Sécurité des données de suivi : ce qui protège quoi

« Chiffrement AES-256 » figure sur à peu près toutes les fiches produit du secteur. C'est un argument juste, mais partiel : il désigne un maillon d'une chaîne qui en compte plusieurs, et un maillon solide ne dit rien de la solidité des autres.

Voici les quatre niveaux à examiner, et ce qu'il faut vérifier à chacun.

Niveau 1 : la liaison entre le traceur et le serveur

C'est ce que désigne généralement la mention du chiffrement dans une fiche produit. Les données transmises par l'appareil sont chiffrées, de sorte qu'une interception sur le réseau ne donne rien d'exploitable.

Ce que cela protège : l'écoute passive du trafic.

Ce que cela ne protège pas : tout le reste, l'accès à la plateforme, la base de données, les identifiants d'intégration.

À vérifier : que la liaison soit chiffrée de bout en bout, et que l'appareil soit authentifié. Un serveur qui accepterait des données de n'importe quel émetteur se prononçant traceur permettrait à quiconque d'injecter de fausses positions.

Niveau 2 : le stockage

Une fois arrivées, les données vivent dans une base. Deux questions.

Où ? Un hébergement dans l'Union européenne évite les questions de transfert hors UE, qui exigent un encadrement spécifique, voir notre article sur la géolocalisation et le RGPD.

Sous quelle forme ? Le chiffrement au repos protège contre l'accès physique au support de stockage. Il ne protège pas contre un accès applicatif légitime : un compte compromis voit des données déchiffrées, quel que soit le chiffrement du disque.

C'est pourquoi le niveau suivant compte davantage au quotidien.

Niveau 3 : le cloisonnement et les accès

C'est le niveau le plus important en pratique, et le moins mis en avant commercialement.

Le cloisonnement entre clients. Sur une plateforme multi-clients, chaque client ne doit voir que ses propres données. Cette isolation doit être appliquée au niveau des requêtes elles-mêmes, pas seulement par un filtre d'affichage, une erreur de filtre côté interface est vite arrivée, une isolation appliquée en base l'est beaucoup moins.

Le cloisonnement à l'intérieur d'un client. Tous vos collaborateurs n'ont pas à voir tout le parc. Une bonne plateforme permet de restreindre la visibilité à un sous-ensemble d'équipements, pour certains utilisateurs seulement, ce qui est aussi un élément de proportionnalité au sens du RGPD. Le sujet est traité dans notre article sur la gestion des accès.

L'authentification. Un mot de passe seul est insuffisant sur un compte qui donne accès à la localisation d'un parc entier. La double authentification devrait être disponible, et exigée sur les comptes administrateurs.

La traçabilité. Qui a consulté quoi, qui a modifié quoi, et quand. C'est ce qui permet de répondre après un incident, et c'est également ce qui permet de savoir si un accès du support technique a eu lieu.

Niveau 4 : les identifiants d'intégration

Une plateforme se connecte à des services tiers : paiement, facturation, banque, configuration des appareils. Chacun suppose des clés d'API, et ces clés sont souvent le maillon faible.

Trois mauvaises pratiques courantes : des clés en clair dans un fichier de configuration, des clés dans un dépôt de code, des clés partagées par messagerie.

Ce qu'il faut à la place : des identifiants chiffrés au repos, saisis dans une interface d'administration, jamais réaffichés en clair après leur saisie, accessibles à un nombre restreint de personnes, et dont toute modification est tracée. Une rotation doit être possible sans interruption de service.

Question simple à poser à un fournisseur : « si l'un de vos administrateurs part demain, que faites-vous ? » La réponse en dit long.

Ce qu'on n'achète pas avec une fiche produit

La discipline d'exploitation. Des sauvegardes chiffrées et testées, des mises à jour appliquées, des accès révoqués au départ d'un collaborateur.

La réponse à incident. Que se passe-t-il si une fuite survient ? Le RGPD impose une notification dans des délais courts, et cela suppose de savoir détecter et qualifier l'incident.

La réversibilité. Pouvez-vous récupérer vos données si vous changez de fournisseur ? Une plateforme dont on ne peut pas sortir ses données est un risque en soi.

Ce qu'il est raisonnable d'exiger

Une liste courte, à passer en revue avec un fournisseur :

• liaison chiffrée et appareils authentifiés ;
• hébergement en Union européenne ;
• isolation entre clients appliquée au niveau des données ;
• gestion fine des droits, avec restriction possible par équipement ;
• double authentification disponible, exigible sur les comptes sensibles ;
• journal des accès et des modifications sensibles ;
• identifiants d'intégration chiffrés, jamais réaffichés, rotation possible ;
• sauvegardes chiffrées et restauration testée ;
• export de vos données à la demande.

Aucun de ces points n'est exotique. Leur absence, en revanche, est un signal.

Le cas particulier des accessoires Bluetooth

Les balises Bluetooth émettent en clair un identifiant, à portée de quiconque écoute. C'est inhérent à la technologie : un signal de proximité doit être lisible par la passerelle qui l'écoute.

Ce que cela implique : une balise ne doit jamais porter d'information sensible. Elle porte un identifiant, que seule votre plateforme sait rattacher à un objet. Un tiers qui écouterait verrait passer des identifiants sans signification.

En revanche, la reconfiguration d'une balise, elle, doit être protégée, sans quoi n'importe qui pourrait modifier ses paramètres à distance. C'est ce que couvre le chiffrement mentionné sur ce type d'accessoires.