Classification de l'information – comment réaliser une classification KRT étape par étape
Partager
Dernière vérification des faits : 12 octobre 2026 · Sujet : sécurité de l'information, RGPD et gouvernance d'entreprise · Application suédoise
La classification de l'information consiste, pour une organisation, à évaluer les conséquences d'une divulgation non autorisée, d'une altération ou d'une indisponibilité des informations. Les résultats servent à définir des mesures de protection appropriées. Vous trouverez ici une méthode concrète, une matrice de classification et un exemple détaillé.
- Commencez par recenser les ensembles d'informations, et pas seulement les systèmes informatiques.
- Évaluez trois besoins de protection distincts : confidentialité, intégrité et disponibilité (CID).
- Basez-vous sur les conséquences d'une faille, et non uniquement sur le caractère confidentiel perçu des données.
- Documentez le responsable de l'information, la classe, la justification, les mesures et la date de réexamen.
- Un modèle de classification est un outil de travail, pas une preuve en soi du respect du RGPD ou d'autres réglementations.
Quelle est la différence entre inventaire de l'information et classification de l'information ?
L'inventaire de l'information répond aux questions suivantes : quelles informations l'organisation détient-elle, où sont-elles situées, qui en est responsable et comment sont-elles utilisées ? Par exemple : registres clients, plans de production, dossiers du personnel, devis, contrats et sauvegardes.
La classification de l'information évalue la gravité des conséquences en cas d'exposition, d'altération ou d'inaccessibilité de ces mêmes informations. Ces deux activités sont liées : sans inventaire, des actifs informationnels importants risquent de ne jamais être classés.
Il est conseillé de distinguer l'ensemble d'informations du système. Les mêmes données clients peuvent se trouver dans un CRM, des e-mails, un logiciel de comptabilité et des fichiers d'exportation. Un système unique peut contenir plusieurs ensembles d'informations avec des besoins de protection différents.
Quels sont les trois besoins de protection évalués dans une classification CID ?
| Aspect | Question | Exemple de conséquence |
|---|---|---|
| Confidentialité | Que se passe-t-il si des personnes non autorisées accèdent à l'information ? | Données clients exposées ou secrets commerciaux divulgués. |
| Intégrité | Que se passe-t-il si l'information est modifiée ou erronée ? | Une version erronée d'un plan entraîne un défaut de production. |
| Disponibilité | Que se passe-t-il si les personnes autorisées ne peuvent y accéder à temps ? | Le système de commande est indisponible lors d'une livraison critique. |
Chaque aspect est évalué séparément. Une liste de prix publique peut avoir un faible besoin de confidentialité mais un besoin élevé d'intégrité. Les documents du personnel peuvent nécessiter une haute confidentialité sans exiger une disponibilité permanente.
Comment effectuer une classification de l'information – sept étapes
1. Définir le périmètre et les responsabilités
Délimitez l'activité, le processus ou le service. Désignez un responsable métier ou un propriétaire de l'information capable d'évaluer les conséquences. Les équipes IT et de protection des données peuvent contribuer, mais la classification doit être validée par celui qui comprend l'importance de l'information.
2. Recenser les actifs informationnels
Enregistrez le nom de l'ensemble d'informations, son objectif, le processus associé, le propriétaire, le système et le lieu de stockage, les destinataires externes et la présence éventuelle de données personnelles. Évitez de stocker les données sensibles elles-mêmes dans le registre d'inventaire ouvert.
3. Identifier les conséquences pour la C, l'I et la D
Décrivez concrètement ce qui pourrait arriver aux individus, à l'entreprise, à ses finances, à sa réputation ou à ses contrats en cas de défaut de confidentialité, d'intégrité ou de disponibilité. Prenez également en compte les exigences légales ou contractuelles spécifiques.
4. Choisir un modèle de classification commun
Déterminez les niveaux de conséquence et des critères clairs avant de commencer. Un modèle à trois niveaux (faible, moyen, élevé) peut être un exemple pédagogique interne ; ce n'est pas une échelle universelle imposée par la loi. Le modèle établi par l'organisation doit être utilisé de manière cohérente.
5. Documenter le niveau et la justification pour chaque aspect
Notez chaque évaluation CID séparément, avec une brève justification et le nom de la personne ayant validé le choix. Évitez de réduire l'ensemble à un chiffre unique qui occulterait le besoin de protection spécifique.
6. Déterminer et répartir les mesures de sécurité
Adaptez la classification à la réalité des risques. Il peut s'agir de contrôle d'accès, d'authentification multifacteur, de journalisation, de chiffrement, de sauvegarde, de tests de restauration, de gestion de versions et de procédures de suivi. Un niveau de classification élevé ne conduit pas automatiquement à la même solution technique partout.
7. Assurer le suivi des changements
Déterminez un responsable et une date de réexamen, particulièrement en cas de modification de l'utilisation de l'information, d'ajout de nouveaux fournisseurs, d'incident majeur ou d'introduction d'un nouveau système. Vérifiez également que les mesures de protection décidées ont été effectivement mises en œuvre.
Exemple de matrice de classification pour une petite entreprise
Imaginons une entreprise gérant des registres clients, des plans de fabrication et un catalogue de produits public. Voici une illustration basée sur une échelle interne à trois niveaux (1 faible, 2 moyen, 3 élevé) ; ce n'est pas une décision définitive pour d'autres entreprises.
| Ensemble d'informations | C | I | D | Justification en bref |
|---|---|---|---|---|
| Registre clients avec coordonnées | 3 | 2 | 2 | Une divulgation non autorisée peut nuire aux individus ; des erreurs peuvent perturber le contact client. |
| Plans de production directeurs | 2 | 3 | 3 | Une mauvaise version ou une indisponibilité peut stopper la production et créer des défauts de qualité. |
| Catalogue produits public | 1 | 2 | 2 | Le contenu est public mais des prix erronés ou une indisponibilité peuvent affecter les clients. |
Important : Les niveaux indiqués sont purement pédagogiques. L'organisation doit réaliser sa propre évaluation des risques et des conséquences. Si l'information concerne la sécurité de la Suède, la législation sur la protection de la sécurité et des règles de classification distinctes peuvent s'appliquer ; une matrice CID classique ne remplace pas cette évaluation.
Quel est le lien entre classification de l'information, RGPD et NIS2 ?
RGPD : L'article 32 exige des mesures techniques et organisationnelles appropriées en fonction, notamment, des risques pour les droits et libertés des personnes physiques. La classification de l'information peut constituer une base utile, mais n'est pas une méthode obligatoire standard imposée à toutes les entreprises. L'inventaire n'équivaut pas non plus automatiquement au registre des activités de traitement selon l'article 30 du RGPD.
NIS2 et réglementation suédoise sur la cybersécurité : Pour les organisations soumises aux exigences de cybersécurité sectorielles, l'inventaire, la gestion des risques, la responsabilité et le suivi peuvent être des éléments centraux d'une démarche plus large. Vérifiez d'abord si votre organisation est réellement concernée et quelles exigences s'appliquent. Consultez notre guide sur les mesures de sécurité et la gestion des risques selon la directive NIS2.
La classification de l'information doit en outre être coordonnée avec le plan de gestion des incidents et la gestion des accès de l'entreprise. Sinon, les résultats de la classification risquent de devenir une simple liste d'inventaire isolée, sans réel effet sur la sécurité.
Check-list avant approbation de la classification
- Existe-t-il une liste complète et compréhensible des ensembles d'informations prioritaires ?
- Chaque entrée a-t-elle un responsable désigné, une date de mise à jour et un domaine d'utilisation clair ?
- La confidentialité, l'intégrité et la disponibilité ont-elles été évaluées séparément ?
- Les niveaux peuvent-ils être rattachés à un modèle de décision commun ?
- Les conséquences potentielles pour les personnes physiques et l'entreprise sont-elles documentées ?
- Les mesures de protection, le responsable des mesures et la date de suivi ont-ils été définis ?
- Les données personnelles, les fournisseurs externes et les copies partagées ont-ils été pris en compte ?
- Le propriétaire de l'information a-t-il examiné et validé le résultat ?
Cinq erreurs fréquentes à éviter
- Inventorier uniquement les systèmes informatiques. Les feuilles de calcul importantes, les documents papier et les fichiers exportés deviennent alors invisibles.
- Classer uniquement la confidentialité. L'intégrité et la disponibilité peuvent être tout aussi critiques.
- Copier les niveaux d'une autre entreprise. Les conséquences et les exigences légales peuvent être totalement différentes.
- Confondre classification et analyse des risques. La classification décrit le besoin de protection ; l'analyse des risques prend également en compte les menaces, les vulnérabilités et la probabilité.
- Absence de plan d'action. Un registre sans responsable, sans mesures concrètes ni suivi perd son utilité pratique.
Questions fréquentes sur la classification de l'information
Toutes les entreprises doivent-elles avoir un registre de classification ?
Non, il n'existe pas d'exigence générale dans le RGPD imposant spécifiquement un registre portant ce nom et ce format pour toutes les entreprises. Toutefois, des exigences de protection appropriée basées sur les risques s'appliquent aux données personnelles, et d'autres réglementations ou clauses contractuelles peuvent imposer des obligations supplémentaires.
Quelle classe de classification les données personnelles doivent-elles avoir ?
Il n'existe pas de classe universelle pour toutes les données personnelles. Les risques dépendent du type de données, de leur finalité, de leur volume et des conséquences potentielles en cas de divulgation non autorisée ou d'autre incident.
La classification de l'information est-elle la même chose que la classification de sécurité ?
Non. La classification générale de l'information basée sur les besoins CID ne doit pas être confondue avec la classification de protection de la sécurité selon les règles spécifiques de protection de la sécurité, où d'autres définitions et obligations s'appliquent.
À quelle fréquence la classification doit-elle être révisée ?
Il n'existe pas d'intervalle universel. Déterminez un suivi proportionné en fonction du rythme de changement de l'activité et des risques ; réexaminez la classification en cas de changements substantiels, de nouveaux flux d'informations ou d'incidents.
Excel peut-il être utilisé pour la classification de l'information ?
Oui, un registre Excel bien pensé peut être pratique pour recenser les informations, documenter les décisions et suivre les mesures. Le registre lui-même doit toutefois être protégé de manière appropriée et disposer d'une gestion de version claire.
Gérez votre classification de l'information de manière pratique
Vous souhaitez regrouper les inventaires, les évaluations CID, les responsables et le suivi des mesures dans un seul package de travail ? Nos modèles éditables incluent des registres Excel et des documents complémentaires.
Voir Classification & Inventaire de l'information 2026/2027Une fois la classification terminée, vous pouvez poursuivre avec l'audit des accès et des privilèges. Consultez également nos modèles pour la directive NIS2 et la cybersécurité.
Sources institutionnelles et lectures complémentaires
- Autorité suédoise de protection de la vie privée (IMY) – Article 32 du RGPD et texte intégral.
- IMY – Mesures de sécurité et protection fondée sur les risques.
- SKR KLASSA – Guide de classification de l'information.
- Fortifikationsverket – Sécurité de l'information et classification.
Guides associés : Lisez nos articles sur le tri et la durée de conservation selon le RGPD, l'IA, cybersécurité et contrats IT ainsi que sur la gestion des risques et mesures de protection selon NIS2.
Attention : Ce texte constitue un guide général et non un conseil juridique individuel ou une évaluation de la conformité spécifique à votre activité. Les règles, exigences sectorielles et mesures de protection doivent être vérifiées dans leur contexte concret.
