Comment garantir la sécurité des données tout en travaillant avec une équipe à distance ?

Cat :

La sécurité des données est l’une des plus profondes préoccupations des propriétaires d’entreprises qui cherchent à recruter des développeurs à distance. Pourtant, beaucoup perçoivent les mesures de sécurité comme une bureaucratie, voire une obsession, car ils ne voient pas l’intérêt de se prémunir de manière trop scrupuleuse contre quelque chose qui n’est jamais arrivé auparavant. Cependant, ne considérez pas cela comme acquis, vous ne savez jamais quand vos données sensibles peuvent se heurter à une véritable menace.

J’aimerais partager mon expérience et vous aider à assurer la protection de vos données (tout savoir sur la protection intellectuelle via le brevet inpi ). Elle sera particulièrement utile aux entreprises qui travaillent avec des équipes réparties sur des sites polyvalents. 

Il existe deux directions principales de la sécurité des données, mesures préventives, qui minimisent la possibilité de dommages aux données et mesures réactives, qui déterminent ce qui doit être fait en cas d’incident réel de sécurité de l’information. 

Mesures préventives

La sécurité de l’information commence par la sécurité physique du bureau et du réseau. 

Le bureau qui abrite les équipes de développement travaillant avec les données des clients doit supporter un niveau acceptable de sécurité physique – caméras de surveillance, systèmes de contrôle d’accès, etc, ainsi que la partie technique – un réseau sécurisé dans le bureau. 

Alors, lorsque vous commencez à collaborer avec un nouveau fournisseur, n’oubliez pas de lui poser au préalable quelques questions directives sur la sécurité du réseau :   

• Comment le réseau est-il construit ? 
• Quels sont les réseaux WiFi présents ? 
• Est-il possible de créer un VLAN (un réseau local) pour une équipe, afin que les autres équipes n’y aient pas d’accès direct?
• Avez-vous un accès invité et comment l’activer? 
• Stockez-vous des données ? 
• Stockez-vous toutes les données dans votre salle de serveurs ou dans un cloud ?  

Toutes ces questions vous permettront de vous rendre compte du sérieux avec lequel l’entreprise perçoit la sécurité. Ne paniquez pas si vous êtes un novice en matière de sécurité réseau, l’entreprise doit être prête à répondre à toutes vos questions. Si elle dit ne pas pouvoir fournir de réponses en raison de restrictions de confidentialité ou pour d’autres raisons, c’est un signe direct pour reconsidérer votre collaboration.   

La partie administrative, les processus, les procédures et les politiques assurant la sécurité des informations. 

L’entreprise doit disposer d’un système de sécurité bien organisé qui commence par le permis d’accès au bureau et se termine par les règles de conduite concernant les courriels, les postes de travail, l’installation de logiciels et les mises à niveau.  

1. Plan de gestion des incidents (PGI) bien défini  

Un plan de gestion des incidents détermine la séquence des opérations en cas de toute situation extraordinaire. Par exemple, quelqu’un a volé les données, il y a eu une violation de l’information, une fuite de données ou l’un des appareils du bureau a contracté un virus informatique, etc. De même, chaque entreprise devrait disposer d’un plan de continuité des activités en cas d’autres situations d’urgence, comme une inondation, un accident d’incendie, une coupure de courant ou d’Internet, ou tout autre incident susceptible de nuire au fonctionnement habituel de l’entreprise. 

A part cela, exposer et discuter de toutes les procédures ne représente que 30% du travail, tandis que la partie principale consiste à former tous les employés de l’entreprise sur la façon de respecter les règles de procédure. 

Cette formation peut varier en fonction des postes des employés. La plupart du personnel administratif n’est pas obligé de savoir comment les développeurs doivent traiter les données du client dans le processus de production. Ainsi, la pertinence de la formation à la sécurité est également un élément important de la gestion efficace des incidents. L’orientation des nouveaux employés est un autre élément crucial de la sécurité d’une entreprise. Dès qu’une nouvelle personne rejoint l’entreprise, elle doit recevoir des instructions sur toutes les règles clés dès le premier jour.

2. Adhésion au principe de minimisation des données

Je recommande de ne pas envoyer à l’équipe plus d’informations que ce dont elle a besoin au stade actuel de son travail. Par exemple, si l’équipe travaille sur le développement d’un produit, il n’est pas nécessaire de lui donner accès au référentiel d’un autre produit qui est le prochain dans la file d’attente.

Toutefois, s’il n’est pas possible d’éviter le partage des données, je recommande de signer un accord de traitement des données entre les parties qui ont accès à ces données clients et développeurs. 

3. La politique réglée des changements de mots de passe

L’entreprise devrait avoir une procédure définie de changement de mots de passe – d’abord, par leur complexité, et ensuite, par la fréquence de leur changement. 

4. La minimisation des informations d’impression 

Les imprimantes sont les principales sources de fuites de données confidentielles dans les bureaux. Ainsi, l’utilisation de cet appareil de bureau doit être surveillée de près. Ne donnez pas l’accès à une imprimante aux employés qui n’ont en fait pas besoin de l’utiliser personnellement et minimisez autant que possible l’impression de documents/matériels. Outre la sécurité des informations, c’est aussi une bonne contribution à la protection de l’environnement. 

5. Définir la politique de Bring Your Own Device (BYOD)

Ce n’est pas un secret que tout le monde a maintenant ses gadgets personnels en commençant par les smartphones, qui sont devenus plus puissants qu’un ordinateur, jusqu’aux tablettes, ordinateurs portables, etc. Dans cette perspective, il est important de prendre une décision – autoriser l’utilisation d’appareils personnels à des fins professionnelles ou limiter les employés aux équipements de bureau. 

Si vous penchez pour l’autorisation des appareils personnels, réfléchissez à une politique qui réglementera leur utilisation en toute sécurité, sans conséquences néfastes pour les données de l’entreprise.

Il existe des logiciels spécifiques qui limitent l’accès aux données sur les appareils personnels exclusivement. De plus, dans le cas où les développeurs travaillent avec des données sensibles (comme des informations personnelles), votre politique peut inclure une réglementation des ports USB sur les appareils personnels – ils peuvent être désactivés à l’aide de programmes spécifiques, garantissant que les développeurs ne pourront pas utiliser de cartes mémoire tout en travaillant avec des données privées.