Par Isabelle Gonthier, adhérente au CRSI
Le facteur humain, premier vecteur — et premier angle mort
Chaque édition du Data Breach Investigations Report de Verizon confirme la même constatation : le facteur humain est impliqué dans environ 62 % des compromissions de données (DBIR 2026), à travers le phishing, la réutilisation d’identifiants, l’ingénierie sociale et l’erreur. Les acteurs internes en sont directement responsables d’une part significative des violations, et le rapport Ponemon 2026 évalue le coût moyen annuel des risques liés aux collaborateurs à 19,5 millions de dollars par organisation, en hausse de plus de 12 % sur un an, avec environ 13,5 événements internes par an et par organisation. Selon IBM, l’attaquant interne malveillant demeure le vecteur d’attaque au coût moyen le plus élevé : 4,92 millions de dollars par incident.
Autrement dit : les RSSI investissent massivement dans des pare-feu, de la détection, du zero trust — mais restent juridiquement aveugles sur la seule variable qui traverse tous ces contrôles : la personne à qui l’on remet les accès. L’identité est devenue le nouveau périmètre ; or nous connaissons mieux l’état d’un terminal que l’état judiciaire de son utilisateur.
Le paradoxe français : une exigence de sécurité, une interdiction de savoir
La doctrine de sécurité français est pourtant exigeante sur le papier. Le référentiel ISO 27001 (contrôle A.6.1 de vérification des antécédents avant l’embauche) et son code de pratique ISO 27002, les méthodes d’analyse de risques MEHARI (Clusif) et EBIOS RM (ANSSI), et la réglementation européenne sur la cybersécurité (Cyber Resilience Act, NIS2, DORA) imposent toutes, sous une forme ou une autre, une gouvernance des risques liés aux personnes. NIS2 met la cybersécurité à la charge des dirigeants et impose la sensibilisation et la formation de tous les collaborateurs ; le CRA, applicable en deux temps (obligations de notification depuis le 11 septembre 2026, application complète le 11 décembre 2027), fait de la sécurisation de la chaîne de développement une obligation — développement exécuté par des personnes.
Mais dans le même temps, le droit positif neutralise cette exigence au moment où elle s’applique :
Le bulletin n°3 du casier judiciaire, seul document accessible à l’employeur privé, est quasi vide.
Emprisonnement ferme de plus de deux ans, mentions spécialement ordonnées par le tribunal, interdictions professionnelles en cours : c’est tout. Le sursis — même probatoire, même pour des faits de pillage ou de violences —, l’amende, le travail d’intérêt général, la composition pénale n’y figurent jamais. Un candidat condamné pour dégradation en manifestation peut postuler à un poste d’administrateur systèmes avec un extrait « vierge ».
Le candidat est seul maître de la divulgation. Le bulletin n°3 « ne doit, en aucun cas, être délivré à un tiers » (article 777 du code de procédure pénale). L’employeur ne peut ni le demander directement, ni passer par un intermédiaire, ni croiser ses recrutements avec quelque fichier que ce soit — le RGPD (article 10) réserve le traitement des données pénales à la loi et aux autorités habilitées.
La jurisprudence prive l’employeur de réaction même a posteriori. Une condamnation pour des faits étrangers à l’activité professionnelle ne peut justifier un licenciement qu’en cas de trouble objectif caractérisé dans l’entreprise. L’entreprise apprend souvent le passé judiciaire de son administrateur « au détour d’un article de presse » — trop tard.
Le résultat est une incohérence stratégique : l’État exige des entreprises qu’elles sécurisent leur facteur humain, tout en leur interdisant de le connaître. Il exige des habilitations pour les fonctions réglementées (sécurité privée, contact avec les mineurs, défense), mais laisse les fonctions les plus sensibles au plan cyber — administrateur systèmes, développeur d’un produit soumis au CRA, gestionnaire des identités et des accès, responsable des sauvegardes — hors de tout régime de vérification.
Ce que le contexte de 2026 change
Les violences du 17 octobre ont rendu la question tangible : une partie des casseurs-pilleurs interpellés n’étaient pas des marginaux insérés nulle part, mais des personnes en emploi ou en recherche d’emploi, dont le passage à l’acte supposait précisément l’absence de conséquence professionnelle. Le législateur a commencé à bouger — inscription des amendes forfaitaires délictuelles au bulletin n°2 (loi n° 2026-798 du 18 août 2026), proposition de loi n° 3026 sur l’information des employeurs publics, projet « casseurs-payeurs » au Sénat — mais toujours dans le périmètre public ou réglementé. Le sujet cyber, lui, reste intact.
Il faut le dire clairement : la question n’est pas de ficher la population, ni de donner aux employeurs un accès généralisé aux casiers. C’est de construire, pour les fonctions à risque cyber, un régime de connaissance proportionnée du collaborateur — le même principe que l’habilitation de défense, transposé au privé et à l’échelle de l’entreprise.
Proposition : un régime de « habilitation de confiance numérique »
1. Définir par décret les fonctions cyber-sensibles. Administrateurs systèmes et réseaux, développeurs de produits soumis au CRA, gestionnaires IAM, responsables MCO et sauvegardes, CISO et leurs adjoints, tout poste à accès privilégié au système d’information critique. La sensibilité se définit par l’accès, pas par le statut.
2. Créer une vérification négative opérée par une autorité, pas par l’employeur. Le modèle existe déjà : pour les accueils de mineurs, la structure demande au service compétent de vérifier si le bulletin n°2 porte une mention — elle ne voit jamais le contenu. Transposons : pour une fonction cyber-sensible, l’employeur demande au casier judiciaire (ou à l’ANSSI) une simple réponse oui/non sur l’existence de condamnations inscrites pertinentes, limitativement définies. L’employeur ne voit rien ; il sait seulement que la fonction requiert instruction complémentaire. Le RGPD est respecté car le traitement est autorisé par la loi et opéré par une autorité.
3. Élargir le périmètre des mentions pertinentes pour ces seules fonctions. C’est le point clé : le bulletin n°3 actuel est inutile parce qu’il est pensé pour le droit commun de l’embauche. Pour les fonctions cyber-sensibles, la vérification devrait porter sur les condamnations en lien avec la confiance numérique : atteintes aux systèmes de traitement de données, fraude informatique, escroquerie, abus de confiance, vol, atteintes aux biens commises en réunion, appartenance à un groupement criminel. Le sursis doit compter : un sursis probatoire pour fraude est un signal de contrôle des accès, pas une circonstance atténuante.
4. Instaurer une évaluation continue encadrée. La menace interne ne naît pas qu’à l’embauche ; elle se dégrade dans la durée (endiguement, rançonnement, idéologisation). Le modèle américain des programmes de prévention de la menace interne (Continuous Evaluation, National Insider Threat Task Force) couple signaux RH et signaux techniques. Une version française, pilotée par le CISO avec le RH et encadrée par la CNIL, pourrait s’appuyer sur l’obligation d’exécution de bonne foi du contrat de travail (art. L1222-1) et le devoir de discrétion qui en découle, ainsi que sur le pouvoir de direction de l’employeur pour ajuster les accès en fonction des missions. Le cadre légal existe déjà en creux : les articles L1222-2 et L1222-4 du code du travail n’interdisent pas l’ajustement des accès, mais imposent que toute information collectée sur un salarié ait un lien direct et nécessaire avec ses aptitudes professionnelles et que tout dispositif de collecte lui soit préalablement porté à connaissance. Ce qu’il manque, c’est un régime clair pour le signalement interne et le retrait d’accès — pas un outil de surveillance supplémentaire.
5. Préserver la sortie et la proportionnalité. Toute mention visible doit être temporaire (trois à cinq ans après la condamnation), ciblée sur les fonctions cyber-sensibles, et ne jamais équivaloir à une interdiction générale d’embauche. L’objectif n’est pas d’exclure les condamnés du marché du travail — c’est de les éloigner des accès critiques tant que la sanction est en cours. La distinction est décisive : on refuse un accès, pas une personne.
Objections, et réponses
Le droit à la réhabilitation. L’objection est forte et légitime. Mais l’habilitation de défense démontre depuis des décennies qu’un contrôle d’honorabilité ciblé sur des fonctions sensibles peut coexister avec l’effacement du casier pour le reste de la vie sociale. Personne ne conteste le secret défense au motif qu’il violerait la réhabilitation.
Le risque de discrimination. Il est réel si le dispositif s’applique à tous les postes. C’est précisément pour cela que le périmètre doit être fonctionnel (accès privilégié) et non géographique, ethnique ou générationnel. Une vérification négative par une autorité — et non une collecte par l’employeur — élimine en outre la tentation du fichier maison.
La présomption d’innocance. Seule la condamnation définitive déclenche la vérification. Les mis en cause, les gardés à vue, les simples interpellations du 17 octobre ne doivent jamais entrer dans le dispositif. Ligne rouge absolue : sinon nous créons le fichier des suspects, qui n’a aucun rapport avec la cybersécurité et toute la parentèle avec les dérives historiques.
« Le vrai problème est la négligence, pas la malveillance. » C’est vrai — environ 55 % des incidents internes sont des erreurs ou de la négligence, pas des trahisons. Mais la réponse à la négligence (formation, contrôle d’accès, gouvernance) ne dispense pas de la réponse à la malveillance : ce sont deux lignes de défense distinctes. Personne ne propose de supprimer les pare-feu au motif que la plupart des incidents viennent de l’erreur humaine.
Conclusion : le zero trust commence au recrutement
Le consensus technique du zero trust — ne jamais accorder une confiance implicite, vérifier toujours — s’arrête brusquement à la porte du service RH. C’est là que le droit français maintient une zone de confiance implicite absolue : on vérifie l’identité d’une requête API avec plus de rigueur que l’historique de la personne qui administre le domaine. Pour des fonctions cyber-sensibles clairement délimitées, une vérification négative opérée par une autorité, fondée sur des condamnations définies, temporaire et soumise au juge, protège à la fois l’entreprise, la cybersécurité nationale et les droits des personnes. Le jour où un jeune saura que casser une vitrine peut lui coûter, trois ans durant, l’accès aux postes qui touchent au cœur du numérique, la sanction aura retrouvé sa vertu. Et les RSSI auront enfin, sur leur premier vecteur d’attaque, l’outillage minimal qu’ils ont sur tous les autres.
Références principales : Verizon DBIR 2026 (facteur humain : environ 62 % des compromissions ; acteurs internes) ; Ponemon Institute, Cost of Insider Risks 2026 (19,5 M$ par an et par organisation ; 13,5 événements) ; IBM Cost of a Data Breach 2025 (4,92 M$ pour l’insider malveillant) ; code du travail, art. L1221-6, L1222-1, L1222-2, L1222-4 ; code de procédure pénale, art. 775, 777 et s. ; RGPD, art. 10 ; loi n°2026-798 du 18 août 2026 (« Ripost ») ; NIS2, DORA, Cyber Resilience Act (application 11 septembre 2026 / 11 décembre 2027) ; ISO/IEC 27001 A.6.1 ; méthodes MEHARI (Clusif) et EBIOS RM (ANSSI).
