Plan de réponse aux violations

Dès qu'une anomalie est détectée, répondre aux questions suivantes :

• Quelles données sont concernées ? (pointages, noms, données de santé, tokens d'accès…)
• Combien de personnes sont affectées ?
• Quel est le type de violation ? Confidentialité (accès non autorisé), intégrité (modification), disponibilité (perte/destruction)
• L'incident est-il encore en cours ? Si oui, isoler immédiatement le système concerné
• Quel est le niveau de gravité ? (voir tableau ci-dessus)

Indicateurs d'alerte à surveiller dans l'application :

• Connexions admin échouées répétées → onglet Journal d'audit
• Accès depuis une IP inhabituelle → onglet Journal d'audit
• Suppression massive de pointages → onglet Journal d'audit
• Comportement anormal de l'application (erreurs 5xx inhabituelles)

• Révoquer immédiatement les tokens d'accès des salariés potentiellement compromis (supprimer et recréer le salarié dans l'interface admin)
• Changer le mot de passe admin via l'onglet Paramètres
• Générer un nouveau JWT_SECRET dans les variables d'environnement Railway et redéployer (invalide toutes les sessions actives)
• Documenter l'incident via le formulaire ci-dessous (enregistrement dans le journal d'audit)
• Si compromission de la base de données : contacter MongoDB Atlas pour réinitialiser les accès
• Si compromission du serveur Railway : suspendre le déploiement et auditer les logs Railway

La notification est obligatoire sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.

Cas nécessitant une notification CNIL :

• Accès non autorisé aux données de pointage ou de santé (arrêts maladie)
• Fuite de tokens d'accès salariés
• Compromission du mot de passe admin
• Suppression accidentelle de données sans sauvegarde
• Toute violation impliquant des données de santé (arrêts maladie)

La communication aux personnes concernées est obligatoire (Art. 34 RGPD) lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

• Qui contacter : les salariés dont les données ont été exposées
• Comment : communication directe (SMS, courrier, en main propre) — préciser la nature de la violation, les données concernées, les conséquences probables et les mesures prises
• Ce qu'il faut dire : nature de la violation, données concernées, conséquences probables, mesures prises, point de contact pour questions
• Exception : si les données étaient chiffrées et que la clé n'a pas été compromise, la communication aux personnes peut ne pas être requise

• Constituer un dossier d'incident : chronologie, données concernées, personnes affectées, mesures prises, notifications effectuées
• Conserver la documentation 5 ans (même pour les violations mineures non notifiées)
• Analyser les causes : quelle faille a permis l'incident ?
• Mettre à jour les mesures de sécurité pour éviter la récidive
• Réviser ce plan si nécessaire