En cybersécurité, un tag ne désigne pas une réalité unique. Le terme recouvre des mécanismes d’identification, d’étiquetage de données et de suivi qui opèrent à des couches très différentes de l’infrastructure. Ce qui les relie : chaque tag génère ou constitue une trace, et chaque trace porte une information que l’on peut lire, croiser ou altérer.
Tag RFID et tag logiciel : deux natures, un même principe d’identification
Un tag RFID est une étiquette électronique qui émet un identifiant unique par radiofréquence. Un lecteur capte cet identifiant sans contact physique, ce qui permet de suivre un actif, un badge d’accès ou un passeport électronique. La surface d’attaque est physique : interception du signal, clonage de la puce, émission parasite.
Le tag logiciel fonctionne différemment. Dans le contexte du marquage de données, un tag est une métadonnée associée à un fichier, un événement système ou un flux réseau. Il sert à classifier, filtrer, corréler. Dans les outils SIEM, les événements de sécurité reçoivent des tags qui déclenchent des règles d’alerte ou alimentent des tableaux de bord.
Dans les deux cas, le tag n’est pas la donnée elle-même : il en documente la nature, l’origine ou le comportement attendu.
Ce que révèle vraiment une trace en cybersécurité
Une trace (log système, événement réseau, entrée d’audit) atteste qu’une action a eu lieu sur un compte, un appareil ou une adresse IP. Elle n’identifie pas automatiquement la personne physique derrière l’action. Cette distinction est technique autant que juridique.
Plusieurs limites fragilisent la valeur d’une trace isolée.
- L’horodatage peut être incohérent si les horloges des systèmes ne sont pas synchronisées entre elles. Reconstituer une chronologie d’incident devient alors impossible, parce que l’ordre des événements ne peut pas être établi avec certitude. L’ANSSI recommande de prévoir une source de temps cohérente pour l’ensemble des journaux d’un système d’information.
- L’absence de trace ne prouve pas l’absence d’activité. Des journaux effacés, désactivés ou non générés en amont d’une intrusion peuvent faire disparaître des éléments déterminants. La centralisation des logs et leur protection contre la modification réduisent ce risque.
- Une trace isolée ne suffit pas à reconstituer un incident. Le NIST recommande de mettre en relation plusieurs artefacts plutôt que de tirer une conclusion d’un seul élément de preuve, aussi précis soit-il.
Tags de tracking et collecte de données : où se situe le risque
Le tag de tracking est un fragment de code, souvent JavaScript, intégré à une page web ou une application. Il collecte des événements de navigation et les transmet à des plateformes tierces. Google Tag Manager, par exemple, permet de déployer et de gérer ces tags sans modifier directement le code source d’un site.
Du point de vue de la sécurité, chaque tag tiers est une dépendance externe. Un tag compromis peut exfiltrer des données de formulaire, injecter du contenu malveillant ou servir de vecteur d’attaque de type supply chain. L’audit régulier des tags actifs sur un domaine est un contrôle de sécurité, pas seulement une question de conformité.
Le cadre réglementaire exige que le dépôt de tags de tracking soit conditionné au consentement préalable de l’utilisateur, hors exceptions légitimes. Un tag chargé sans consentement valide constitue une violation du RGPD, indépendamment de la nature des données collectées.
Durée de conservation et intégrité des logs : les deux angles morts
La conservation des traces dépend de leur finalité. Il n’existe pas de durée universelle applicable à tous les journaux. La CNIL recommande généralement une durée comprise entre six mois et un an pour les logs d’accès, avec des exceptions justifiées par la réglementation sectorielle ou des obligations contractuelles.
L’intégrité des logs est souvent le premier élément négligé. Un attaquant qui dispose de droits suffisants peut modifier ou supprimer les entrées qui documentent son activité. Centraliser les journaux sur un système distinct et protégé est la mesure minimale pour préserver leur valeur probatoire.
Pour les opérateurs d’importance vitale, les exigences de journalisation sont plus contraignantes et encadrées par des référentiels spécifiques. La LPM impose des obligations de détection et de remontée d’événements qui supposent une architecture de logs correctement dimensionnée en amont.
Exploitation des tags en investigation forensique
Lors d’une réponse à incident, les tags et les traces constituent la matière première de l’investigation. La préparation en amont détermine directement ce qu’il sera possible de reconstituer après coup.
Les points de défaillance les plus fréquents ne sont pas techniques : ils résultent d’une absence de décision sur quoi journaliser, à quel niveau de granularité, et combien de temps. Un événement non journalisé au moment de l’attaque ne peut pas être retrouvé après.
Les tags logiciels utilisés dans les outils de détection (EDR, SIEM) permettent de qualifier un comportement suspect et d’accélérer le triage. Un tag « lateral movement » ou « credential access » associé à une alerte réduit le temps nécessaire à l’analyste pour contextualiser l’événement et prioriser la réponse.
La granularité du tag fait partie de sa valeur. Un tag trop générique noie l’information dans le bruit. Un tag trop spécifique peut manquer des variantes d’une même technique d’attaque. La calibration de ce niveau de détail est un travail continu, pas une configuration initiale.
