Catégorie : Cybersécurité et conformité

Dans de nombreuses entreprises en Thaïlande, la cybersécurité est d’abord absorbée par la direction informatique, un prestataire d’infogérance ou une équipe support. Ce fonctionnement peut suffire lorsque le système d’information reste simple. Il devient plus fragile lorsque les applications cloud, les accès distants, les prestataires, les obligations contractuelles et les données sensibles se multiplient.

Le problème n’est alors pas forcément l’absence de compétences techniques. Il tient souvent à l’absence d’un pilote capable de transformer les risques en décisions, de fixer des priorités, de coordonner les acteurs et de rendre compte à la direction. C’est le rôle que peut remplir un RSSI externalisé lorsqu’un poste à temps plein n’est pas encore justifié ou difficile à pourvoir.

Le besoin apparaît quand la sécurité n’a plus de pilote

Une entreprise peut disposer d’un bon prestataire IT, de sauvegardes, d’un pare-feu et de services cloud correctement administrés, tout en restant faible sur le plan de la gouvernance. Les outils ne répondent pas à des questions comme le niveau de risque acceptable, les priorités budgétaires, la responsabilité d’un incident ou la validation d’un fournisseur.

Le RSSI externalisé apporte cette fonction de pilotage. Il aide la direction à identifier les risques qui méritent un arbitrage, à formaliser les règles utiles, à suivre les plans d’action et à vérifier que les mesures décidées sont réellement appliquées. La responsabilité des décisions reste cependant dans l’entreprise.

Cette logique est cohérente avec l’approche de gouvernance promue en Thaïlande. Le Corporate Governance Code de la SEC demande par exemple aux conseils d’administration des sociétés concernées d’intégrer les risques IT dans la gestion des risques et de veiller à l’existence de politiques et procédures de sécurité. Il s’agit d’un cadre sectoriel, pas d’une obligation générale applicable à toutes les PME.

Les situations où un RSSI externalisé devient pertinent en Thaïlande

L’entreprise a grandi sans fonction sécurité dédiée

Lorsque de nouveaux logiciels, services SaaS, accès distants et prestataires se sont accumulés, l’exploitation peut continuer à fonctionner sans que personne ne possède une vision consolidée des risques. Un RSSI externalisé peut alors cartographier les actifs et dépendances critiques, clarifier les responsabilités et construire un programme d’amélioration adapté aux moyens de l’entreprise.

Une filiale doit appliquer les exigences d’un groupe international

Une filiale thaïlandaise peut devoir appliquer des politiques, standards, questionnaires de sécurité ou contrôles définis par un siège étranger. La difficulté consiste à adapter ces exigences aux systèmes, fournisseurs et pratiques locales, puis à produire des éléments de preuve exploitables par le groupe.

Un RSSI externalisé local peut servir d’interface entre la direction en Thaïlande, l’équipe IT, les prestataires et les fonctions sécurité du groupe. Il évite à la fois l’application mécanique d’un modèle conçu ailleurs et une conformité purement documentaire.

Les clients et partenaires demandent davantage de garanties

Un questionnaire de sécurité, des clauses contractuelles, une demande de politique formalisée ou de preuve de gestion des accès peuvent révéler un manque de structuration. Ces demandes ne créent pas nécessairement une obligation réglementaire, mais elles peuvent devenir une condition commerciale.

Le RSSI externalisé aide à répondre de manière cohérente et à distinguer ce que l’entreprise fait réellement de ce qu’elle prévoit de faire. Les engagements donnés à un client doivent correspondre à des contrôles effectivement en place.

Un incident a montré les limites de l’organisation

Après un ransomware, un compte compromis, une fuite de données ou une indisponibilité importante, restaurer les systèmes ne suffit pas. Il faut comprendre les causes, attribuer les actions correctives et suivre leur réalisation.

Une mission de RSSI externalisé peut transformer le retour d’expérience en plan d’amélioration couvrant les responsabilités, les accès, les sauvegardes, les prestataires, la détection et la réponse aux incidents.

L’entreprise entre dans un périmètre plus réglementé

Toutes les entreprises thaïlandaises ne sont pas soumises aux mêmes obligations. Le Cybersecurity Act B.E. 2562 encadre notamment les organismes publics et les organisations identifiées comme Critical Information Infrastructure. Certains secteurs disposent en outre de règles spécifiques. La SEC thaïlandaise impose par exemple des exigences IT et de cybersécurité à plusieurs catégories d’opérateurs qu’elle supervise.

Dans ces environnements, un RSSI externalisé peut renforcer la gouvernance et la préparation des contrôles, mais son périmètre doit être aligné sur les textes réellement applicables à l’organisation.

Ce que le RSSI externalisé doit réellement piloter

Un bon dispositif ne se limite pas à une liste de recommandations. Il doit mettre en place une mécanique de pilotage que la direction peut suivre dans le temps.

• la cartographie des risques, actifs, applications, prestataires et dépendances critiques ;
• une feuille de route priorisée selon le risque, l’effort, le budget et les contraintes opérationnelles ;
• les politiques et procédures nécessaires, sans multiplier les documents inutiles ;
• la gouvernance des identités, des accès privilégiés et des comptes à risque ;
• la gestion des risques fournisseurs et des services cloud ;
• la préparation et la coordination de la réponse aux incidents ;
• la sensibilisation des collaborateurs et des responsables métier ;
• la préparation des audits, questionnaires clients et contrôles sectoriels ;
• un reporting régulier à la direction avec des indicateurs compréhensibles.

Le périmètre exact dépend de l’organisation. Une PME de services, une usine, une plateforme numérique et une filiale de groupe international n’ont ni les mêmes actifs, ni les mêmes menaces, ni les mêmes contraintes.

Ce que le RSSI externalisé ne remplace pas

Le RSSI externalisé ne remplace pas l’administrateur système ou réseau, l’équipe de support, le SOC, le MSSP, l’auditeur ou le prestataire chargé d’un test d’intrusion. Ces acteurs produisent ou exploitent des contrôles. Le RSSI organise la gouvernance, fixe les priorités et vérifie que les actions répondent aux risques identifiés.

Il ne remplace pas non plus le DPO. Sous le PDPA thaïlandais, la désignation d’un Data Protection Officer répond à des conditions spécifiques. Protection des données et cybersécurité se recoupent sur les mesures de sécurité et la gestion des violations, mais les fonctions restent distinctes. L’organisation doit donc clarifier les responsabilités entre direction, RSSI, DPO, IT et prestataires.

Enfin, le RSSI externalisé ne décide pas à la place de la direction. Il peut recommander, documenter et préparer des arbitrages. L’acceptation d’un risque significatif, le budget ou les priorités restent des décisions de management.

PDPA et cybersécurité doivent être articulés sans les confondre

Le PDPA thaïlandais impose aux organisations concernées de protéger les données personnelles avec des mesures de sécurité appropriées. Les ressources du Personal Data Protection Committee consacrent explicitement un volet au Security Management et à la gestion des violations. Ces sujets nécessitent une coopération étroite entre conformité et sécurité.

Respecter le PDPA ne suffit toutefois pas à construire un programme de cybersécurité complet. Une entreprise doit aussi protéger des éléments qui ne sont pas nécessairement des données personnelles : comptes administrateurs, secrets techniques, propriété intellectuelle, disponibilité des systèmes, sauvegardes ou continuité d’activité.

Le RSSI externalisé doit donc travailler avec le DPO lorsque les sujets se croisent, sans transformer la cybersécurité en simple annexe de la conformité.

Plusieurs formats d’externalisation sont possibles

Une organisation déjà mature peut rechercher un pilotage régulier à temps partagé. Une autre peut avoir besoin d’une mission de structuration pour remettre à plat les responsabilités, les risques et la feuille de route. Une entreprise en croissance peut enfin utiliser un RSSI externalisé comme dispositif de transition avant un recrutement interne.

Le bon format dépend du volume de décisions à prendre, du niveau de risque, de la maturité IT, des contraintes réglementaires et de la capacité des équipes internes à exécuter les actions. Il ne doit pas être choisi uniquement sur un nombre de jours de prestation.

Comment savoir si le moment est venu

Plusieurs questions permettent d’évaluer la situation :

• La direction reçoit-elle régulièrement une vision claire des principaux risques cyber ?
• Une personne identifiée peut-elle arbitrer les priorités de sécurité au-delà de l’exploitation IT quotidienne ?
• Les responsabilités sont-elles claires entre l’entreprise et ses prestataires ?
• Les accès critiques, fournisseurs, sauvegardes et plans de réponse aux incidents sont-ils contrôlés périodiquement ?
• Les demandes de clients, du groupe ou d’un régulateur peuvent-elles être traitées sans improvisation ?
• Les actions décidées après un audit ou un incident sont-elles suivies jusqu’à leur clôture ?
• L’organisation distingue-t-elle clairement les responsabilités du RSSI, du DPO, de l’IT et de la direction ?

Si plusieurs réponses sont négatives, le besoin principal est probablement moins l’achat d’un nouvel outil que la mise en place d’une fonction de pilotage.

Choisir un RSSI externalisé adapté à une organisation en Thaïlande

Le choix doit porter autant sur la capacité de gouvernance que sur l’expertise technique. Le prestataire doit pouvoir dialoguer avec la direction, les responsables métier, l’équipe IT et les fournisseurs. Il doit comprendre le cadre thaïlandais et savoir intégrer des exigences internationales lorsqu’elles concernent réellement l’entreprise.

Pour une organisation travaillant avec plusieurs pays, la capacité à collaborer dans les langues utilisées par les équipes et le groupe est également importante. Les livrables doivent rester compréhensibles localement tout en pouvant être exploités par un siège ou un client international.

Le dispositif doit enfin favoriser l’autonomie de l’entreprise. Les analyses de risques, politiques, plans d’action et comptes rendus doivent rester utilisables si le prestataire change.

Un rôle de direction avant d’être un rôle technique

Recourir à un RSSI externalisé en Thaïlande devient pertinent lorsque la cybersécurité nécessite un pilotage régulier mais que l’organisation ne dispose pas encore de cette fonction en interne. Le déclencheur peut être la croissance, un incident, des exigences de groupe, des demandes clients ou un cadre sectoriel plus exigeant. Le point commun reste le même : la sécurité doit devenir un sujet de management, pas seulement d’exploitation informatique.

La bonne approche consiste à définir le mandat, les responsabilités et les résultats attendus avant de choisir le format d’externalisation. Cybersiam aborde la cybersécurité et la conformité sous cet angle de gouvernance, de gestion des risques et d’amélioration continue pour les organisations opérant en Thaïlande.

Pour une entreprise basée en Thaïlande, l’articulation entre RGPD et PDPA en Thaïlande dépend des traitements concernés. Le PDPA thaïlandais constitue le cadre principal, tandis que le RGPD européen peut s’appliquer à certaines activités. Le simple fait d’avoir des clients européens ne suffit pas à rendre le RGPD applicable à tous les traitements. Il faut examiner l’établissement, les personnes visées, les services proposés et les flux de données entre l’Union européenne et la Thaïlande.

Pour une entreprise thaïlandaise qui travaille avec l’Europe, l’enjeu n’est donc pas de choisir entre deux réglementations. Il consiste à construire une gouvernance des données claire. Celle-ci doit identifier précisément quel texte s’applique, à quel traitement et avec quelles obligations.

Le PDPA constitue le cadre de référence en Thaïlande

Le Personal Data Protection Act B.E. 2562 (2019), généralement appelé PDPA, est le principal texte thaïlandais relatif à la protection des données personnelles. Ses principales dispositions sont pleinement applicables depuis le 1er juin 2022. Il encadre notamment la collecte, l’utilisation, la divulgation, la conservation et la sécurité des données personnelles.

Comme le RGPD, le PDPA repose sur plusieurs principes structurants. Il faut disposer d’une base légale, informer les personnes concernées et limiter les finalités ainsi que la durée de conservation. Il faut aussi protéger les données et permettre l’exercice des droits prévus par la loi. Le consentement n’est donc pas l’unique fondement possible d’un traitement.

Une entreprise établie en Thaïlande doit d’abord identifier les traitements relevant du PDPA et les rôles de responsable de traitement ou de sous-traitant. Elle doit ensuite documenter les bases légales utilisées, les éventuelles données sensibles et les mesures de sécurité associées.

Quand le RGPD peut-il s’appliquer à une entreprise thaïlandaise ?

La portée territoriale du RGPD est définie par son article 3. Pour une entreprise implantée en Thaïlande, trois situations doivent notamment être distinguées.

L’entreprise possède un établissement dans l’Union européenne

Le RGPD peut s’appliquer lorsqu’un traitement est effectué dans le cadre des activités d’un établissement situé dans l’Union européenne. Cela reste vrai même si le traitement technique des données est réalisé en Thaïlande. Le lieu des serveurs n’est donc pas, à lui seul, le critère déterminant.

L’entreprise cible des personnes qui se trouvent dans l’Union européenne

Une entreprise sans établissement dans l’Union peut aussi relever du RGPD lorsqu’elle traite les données de personnes qui se trouvent dans l’Union. Le traitement doit alors être lié à une offre de biens ou de services destinée à ces personnes. L’existence ou non d’un paiement ne change pas ce critère.

L’entreprise suit le comportement de personnes dans l’Union européenne

Le RGPD peut aussi s’appliquer lorsqu’une entreprise située hors de l’Union suit le comportement de personnes dans l’Union. Cela peut concerner certains dispositifs de profilage ou de suivi en ligne. Ceux-ci peuvent servir à analyser ou prédire des préférences, des comportements ou des déplacements.

En revanche, avoir un client français, allemand ou plus généralement européen ne suffit pas à rendre automatiquement le RGPD applicable. La nationalité du client n’est pas le critère de l’article 3. L’analyse doit porter sur le contexte réel du traitement.

RGPD et PDPA partagent un socle commun

Les deux cadres présentent suffisamment de principes communs pour permettre une gouvernance cohérente. Dans les deux cas, il faut identifier les traitements et leurs finalités, choisir une base juridique adaptée et informer les personnes. Il faut aussi encadrer la conservation et gérer les demandes d’exercice de droits. Les mesures de sécurité doivent rester proportionnées aux risques.

• Cartographier les traitements et les flux de données.
• Identifier les responsables de traitement, sous-traitants et destinataires.
• Documenter les finalités et les bases légales.
• Organiser l’information des personnes concernées et la gestion de leurs droits.
• Définir des durées de conservation justifiées.
• Mettre en œuvre des mesures techniques et organisationnelles adaptées au risque.
• Préparer la gestion des violations de données et leur documentation.

Cette proximité ne signifie toutefois pas que les deux réglementations sont interchangeables. Les obligations précises, les exceptions, les autorités compétentes et les mécanismes de transfert doivent être examinés séparément.

Les différences doivent être traitées comme des écarts de conformité

Le RGPD et le PDPA n’utilisent pas exactement les mêmes mécanismes ni les mêmes formulations. Une démarche sérieuse consiste donc à créer un socle commun, puis à réaliser une analyse des écarts pour chaque juridiction.

• Les autorités de contrôle et les procédures ne sont pas les mêmes. Dans l’Union européenne, la compétence dépend notamment du pays et du contexte du traitement. En Thaïlande, le cadre relève de la Personal Data Protection Committee et de son Office.
• Les conditions de désignation d’un délégué à la protection des données doivent être évaluées séparément dans les deux régimes.
• Les obligations de documentation, de registre et d’analyse des risques ne sont pas formulées à l’identique.
• Les mécanismes de transfert international diffèrent et doivent être articulés lorsque des données circulent entre l’Europe et la Thaïlande.
• Les sanctions, procédures administratives et voies de recours reposent sur des cadres juridiques distincts.

Le transfert de données entre l’Union européenne et la Thaïlande est un point central

Pour de nombreuses entreprises, le sujet le plus concret dépasse la seule application territoriale du RGPD. Il concerne aussi le transfert de données personnelles depuis l’Espace économique européen vers la Thaïlande.

À ce jour, la Thaïlande ne bénéficie pas d’une décision d’adéquation de la Commission européenne. Lorsque le RGPD s’applique, un transfert de l’EEE vers la Thaïlande doit donc être encadré par un mécanisme prévu par son chapitre V.

Dans les relations commerciales courantes, les clauses contractuelles types de la Commission européenne constituent fréquemment l’un des outils utilisés. Selon le contexte, une analyse des conditions du transfert et des garanties complémentaires peut également être nécessaire. Les règles thaïlandaises relatives aux transferts internationaux doivent être examinées parallèlement.

Concrètement, une entreprise doit identifier les données qui quittent l’Europe, leur finalité, leur destinataire, le rôle contractuel concerné et les garanties prévues. Cette cartographie est indispensable avant de choisir un mécanisme juridique.

DPO et représentant dans l’Union ne sont pas la même chose

Deux fonctions sont souvent confondues. Le délégué à la protection des données ou DPO accompagne l’organisation lorsque sa désignation est obligatoire ou volontaire. Le représentant dans l’Union européenne, prévu par l’article 27 du RGPD dans certaines situations, représente une organisation non établie dans l’Union. Cette organisation doit toutefois relever de l’article 3 paragraphe 2.

Une entreprise thaïlandaise concernée par la portée extraterritoriale du RGPD doit vérifier deux obligations séparément. Elle doit déterminer si elle doit désigner un représentant dans l’Union et si elle entre dans un cas imposant un DPO. L’un ne remplace pas l’autre.

Violation de données : le seuil des 72 heures existe dans les deux cadres

Contrairement à une idée fréquente, le délai principal de notification n’est pas une différence majeure entre le RGPD et le PDPA. Le RGPD prévoit une notification à l’autorité compétente sans retard injustifié et, si possible, dans les 72 heures. Cette obligation ne s’applique pas lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.

Le PDPA thaïlandais prévoit lui aussi une notification sans retard et, lorsque cela est possible, dans un délai de 72 heures. Cette obligation dépend de l’évaluation du risque. Lorsque le risque est élevé, l’information des personnes concernées peut également être requise.

L’enjeu opérationnel consiste à disposer d’un processus commun de gestion des incidents. Ce processus doit permettre d’identifier les données concernées, d’évaluer le risque et de déterminer les autorités ou personnes à informer. Il doit aussi permettre de documenter les décisions et de respecter les obligations propres à chaque réglementation.

Une méthode commune permet de réduire les doublons

Lorsqu’une organisation relève des deux cadres, gérer RGPD et PDPA comme deux projets séparés crée souvent des doublons. Inventaires, procédures et contrôles peuvent alors être répétés inutilement. Une approche plus efficace consiste à construire un socle commun de gouvernance des données. Les exigences propres à chaque réglementation viennent ensuite compléter ce socle.

1. Cartographier les traitements, applications, prestataires et transferts.
2. Déterminer le rôle de l’entreprise et la réglementation applicable à chaque traitement.
3. Documenter les bases légales, informations fournies aux personnes et durées de conservation.
4. Vérifier les contrats de sous-traitance et les mécanismes de transfert international.
5. Évaluer les besoins en DPO, représentant européen et analyses d’impact ou de risques.
6. Formaliser les processus d’exercice des droits et de gestion des violations.
7. Mettre en place un suivi régulier plutôt qu’une conformité ponctuelle.

Cette approche suit une logique de management de la conformité. Les obligations juridiques sont reliées aux processus, aux responsabilités, aux outils et aux mesures de sécurité de l’entreprise.

Les questions à vérifier pour votre entreprise

Avant de conclure qu’une entreprise thaïlandaise est ou non soumise au RGPD, plusieurs questions doivent être documentées.

• L’entreprise possède-t-elle un établissement ou une présence stable dans l’Union européenne ?
• Propose-t-elle volontairement des biens ou services à des personnes se trouvant dans l’Union ?
• Suit-elle le comportement de personnes dans l’Union ?
• Reçoit-elle des données personnelles transférées depuis l’EEE vers la Thaïlande ?
• Quels traitements relèvent du PDPA thaïlandais ?
• Les contrats avec les clients et prestataires décrivent-ils correctement les rôles et les transferts ?
• Les obligations relatives au DPO, au représentant européen et aux violations ont-elles été évaluées ?

Construire une conformité cohérente entre Europe et Thaïlande

Une gouvernance cohérente de RGPD et PDPA en Thaïlande peut s’appuyer sur leurs principes communs, sans effacer leurs différences. Une entreprise basée en Thaïlande doit identifier précisément ses traitements et ses flux internationaux. Elle peut ensuite appliquer à chacun le cadre juridique pertinent.

Cybersiam accompagne cette démarche en reliant cybersécurité et conformité à la cartographie, à la gouvernance, aux mesures de sécurité et aux responsabilités. L’objectif est de construire un système de management cohérent. Il doit couvrir les exigences européennes et thaïlandaises lorsqu’elles s’appliquent réellement.

Cet article présente des principes généraux. L’applicabilité exacte du RGPD, du PDPA et des mécanismes de transfert dépend de la situation de chaque organisation.