Cybersécurité pour les ASBL : listes de membres, bénévoles et petit budget

'Nous ne sommes qu'une ASBL, qui pourrait bien s'intéresser à nous ?' Nous l'entendons dans presque chaque association où nous passons : le club sportif, le mouvement de jeunesse, le comité de quartier, l'organisation socioculturelle avec trois mi-temps et quarante bénévoles. Cela semble logique, mais c'est faux. Une ASBL a exactement ce que cherchent les attaquants, et généralement moins de protection qu'une entreprise de la même taille. La bonne nouvelle : la base coûte peu d'argent et tient en quelques réunions du conseil d'administration.

Pourquoi une ASBL est bel et bien une cible

Les attaquants choisissent rarement une cible précise. Ils envoient des mails de phishing en masse, essaient partout des mots de passe fuités et regardent qui mord. Pour eux, une ASBL est une porte comme une autre. Sauf que cette porte est plus souvent ouverte. Et ce qui se trouve derrière n'est pas rien.

• Des listes de membres avec noms, adresses, dates de naissance, parfois numéros de registre national et informations médicales. Pense à un club sportif ou à un mouvement de jeunesse qui organise des camps.
• De l'argent de subsides et des cotisations sur le compte. Une fausse facture ou un 'numéro de compte modifié' d'un fournisseur fonctionne aussi bien dans une ASBL que dans une entreprise.
• Des administrateurs qui font tout depuis leur mail privé, sur un PC que les enfants utilisent aussi.
• La confiance de tes membres, que tu perds en une seule fuite de données.

Ce que nous rencontrons typiquement

Aucune ASBL n'a été construite pour cela. Les associations grandissent de manière organique, avec des gens qui donnent leur temps libre. Cela explique les situations que nous voyons presque partout.

• Une seule boîte Gmail ou Outlook partagée pour l'association, avec un mot de passe identique depuis des années et connu de dix personnes, dont trois ne sont plus au conseil.
• Des changements au conseil sans que personne ne retire les accès. L'ancien trésorier a toujours accès au compte bancaire, au site web et à la liste des membres.
• L'administration des membres dans un fichier Excel sur le PC privé du secrétaire, sans sauvegarde. Si ce portable plante ou est volé, l'association a perdu son fichier de membres.
• Un document Word nommé 'mots de passe' dans le dossier partagé.

Tu en reconnais quelques-unes ? Alors tu es en bonne compagnie. Le point n'est pas que quelqu'un a tort, mais que ça peut vite s'améliorer.

Le RGPD s'applique aussi aux ASBL

Une courte remarque, pas un conseil juridique. La législation sur la vie privée (RGPD) ne fait pas de distinction entre entreprises et associations. Qui conserve des données personnelles de membres doit les sécuriser correctement, ne peut pas les garder plus longtemps que nécessaire et doit savoir qui y a accès. Une liste de membres qui circule en pièce jointe vers tout le conseil est difficile à concilier avec cela. Tu n'as pas besoin de devenir juriste. Les cinq étapes ci-dessous te font tout de suite avancer d'un bon pas.

Cinq étapes abordables

1. Des comptes séparés avec MFA pour chaque administrateur. Plus de boîte partagée avec un seul mot de passe, mais un identifiant personnel par personne avec vérification en deux étapes via une application sur le téléphone. Coût : quelques heures de configuration, puis plus rien. Comment s'y prendre, tu le lis dans notre plan par étapes pour introduire le MFA.
2. Un gestionnaire de mots de passe avec un coffre partagé. Les identifiants du site web, du logiciel de gestion des membres et des réseaux sociaux se trouvent dans un seul coffre auquel seules les bonnes personnes ont accès. Plus d'infos dans un gestionnaire de mots de passe pour ton équipe.
3. La liste des membres à un seul endroit sécurisé. Choisis un emplacement (un dossier partagé dans Microsoft 365 ou Google Workspace, ou un logiciel de gestion des membres spécialisé), limite l'accès à ceux qui en ont besoin, et arrête d'envoyer des pièces jointes par mail.
4. Revoir les accès à chaque changement du conseil. Fais de 'retirer les droits' un point fixe à l'ordre du jour après chaque assemblée générale. Notre checklist d'offboarding a été écrite pour les entreprises, mais fonctionne tout aussi bien pour un conseil d'administration.
5. Une sauvegarde de l'administration des membres. Automatique, à un deuxième endroit, et testée une fois par an pour vérifier que tu peux la restaurer.

Des ressources gratuites ou bon marché

Le budget est toujours un argument dans une ASBL, et à juste titre. Sache que Microsoft comme Google ont un programme pour les organisations à but non lucratif qui permet aux associations reconnues d'utiliser leurs outils professionnels gratuitement ou à tarif réduit. Les conditions diffèrent et changent de temps en temps, alors vérifie sur leurs propres pages ou demande à ton partenaire IT. Les gestionnaires de mots de passe ont aussi souvent une petite formule équipe tout à fait abordable pour un conseil de cinq à dix personnes. La plupart des cinq étapes ci-dessus coûtent surtout du temps, pas de l'argent.

Et NIS2 ?

Tu en as peut-être entendu parler : la directive européenne NIS2 qui oblige les organisations à prendre des mesures de cybersécurité. La plupart des ASBL n'y sont pas soumises. Il y a des exceptions dans des secteurs comme les soins de santé, et si tu es fournisseur d'une organisation qui y est soumise, tu peux recevoir des questions. En cas de doute, lis notre explication de NIS2 et CyFun pour les PME et les ASBL. Mais indépendamment de la loi : l'hygiène de base ci-dessus est ce dont chaque association a besoin, obligatoire ou non.