consentement aux cookies a été discrètement désactivée il y a trois jours, et vous ne vous en rendez compte que maintenant. Savez-vous quel utilisateur a effectué cette modification, ou quand cela s'est-il produit ?
Pour les sites WordPress qui traitent des données à caractère personnel, la journalisation des activités joue un rôle important dans le respect de la confidentialité et la responsabilité.
Dans cet article, nous allons voir pourquoi la journalisation des activités est essentielle pour la conformité et comment la mettre en place dans WordPress.
Pourquoi l'enregistrement des activités est essentiel pour le respect de la confidentialité
La journalisation des activités permet de conserver un historique structuré et horodaté de tout ce qui s'est passé sur votre site WordPress : qui a fait quoi, et quand.
Sans cela, vous avancez pratiquement à l'aveuglette. Si un utilisateur modifie des autorisations, supprime du contenu ou modifie un paramètre ayant une incidence sur la manière dont les données personnelles sont collectées ou traitées, vous devez disposer d'un enregistrement clair de cette action afin de pouvoir l'examiner ou en rendre compte ultérieurement.
Un journal d'activité correctement configuré enregistre généralement des événements tels que :
- Identifiants des utilisateurs et tentatives de connexion infructueuses
- Création ou modification de contenu
- Modifications apportées aux rôles ou aux autorisations des utilisateurs
- Installation, mise à jour ou désinstallation de plugins
- Modifications de la configuration ou des paramètres
Ce niveau de visibilité aide les administrateurs et les experts en conformité lors des audits, en garantissant une conformité permanente grâce à l'identification des comportements suspects et à l'examen des tentatives d'accès non autorisées.
Examinons quelques cas concrets dans lesquels les journaux d'activité contribuent au respect de la confidentialité.
#1 Renforcer la responsabilité et la transparence
Le principe de responsabilité prévu par le RGPD article 5, paragraphe 2) impose aux responsables du traitement de démontrer qu'ils respectent les principes fondamentaux de la protection des données énoncés à l'article 5, paragraphe 1, tels que la licéité, la limitation des données et la limitation de la finalité.
Un journal d'activité complet permet de consigner les actions effectuées sur le site web et peut faciliter la collecte de preuves dans le cadre des procédures de conformité.
Par exemple, si un administrateur réinitialise le mot de passe d'un utilisateur, le journal des activités indique qui a lancé la réinitialisation et à quel moment celle-ci a eu lieu.
Cela permet à l'équipe de vérifier que les modifications apportées aux accès aux comptes étaient légitimes et dûment autorisées, et non le résultat d'un accès non autorisé.
Vous trouverez un exemple dans la capture d'écran ci-dessous.
#2 Détecter les modifications risquées ou accidentelles
Les sites WordPress évoluent sans cesse. Le contenu est mis à jour, les plugins sont configurés et plusieurs utilisateurs modifient les paramètres.
Ces modifications peuvent parfois compromettre les mesures de protection de la vie privée sans que personne ne s'en aperçoive.
La journalisation des activités permet aux administrateurs de déterminer quand des modifications non autorisées ou accidentelles ont eu lieu, ce qui contribue à garantir le bon fonctionnement des contrôles de sécurité et de confidentialité.
Par exemple, un utilisateur pourrait désactiver par inadvertance consentement aux cookies de votre site.
Lorsque la journalisation des activités est activée, les administrateurs peuvent être immédiatement avertis lorsqu'un tel changement se produit et rétablir la configuration correcte avant que le site ne se mette en situation de non-conformité.
Par exemple, consultez la capture d'écran ci-dessous.
#3 Traiter les incidents plus rapidement
Les journaux d'activité fournissent un historique chronologique de nombreux événements WordPress survenus avant et pendant un incident, ce qui facilite considérablement les enquêtes.
Si un administrateur reçoit une alerte indiquant qu'un utilisateur disposant de droits limités a été promu de manière inattendue au rôle d'administrateur, le journal d'activité permet de vérifier facilement quand cette modification a été effectuée et par qui.
Cela permet à l'équipe de déterminer si l'action était légitime ou si elle s'inscrivait dans le cadre d'un incident de sécurité nécessitant une intervention supplémentaire.
Vous trouverez un exemple dans la capture d'écran ci-dessous.
Il existe un autre aspect de la journalisation qui revêt une importance tout aussi grande : prouver que vos visiteurs ont donné leur consentement valable avant que leurs données ne soient collectées.
RGPD 7, paragraphe 1,RGPD prévoit que, lorsque le traitement repose sur le consentement, le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement.
Concrètement, cela implique de conserver un registre vérifiable des consentements : une preuve indiquant qui a donné son consentement, à quel moment et pour quoi.
Les journaux de consentement sont généralement gérés par une plateforme de gestion du consentement.
Ils enregistrent quand et comment un utilisateur a donné ou retiré son consentement, ce à quoi il a consenti, ainsi que la version de la bannière ou de l'outil de préférences qui lui a été présentée.
Les abonnésPro+ Termly Pro+ peuvent consulter les journaux détaillés des consentements des utilisateurs directement depuis la section « Journaux des consentements » du Termly et les exporter si nécessaire.
Ensemble, les journaux d'activité et de consentement permettent de garantir différents aspects de la conformité.
Les journaux d'activité permettent de suivre l'activité des utilisateurs et du système sur le site, tandis que les journaux de consentement fournissent la preuve que le consentement des utilisateurs a bien été obtenu.
Comment mettre en place la journalisation des activités (WordPress)
Le Web repose en grande partie sur des systèmes de gestion de contenu, WordPress assurant à lui seul le fonctionnement de plus de 42,5 % de tous les sites web.
Alors que la plupart des plateformes CMS ne disposent pas d'un système d'enregistrement des activités intégré et convivial adapté à l'audit, WordPress est l'une des plus faciles à personnaliser ; sa mise en place est simple et ne prend que quelques minutes.
Nous utiliserons WP Activity Log, l'une des solutions les plus populaires du répertoire WordPress, avec plus de 300 000 installations actives et, surtout, une solution compatible avec Termly.
Pour commencer :
- Dans votre tableau de bord WordPress, accédez à Plugins > Ajouter un nouveau plugin.
- Recherchez « WP Activity Log », puis cliquez sur « Installer maintenant » et « Activer ».
- L'assistant de configuration vous guidera tout au long de la configuration initiale et vous invitera à ajouter un message sur la page de connexion informant les utilisateurs que leurs activités sont surveillées.
Vous pouvez visionner ci-dessous une courte vidéo présentant ces étapes.
Une fois configuré, le plugin commence immédiatement à enregistrer les données.
Vous pouvez consulter l'historique des activités à tout moment en vous rendant dans « WP Activity Log > Journal des activités », et modifier les paramètres dans « WP Activity Log > Paramètres ».
Événements suivis par WP Activity Log
Chaque événement du journal d'activité de WordPress comprend la date et l'heure, le nom de l'utilisateur et son rôle, ainsi que l'adresse IP source, ce qui vous fournit le contexte nécessaire aux enquêtes de conformité.
Du point de vue de la conformité en matière de protection de la vie privée, les événements les plus pertinents sont les suivants :
- Modifications apportées aux publications et aux pages, y compris les modifications apportées à la politique de confidentialité et aux conditions générales
- Activation et désactivation des extensions,
- Modifications apportées au cœur de WordPress et à la configuration globale du site
- Modifications des rôles et des autorisations des utilisateurs, y compris les modifications apportées au compte administrateur
Vous trouverez un exemple dans la capture d'écran ci-dessous.
WP Activity Log permet également de suivre directement les événements Termly, ce qui s'avère particulièrement utile pour les équipes qui utilisent Termly plateforme de gestion du consentement.
Il s'agit notamment de :
- Connecter ou déconnecter le site d'un Termly
- Modifications apportées au statut de la bannière de consentement
- Modifications apportées aux paramètres de l'Auto Blocker dans la configuration de Banner
- Modifications apportées à l'état des analyses automatiques planifiées
- Modifications apportées à la liste d'autorisation du fichier robots.txt Termly
Vous trouverez plus de détails à ce sujet sur la capture d'écran ci-dessous.
Pour obtenir la liste complète des événements enregistrés, vous pouvez consulter la documentation relative aux identifiants d'événements du journal d'activité de WordPress.
Fonctionnalités avancées de l'édition Premium
La version gratuite de WP Activity Log offre une couverture étendue des activités des utilisateurs et du système.
Toutefois, pour les organisations soumises à des exigences plus strictes en matière de conformité à la protection de la vie privée, les éditions Premium et Entreprise offrent plusieurs fonctionnalités utiles :
- Slack instantanées par SMS, e-mail et Slack : recevez des notifications en cas d'événements critiques, tels que l'élévation du rôle d'un utilisateur au rang d'administrateur ou des modifications de configuration susceptibles d'affecter l'accès aux données personnelles.
- Recherche avancée et filtres : retrouvez rapidement les événements spécifiques pertinents pour une enquête réglementaire ou une enquête de sécurité sans avoir à parcourir manuellement des milliers d'entrées de journal.
- Générer et planifier des rapports d'historique des activités : créez des rapports entièrement personnalisables sur les utilisateurs et le système, et planifiez-les à une fréquence quotidienne, hebdomadaire, mensuelle ou trimestrielle.
- Stockage externe des journaux : synchronisez vos journaux d'activité vers une base de données externe ou un système de gestion des journaux tel qu'AWS CloudWatch, Papertrail ou Loggly.
- Archivage des journaux : transférez les anciennes données de journaux vers une base de données distincte afin d'alléger le journal actif sans perdre votre historique de conformité.
Découvrez un exemple dans la capture d'écran ci-dessous.
Bonnes pratiques pour garantir la conformité en matière de protection de la vie privée avec les journaux d'activité
La journalisation des activités est plus efficace lorsqu'elle fait l'objet d'un suivi actif et qu'elle s'inscrit dans le cadre plus large des pratiques de gouvernance en matière de confidentialité et de sécurité, plutôt que d'être considérée comme un simple enregistrement passif.
Pour garantir que les journaux permettent un contrôle efficace, concentrez-vous sur les pratiques suivantes :
- Mentionnez la conservation des journaux dans votre politique de confidentialité : des réglementations telles que le RGPD une transparence quant au traitement des données à caractère personnel. Si les journaux d'activité contiennent des données à caractère personnel, leur utilisation doit être mentionnée dans votre politique de confidentialité et gérée conformément aux bases juridiques applicables et aux politiques de conservation.
- Définissez une politique de conservation des journaux : le principe de limitation de la conservation RGPDexige que les données à caractère personnel ne soient conservées que dans la mesure nécessaire. Appliquez ce même principe à vos journaux. Définissez une durée de conservation qui réponde à vos exigences de conformité, puis configurez les paramètres de conservation de WP Activity Log en conséquence.
- Préserver l'intégrité des journaux : le stockage des journaux dans un système distinct ou une base de données externe permet de réduire le risque que des pirates modifient ou suppriment des enregistrements en cas de compromission du site. Il est particulièrement important de conserver des journaux fiables, car ceux-ci peuvent s'avérer nécessaires lors d'une enquête ou d'un audit de conformité.
- Préparez un processus de réponse aux violations : RGPD que les violations de données soient évaluées et, si nécessaire, signalées. Savoir à l'avance comment votre équipe utilisera les données de journalisation en cas d'incident vous permettra d'agir rapidement lorsque cela sera nécessaire.
- Surveillez les journaux de manière proactive : configurez des alertes pour les événements critiques et examinez régulièrement les journaux d'activité. Des vérifications périodiques, associées à vos pratiques générales en matière de gestion de la confidentialité et du consentement, permettent de détecter les problèmes à un stade précoce, avant qu'une modification de configuration ou une mise à jour des autorisations ne crée un risque de non-conformité.
La journalisation des activités renforce la sécurité et la traçabilité de votre site WordPress en consignant les actions susceptibles d'avoir une incidence sur les données personnelles et la configuration du site.
Écrit par Natasha Piirainen
Natasha Piirainen est une rédactrice spécialisée dans la protection de la vie privée. Elle est titulaire d'une licence en anglais et philosophie du Wheaton College et possède plus de 10 ans d'expérience professionnelle dans le développement de contenus axés sur la recherche.
Lire tous les articles de Natasha Piirainen
Révisé par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic est conseillère juridique et directrice mondiale de la confidentialité Termly. Elle est titulaire d'un diplôme en droit de l'université de Belgrade. Elle est spécialisée dans la mise en œuvre, le contrôle et l'audit de la conformité des entreprises aux réglementations en matière de confidentialité (HIPAA, PIPEDA, directive ePrivacy, RGPD, CCPA, POPIA, LGPD).
Lire tous les articles révisés par Masha Komnenic CIPP/E, CIPM, CIPT, FIP
