Classification et catégorisation des données

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 10 minutes

Toutes les données n’ont pas la même valeur, ni le même besoin de protection. Classer ses données n’est pas un exercice bureaucratique : c’est la décision qui détermine ensuite tout le reste — qui peut y accéder, comment elles doivent être chiffrées, combien de temps elles doivent être conservées, et comment elles doivent être détruites.

Les facteurs à définir dans une politique de classification

Les propriétaires de données doivent préciser, pour chaque politique de classification :

Classification et catégorisation — les critères et processus permettant de déterminer le niveau de protection requis, y compris la façon de réviser ce niveau au fil du cycle de vie de la donnée.
Accès aux données — qui, précisément, peut y accéder.
Sécurité des données — les données sont-elles ouvertes par défaut, ou restreintes par défaut ? (La plupart des organisations matures choisissent la seconde option : refuser l’accès à tous, sauf autorisation explicite.)
Conservation des données — de nombreuses réglementations financières imposent des durées de conservation minimales.
Élimination des données — la classification détermine directement la méthode de destruction appropriée.
Chiffrement des données — quelles données doivent être chiffrées, et comment.
Données en cours d’utilisation — la donnée peut-elle circuler librement en interne, est-elle limitée à certains rôles, ou peut-elle être rendue publique ?

Les niveaux de sensibilité

Les niveaux de sensibilité expriment en un ou deux mots le préjudice que subirait l’organisation en cas de compromission :

Niveau	Impact en cas de compromission
Très restreint	Peut mettre en péril l’existence même de l’organisation — pertes de vies humaines, blessures, dommages matériels, litiges.
Modérément restreint	Perte d’un avantage concurrentiel temporaire, perte de revenus, perturbation d’investissements planifiés.
Faible sensibilité / usage interne	Perturbations, retards ou impacts mineurs.
Public, sans restriction	Aucun préjudice en cas de diffusion ou de divulgation.

Certains référentiels, comme ceux du Center for Internet Security, se contentent volontairement de trois niveaux (sensible, confidentiel professionnel, public) — un rappel utile : trop de niveaux nuit à la classification elle-même. Un nombre excessif de paliers finit par embrouiller les employés sur la différence réelle entre deux niveaux adjacents, rendant l’effort de classification inefficace dans la pratique.

Les catégories qui reviennent le plus souvent

Contrairement aux niveaux de sensibilité, les catégories ne s’inscrivent pas toujours dans une hiérarchie stricte — elles reflètent plutôt la nature ou la source de l’exigence de sécurité :

Informations critiques pour la sécurité humaine — leur compromission peut entraîner des blessures ou des pertes de vies.
Sécurité des équipements et des biens — leur compromission endommagerait des biens physiques ou des systèmes.
PII (informations permettant d’identifier une personne) et données privées.
Données confidentielles — logique, processus ou critères de décision internes de l’organisation.
Données de conformité — toute donnée soumise à des exigences particulières par la loi, la réglementation ou un contrat.
Données critiques — leur compromission ou leur retard peut entraîner l’échec, l’annulation ou le report d’une activité métier importante.

Certaines organisations combinent plusieurs étiquettes sur une même donnée : par exemple, un serveur d’authentification pourrait porter simultanément les étiquettes « sécurité humaine critique » et « HIPAA très restreint ». Des catégories additionnelles comme FERPA (données éducatives, États-Unis) ou HIPAA (données de santé, États-Unis) viennent préciser des exigences de traitement propres à un secteur.

Les pièges de la classification

Le propriétaire d’une ressource définit (ou délègue) sa classification — mais reste toujours, in fine, responsable de ce choix. Or, la classification est une activité humaine, donc faillible :

erreur humaine lors de l’attribution initiale ;
connaissances limitées du propriétaire sur la sensibilité réelle de la donnée ;
méthodes incohérentes d’une équipe ou d’un service à l’autre ;
décisions arbitraires ou capricieuses sans critère objectif documenté ;
étiquetage confus ou incomplet sur certains supports ;
processus inadéquats de déclassement ou de destruction, y compris des supports physiques.

Des audits de routine et la mise en place d’un comité de classification des actifs permettent d’atténuer ces erreurs et de les corriger avant qu’elles ne deviennent une vulnérabilité exploitée.

Synthèse

La classification d’une donnée détermine en cascade son accès, son chiffrement, sa conservation et sa destruction — ce n’est pas un exercice purement administratif.
Les niveaux de sensibilité vont du « très restreint » au « public sans restriction » — mais un nombre excessif de niveaux rend la classification contre-productive.
Les catégories (PII, PHI, données de conformité, données critiques…) reflètent la nature de l’exigence, indépendamment du niveau de sensibilité.
La classification reste une activité humaine faillible : un comité de classification et des audits réguliers en corrigent les erreurs.

Prochain chapitre

Cycle de vie des données

Junior TSAFACK – 09/10/2026