PREUVE / Analyse d’actualité

Consignes CNIL sur les grandes bases de données en avril 2025

Publié le 1er octobre 2026

Les consignes publiées le 30 avril 2025

La CNIL a publié le 30 avril 2025 des consignes de sécurité concernant les grandes bases de données. La communication emploie cette notion pour des traitements de données de plusieurs millions de personnes, avec une acception qui dépasse le seul serveur de base de données. Cette analyse est publiée le 1er octobre 2026. Nous ne supposons pas que tous les SaaS appartiennent à cette catégorie ni que les mesures décrites suffisent à elles seules pour un traitement particulier.

La communication rappelle les exigences de sécurité adaptées au risque et met notamment en avant les accès et la surveillance des flux. L’éditeur doit examiner ses propres traitements avec les responsables concernés. Un pentest peut contribuer à vérifier certains contrôles applicatifs ; il ne remplace pas l’ensemble des mesures techniques et organisationnelles ni une analyse de conformité.

Traduire le sujet en périmètre applicatif

Notre recommandation de consultation est de décrire les fonctions qui donnent accès à de grands ensembles : recherche, export, API et administration. Préparez la matrice de droits attendus, avec des rôles et organisations fictifs. Le cabinet doit savoir quelles opérations sont permises et quelles limites de volume sont convenues. Les essais susceptibles d’affecter la disponibilité ne sont pas implicitement autorisés.

Ne préparez pas une copie réelle de la base clients pour illustrer le risque. Un jeu fictif peut reproduire les relations utiles au test. Les éléments sensibles sont transmis après contrat par un canal approprié. Le formulaire public sert à qualifier le périmètre, sans recevoir de données clients, de secrets ou de rapports techniques.

Examiner les chemins d’extraction

Les exports peuvent être directs ou différés. Décrivez les tâches qui préparent des fichiers, les liens de téléchargement et les services externes impliqués. Une vérification limitée à l’écran principal peut manquer un chemin distinct. Le cabinet propose les scénarios ; le CTO confirme le comportement attendu. Les exclusions et les fonctions indisponibles apparaissent dans le rapport.

L’isolation entre organisations mérite une couverture explicite lorsqu’elle fait partie de la promesse du SaaS. Les données fictives doivent permettre de reconnaître leur organisation d’origine. Les conditions d’arrêt encadrent la découverte inattendue de données réelles. Le but est de produire une preuve minimale utile, sans accroître l’exposition par des copies supplémentaires.

Prévoir le suivi après audit

Un constat est assigné à un responsable avec un traitement et une preuve de correction. Les limites et les mesures compensatoires restent visibles dans la synthèse client. Le retest vérifie les chemins convenus et indique son environnement. La clôture d’un ticket interne ne suffit pas à démontrer une revérification indépendante. Si le produit change, examinez la représentativité du rapport avant de le réutiliser dans une nouvelle vente.