Environnement numérique au QCM DGFiP : RGPD, cybersécurité et usages

L’environnement numérique est parfois sous-estimé dans la préparation du QCM DGFiP. Pourtant, il ne suffit pas de savoir utiliser un smartphone ou envoyer un courriel. Le concours peut vérifier le vocabulaire informatique, le fonctionnement d’Internet, la protection des données, les risques de cybersécurité et les comportements attendus dans un environnement professionnel informatisé.

Pourquoi cette matière compte au concours

Le guide officiel du QCM explique que les candidats doivent posséder des connaissances sur le numérique et les outils informatiques, notamment parce qu’ils travailleront dans un environnement informatisé. À la DGFiP, un agent utilise des applications métier, échange des documents et traite des informations parfois sensibles. Comprendre les bons gestes est donc une compétence concrète, pas seulement scolaire.

Les textes ne donnent pas une liste exhaustive de logiciels ou de notions. Il faut construire un socle général : matériel et logiciel, fichiers et données, réseaux et Web, communication numérique, RGPD, cybersécurité, identité numérique et usages professionnels.

Le vocabulaire informatique indispensable

Internet, Web et navigateur

Internet est un réseau mondial de réseaux. Le Web est l’un des services qui utilise Internet, comme le courrier électronique. Un navigateur permet d’afficher et d’utiliser des pages Web ; un moteur de recherche indexe des ressources et aide à les retrouver. Une URL est l’adresse d’une ressource.

Le protocole HTTPS chiffre les échanges entre le navigateur et le site et aide à authentifier le serveur grâce à un certificat. Il ne garantit pas que le contenu est honnête : un site frauduleux peut lui aussi utiliser HTTPS. Il faut contrôler l’adresse, le contexte et l’identité du service.

Réseaux, Wi-Fi et stockage en ligne

Un réseau local relie des appareils dans un espace limité ; Internet relie des réseaux à plus grande échelle. Une adresse IP identifie une interface sur un réseau, tandis que le DNS permet notamment d’associer un nom de domaine à une adresse technique.

Un Wi-Fi public ou inconnu exige de la prudence. Évitez les opérations sensibles, désactivez les connexions automatiques et utilisez les moyens sécurisés prévus par l’employeur. Le stockage en ligne — souvent appelé cloud — conserve des données sur des serveurs distants. Il facilite l’accès et le partage, mais ne dispense ni du contrôle des droits ni d’une stratégie de sauvegarde.

Donnée personnelle et donnée sensible

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Un nom, un numéro fiscal, une adresse IP, une photographie ou une combinaison d’informations peuvent donc être des données personnelles.

Le RGPD accorde une protection particulière à certaines catégories de données, par exemple celles qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, les données génétiques, biométriques utilisées pour identifier une personne, de santé ou concernant la vie sexuelle et l’orientation sexuelle. Leur traitement est en principe interdit, sauf exceptions encadrées.

Les grands principes du RGPD

Le consentement n’est pas l’unique base légale d’un traitement. Une obligation légale, l’exécution d’une mission d’intérêt public, un contrat, la sauvegarde des intérêts vitaux ou l’intérêt légitime peuvent également fonder un traitement selon les conditions applicables. Dans une administration, de nombreux traitements reposent sur une obligation légale ou une mission d’intérêt public.

Les droits des personnes

Selon la situation et la base juridique, une personne peut exercer des droits d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité. Elle peut aussi disposer de garanties relatives à certaines décisions automatisées. Tous ces droits ne s’appliquent pas de manière identique à chaque traitement.

La CNIL informe les personnes, accompagne les organismes et contrôle le respect de la réglementation sur les données personnelles. Elle peut recevoir des plaintes et prononcer des mesures correctrices ou des sanctions dans le cadre de ses compétences.

Hameçonnage : reconnaître le mécanisme

L’hameçonnage — phishing — cherche à faire communiquer une information, cliquer sur un lien, ouvrir une pièce jointe ou réaliser une action sous une fausse identité. Le message utilise souvent l’urgence, la peur, une récompense ou l’autorité apparente.

Contrôlez l’adresse réelle de l’expéditeur, le nom de domaine, la cohérence de la demande et le canal utilisé. En cas de doute, ne répondez pas au message : contactez l’organisme par une adresse ou un numéro déjà connu. Dans un cadre professionnel, signalez immédiatement l’incident selon la procédure interne, même si vous avez déjà cliqué.

Mots de passe et authentification

Un mot de passe doit être suffisamment long, difficile à deviner et différent pour chaque service. Un gestionnaire de mots de passe aide à créer et conserver des secrets uniques. L’authentification multifacteur ajoute une preuve supplémentaire et limite les conséquences du vol d’un mot de passe.

Ne partagez jamais un compte professionnel, ne communiquez pas un code reçu sur votre téléphone et ne validez pas une demande de connexion inattendue. La sécurité ne repose pas uniquement sur la complexité : la réutilisation d’un excellent mot de passe sur plusieurs sites reste dangereuse.

Mises à jour, sauvegardes et logiciels

Les mises à jour corrigent notamment des vulnérabilités et doivent être appliquées selon les règles de l’organisation. Les sauvegardes protègent contre la panne, la perte, l’erreur humaine, le vol ou certaines attaques. Elles doivent être régulières, vérifiées et suffisamment séparées du système principal pour rester utilisables en cas d’incident.

N’installez pas un logiciel ou une extension sans autorisation sur un poste professionnel. Une application gratuite peut demander des droits excessifs, contenir un code malveillant ou transférer des données vers un service non approuvé.

Courriel et partage de documents

Le champ « À » désigne les destinataires principaux, « Cc » les destinataires informés et « Cci » masque les adresses aux autres destinataires. Le Cci peut protéger les adresses lors d’un envoi collectif, mais il ne corrige pas une erreur de pièce jointe ou de liste de diffusion.

Avant d’envoyer, vérifiez le destinataire, la présence de la pièce jointe, son niveau de sensibilité et le moyen de partage autorisé. Un lien avec droits d’accès contrôlés peut être préférable à une copie, mais il faut définir qui peut consulter, modifier ou retransmettre.

Identité et traces numériques

L’identité numérique correspond aux informations et identifiants associés à une personne en ligne. Les traces peuvent être fournies volontairement — profil, commentaire — ou produites par l’usage, comme des journaux de connexion et métadonnées.

Un pseudonyme ne garantit pas l’anonymat. Plusieurs données indirectes peuvent permettre de reconnaître une personne. Au travail, les devoirs de discrétion et de confidentialité continuent sur les réseaux sociaux : publier une capture d’écran floutée approximativement peut encore révéler un dossier ou une procédure interne.

Intelligence artificielle : les bons repères

Un système d’intelligence artificielle produit des résultats à partir de modèles et de données. Il peut aider à classer, résumer ou générer, mais il peut aussi se tromper, reproduire des biais ou inventer une information vraisemblable. Son résultat doit être contrôlé.

Ne saisissez pas de données professionnelles, fiscales ou personnelles dans un outil non autorisé. La facilité technique ne crée pas une autorisation juridique. Demandez-vous toujours où partent les données, combien de temps elles sont conservées et qui peut les utiliser.

Les réflexes d’un agent dans une situation professionnelle

1. Verrouiller sa session lorsqu’on quitte le poste.
2. Utiliser uniquement son compte et ses moyens d’authentification.
3. Vérifier l’identité du demandeur avant de communiquer une information.
4. Respecter les habilitations et ne consulter que les dossiers nécessaires.
5. Signaler rapidement un message, un comportement ou un incident suspect.
6. Suivre les procédures de l’administration plutôt que d’improviser une solution.

Plan de révision sur trois semaines

Les pièges fréquents

• Confondre Internet, Web, navigateur et moteur de recherche.
• Penser que HTTPS prouve qu’un site est honnête.
• Croire que toute donnée publique peut être réutilisée sans règle.
• Présenter le consentement comme la seule base légale du RGPD.
• Utiliser le même mot de passe complexe partout.
• Confondre sauvegarde et synchronisation.
• Attendre avant de signaler un incident par peur d’avoir commis une erreur.

Transformer les connaissances en automatismes

Créez des mini-scénarios : un collègue demande votre mot de passe, un courriel urgent renvoie vers une page de connexion, un document contient des données d’usagers, une clé USB inconnue est trouvée dans un couloir. Pour chaque situation, identifiez le risque, le comportement approprié et la règle en jeu.

Complétez avec notre guide de l’actualité et de la culture générale au QCM et la fiche sur les missions de la DGFiP. Dans cette matière, une bonne réponse est rarement la plus spectaculaire : c’est celle qui protège les données, respecte les habilitations et suit la procédure.