Le Partage des données
Le partage d’information est au cœur des activités de l’Université. Chaque jour, des employés, des étudiants, des chercheurs et des partenaires échangent des documents, collaborent sur des projets et transmettent des renseignements à l’aide de différents outils numériques.
Bien que ces échanges soient essentiels au bon fonctionnement de l’institution, ils doivent être réalisés de manière sécuritaire. Une erreur de destinataire, un mauvais paramétrage de partage ou l’utilisation d’un service inapproprié peuvent entraîner l’exposition de renseignements sensibles et avoir des conséquences importantes pour les personnes concernées comme pour l’Université.
Adopter de bonnes pratiques de partage des données permet de réduire ces risques tout en favorisant une collaboration efficace.
Qu’entend-on par « données sensibles »?
Les données sensibles regroupent les informations qui pourraient causer un préjudice à une personne ou à l’Université si elles étaient consultées, modifiées ou divulguées sans autorisation.
Dans un contexte universitaire, cela peut notamment inclure les renseignements personnels des étudiants et des employés, les dossiers administratifs, les informations financières, les résultats de recherche non publiés, les données confidentielles de partenaires ainsi que les identifiants permettant d’accéder aux systèmes institutionnels.
Toutes les données ne présentent pas le même niveau de sensibilité, mais chacune doit être protégée en fonction de sa nature et des risques associés à sa divulgation.
Les risques liés à un partage inadéquat
Contrairement à ce que l’on pourrait croire, les incidents impliquant des données ne sont pas toujours causés par des cyberattaques sophistiquées. Une proportion importante des incidents provient plutôt d’erreurs humaines.
Un document envoyé au mauvais destinataire, un dossier partagé publiquement par inadvertance ou un lien accessible à tous peuvent suffire à exposer des renseignements qui auraient dû demeurer confidentiels.
Ces situations peuvent entraîner des conséquences importantes, notamment une atteinte à la vie privée des personnes concernées, une perte de confidentialité de travaux de recherche, une atteinte à la réputation de l’Université ou encore des obligations légales de déclaration lorsqu’il s’agit de renseignements personnels.
Prendre quelques instants pour vérifier les paramètres de partage avant de transmettre un document permet souvent d’éviter ce type d’incident.
Utiliser les outils institutionnels
Afin d’assurer une meilleure protection des données, il est recommandé d’utiliser les plateformes et les services mis à disposition par l’Université.
Ces outils sont configurés pour répondre aux exigences de sécurité de l’institution et permettent généralement un meilleur contrôle des accès, une authentification renforcée ainsi qu’une journalisation des activités.
À l’inverse, l’utilisation de services infonuagiques personnels ou de plateformes non approuvées peut compliquer la protection des données et réduire la capacité de l’Université à assurer leur sécurité.
Lorsque des renseignements sensibles doivent être partagés avec des partenaires externes, il est important de s’assurer que les mécanismes de partage utilisés sont appropriés et conformes aux exigences institutionnelles.
Partager uniquement ce qui est nécessaire
Une bonne pratique consiste à appliquer le principe du moindre privilège. Autrement dit, seules les personnes ayant un besoin légitime d’accéder à une information devraient pouvoir la consulter.
Avant de partager un document, il est utile de se poser quelques questions simples.
Cette personne a-t-elle réellement besoin d’accéder à ce document?
Est-il nécessaire de partager le document complet ou seulement une partie de son contenu?
Les permissions accordées sont-elles limitées aux bonnes personnes?
En limitant les accès au strict nécessaire, on réduit considérablement les risques d’exposition accidentelle.
Vérifier avant d’envoyer
La rapidité des communications électroniques favorise parfois les erreurs d’inattention.
Avant d’envoyer un courriel contenant des informations sensibles, il est recommandé de prendre quelques secondes pour vérifier les destinataires, les pièces jointes ainsi que les liens de partage.
Les fonctions d’autocomplétion des logiciels de messagerie peuvent parfois sélectionner une mauvaise personne portant un nom similaire. Ce type d’erreur est beaucoup plus fréquent qu’on pourrait le croire.
Quelques instants de vérification peuvent éviter un incident nécessitant des démarches importantes par la suite.
Les renseignements personnels et la Loi 25
Au Québec, la protection des renseignements personnels est notamment encadrée par la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, communément appelée Loi 25.
Cette loi renforce les obligations des organismes publics, dont les universités, en matière de collecte, d’utilisation, de conservation et de communication des renseignements personnels.
Elle prévoit notamment que les organisations doivent mettre en place des mesures de sécurité appropriées afin de protéger les renseignements personnels contre la perte, le vol ou tout accès, utilisation ou communication non autorisés.
La Loi 25 introduit également l’obligation de déclarer certains incidents de confidentialité lorsqu’ils présentent un risque de préjudice sérieux pour les personnes concernées.
Chaque membre de la communauté universitaire contribue donc, par ses pratiques quotidiennes, au respect de ces obligations.
Que faire en cas d’erreur?
Malgré toutes les précautions, une erreur peut toujours survenir.
Si vous réalisez qu’un document contenant des renseignements sensibles a été envoyé au mauvais destinataire, partagé de manière inappropriée ou rendu accessible à des personnes non autorisées, il est important d’agir rapidement.
Dans un premier temps, tentez de limiter l’exposition en retirant le partage ou en corrigeant les permissions lorsque cela est possible. Ensuite, signalez rapidement la situation selon les procédures institutionnelles afin que les équipes compétentes puissent évaluer les impacts et prendre les mesures appropriées.
Plus un incident est déclaré rapidement, plus il est généralement possible d’en limiter les conséquences.
Quelques réflexes à adopter
La protection des données ne repose pas uniquement sur les technologies, mais également sur les habitudes de chacun. Prendre le temps de vérifier les destinataires d’un courriel, utiliser les outils institutionnels, limiter les accès au strict nécessaire et protéger adéquatement les documents contenant des renseignements sensibles sont des gestes simples qui contribuent directement à la sécurité de l’information.
Lorsqu’un doute subsiste quant à la sensibilité d’une information ou à la meilleure façon de la partager, il est préférable de demander conseil avant de procéder. Une courte vérification permet souvent d’éviter des conséquences beaucoup plus importantes.
Une responsabilité partagée
La protection des renseignements personnels et des données sensibles constitue une responsabilité collective. Chaque document partagé, chaque permission accordée et chaque information transmise contribuent à préserver la confidentialité, l’intégrité et la disponibilité des informations confiées à l’Université.
En adoptant de bonnes pratiques de partage et en demeurant attentifs aux risques, nous contribuons tous à protéger les membres de la communauté universitaire, à respecter nos obligations légales et à maintenir un environnement numérique sécuritaire, propice à l’enseignement, à la recherche et à l’innovation.