Unity Catalog mal configuré : la fuite de données qui vous met en cause

Unity Catalog est le système de gouvernance centralisé de Databricks. Il pilote, via une hiérarchie metastore → catalog → schema → table, qui peut lire, écrire ou administrer chaque actif. Sa puissance est aussi son danger : une seule instruction mal posée peut ouvrir en grand des données qui devaient rester confidentielles.

Le scénario classique. Vous configurez les accès d'un nouveau catalog analytique. Pour débloquer rapidement une équipe data analyst qui réclame l'accès à des tables de ventes, vous exécutez un GRANT SELECT ON SCHEMA au niveau du schéma entier, en l'attribuant au groupe all-users par commodité. Problème : ce même schéma contient, dans une table voisine, des données de paie et d'évaluation RH qu'un autre flux y avait déposées.

Résultat : du jour au lendemain, 4 000 collaborateurs peuvent interroger les salaires et les entretiens annuels de toute l'entreprise. Personne ne s'en aperçoit pendant trois semaines — jusqu'à ce qu'un salarié partage une capture d'écran. À ce stade, ce n'est plus un incident technique : c'est une violation de données à caractère personnel.

Le réflexe du consultant est de minimiser : "j'ai corrigé le GRANT en deux minutes". Mais la correction technique ne fait pas disparaître l'événement juridique déjà survenu.

Dès lors que des données personnelles ont été rendues accessibles à des personnes non autorisées, le RGPD qualifie la situation de violation (article 4.12). Le responsable de traitement — votre client — est tenu :

• de notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes ;
• d'informer les personnes concernées lorsque le risque est élevé (ici, divulgation de rémunérations : le risque l'est) ;
• de documenter l'incident dans un registre dédié.

Et c'est là que le regard se tourne vers vous. Votre mission portait précisément sur la gouvernance des accès. La défaillance n'est pas un aléa du logiciel : c'est une erreur de conception de la sécurité que vous étiez chargé de mettre en place. Votre responsabilité civile professionnelle peut être engagée pour le préjudice causé au client (sanction CNIL, atteinte à l'image, frais de remédiation).

Une confusion fréquente mérite d'être dissipée. Face à une fuite de données, deux contrats interviennent de façon complémentaire — pas concurrente.

La RC Pro répond de votre responsabilité professionnelle envers le client. L'assurance cyber prend en charge les frais propres à la gestion de l'incident de sécurité — ceux qui s'accumulent vite et indépendamment de toute faute prouvée. Pour un consultant qui manipule en permanence des données sensibles via Unity Catalog, le duo des deux couvertures est la combinaison la plus robuste.

La bonne nouvelle : les bonnes pratiques Unity Catalog ne se contentent pas de prévenir l'incident. Elles constituent, en cas de litige, la preuve documentée de votre diligence professionnelle.

Le principe du moindre privilège

Ne jamais accorder un GRANT au niveau d'un schéma quand une table suffit. Ne jamais utiliser all-users par défaut. Construire des groupes fonctionnels (analystes ventes, data scientists RH) et attribuer les privilèges au plus fin.

Le masquage de colonnes et de lignes

Unity Catalog permet d'appliquer des column masks et des row filters : une colonne salaire reste affichée "***" pour qui n'a pas le rôle adéquat, même si l'accès à la table est ouvert. C'est une défense en profondeur essentielle sur les données sensibles.

L'audit log comme journal de bord

Activez et conservez les audit logs Unity Catalog. Ils tracent chaque GRANT, chaque accès. En cas d'incident, ils prouvent quand le privilège a été posé, par qui, et quand il a été corrigé — éléments décisifs dans l'établissement des responsabilités.

Comme pour tout sinistre, la responsabilité se partage rarement à 100 %. Plusieurs éléments peuvent atténuer votre exposition.

• Le flux qui a déposé les données RH dans le mauvais schéma n'était peut-être pas de votre fait : si un autre prestataire a introduit ces tables sensibles dans un schéma analytique destiné au partage large, la chaîne de responsabilité s'allonge.
• La validation client : si votre matrice d'habilitations a été revue et approuvée par le DPO ou le RSSI du client, votre part diminue.
• L'absence d'alerte : si vous aviez signalé par écrit que des données sensibles cohabitaient avec des données partagées dans le même schéma, et recommandé leur isolation, vous avez rempli votre devoir de conseil.

Là encore, la protection juridique incluse dans votre RC Pro finance l'expertise contradictoire qui établira ce partage. Sans elle, vous affrontez seul la pression d'un client qui cherche un responsable unique.

Au cœur de tous ces dossiers, un principe domine : le devoir de conseil documenté. Un consultant Databricks qui formalise sa matrice d'habilitations, alerte par écrit sur les cohabitations dangereuses de données, applique le moindre privilège et active l'audit log se met en position de force — techniquement et juridiquement.

Mais la diligence ne supprime pas tout risque résiduel. La gouvernance des données sensibles est, par nature, une activité où l'erreur a des conséquences disproportionnées. C'est exactement pour ces situations qu'existent la RC Pro et l'assurance cyber. Découvrez la couverture pensée pour votre métier sur la page assurance consultant Databricks, à partir de 19,90 €/mois.