Section Access mal codé : quand la sécurité ligne à ligne devient une fuite RGPD

Dans Qlik Sense comme dans QlikView, le Section Access est le dispositif qui détermine, utilisateur par utilisateur, quelles lignes de données chaque personne a le droit de voir. Concrètement, vous chargez une table d'autorisations associant un identifiant (champ USERID ou groupe) à une valeur de réduction : un directeur régional ne voit que sa région, un commercial que son portefeuille, la direction tout le périmètre.

Le problème tient à sa nature même : le Section Access fonctionne par association de champs réducteurs. Si le champ de réduction n'existe pas dans le modèle, s'il est mal nommé, si la casse ne correspond pas, ou si une valeur d'autorisation est laissée vide, Qlik ne bloque pas l'accès : il l'ouvre. Une simple faute de frappe entre REGION et Region peut faire sauter tout le cloisonnement.

C'est la différence fondamentale avec un pare-feu classique : une mauvaise règle de Section Access ne provoque pas une erreur visible. L'application fonctionne, les graphiques s'affichent, personne ne s'alarme. Sauf qu'un commercial junior consulte désormais les marges nettes par client de toute l'entreprise, ou la masse salariale du siège.

Tant qu'il ne s'agit que de chiffres d'affaires agrégés, l'incident reste un problème de confidentialité interne. Mais beaucoup d'applications Qlik mélangent des données qui relèvent du RGPD : noms et rémunérations de salariés dans un tableau RH, données de santé dans un décisionnel hospitalier, coordonnées et historiques d'achat de clients dans un pilotage commercial.

Dès lors qu'un Section Access défaillant rend ces données accessibles à des personnes non habilitées, on bascule dans la définition juridique de la violation de données à caractère personnel : une faille de sécurité entraînant la divulgation non autorisée de données. Le responsable de traitement (le client) doit alors documenter l'incident, évaluer le risque pour les personnes concernées et, le cas échéant, notifier la CNIL dans les 72 heures, voire informer les personnes touchées.

Une réduction de données absente ou inopérante sur une application contenant des données personnelles n'est pas un simple bug fonctionnel : c'est l'élément déclencheur d'une procédure de gestion d'incident RGPD.

Le coût pour le client n'est pas que réputationnel : analyse forensique pour mesurer l'étendue de l'exposition, mobilisation du DPO, communication, et exposition à des réclamations. C'est précisément ce préjudice qui sera reproché au consultant ayant livré le modèle de sécurité.

La question centrale en cas de litige est celle du périmètre contractuel. Avez-vous été missionné pour concevoir le Section Access, ou seulement pour développer les visualisations ? La table d'autorisations vous a-t-elle été fournie par le client, ou l'avez-vous bâtie ? Avez-vous documenté et fait valider la matrice d'habilitations ?

En pratique, trois situations engagent fortement votre responsabilité :

• Vous avez conçu la logique de réduction et une erreur de champ ou de casse a ouvert l'accès. La faute de conception vous est directement imputable.
• Vous avez modifié le modèle associatif (ajout d'une table, renommage d'un champ) sans répercuter la mise à jour sur le Section Access, le rendant inopérant.
• Vous avez déployé en production sans tester l'effet de réduction avec plusieurs profils utilisateurs, alors que le test d'habilitation fait partie des bonnes pratiques attendues d'un professionnel.

À l'inverse, si le client vous a imposé sa propre table d'autorisations erronée malgré vos réserves écrites, ou a court-circuité votre procédure de recette, votre exposition diminue. D'où l'importance capitale de tracer par écrit le partage des responsabilités et les réserves émises.

Un sinistre de ce type mobilise deux logiques d'assurance distinctes et complémentaires.

La responsabilité civile professionnelle répond du dommage immatériel causé par votre faute : c'est elle qui prend en charge le préjudice financier subi par le client du fait de votre erreur de conception du Section Access, ainsi que vos frais de défense si votre responsabilité est recherchée. Notre assurance RC Pro est calibrée pour ces fautes immatérielles propres aux métiers du conseil data.

L'assurance cyber intervient sur une autre dimension : les frais de gestion de l'incident. Notification CNIL, expertise forensique, accompagnement juridique RGPD, communication de crise. Pour un consultant qui manipule au quotidien les données les plus sensibles de ses clients, notre assurance cyber complète utilement la RC Pro en prenant en charge la mécanique de réponse à incident, là où la RC Pro indemnise le dommage.

Vous voulez vérifier que votre activité de consultant Qlik est correctement couverte sur ces deux volets ? Consultez notre page dédiée au consultant Qlik pour un tarif adapté à votre profil.

La nature de votre exposition dépend aussi de l'environnement Qlik dans lequel vous intervenez. En Qlik Sense Enterprise SaaS, la sécurité ligne à ligne s'articule avec la gouvernance des espaces (partagés, gérés) et des règles d'accès gérées côté plateforme. En Client-Managed, c'est la Qlik Management Console et les règles de sécurité que vous configurez localement qui pilotent les habilitations, en complément du Section Access dans le script.

Cette différence n'est pas anodine pour le partage des responsabilités. Sur une plateforme SaaS, une partie de la couche d'accès relève de l'administration du tenant, souvent côté client. Si l'exposition résulte d'une règle d'espace mal paramétrée par l'administrateur du client, et non de votre Section Access, votre part de responsabilité s'en trouve réduite. À l'inverse, en Client-Managed, vous touchez fréquemment à l'ensemble de la chaîne, du script à la console, ce qui élargit mécaniquement votre périmètre de responsabilité.

D'où une règle pratique : au démarrage de chaque mission, clarifiez par écrit qui administre quoi. Qui gère les espaces et les règles de la plateforme ? Qui est propriétaire de la table d'autorisations ? Qui valide la recette de sécurité ? Cette cartographie des rôles est votre meilleure protection le jour où une exposition survient et où chacun cherche le responsable.

L'assurance indemnise, mais la meilleure gestion du risque reste la prévention. Cinq pratiques limitent fortement l'exposition :

1. Tester chaque déploiement avec plusieurs profils réels, y compris un profil à périmètre restreint, et capturer la preuve que la réduction fonctionne.
2. Documenter la matrice d'habilitations et la faire valider par écrit par le métier, pas seulement par la DSI.
3. Sécuriser la casse et l'existence des champs réducteurs via des contrôles dans le script de chargement, plutôt que de s'en remettre à la saisie manuelle.
4. Verrouiller le compte ADMIN du Section Access et bannir les valeurs d'autorisation vides qui ouvrent l'accès total.
5. Conserver une trace des reloads et des changements de modèle, pour démontrer, en cas de litige, l'état exact de la sécurité à la date du sinistre.

Ces réflexes ne suppriment pas le risque résiduel, mais ils déplacent la charge de la preuve en votre faveur et démontrent le sérieux professionnel attendu d'un consultant certifié.