Comment documenter l'utilisation des proxies pour la conformité : modèles et politiques de sécurité

Si votre entreprise traite des données personnelles de clients, accepte des paiements ou est soumise à un audit de sécurité, la documentation de l'utilisation des serveurs proxy devient une exigence obligatoire. L'absence de documentation appropriée peut entraîner des amendes allant jusqu'à 20 millions d'euros selon le RGPD ou la perte de certification PCI DSS.

Dans ce guide, nous examinerons comment documenter correctement l'utilisation des proxies pour se conformer aux exigences des régulateurs, quelles politiques doivent être créées et comment tenir des journaux d'accès. Vous recevrez des modèles de documents prêts à l'emploi et des listes de contrôle pour la mise en œuvre.

Pourquoi la documentation des proxies est-elle critique pour la conformité

Les serveurs proxy deviennent souvent une "zone aveugle" dans la documentation de sécurité des entreprises. Les entreprises décrivent soigneusement les processus de travail avec les bases de données, mais oublient de documenter comment leurs employés ou systèmes accèdent aux ressources externes via des proxies.

Le problème devient critique dans plusieurs situations :

• Audit de la sécurité de l'information : Les auditeurs ISO 27001 ou SOC 2 exigent une confirmation que tous les canaux d'accès aux données sont documentés et contrôlés. Les proxies sont un canal d'accès.
• Enquête sur des incidents : En cas de fuite de données ou de soupçon de fraude, vous devez prouver qui, quand et pourquoi a utilisé le proxy pour accéder à certaines ressources.
• Vérification du RGPD : Si vous traitez des données de citoyens de l'UE via des proxies dans d'autres pays, vous devez documenter la légalité du transfert transfrontalier de données.
• Certification PCI DSS : Pour les entreprises qui acceptent des paiements par carte, tous les points d'accès aux données de carte doivent être documentés, y compris les serveurs proxy.

Un exemple concret : en 2022, une entreprise fintech européenne a reçu un avertissement de la part du régulateur pour absence de documentation sur la manière dont leur système de surveillance des risques utilise des proxies pour vérifier les transactions. L'amende a été évitée uniquement après la création urgente d'un ensemble complet de documents et de journaux rétrospectifs pour 12 mois.

Quelles exigences réglementaires concernent les proxies

Divers standards réglementaires imposent des exigences spécifiques pour la documentation de l'utilisation des serveurs proxy. Voici les principaux auxquels les entreprises sont confrontées :

RGPD (Règlement Général sur la Protection des Données)

Si vous utilisez des proxies pour traiter des données personnelles de citoyens de l'UE, vous devez documenter :

• Les objectifs d'utilisation des proxies (article 5.1.b — limitation des finalités)
• La localisation géographique des serveurs proxy (article 44 — transfert transfrontalier de données)
• Les mesures de sécurité pour protéger les données lors du transfert via des proxies (article 32)
• Les contrats avec le fournisseur de proxy en tant que sous-traitant de données (article 28)
• Les journaux d'accès pour garantir la responsabilité (article 5.2)

Exemple pratique : si votre département marketing utilise des proxies résidentiels pour analyser les concurrents dans différents pays de l'UE, et collecte des données sur les prix ou l'assortiment (qui peuvent indirectement contenir des données personnelles), vous avez besoin d'une politique d'utilisation des proxies conforme au RGPD.

PCI DSS (Norme de Sécurité des Données de l'Industrie des Cartes de Paiement)

Pour les entreprises qui traitent des paiements, les exigences de la version 4.0 de PCI DSS incluent :

• Exigence 1.2.1 : Documentation de toutes les connexions autorisées entre l'environnement des données de carte et les réseaux externes (les proxies sont une telle connexion)
• Exigence 10.2 : Tenue de journaux de toutes les actions des utilisateurs ayant des droits d'administrateur, y compris la gestion des proxies
• Exigence 12.3 : Politique d'utilisation des technologies, y compris des serveurs proxy

ISO 27001 (Système de Management de la Sécurité de l'Information)

La norme exige une documentation dans le cadre du contrôle A.13.1.1 (gestion des éléments de sécurité réseau) :

• Inventaire de tous les serveurs proxy et de leurs configurations
• Procédures de gestion de l'accès aux proxies
• Surveillance de l'utilisation et détection d'anomalies
• Révision régulière des politiques (au moins une fois par an)

152-FZ "Sur les Données Personnelles" (Russie)

La législation russe exige de documenter :

• Modèle de menaces pour la sécurité des données personnelles (proxy comme moyen de protection ou menace potentielle)
• Cahier des charges pour la création ou la modernisation d'un système d'information (si le proxy en fait partie)
• Actes de classification et de catégorisation des systèmes d'information

Modèle de politique d'utilisation des serveurs proxy

La politique d'utilisation des proxies est un document de base qui définit les règles, les responsabilités et les procédures. Voici la structure de la politique, adaptée aux exigences de conformité :

1. Dispositions générales

Objectif de la politique : Définir les règles d'utilisation des serveurs proxy pour garantir la sécurité, la confidentialité et la conformité aux exigences réglementaires lors de l'accès à des ressources externes et du traitement de données.

Champ d'application : La politique s'applique à tous les employés, sous-traitants et systèmes automatisés de l'entreprise utilisant des serveurs proxy pour accéder à des ressources Internet ou traiter des données.

2. Objectifs d'utilisation autorisés des proxies

Les serveurs proxy ne peuvent être utilisés que pour les objectifs commerciaux suivants :

• Surveillance des concurrents : Collecte d'informations publiquement accessibles sur les prix, l'assortiment et les activités marketing des concurrents pour analyser le marché (départements : marketing, produit).
• Tests de services web : Vérification de la disponibilité et de la fonctionnalité de ses propres ressources web depuis différentes régions géographiques (départements : développement, QA).
• Vérification des campagnes publicitaires : Vérification de l'affichage des publicités dans différentes régions et sur différents appareils (département : marketing).
• Protection contre les DDoS : Masquage des adresses IP des systèmes d'entreprise lors de l'accès à des API externes (département : IT).
• Assurer l'anonymat : Protection des données personnelles des employés lors de la réalisation d'études ou de la manipulation d'informations sensibles (départements : sécurité, conformité).

3. Types de proxies et leur utilisation

4. Procédure d'accès aux proxies

Tout employé ayant besoin d'accéder aux serveurs proxy doit suivre la procédure suivante :

1. Soumission de la demande : Remplissage du formulaire de demande d'accès en indiquant la justification commerciale, le type de proxy et la durée d'utilisation.
2. Approbation par le responsable : Approbation par le responsable direct du département.
3. Vérification de la conformité : Évaluation de la demande par le département de la sécurité de l'information ou de la conformité pour s'assurer qu'elle respecte la politique.
4. Attribution des identifiants : Le département IT fournit un accès avec des identifiants uniques pour chaque utilisateur.
5. Formation : L'employé suit une formation courte sur l'utilisation sécurisée des proxies (peut être sous forme de vidéo ou de document).

Délai de traitement de la demande : Pas plus de 3 jours ouvrables à partir de la date de soumission.

5. Responsabilités et rôles

• Directeur de la sécurité de l'information (CISO) : Approbation de la politique, contrôle de la conformité, coordination des audits.
• Département IT : Mise en œuvre technique, attribution des accès, surveillance de l'infrastructure des proxies.
• Officier de conformité : Vérification de la conformité de l'utilisation des proxies aux exigences réglementaires, tenue de la documentation.
• Responsables de départements : Approbation des demandes de leurs employés, contrôle de l'utilisation ciblée.
• Utilisateurs finaux : Respect de la politique, signalement immédiat de tout incident ou activité suspecte.

Journaux d'accès et de surveillance : que consigner

La tenue de journaux (logs) d'utilisation des proxies n'est pas seulement une nécessité technique, mais une exigence obligatoire de la plupart des normes de conformité. Les logs permettent de suivre qui, quand et à quelles fins a utilisé le proxy, ainsi que de détecter des anomalies ou un accès non autorisé.

Champs obligatoires du journal d'accès

Chaque enregistrement dans le journal doit contenir les données suivantes :

Automatisation de la collecte des logs

La plupart des fournisseurs de proxies fournissent une API pour obtenir des statistiques d'utilisation. Intégrez ces données dans votre système SIEM (Gestion de la Sécurité de l'Information et des Événements) ou dans un stockage centralisé des logs.

Outils recommandés pour la collecte et l'analyse des logs :

• ELK Stack (Elasticsearch, Logstash, Kibana) : Solution gratuite pour les petites et moyennes entreprises, permettant de visualiser l'utilisation des proxies en temps réel.
• Splunk : Plateforme commerciale avec de puissantes capacités de corrélation d'événements et de détection d'anomalies.
• Graylog : Alternative open-source à Splunk avec une interface simple.
• Azure Monitor / AWS CloudWatch : Solutions cloud pour les entreprises utilisant les plateformes correspondantes.

Configuration des alertes

Les alertes automatiques aident à détecter les violations de la politique ou les activités suspectes :

• Volume de données inhabituel : Si un employé a transféré plus de 1 Go via le proxy en une session (peut indiquer le téléchargement de bases de données).
• Accès en dehors des heures de travail : Utilisation du proxy pendant la nuit ou le week-end sans approbation préalable.
• Changement de géolocalisation : Un utilisateur utilise des proxies provenant de 5+ pays différents en peu de temps.
• Accès à des ressources interdites : Tentative de connexion à des domaines figurant sur la liste noire de l'entreprise.
• Multiples tentatives échouées : Plus de 10 tentatives d'authentification échouées en une heure (possible compromission des identifiants).

Documentation de la protection des données personnelles via les proxies

Si vos systèmes traitent des données personnelles via des proxies (par exemple, pour la vérification des utilisateurs, la détection de transactions frauduleuses ou la collecte d'analyses), vous devez documenter les mesures de protection de ces données.

Évaluation de l'impact sur la protection des données (DPIA) pour les proxies

Le RGPD exige la réalisation d'une évaluation de l'impact sur la protection des données (DPIA) pour les opérations de traitement pouvant présenter un risque élevé pour les droits et libertés des personnes physiques. L'utilisation de proxies peut être soumise à cette exigence si :

• Vous traitez des données personnelles sensibles (santé, finances, biométrie)
• Vous utilisez des proxies dans des pays avec un niveau de protection des données insuffisant (hors UE)
• Vous traitez des données à grande échelle (plus de 10 000 sujets de données)

Structure de la DPIA pour l'utilisation des proxies :

1. Description du traitement : Quelles données sont transmises via le proxy, à quelles fins, quelles catégories de sujets de données sont concernées.
2. Nécessité et proportionnalité : Justification de la nécessité d'utiliser un proxy et absence d'alternatives moins risquées.
3. Risques pour les sujets de données : Ce qui pourrait mal se passer (fuite de données, accès non autorisé, perte de contrôle sur les données).
4. Mesures d'atténuation des risques : Chiffrement, restriction d'accès, contrats avec le fournisseur de proxy, audits réguliers.
5. Consultation avec le DPO : Si vous avez un Délégué à la Protection des Données, son avis doit être documenté.

Contrat avec le fournisseur de proxy en tant que sous-traitant de données

Si le fournisseur de proxy a la possibilité technique d'accéder aux données personnelles transitant par ses serveurs, il devient légalement un "sous-traitant de données" selon la terminologie du RGPD.

Le contrat avec le fournisseur doit stipuler :

• Objet et durée du traitement : Quelles données sont traitées, pendant combien de temps.
• Obligations du sous-traitant : Garantir la sécurité, la confidentialité, aider à l'exercice des droits des sujets de données.
• Sous-traitants : Le fournisseur peut-il faire appel à des tiers, votre consentement est-il requis.
• Transfert transfrontalier : Dans quels pays se trouvent les serveurs proxy, quels mécanismes de protection sont appliqués (Clauses Contractuelles Types, Décision d'adéquation).
• Notification des incidents : Obligation pour le fournisseur de signaler immédiatement toute violation de la sécurité des données.
• Audit et inspections : Votre droit de vérifier la conformité du fournisseur aux conditions du contrat.

Chiffrement des données lors du transfert via des proxies

Documentez les méthodes de chiffrement appliquées :

• Proxies HTTPS : Tout le trafic entre votre système et le serveur proxy est chiffré selon TLS 1.2 ou supérieur.
• SOCKS5 avec tunnel SSH : Niveau de chiffrement supplémentaire pour des données particulièrement sensibles.
• Chiffrement de bout en bout : Les données sont chiffrées du côté de l'expéditeur et ne sont déchiffrées que du côté du destinataire, le proxy ne voit que le trafic chiffré.

Dans la documentation, indiquez les versions des protocoles et les algorithmes de chiffrement (par exemple : "TLS 1.3 avec AES-256-GCM").

Préparation de la documentation pour l'audit

Lorsque vient le temps d'un audit externe ou interne, vous devez rapidement fournir un ensemble complet de documents prouvant la conformité à l'utilisation des proxies. Voici ce qui doit être prêt à l'avance :

Ensemble de documents pour l'audit

1. Politique d'utilisation des serveurs proxy (version actuelle avec signature de la personne approbante)
   • Historique des modifications de la politique
   • Documents de prise de connaissance des employés (signés ou confirmations électroniques)
2. Inventaire des serveurs proxy
   • Liste de tous les proxies utilisés (adresses IP, localisations géographiques, types)
   • Informations sur les fournisseurs (noms des entreprises, coordonnées, références des contrats)
   • Date de début d'utilisation de chaque proxy
3. Journaux d'accès
   • Logs des 12 derniers mois (ou période requise par votre norme)
   • Rapports sur les anomalies détectées et les mesures prises
   • Statistiques d'utilisation par département
4. Contrats avec les fournisseurs
   • Contrat principal pour la fourniture de services de proxy
   • Data Processing Agreement (DPA) pour la conformité au RGPD
   • Clauses Contractuelles Types (CCT), si les proxies sont situés en dehors de l'UE
   • SLA (Service Level Agreement) avec garanties de disponibilité et de sécurité
5. DPIA (Évaluation de l'impact sur la protection des données) — si applicable
6. Procédures de gestion de l'accès
   • Formulaire de demande d'accès aux proxies
   • Exemples de demandes approuvées et refusées
   • Procédure de révocation de l'accès en cas de départ d'un employé
7. Incidents et enquêtes
   • Registre des incidents liés aux proxies (s'il y en a eu)
   • Rapports d'enquête
   • Actions correctives
8. Formation et sensibilisation
   • Matériaux de formation sur l'utilisation sécurisée des proxies
   • Registres de participation à la formation par les employés

Questions typiques des auditeurs

Préparez-vous à répondre aux questions suivantes (avec preuves) :

• "Comment contrôlez-vous que les proxies ne sont utilisés que pour des objectifs autorisés ?" — Montrez les logs et la procédure de surveillance.
• "Comment garantissez-vous que les données personnelles ne parviennent pas au fournisseur de proxy ?" — Montrez le DPA, la politique de chiffrement, la confirmation no-log.
• "À quelle fréquence révisez-vous la liste des employés ayant accès aux proxies ?" — Montrez la procédure de révision trimestrielle.
• "Que se passera-t-il si le fournisseur de proxy cesse d'opérer ou est compromis ?" — Montrez le plan de continuité des activités (BCP) et la liste des fournisseurs alternatifs.
• "Comment garantissez-vous la conformité lors du transfert transfrontalier de données ?" — Montrez les CCT et l'analyse des pays où se trouvent les proxies.

Automatisation de la préparation à l'audit

Créez un "dossier d'audit" (physique ou électronique) avec les versions actuelles de tous les documents. Désignez une personne responsable de sa mise à jour (généralement l'officier de conformité ou le CISO).

Utilisez des plateformes GRC (Gouvernance, Risque, Conformité) pour automatiser :

• OneTrust : Gestion des politiques, rappels automatiques pour la révision des documents.
• ServiceNow GRC : Intégration avec les processus IT, collecte automatique des preuves de conformité.
• Vanta / Drata : Automatisation de la conformité pour SOC 2, ISO 27001 avec surveillance continue.

Durées de conservation des documents et des logs

Divers standards et législations établissent des durées minimales de conservation de la documentation et des journaux. Le non-respect de ces délais peut entraîner des amendes ou l'impossibilité de prouver la conformité en cas d'enquête.

Procédure de suppression sécurisée

Après l'expiration de la durée de conservation, les documents et les logs doivent être supprimés de manière sécurisée afin de minimiser le risque de fuite de données obsolètes :

• Documents électroniques : Utilisez des méthodes de suppression sécurisée (pas simplement "Supprimer", mais réécriture des données au moins 3 fois).
• Documents papier : Destruction via un destructeur avec un niveau de confidentialité P-4 ou supérieur (selon la norme DIN 66399).
• Sauvegardes : N'oubliez pas de supprimer les données de toutes les sauvegardes, pas seulement du stockage principal.
• Documentation de la suppression : Tenez un registre des suppressions effectuées.