Les mesures de sécurité des données

Cet article s’appuie sur la règlementation en vigueur relative à la protection des données personnelles, mais le respect de ces mesures permet de garantir la sécurité de l’ensemble des documents d’une structure, même ceux qui ne contiennent pas de donnée personnelle. 

Le RGPD prévoit explicitement cette obligation de protection des données personnelles dans l'article 32 sur la sécurité du traitement "le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque [...] des moyens permettant de garantir la confidentialité, l'intégralité, la disponibilité et la résilience constantes des systèmes et des services de traitement."

Cette obligation de garantir un niveau de sécurité adapté s’explique par les risques qui pèsent sur les données. On en distingue trois majeurs :

• La perte de confidentialité : une personne non habilitée accède aux données (ex : un collègue d’un autre service qui lit un dossier par-dessus votre épaule, un administré qui voit des données affichées, une personne qui accède aux données d’une autre) ;
• La perte d’intégrité : une modification non désirée des données survient (une erreur de manipulation d’un logiciel, une volonté malveillante de modifier un fichier Excel) ;
• La perte de disponibilité : les données ne sont plus accessibles, elles ont été détruites, volées ou il n’est plus possible d’y accéder (ex : piratage et chiffrement des données, perte d’un dossier, catastrophe naturelle qui provoque la destruction des données).

Qu’ils soient accidentels ou malveillants, ces incidents engendrent des violations de données qui peuvent avoir des impacts plus ou moins grave, selon le type de données et le type d’incident. 

Pour minimiser, voir empêcher leur survenance, plusieurs mesures organisationnelles et techniques doivent être mises en place. Ces dernières doivent être proportionnées à la sensibilité et à la quantité de données, ainsi qu’à la probabilité que le risque survienne.

Par exemple, le fait de ranger un dossier papier RH dans une armoire fermée à clé est adapté au risque d’accès non autorisé ou de vol du dossier. Toutefois, le fait de mettre en place une serrure biométrique pour protéger l’accès aux dossiers RH est disproportionné : une clé suffit. 

Les mesures listées ci-dessous sont non exhaustives et dépendent du contexte et des risques propres à chaque structure. 

Les mesures de protection des données papiers

L’objectif est d’appliquer, lorsque l’agent quitte son bureau le midi ou le soir, « la politique du bureau vide » (sauf si le bureau est fermé à clé) : en l’absence de l’agent, tous les documents sont rangés dans une armoire fermée à clé et la clé est rangée dans une boîte à clés à code. Il ne reste aucune information sur le bureau (pas de post-it, de dossier en attente ou de carnet). 

Les documents qui n’ont pas vocation à être archivés et qui vont être jetés doivent au préalable être détruits afin d’en préserver la confidentialité. Pour les documents contenant un grand nombre de données, il est recommandé d’utiliser un broyeur. Les post-it peuvent être déchirés à la main. 

En aucun cas, un document contenant des données peut être réutilisé en tant que brouillon ni être déposé dans le bac de recyclage où il serait facilement accessible. 

Il est également recommandé d’éviter d’afficher des données, comme des listes ou des tableaux d’informations, puisque cela les rend accessibles et réutilisables à toute personne entrant dans le bureau. 

Lorsque des documents contenant des données sont imprimés sur un photocopieur partagé ou situé dans un endroit accessible au public, il est nécessaire d’utiliser le mode « impression privé » qui permet la rétention de l’impression tant que l’agent n’a pas rentré un code sur le photocopieur qu’il a lui-même prédéterminé. 

Enfin, les transmissions des documents doivent être réalisées par courrier postal ou directement par remise en main propre. La gestion des parapheurs doit être mise en œuvre de manière à ce qu’ils ne soient accessibles qu’aux personnes habilitées à les consulter. 

Les mesures de protection des données numériques

Ces mesures sont à appliquer en plus de l’ensemble des mesures mises en place directement par le service informatique de la structure. 

Tout d’abord, les ordinateurs doivent être sécurisés, ce qui passe par une double mesure : protéger la machine, en l’enfermant dans un placard ou en l’attachant avec un câble antivol lors du départ du bureau et protéger la session en la verrouillant manuellement à chaque absence de l’agent, même quelques minutes. 

Des mots de passe robustes, individuels et secrets doivent être utilisés. Si nécessaire, ils peuvent être stockés dans un carnet sous clé ou sur un gestionnaire numérique de mots de passe, mais les post-it, documents Word et autres supports insuffisamment sécurisés doivent être évités. 

Les documents numériques doivent être enregistrés sur le serveur ou sur un logiciel. Ils ne doivent pas être stockés sur le disque dur de l’ordinateur (Espace Mes Documents ou Bureau de l’ordinateur), car ces espaces ne bénéficient pas des mesures de sécurité et de sauvegarde mis en place par le service informatique. Ainsi, en cas de perte ou de disfonctionnement de l’ordinateur, les données seraient perdues. 

Des outils dédiés et sécurisés doivent être utilisés pour envoyer et recevoir des documents numériques. Sauf exception, les boîtes mails ne sont pas considérées comme étant suffisamment sécurisées pour échanger des documents sensibles ou contenant des données personnelles. Des solutions de transfert sécurisé pour les échanges externes et le réseau partagé pour les échanges internes doivent être privilégiés. 

D’ailleurs, les boîtes mails sont des outils de transfert qui ne bénéficient pas des mêmes mesures de protection ni de sauvegarde qu’un outil de stockage dédié (comme le réseau de votre structure). Les mails doivent donc être régulièrement triés et enregistrés sur le réseau ou effacés. 

Enfin, les supports amovibles externes, tels qu’une clé USB ou un disque dur, ne doivent pas être utilisés pour stocker ou transmettre des données, sauf accord express du service informatique. Ces outils peuvent être vecteur de virus et, en cas de perte, engendrer une violation de données. 

Les mesures propres à des lieux spécifiques

Pour certains lieux (archives, salle serveur, Centre de Supervision Urbain, salle de conservation des dossiers RH…), des mesures de sécurité particulières doivent en plus être appliquées. 

Il est recommandé d’éviter d’inscrire l’objet de la salle sur la porte et de limiter l’accès aux personnes autorisées, dont la liste doit être formalisée. En l’absence d’une personne habilitée à l’intérieur, elles doivent être fermées à clé.