Maturité · Protection des données sensibles et cryptographie avancée

Ce référentiel évalue la manière dont une organisation identifie, classifie et protège ses données sensibles, et la façon dont elle gère les mécanismes cryptographiques qui les protègent. Il couvre la classification des données, le chiffrement au repos, en transit et en usage, la gestion du cycle de vie des clés et des secrets, les techniques d’anonymisation et de pseudonymisation, le partage sécurisé avec des tiers, ainsi que l’anticipation des évolutions cryptographiques. Il ne s’agit pas d’un contrôle technique de configuration, mais d’une évaluation des pratiques de gestion et de gouvernance.

En pratique, ces sujets sont difficiles à piloter parce que la connaissance est dispersée. Le chiffrement est décidé par les équipes d’infrastructure, la classification par les métiers, les clés par des administrateurs parfois externes. Trois questions suffisent à révéler l’écart : savez-vous quelles bases contiennent des données sensibles, et depuis quand cet inventaire n’a pas été revu ? Qui peut techniquement accéder à une clé de production, et cet accès est-il tracé ? Que se passe-t-il si un prestataire détient à la fois les données chiffrées et les clés ?

Un point de contexte s’impose. La transition vers la cryptographie post-quantique est engagée : les autorités de sécurité, dont l’ANSSI, recommandent l’hybridation des mécanismes et la construction d’un inventaire cryptographique pour préparer les migrations. Cela déplace le sujet du registre technique vers celui du programme de transformation, avec un inventaire à constituer, des dépendances fournisseurs à qualifier et une trajectoire pluriannuelle à financer. Beaucoup d’organisations ont pris connaissance du sujet sans avoir commencé l’inventaire, qui en est le préalable.

Le diagnostic de maturité répond à une question différente d’un audit de conformité. L’audit conclut par un écart ou une conformité au regard d’une exigence. Le diagnostic situe chaque pratique sur une échelle progressive et indique l’action précise qui fait passer au niveau supérieur : passer d’une classification documentée à une classification appliquée, d’une rotation de clés manuelle à une rotation automatisée et tracée. Le résultat n’est pas un verdict, c’est une trajectoire chiffrée, comparable entre business units et dans le temps.

Dans Datamensio, le référentiel est prêt à l’emploi et modifiable. L’IA ajuste les thématiques, reformule les questions selon votre vocabulaire interne, affine les niveaux suivant la logique CMMI, ou construit une déclinaison à partir de votre politique de sécurité et de vos standards cryptographiques existants.