{"id":12612,"date":"2025-12-17T10:30:52","date_gmt":"2025-12-17T10:30:52","guid":{"rendered":"https:\/\/www.cranium.eu\/ciso-dpo-better-together\/"},"modified":"2025-12-19T14:19:39","modified_gmt":"2025-12-19T14:19:39","slug":"ciso-dpo-better-together","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/ciso-dpo-better-together\/","title":{"rendered":"Synergie DSSI & DPD : Retour sur investissement"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"Meme\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le DPD (d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es) et le DSSI (responsable de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information) ne sont pas la m\u00eame fonction. Le premier est d\u00e9fini par une r\u00e9glementation europ\u00e9enne, qui pr\u00e9voit une d\u00e9finition juridique claire de ses missions. Le second existe depuis bien plus longtemps, mais presque jamais de mani\u00e8re identique d\u2019une organisation \u00e0 l\u2019autre. Le DPD doit veiller au respect du RGPD et des droits fondamentaux, tandis que le DSSI doit garantir la confidentialit\u00e9, l\u2019int\u00e9grit\u00e9 et la disponibilit\u00e9 de l\u2019ensemble des actifs d\u2019une organisation.<\/p>

Bien que l\u2019on puisse continuer \u00e0 d\u00e9tailler les diff\u00e9rences, dans cet article nous nous concentrerons plut\u00f4t sur la\u00a0synergie\u00a0qui peut et doit exister entre ces deux r\u00f4les.<\/p>

Alignement de la gouvernance et des politiques<\/strong><\/h2>

Cela commence par aligner les cadres de gouvernance et les politiques. Les deux responsables devraient examiner ensemble les politiques de s\u00e9curit\u00e9 existantes, les politiques de protection des donn\u00e9es et les proc\u00e9dures de conformit\u00e9. Toujours rechercher l\u2019efficacit\u00e9 : certaines politiques peuvent se recouper ou offrir des opportunit\u00e9s de fusion. Un ensemble unifi\u00e9 de politiques de \u00ab protection de la vie priv\u00e9e et de s\u00e9curit\u00e9 \u00bb, valid\u00e9 par les deux fonctions, donne le ton en mati\u00e8re de conformit\u00e9 au sein de l\u2019organisation.<\/p>

Inventaire des actifs et des donn\u00e9es<\/strong><\/h2>

\u00ab On ne peut pas prot\u00e9ger ce que l\u2019on ne conna\u00eet pas. \u00bb Un inventaire pr\u00e9cis et \u00e0 jour des actifs informationnels et des activit\u00e9s de traitement des donn\u00e9es constitue la base de tout programme de s\u00e9curit\u00e9 et de protection de la vie priv\u00e9e. L\u2019\u00e9quipe du DSSI cartographie g\u00e9n\u00e9ralement les syst\u00e8mes informatiques, les applications et les flux de donn\u00e9es \u00e0 des fins de cybers\u00e9curit\u00e9, tandis que le DPD supervise la tenue du registre des activit\u00e9s de traitement pour assurer la conformit\u00e9 en mati\u00e8re de protection des donn\u00e9es. Plut\u00f4t que de mener ces travaux en parall\u00e8le, il est tr\u00e8s efficace de mettre en place un registre unique et coordonn\u00e9 des actifs et des traitements de donn\u00e9es, r\u00e9pondant aux besoins des deux fonctions.<\/p>

\u00c9valuation et gestion des risques<\/strong><\/h2>

Le DSSI et le DPD adoptent tous deux des approches fond\u00e9es sur le risque, mais souvent avec des angles diff\u00e9rents : le DSSI \u00e9value les risques pesant sur les op\u00e9rations et les donn\u00e9es de l\u2019organisation, tandis que le DPD \u00e9value les risques pour les droits et la vie priv\u00e9e des personnes. En pratique, ces risques se recoupent et peuvent \u00eatre g\u00e9r\u00e9s conjointement. Il est donc pertinent de mettre en place un processus unifi\u00e9 de gestion des risques int\u00e9grant ces deux perspectives. Cela peut inclure l\u2019organisation d\u2019ateliers conjoints d\u2019\u00e9valuation des risques, au cours desquels les menaces de s\u00e9curit\u00e9 sont analys\u00e9es en parall\u00e8le des risques li\u00e9s \u00e0 la protection des donn\u00e9es personnelles. Il convient \u00e9galement de d\u00e9velopper un registre des risques partag\u00e9 et de s\u2019accorder sur une m\u00e9thodologie commune de cotation des risques, ce qui permettra aussi une communication plus efficace.<\/strong><\/p>

S\u00e9curit\u00e9 des tiers et de la cha\u00eene d\u2019approvisionnement<\/strong><\/h2>

Un autre point de d\u00e9part essentiel concerne la gestion des risques li\u00e9s aux tiers. Les deux fonctions ont un int\u00e9r\u00eat direct dans la mani\u00e8re dont les fournisseurs et partenaires traitent les donn\u00e9es de l\u2019organisation : le DSSI se pr\u00e9occupe des attaques de la cha\u00eene d\u2019approvisionnement ou des failles de s\u00e9curit\u00e9 chez les prestataires, tandis que le DPD se concentre sur la conformit\u00e9 des sous-traitants au RGPD. En collaborant sur l\u2019\u00e9valuation des fournisseurs et la r\u00e9daction des contrats, le DSSI et le DPD peuvent s\u2019assurer que les exigences en mati\u00e8re de s\u00e9curit\u00e9 et de protection des donn\u00e9es sont respect\u00e9es. Ensemble, ils doivent \u00e9galement d\u00e9finir les modalit\u00e9s de suivi de la conformit\u00e9 des prestataires dans le temps.<\/p>

Planification de la r\u00e9ponse aux incidents<\/strong><\/h2>

L\u2019un des points de convergence les plus importants entre les missions du DSSI et du DPD concerne la gestion des incidents et des violations de donn\u00e9es. Il est bien plus pertinent de clarifier les r\u00f4les avant qu\u2019un incident ne survienne que de devoir improviser en situation de crise. Le DSSI et le DPD devraient \u00e9laborer conjointement un plan de r\u00e9ponse aux incidents couvrant \u00e0 la fois les incidents de cybers\u00e9curit\u00e9 et les violations de donn\u00e9es \u00e0 caract\u00e8re personnel. Il convient de d\u00e9finir \u00e0 l\u2019avance qui fait quoi : en g\u00e9n\u00e9ral, le DSSI pilote le confinement technique, les analyses forensiques et la reprise des activit\u00e9s, tandis que le DPD \u00e9value l\u2019impact sur la vie priv\u00e9e et prend en charge, le cas \u00e9ch\u00e9ant, les notifications de violation de donn\u00e9es aupr\u00e8s de l\u2019autorit\u00e9 de contr\u00f4le et\/ou des personnes concern\u00e9es. En r\u00e9sum\u00e9, lorsqu\u2019une violation survient, l\u2019organisation pr\u00e9sente un front uni, en minimisant \u00e0 la fois les impacts op\u00e9rationnels et les risques de non-conformit\u00e9.<\/p>

Sensibilisation et formation<\/strong><\/h2>

La culture de la s\u00e9curit\u00e9 et celle de la protection de la vie priv\u00e9e vont de pair. Les collaborateurs doivent recevoir un message coh\u00e9rent : la protection des donn\u00e9es est l\u2019affaire de tous. Il est judicieux de lancer cette collaboration en unissant les efforts en mati\u00e8re de sensibilisation. Plut\u00f4t que de proposer des formations distinctes (l\u2019une sur les bonnes pratiques de cybers\u00e9curit\u00e9, l\u2019autre sur le RGPD), il est pr\u00e9f\u00e9rable de concevoir des sessions ou des communications communes couvrant l\u2019ensemble de ces sujets. Lorsque les \u00e9quipes per\u00e7oivent une position unifi\u00e9e entre le DSSI et le DPD, cela renforce l\u2019importance de ces deux dimensions de la conformit\u00e9. Par ailleurs, l\u2019\u00e9quipe du DSSI peut apporter au DPD une formation technique, tandis que le DPD peut initier l\u2019\u00e9quipe du DSSI aux bases du droit de la protection des donn\u00e9es. La formation crois\u00e9e des deux \u00e9quipes constitue un levier puissant pour d\u00e9passer l\u2019opposition \u00ab technique versus juridique \u00bb et favoriser une v\u00e9ritable coop\u00e9ration transversale.<\/p>

\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Conseils & Bonnes pratiques<\/h2>

Voici quelques conseils et bonnes pratiques pour renforcer la collaboration entre le DPD et le DSSI :<\/p>

  • Participer aux m\u00eames instances de gouvernance<\/strong> <\/span>: Mettez en place un conseil, un comit\u00e9 ou une \u00e9quipe transversale \u00ab Protection des donn\u00e9es et s\u00e9curit\u00e9 \u00bb qui se r\u00e9unit r\u00e9guli\u00e8rement pour traiter des sujets li\u00e9s \u00e0 la s\u00e9curit\u00e9 et \u00e0 la protection de la vie priv\u00e9e. Des r\u00e9unions r\u00e9guli\u00e8res permettent d\u2019\u00e9changer sur les projets en cours, les risques \u00e9mergents, les r\u00e9sultats d\u2019audit et les \u00e9volutions r\u00e9glementaires \u00e0 venir. Les conclusions doivent \u00eatre formalis\u00e9es afin que les responsabilit\u00e9s soient partag\u00e9es et clairement visibles.<\/li>
  • D\u00e9finir des responsabilit\u00e9s\u00a0claires<\/span> <\/strong>: Prenez le temps d\u2019identifier les zones de recouvrement et de distinction entre les responsabilit\u00e9s du DSSI et celles du DPD. Cela peut se faire en listant les processus cl\u00e9s (gestion des acc\u00e8s, r\u00e9ponse aux incidents, gestion des fournisseurs, etc.) et en pr\u00e9cisant explicitement qui est responsable, qui contribue et qui doit \u00eatre inform\u00e9 pour chacun d\u2019eux (dans une logique de matrice RACI).<\/li>
  • Utiliser des outils et des r\u00e9f\u00e9rentiels documentaires partag\u00e9s<\/strong>:<\/span> Il peut s\u2019agir d\u2019un outil de GRC (gouvernance, gestion des risques et conformit\u00e9), d\u2019un tableau de gestion de projets commun ou encore d\u2019un espace collaboratif tel que SharePoint pour les politiques et proc\u00e9dures.<\/li>
  • Coordonner les \u00e9valuations des risques et les audits\u00a0: <\/strong><\/span>Faites de la r\u00e9alisation conjointe des analyses de risques, des audits et des tests une pratique standard.<\/li>
  • Planifier des formations et des sessions de sensibilisation communes<\/strong>:<\/span> Comme indiqu\u00e9 pr\u00e9c\u00e9demment, l\u2019unification des actions de sensibilisation est essentielle. Cela peut couvrir aussi bien les messages de haut niveau que le contenu d\u00e9taill\u00e9 des modules d\u2019e-learning ou des ateliers.<\/li>
  • Aligner les indicateurs et la production de rapports<\/strong>:<\/span> Afin de consolider la collaboration, le DSSI et le DPD devraient d\u00e9finir des indicateurs communs ou des KPI refl\u00e9tant leurs objectifs respectifs.<\/li><\/ul>

    \u00a0<\/strong><\/p>

    \u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

    Le DPD (d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es) et le DSSI (responsable de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information) ne sont pas la m\u00eame fonction. Le premier est d\u00e9fini par une r\u00e9glementation europ\u00e9enne, qui pr\u00e9voit une d\u00e9finition juridique claire de ses missions. Le second existe depuis bien plus longtemps, mais presque jamais de mani\u00e8re identique d\u2019une […]<\/p>\n","protected":false},"author":2,"featured_media":12583,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[66,68],"post_folder":[],"class_list":["post-12612","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-protection-de-la-vie-privee","tag-securite"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/12612","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=12612"}],"version-history":[{"count":0,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/12612\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/12583"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=12612"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=12612"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=12612"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=12612"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}