Modèle de classification¶

Les 4 niveaux¶

Public¶

Données accessibles sans restriction. Leur divulgation n'a aucun impact sur l'organisation.

Critères : information déjà publique ou destinée a l'etre, pas de données personnelles, pas de propriété intellectuelle.

Exemples : documentation open source, contenus marketing, spécifications publiques d'API, tutoriels publies.

Mesures : intégrité (protection contre la modification), disponibilité. Pas de contrôle d'accès en lecture.

Interne¶

Données réservées aux collaborateurs de l'organisation. Leur divulgation aurait un impact limite.

Critères : information utile au fonctionnement interne, pas de données personnelles sensibles, pas de secrets techniques.

Exemples : wiki interne, annuaire, calendrier partage, procedures operationnelles générales, metriques de performance internes.

Mesures : authentification requise (SSO/LDAP), chiffrement en transit (TLS), journalisation des accès.

Confidentiel¶

Données dont l'accès est restreint par rôle. Leur divulgation aurait un impact significatif.

Critères : propriété intellectuelle, données clients, secrets techniques, code source proprietaire, configurations de sécurité.

Exemples : code source, bases de données clients, cles d'API, configurations d'infrastructure, rapports d'audit internes.

Mesures : RBAC strict, chiffrement at-rest et in-transit, journalisation détaillée, revue d'accès periodique, retention limitee.

Restreint¶

Données a accès nominatif. Leur divulgation aurait un impact critique (legal, financier, reputationnel).

Critères : données de sante (HDS), données personnelles sensibles (RGPD art. 9), cles cryptographiques racines, secrets d'infrastructure critique.

Exemples : cles privées CA, données RH, données medicales, credentials root, sauvegardes chiffrees.

Mesures : accès nominatif avec MFA, chiffrement bout en bout, journalisation immutable, approbation explicite pour chaque accès, isolation physique ou logique dédiée.

Processus de marquage¶

Qui classifie ?¶

Le proprietaire de la donnée (product owner, responsable metier) determine le niveau de classification. L'équipe sécurité valide et peut reclasser a la hausse.

Quand classifier ?¶

A la creation d'un nouveau service ou d'un nouveau type de donnée
À chaque revue periodique (annuelle minimum)
Lors d'un changement reglementaire ou contractuel
Apres un incident de sécurité impliquant la donnée

Marquage technique¶

# Exemple de label Kubernetes pour la classification
metadata:
  labels:
    security.company.io/classification: "confidential"
    security.company.io/owner: "team-platform"
    security.company.io/review-date: "2026-04-17"

Heritage et aggregation¶

Un service qui traite des données de niveaux différents herite du niveau le plus eleve
Un flux entre deux zones adopte les contraintes de la zone la plus restrictive
Les backups heritent du niveau de la donnée source