Gestion sécurisée des données
Classifier, stocker, partager et détruire vos données correctement. Comprendre vos obligations légales (RGPD, Loi 25 Québec) et protéger les informations sensibles de votre organisation.
À la fin de ce module, vous serez capable de classifier vos données selon leur sensibilité, d'appliquer les protections appropriées à chaque niveau, de partager des fichiers de manière sécurisée et de comprendre les principales obligations légales en matière de données personnelles.
Pour les PME, la gestion des données inclut les informations clients, les contrats, les données RH et les secrets commerciaux. Une fuite peut entraîner des pertes financières, des poursuites et une perte de confiance irréparable. La Loi 25 du Québec impose des obligations spécifiques aux entreprises qui collectent des données personnelles.
Les établissements d'enseignement traitent des données d'élèves mineurs — catégorie particulièrement protégée. Les notes, les évaluations psychologiques et les informations familiales doivent être protégées selon les lois provinciales et fédérales. Le partage par courriel non chiffré est à proscrire absolument.
Les organismes à but non lucratif collectent souvent des données sensibles (santé, situation financière, vulnérabilité sociale) et sont soumis aux mêmes obligations légales que les entreprises privées. La confiance des bénéficiaires est un actif fondamental qui exige une protection rigoureuse des données.
Qu'est-ce qu'une donnée sensible
Toutes les données ne se valent pas. Une liste de prix publics n'a pas le même niveau de sensibilité qu'un dossier médical ou un plan d'affaires stratégique. La première étape d'une bonne gestion des données est de comprendre ce qu'on possède et sa valeur intrinsèque.
Une donnée est "sensible" lorsque sa divulgation non autorisée peut causer un préjudice : atteinte à la vie privée, dommage financier, risque pour la sécurité nationale, perte d'avantage concurrentiel ou violation de la loi.
Données personnelles, professionnelles et confidentielles
Il est utile de distinguer trois grandes catégories de données selon leur contexte et niveau de protection requis :
- Public : Information destinée à être connue du grand public — site web, communiqués de presse, tarifs affichés. Aucune restriction de diffusion.
- Interne : Information à usage interne — procédures opérationnelles, politiques d'entreprise, organigramme. Ne devrait pas être partagée à l'extérieur sans autorisation.
- Confidentiel : Information dont la divulgation causerait un préjudice — données clients, informations financières non publiées, mots de passe, secrets commerciaux, données de santé, numéros d'assurance sociale.
Dans certaines organisations, un quatrième niveau "Secret" ou "Restreint" est ajouté pour les données les plus critiques. L'essentiel est d'avoir un système cohérent et compris par tous.
Risques de fuite d'informations
Les fuites de données peuvent résulter d'une attaque externe, mais aussi — et plus souvent — d'erreurs humaines internes. Envoyer un courriel au mauvais destinataire, partager un lien sans restriction d'accès, oublier un fichier sur une clé USB perdue : les vecteurs de fuite sont nombreux.
- Erreur humaine (23 %) : Courriel envoyé au mauvais destinataire, mauvaise configuration de partage, fichier laissé dans un endroit public.
- Hameçonnage (41 %) : Identifiants volés via un courriel frauduleux, puis utilisés pour accéder aux systèmes.
- Accès non autorisé (19 %) : Ex-employé dont les accès n'ont pas été révoqués, ou partage excessif de permissions.
- Logiciels malveillants (17 %) : Rançongiciel exfiltrant les données avant de les chiffrer.
Stocker les données en sécurité
L'emplacement de stockage des données détermine en grande partie leur niveau de protection. Chaque option présente des avantages et des risques spécifiques.
- Nuage professionnel (Microsoft 365, Google Workspace) : Acceptable pour les données internes et confidentielles à condition que le compte soit protégé par MFA et que les droits de partage soient limités.
- Serveur local ou NAS : Bon contrôle, mais nécessite une gestion de sauvegarde et de mise à jour rigoureuse.
- Clé USB : À éviter pour les données confidentielles sauf si chiffrée. Les clés USB se perdent facilement.
- Messagerie personnelle (Gmail, Hotmail) : À proscrire pour les données professionnelles ou confidentielles — ces données sont alors soumises aux politiques de confidentialité de fournisseurs tiers.
Partager des fichiers sans se mettre en danger
Le partage de fichiers est une source majeure de fuites involontaires. Un lien partagé "à tout le monde" sur OneDrive ou Google Drive, un document en pièce jointe non chiffré, une imprimante partagée sur le réseau — autant de vecteurs de divulgation non intentionnelle.
- Lien avec restriction : Utilisez des liens de partage qui exigent une connexion, limitez aux personnes concernées et ajoutez une date d'expiration.
- Évitez les pièces jointes volumineuses : Partagez via un lien vers un espace de stockage contrôlé plutôt qu'en pièce jointe — vous gardez ainsi le contrôle et pouvez révoquer l'accès.
- Chiffrement de la pièce jointe : Pour des documents très sensibles, chiffrez le fichier (7-Zip avec AES-256) et transmettez le mot de passe par un canal séparé (téléphone, SMS).
- Vérifiez les destinataires : Avant d'envoyer, vérifiez deux fois l'adresse du destinataire. Un "T" appuyé par erreur peut envoyer vos données à la mauvaise personne.
Permissions et contrôle d'accès
Le principe du moindre privilège stipule que chaque personne ne devrait avoir accès qu'aux données strictement nécessaires à l'exercice de ses fonctions. En pratique, de nombreuses organisations accordent des accès trop larges par facilité, créant des risques importants.
- Gestion par rôles (RBAC) : Définissez des niveaux d'accès selon les fonctions (comptabilité, RH, direction) plutôt que par individu — plus simple à gérer.
- Révocation immédiate : Dès qu'un employé quitte l'organisation, ses accès doivent être révoqués dans la journée. Créez une procédure de départ formelle.
- Audit des accès : Revoyez régulièrement (au moins annuellement) qui a accès à quoi. Les "créep d'accès" (accumulation de droits au fil du temps) sont très fréquents.
- Journalisation : Activez les logs d'accès aux ressources sensibles. Si une fuite survient, vous aurez les traces pour comprendre ce qui s'est passé.
Transfert sécurisé et chiffrement
Lorsque des données transitent sur un réseau, elles peuvent être interceptées. Le chiffrement des communications et des fichiers garantit que, même interceptées, les données restent illisibles pour un tiers non autorisé.
- HTTPS : Vérifiez que tout service web utilisé pour transférer des données utilise HTTPS (cadenas dans la barre d'adresse). Ne transmettez jamais de données sensibles via HTTP.
- SFTP/FTPS : Pour les transferts de fichiers entre serveurs, utilisez SFTP (SSH File Transfer Protocol) ou FTPS — jamais FTP en clair.
- Chiffrement de bout en bout : Pour les communications très sensibles, utilisez Signal ou Proton Mail qui chiffrent les messages de manière à ce que même le fournisseur ne puisse les lire.
- Chiffrement de fichiers : 7-Zip (gratuit) permet de créer des archives chiffrées AES-256 — idéal pour les fichiers à envoyer par courriel.
Éviter les erreurs courantes de manipulation
Les erreurs humaines dans la manipulation des données sont la première cause de fuites non intentionnelles. Identifier et corriger ces erreurs est souvent plus rapide et moins coûteux que d'implanter des systèmes techniques complexes.
- Courriel en CC au lieu de CCI : Envoyer un infolettre avec tous les destinataires en CC expose la liste complète de contacts à chaque destinataire.
- Partage de dossiers entiers : Partager un dossier contenant plus de fichiers que nécessaire — l'accès devrait être limité aux fichiers spécifiquement nécessaires.
- Copier-coller de données sensibles : Copier un NAS ou un numéro de carte de crédit dans un outil de collaboration (Slack, Teams) laisse des traces permanentes.
- Imprimer des documents sensibles et les laisser à l'imprimante : Les documents imprimés oubliés à l'imprimante représentent une fuite physique fréquente.
- Utiliser des captures d'écran de données confidentielles : Les captures d'écran contenant des données sensibles sont souvent partagées sans les mêmes protections que les fichiers originaux.
Destruction sécurisée des supports
Supprimer un fichier ou formater un disque ne détruit pas les données — cela supprime simplement le pointeur vers elles. Des outils de récupération de données peuvent retrouver des informations sur des supports "effacés". La destruction sécurisée est une étape obligatoire en fin de vie d'un équipement.
- Disques durs (HDD) : Utilisez un logiciel d'écrasement sécurisé (DBAN, Eraser) effectuant au moins 3 passes, ou faites appel à un service de destruction certifié NAID AAA.
- SSD et mémoire flash : L'écrasement par passes est moins efficace sur les SSD. Privilégiez le chiffrement préalable + commande de destruction sécurisée du fabricant (Secure Erase), ou la destruction physique.
- Documents papier : Utilisez un destructeur de papier à coupe croisée (micro-cut) pour les documents sensibles. La coupe en lamelles longues est insuffisante.
- Téléphones et tablettes : Effectuez une réinitialisation aux paramètres d'usine après avoir activé le chiffrement — le contenu devient alors irrécupérable.
Bases de conformité — RGPD et Loi 25 Québec
Au Québec, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) impose des obligations concrètes à toute organisation qui collecte des données personnelles. En Europe, le RGPD s'applique. Ces lois ne sont pas qu'une contrainte — elles définissent les droits des personnes et les responsabilités des organisations.
- Responsable de la protection : Toute organisation doit désigner un responsable de la protection des renseignements personnels (RPRP).
- Déclaration d'incident : Tout incident impliquant des renseignements personnels doit être déclaré à la Commission d'accès à l'information (CAI) du Québec s'il présente un risque sérieux de préjudice.
- Droit d'accès et de correction : Les individus ont le droit de consulter et corriger leurs renseignements personnels détenus par votre organisation.
- Consentement éclairé : La collecte de données personnelles exige un consentement explicite, clair et limité aux finalités annoncées.
- Minimisation des données : Ne collectez que ce qui est strictement nécessaire. "Au cas où" n'est pas une raison légale valable.
Pour chaque donnée ci-dessous, choisissez le niveau de classification approprié : Public, Interne ou Confidentiel.