Beaucoup de violations de données personnelles ne sont pas dues à des pirates géniaux, mais à de petites négligences de tous les jours : un mot de passe faible, un e-mail envoyé à la mauvaise personne ou un clic sur un faux lien. Le personnel est un élément essentiel de la sécurité.
Le devoir de confidentialité
L'article 5 de la LOPDGDD dit que le responsable, le sous-traitant et toutes les personnes qui interviennent à n'importe quelle phase du traitement sont soumis au devoir de confidentialité. Ce devoir subsiste même après la fin de la relation avec l'entreprise. C'est-à-dire que vous resterez tenu au secret quand vous changerez d'emploi.
L'article 32 du RGPD oblige l'entreprise à appliquer des mesures techniques et organisationnelles adaptées au risque. Certaines dépendent de la direction, comme le chiffrement et les sauvegardes. D'autres dépendent de vous.
Bonnes pratiques de tous les jours
- Mots de passe. Utilisez des mots de passe longs et différents pour chaque service. Ne les partagez pas, ne les notez pas sur un papier collé au moniteur et activez la vérification en deux étapes si elle est disponible.
- Écran verrouillé. Verrouillez l'ordinateur chaque fois que vous vous levez.
- Bureau propre. Ne laissez pas de papiers contenant des données en vue. Rangez les documents dans des armoires fermées et détruisez ceux dont vous n'avez plus besoin dans la déchiqueteuse ou dans les conteneurs indiqués.
- Imprimantes. Récupérez tout de suite ce que vous imprimez.
- E-mail. Vérifiez le destinataire avant d'envoyer. Utilisez la copie cachée (Cci) si vous écrivez à plusieurs personnes qui ne se connaissent pas. Quand vous joignez des données sensibles, utilisez les voies sûres indiquées par l'entreprise.
- Appareils. N'utilisez que des équipements et logiciels autorisés. Ne copiez pas de données sur des clés USB ni sur des comptes personnels de stockage en ligne, sauf si l'entreprise le permet.
- Conversations. Ne parlez pas des données de clients ou de collègues dans des lieux publics, dans les transports ou dans l'ascenseur.
- Télétravail. Travaillez depuis un réseau de confiance, pas depuis un wifi public non protégé, et évitez que des proches ou des visiteurs voient l'écran.
Ce qu'est l'hameçonnage
L'hameçonnage (phishing) est une tromperie, en général par e-mail, message texte ou appel, où quelqu'un se fait passer pour une banque, un fournisseur, un collègue ou la direction afin que vous livriez des données ou fassiez quelque chose. Quelques signes :
- il y a urgence ou menace (« votre compte sera fermé aujourd'hui »)
- l'expéditeur ou le lien semble presque correct, mais comporte des lettres changées
- on vous demande un mot de passe, un paiement ou un changement de compte bancaire
- il y a une pièce jointe ou un lien que vous n'attendiez pas
Si vous avez un doute, ne cliquez pas, n'ouvrez pas la pièce jointe et ne répondez pas. Vérifiez par un autre canal, par exemple en appelant la personne à un numéro que vous connaissez déjà, et prévenez le responsable informatique ou sécurité de votre entreprise. Alerte rapide : si vous avez déjà cliqué ou saisi votre mot de passe, dites-le immédiatement. Le cacher aggrave les dégâts.
Qui appelle pour demander des données
Il existe aussi des appels où quelqu'un se fait passer pour un client, un agent ou un dirigeant. Avant de donner des données, vérifiez son identité et son droit de les recevoir. Mieux vaut perdre quelques minutes que remettre des données à qui ne doit pas les avoir.
Retenez : la sécurité des données est une habitude quotidienne. Une petite négligence peut avoir de grandes conséquences, et prévenir tôt aide toujours.