La donnée que vous exfiltrez pour prouver la faille devient votre responsabilité

Démontrer qu'une injection SQL fonctionne ne nécessite pas toujours d'extraire des données réelles : afficher la version de la base ou un identifiant technique suffit souvent. Mais dans la pratique, pour convaincre un client sceptique ou documenter la gravité, beaucoup de pentesters extraient un échantillon : quelques lignes de la table clients, un export partiel, une capture d'écran d'enregistrements.

À cet instant, quelque chose de juridiquement lourd se produit. Des données personnelles réelles — noms, e-mails, parfois données de santé ou bancaires — quittent l'environnement maîtrisé du client pour se retrouver sur votre poste de travail, dans vos notes, dans le brouillon de votre rapport. Vous n'êtes plus seulement un testeur : vous êtes devenu, le temps de la mission, un détenteur de données sensibles.

Ce basculement est invisible et silencieux. Il ne déclenche aucune alerte. Et c'est précisément ce qui le rend dangereux : la plupart des incidents naissent d'une donnée de preuve qu'on a oublié de détruire.

Le RGPD ne fait pas d'exception pour les données manipulées "dans un but de sécurité". Dès lors que vous traitez des données personnelles pour le compte de votre client, vous agissez généralement comme sous-traitant au sens de l'article 28. Cela emporte des obligations concrètes :

• Un cadre contractuel précisant la finalité, la durée et les mesures de sécurité — souvent une clause dédiée dans le contrat de mission ou une annexe RGPD.
• Une obligation de minimisation : n'extraire que ce qui est strictement nécessaire pour prouver la vulnérabilité.
• Des mesures de sécurité appropriées sur votre propre environnement : chiffrement, isolation, contrôle d'accès.
• Une obligation d'assistance au responsable de traitement en cas de violation, y compris pour la notification à la CNIL dans les 72 heures.

La règle d'or : si une preuve textuelle suffit, ne copiez pas la donnée. Et si vous devez la copier, traitez-la comme la matière la plus dangereuse de la mission.

Une violation de ces obligations expose à des sanctions de la CNIL, mais aussi à la responsabilité civile vis-à-vis du client et des personnes concernées.

Le risque n'est pas théorique. Voici comment une donnée de preuve devient un incident :

• Le vol ou la perte du matériel : votre ordinateur portable, contenant l'export de la base d'un client, est volé dans un train. Si le disque n'est pas chiffré, c'est une violation de données caractérisée.
• La compromission de votre propre poste : ironie du métier, un pentester est une cible de choix. Un poste compromis donne accès aux données de tous vos clients accumulées au fil des missions.
• La destruction négligée : la mission terminée, le rapport rendu, l'export reste dans un dossier "Downloads", une sauvegarde cloud automatique, ou en pièce jointe d'un e-mail. Des mois plus tard, il refait surface lors d'un incident sans rapport.

Dans les trois cas, la donnée appartient au client mais l'incident vient de chez vous. Vous en êtes responsable, et votre client doit notifier la CNIL d'une violation que vous avez provoquée. La relation commerciale n'y survit généralement pas.

On oublie souvent que le livrable du pentester — le rapport — concentre, par construction, ce qu'une organisation possède de plus sensible : la carte de ses faiblesses, parfois illustrée de données réelles extraites en preuve. Un rapport de pentest qui fuite est une notice d'attaque clé en main pour qui le récupère.

Plusieurs précautions s'imposent donc sur ce document précis :

• Transmission chiffrée : jamais de rapport en pièce jointe d'un e-mail en clair. Privilégiez un espace partagé sécurisé ou un fichier chiffré dont le mot de passe circule par un canal distinct.
• Données de preuve anonymisées : dans le corps du rapport, les valeurs réelles sont tronquées ou remplacées par des marqueurs, de sorte que le document ne soit jamais lui-même un vecteur de fuite.
• Durée de conservation définie : convenez avec le client de combien de temps vous conservez votre copie, et de sa destruction au terme.

Un rapport mal protégé qui se retrouve entre de mauvaises mains engage votre responsabilité au même titre qu'une base exfiltrée. La rigueur sur le livrable fait partie intégrante de votre devoir de sécurité — et, le cas échéant, de l'appréciation que portera votre assureur sur la diligence dont vous avez fait preuve.

C'est ici que la garantie cyber prend tout son sens, en complément de la RC Pro. Là où la RC Professionnelle répond de votre faute de prestation, la garantie cyber est conçue pour la gestion d'un incident de sécurité et ses conséquences — qu'il vous frappe en tant que victime ou que vous en soyez à l'origine.

Concrètement, une garantie cyber adaptée à un indépendant en sécurité prend en charge :

• Les frais de gestion de crise : expertise forensique, identification de l'étendue de la fuite, conseil juridique.
• L'accompagnement à la notification CNIL et aux personnes concernées.
• Les conséquences financières de l'atteinte aux données et de l'indisponibilité, dans les limites du contrat.
• La défense en cas de réclamation d'un client ou d'une personne concernée.

Pour un pentester, le couple RC Pro + cyber n'est pas redondant : il couvre deux faces complémentaires d'un même métier — l'erreur de prestation d'un côté, l'incident de sécurité de l'autre. Notre page assurance pentester détaille cette articulation.

Aucune garantie ne remplace une bonne hygiène des données de preuve. Quelques principes, simples à énoncer, exigeants à tenir :

1. Minimiser : ne prélevez que l'échantillon nécessaire, et privilégiez toujours la preuve indirecte (compteur, identifiant technique, capture masquée) à l'extraction réelle.
2. Anonymiser dans le rapport : floutez, tronquez, remplacez les valeurs réelles par des marqueurs. Un rapport de pentest ne doit jamais être lui-même une fuite.
3. Chiffrer et isoler : conteneur chiffré dédié par mission, jamais de données client dans vos espaces de travail courants ni dans des sauvegardes automatiques non maîtrisées.
4. Détruire et attester : à la fin de la mission, supprimez les données de preuve et fournissez au client une attestation de destruction. C'est un signal de professionnalisme, et une pièce utile en cas de litige ultérieur.

Cette discipline transforme un risque diffus en un processus maîtrisé. Combinée à une couverture cyber adaptée, elle permet d'exercer un métier intrinsèquement exposé sans transférer ce risque sur vos clients — ni le porter seul sur votre patrimoine.