ne vient pas “de chez toi”, mais tu vas en payer le prix.

Piège classique : “c’est le prestataire, donc on attend”. Non. Si tu es responsable de traitement (ou co-responsable), tu dois piloter la gestion côté personnes, risques, notification.

Les 72 heures :

• Exiger une timeline et un périmètre du prestataire (quoi, quand, combien).
• Couper les intégrations ou clés API si doute.
• Préparer notification CNIL si risque, même si le prestataire n’a pas fini son analyse (notification progressive).
• Préparer un message aux personnes, si risque élevé.

Scénario C : compromission de messagerie qui paralyse l’activité

C’est fréquent, et c’est très concret : boîte mail piratée, règles de transfert, fraude au président, faux RIB, phishing interne, accès aux dossiers partagés. Pour une mairie, ça peut impacter marchés publics, échanges élus, usagers. Pour une PME, ça peut tuer la trésorerie en quelques virements.

Les conséquences opérationnelles :

• Arrêt temporaire des paiements sortants.
• Blocage des process (bons de commande, factures, SAV).
• Perte de confiance des partenaires.

Dans les 72 heures : gel des accès, MFA, rotation des secrets, vérification des règles de transfert, et consigne interne “tout changement de RIB se vérifie par un canal différent”.

J+7 à J+30 : durcir et éviter le replay

Une fois la phase aiguë passée, tu passes en mode “réduction durable du risque”. Pas un grand programme à 18 mois. Un plan 30 jours qui ferme les portes les plus probables.

Durcissement prioritaire (sans usine à gaz)

• MFA généralisée sur messagerie, VPN, outils d’admin (ANSSI).
• Moindre privilège : retirer les droits admin inutiles, revoir les groupes, supprimer les comptes dormants (ANSSI).
• Sauvegardes : protection renforcée, tests planifiés, restauration documentée (ANSSI).
• Journalisation : conserver ce qui compte, et surtout savoir qui regarde les alertes.
• Revue des prestataires : points de contact, obligations d’alerte, délais, preuves, clauses.

Formaliser un mini PRA et un mini plan de réponse à incident

Tu viens de vivre un incident. Profites-en : tu sais maintenant ce qui manque. Sur 30 jours, tu produis deux livrables simples :

• Plan de reprise d’activité (PRA) version “réaliste” : services critiques, priorités, procédures papier ou dégradées, qui décide la bascule.
• Plan de réponse à incident version “une page” : qui appeler, quoi isoler, quelles décisions en 6 h, 24 h, 72 h, où est le journal de crise, où sont les sauvegardes, qui gère la notification CNIL.

Checklist express : si tu n’as que 20 minutes

• Stopper : isoler systèmes et comptes suspects.
• Inventorier : quelles données perso, où, combien, qui.
• Reprendre les identités : comptes admin, mail, VPN, MFA.
• Révoquer : secrets, tokens, clés API.
• Vérifier : sauvegardes restaurables et protégées.
• Tracer : logs, preuves, journal de crise.
• Communiquer : interne d’abord, clair, consignes.
• Décider : notification CNIL sous 72 h si risque, puis compléments.

Sources (cadre et chiffres)

• CNIL, Rapport annuel 2024 : 5 629 violations notifiées en 2024 (+20 %) : https://cnil.fr/sites/default/files/2025-04/rapport_annuel_2024.pdf?utm_source=openai
• CNIL, RGPD chapitre 4, délai “si possible 72 heures” : https://cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4?utm_source=openai
• CNIL, règles sur les violations de données personnelles : https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre?trk=article-ssr-frontend-pulse_little-text-block&utm_source=openai
• CNIL, notification et information des personnes : https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles?utm_source=openai
• CEPD, lignes directrices WP250 rev.01 (notification progressive possible) : https://www.cnil.fr/sites/cnil/files/atoms/files/wp250rev01_fr.pdf?utm_source=openai
• ANSSI, référentiel de mesures (sauvegardes, PRA) : https://monservicesecurise.cyber.gouv.fr/referentiel-mesures?utm_source=openai
• ANSSI, règles d’hygiène numérique (MFA, moindre privilège, sauvegardes) : https://cyber.gouv.fr/securisation/10-regles-or-securite-numerique/?utm_source=openai
• Verizon, DBIR 2025 Public Sector Snapshot (tendance ransomware, contexte mondial) : https://www.verizon.com/business/resources/infographics/2025-dbir-public-sector-snapshot.pdf?utm_source=openai

Prochaine action (simple, faisable demain matin)

Bloque 60 minutes avec deux personnes : direction + référent IT (ou prestataire). Tu produis une page.

• Liste des 10 systèmes critiques (mail, paie, RH, finances, état civil, CRM…).
• Où sont les sauvegardes et qui sait restaurer.
• Qui décide, qui communique, qui contacte la CNIL si besoin.
• Les 8 mesures de cet article, avec un responsable et une heure cible.

Le jour où ça fuit, tu n’auras pas “le temps de réfléchir”. Tu exécuteras ce que tu as écrit.