L'action d'obtenir, de lire, de copier ou d'extraire des données stockées ou traitées par un système informatique sans l'autorisation du propriétaire ou du responsable des données.

Principe

La protection de la confidentialité et du contrôle licite de l'information ; l'accès non autorisé aux données se produit lorsque des protections techniques ou procédurales sont contournées et qu'il n'existe aucun droit légitime de consulter ou d'acquérir les données.

Démonstration

Un attaquant réalise une injection SQL contre une application web pour exporter des fiches clients, ou un employé copie un export de base de données restreint sur un appareil personnel sans autorisation.

Mauvaise application

Considérer comme illicite tout accès à des métadonnées non sensibles ou à des données mises en cache temporairement ; supposer que le chiffrement convertit toujours l'accès en statut autorisé sans tenir compte du contexte.

Conséquence

Classer correctement un accès aux données comme non autorisé déclenche une réponse en cas de violation de données, d'éventuelles obligations de notification, des recours pour la vie privée des personnes concernées et une responsabilité pénale ou civile pour l'auteur.

Inversion

Accès aux données autorisé : lecture, copie ou exportation de données effectués sous consentement valable, autorisation politique ou procédure légale reconnue par le responsable des données.

Limite

Couvre les actes portant atteinte à la confidentialité et à l'exfiltration des données indépendamment de leur emplacement physique ; exclut l'utilisation de données librement publiées ou explicitement partagées et les processus légitimes de découverte ou de conformité.

Tension sémantique

Chevauche l'accès réseau et l'altération du système lorsqu'ils constituent le moyen d'obtenir des données ; contraste avec la fraude informatique lorsque la tromperie ou la perte financière est l'élément central.

Synthèse

L'accès non autorisé aux données est l'infraction spécifique consistant à obtenir ou à interagir avec des informations détenues par un système sans l'autorisation de son responsable, portant atteinte à la confidentialité et aux obligations de gouvernance des données.