La présente politique énonce les règles, obligations et bonnes pratiques que toute personne ayant accès aux systèmes, données, installations ou informations de l'organisation doit connaître et respecter, quelle que soit sa relation contractuelle (salariés, stagiaires, sous-traitants, prestataires de services ou collaborateurs externes). Elle doit être mise à la disposition de l'ensemble du personnel, qui peut y accéder à tout moment, et chacun doit veiller à son respect dans l'exercice de ses fonctions.
Le non-respect des directives énoncées dans le présent document peut entraîner des sanctions disciplinaires, civiles et/ou pénales, conformément à la réglementation en vigueur.
La direction est chargée d'approuver cette politique, de lui allouer les ressources nécessaires et de veiller à son respect. Elle désigne le responsable de la sécurité comme interlocuteur interne.
Il gère les incidents de sécurité, tient à jour le présent manuel, dispense des formations et répond aux questions du personnel.
Toute personne ayant accès aux informations et aux systèmes de l'organisation est tenue de respecter intégralement les dispositions figurant dans le présent manuel, ainsi que de se conformer aux politiques et procédures internes établies en matière de sécurité et de protection des données.
De même, tous les équipements, appareils, applications et systèmes de l'entreprise doivent être utilisés avec la plus grande diligence, responsabilité et confidentialité ; leur utilisation à des fins autres que celles strictement liées à l'activité professionnelle autorisée par l'organisation est interdite.
Afin de garantir la sécurité, l'intégrité, la disponibilité et la confidentialité des données à caractère personnel traitées par l'organisation, sont considérés comme des ressources protégées tous les actifs, éléments, systèmes et environnements intervenant, directement ou indirectement, dans le traitement de ces données.
Voici la liste des principales ressources protégées :
Les principes régissant le traitement des données à caractère personnel sont énoncés à l'article 5 du RGPD et aux articles 4 et suivants de la LOPDGDD. Ils constituent le pilier fondamental sur lequel doit reposer toute opération de traitement effectuée au sein de l'entreprise et, par conséquent, doivent être connus et appliqués par tous les salariés qui, dans l'exercice de leurs fonctions, traitent des données à caractère personnel de salariés, de clients, de fournisseurs ou de toute autre personne physique.
On trouvera ci-après un aperçu des six principes énoncés à l'article 5 du RGPD, ainsi que du principe de responsabilité proactive (accountability), qui sont développés en détail dans les paragraphes suivants :
BASE JURIDIQUE | PRINCIPE | DESCRIPTION SOMMAIRE |
Art. 5.1.a) du RGPD | Légalité, loyauté et transparence | Le traitement doit reposer sur une base juridique valable et la personne concernée doit en être informée. |
Art. 5.1.b) du RGPD | Limitation de la finalité | Les données ne seront utilisées qu'aux fins indiquées lors de leur collecte. |
Art. 5.1.c) du RGPD | Minimisation | Seules les données strictement nécessaires seront collectées. |
Art. 5.1.d) du RGPD | Exactitude | Les données seront mises à jour et corrigées sans délai. |
Art. 5.1.e) du RGPD | Limitation de la durée de conservation | Les données ne seront pas conservées plus longtemps que nécessaire. |
Art. 5.1.f) du RGPD | Intégrité et confidentialité | Des mesures techniques et organisationnelles seront mises en œuvre pour protéger les données. |
Art. 5.2 du RGPD | Responsabilité proactive | Le responsable doit être en mesure de démontrer le respect de ces principes. |
Prévu à l'article 5, paragraphe 1, point a), du RGPD, ce principe exige que tout traitement de données à caractère personnel remplisse simultanément trois conditions :
Pour qu'un traitement soit licite, il doit reposer sur au moins l'un des fondements suivants :
Rubrique | Base juridique | Contenu |
Art. 6.1.a) | Consentement | La personne concernée a donné son consentement pour une ou plusieurs finalités spécifiques. |
Art. 6.1.b) | Exécution du contrat | Le traitement est nécessaire à l'exécution d'un contrat ou à la mise en œuvre de mesures précontractuelles. |
Art. 6.1.c) | Obligation légale | Le traitement est nécessaire au respect d'une obligation légale incombant au responsable du traitement. |
Art. 6.1.d) | Intérêts vitaux | Le traitement est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne. |
Art. 6.1.e) | Intérêt public | Le traitement est nécessaire à l'accomplissement d'une mission d'intérêt public ou à l'exercice de l'autorité publique. |
Art. 6.1.f) | Intérêt légitime | Le traitement est nécessaire pour répondre aux intérêts légitimes du responsable du traitement ou d'un tiers, sauf si les droits fondamentaux de la personne concernée prévalent. |
| La base juridique doit être déterminée avant le début du traitement et consignée dans le registre des activités de traitement (art. 30 du RGPD). Le choix rétroactif d'une base juridique n'est pas admissible. |
Lorsque la LOPDGDD s'applique, les informations peuvent être fournies en deux étapes afin d'en faciliter la compréhension par la personne concernée. Dans les autres cas, il convient de se conformer directement aux dispositions des articles 13 ou 14 du RGPD, selon que les données ont été fournies par la personne concernée elle-même ou par un tiers.
Premier niveau (art. 11 de la LOPDGDD) | • Identité du responsable du traitement et de son représentant (le cas échéant). • Finalité du traitement. • Possibilité d'exercer les droits reconnus aux articles 15 et suivants du RGPD. • Existence d'un profilage, le cas échéant. • [Si les données ne proviennent pas de la personne concernée] Catégories de données et sources d'origine. |
Deuxième niveau (articles 13 et 14 du RGPD) | • Identité complète et coordonnées du responsable et de son représentant. • Coordonnées du délégué à la protection des données (DPO), le cas échéant. • Finalités du traitement et base juridique. • Intérêts légitimes du responsable du traitement ou de tiers (si la base juridique est l'article 6, paragraphe 1, point f). • Destinataires ou catégories de destinataires. • Transferts internationaux de données, le cas échéant. • Délais de conservation. • Droits de la personne concernée (articles 15 à 22 du RGPD) et droit de retirer son consentement. • Droit de déposer une réclamation auprès de l'AEPD. • Existence de transferts à des tiers et de décisions automatisées ou de profilage. • [Si les données proviennent de tiers] Catégories de données et source d'origine. |
Délais de notification (art. 14 du RGPD) : lorsque les données ne proviennent pas directement de la personne concernée, les informations doivent être fournies dans un délai maximal d'un mois à compter de leur obtention. Si les données sont utilisées pour contacter la personne concernée, les informations doivent lui être fournies au moment même de cette prise de contact. Si les données doivent être communiquées à un tiers, les informations doivent être fournies avant ladite communication.
| Les informations doivent être présentées de manière concise, transparente, intelligible et facilement accessible, dans un langage clair et simple. Elles peuvent être fournies par voie électronique lorsque la complexité technique du traitement le justifie (considérant 58 du RGPD). |
Prévu à l'article 5, paragraphe 1, point b), du RGPD, ce principe interdit que les données à caractère personnel soient traitées à des fins différentes ou incompatibles avec celles pour lesquelles elles ont été initialement collectées.
Dans la pratique, ce principe impose les obligations suivantes :
| Afin d'évaluer si une nouvelle finalité est compatible avec la finalité initiale, l'article 6, paragraphe 4, du RGPD prévoit qu'il convient de prendre en compte, entre autres facteurs : le lien entre les finalités, le contexte dans lequel les données ont été collectées, leur nature et les conséquences éventuelles pour la personne concernée. |
L'article 5, paragraphe 1, point c), du RGPD exige que les données traitées soient adéquates, pertinentes et limitées à ce qui est strictement nécessaire au regard des finalités du traitement.
Ce principe impose :
| Avant de concevoir un formulaire ou un processus de collecte de données, il convient de s'interroger sur la nécessité de ces données : sont-elles indispensables pour atteindre l'objectif visé ? Si la réponse n'est pas un « oui » catégorique, ces données ne doivent pas être collectées. |
Prévu à l'article 5, paragraphe 1, point d), du RGPD, ce principe oblige le responsable du traitement — et, le cas échéant, le sous-traitant — à prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel soient exactes et à jour.
Les principales obligations découlant de ce principe sont les suivantes :
Ce principe se concrétise à travers deux droits reconnus par le RGPD :
Droit de rectification Art. 16 du RGPD | Droit de demander la rectification ou le complément des données à caractère personnel lorsqu'elles sont erronées ou incomplètes au regard des finalités du traitement. |
Droit à l'effacement Art. 17 du RGPD | Droit d'obtenir l'effacement des données sans retard injustifié lorsque l'une des conditions suivantes est remplie : • Retrait du consentement donné pour le traitement. • Exercice du droit d'opposition en l'absence de motifs légitimes prépondérants. • Traitement illicite des données. • Obligation légale de suppression. • Données collectées dans le cadre des services de la société de l'information. |
L'article 5, paragraphe 1, point e), du RGPD stipule que les données à caractère personnel ne doivent pas être conservées plus longtemps que nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées.
Ce principe impose les obligations suivantes :
| L'article 5, paragraphe 1, point e), du RGPD prévoit lui-même que les données collectées à des fins d'archivage dans l'intérêt public, de recherche scientifique ou historique, ou à des fins statistiques peuvent être conservées pendant des durées plus longues, à condition que des garanties techniques et organisationnelles appropriées soient mises en œuvre (article 89 du RGPD). |
| L'organisme doit tenir à jour un tableau de conservation des documents indiquant, pour chaque activité de traitement, la durée de conservation applicable, la réglementation sur laquelle elle se fonde et la procédure de destruction sécurisée à appliquer à l'expiration de cette durée. |
Prévu à l'article 5, paragraphe 1, point f), du RGPD, ce principe exige que les données à caractère personnel soient traitées de manière à garantir leur sécurité grâce à la mise en œuvre de mesures techniques et organisationnelles appropriées.
L'article 32, paragraphe 1, du RGPD précise les obligations en matière de sécurité du traitement :
Contrairement à la réglementation antérieure, le RGPD adopte une approche fondée sur les risques et sur la protection de la vie privée dès la conception et par défaut (articles 25 et 32 du RGPD) : il n’établit pas une liste exhaustive de mesures, mais oblige le responsable du traitement à évaluer les risques liés au traitement et à mettre en œuvre des mesures proportionnées au niveau de risque identifié, en tenant compte de l’état de la technique, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement.
| Les mesures de sécurité doivent être mises en place avant le début du traitement, et non a posteriori. Leur efficacité doit être réexaminée et mise à jour régulièrement. Le non-respect des obligations en matière de sécurité peut donner lieu à la notification d'une violation de données à l'AEPD (art. 33 du RGPD) et aux personnes concernées elles-mêmes (art. 34 du RGPD). |
L'article 5, paragraphe 2, du RGPD ajoute un septième principe transversal : le responsable du traitement doit non seulement respecter les principes susmentionnés, mais aussi être en mesure de le démontrer à tout moment.
Les principaux outils de responsabilisation sont les suivants :
| Le principe de responsabilité fait de la conformité un processus continu et documenté. Il ne suffit pas de se conformer ponctuellement ; l'organisme doit être en mesure de prouver à tout moment — auprès de l'AEPD ou de toute personne concernée — que ses traitements sont conformes à la réglementation. |
L'organisation traite différents types et catégories de données à caractère personnel en fonction de l'activité qu'elle exerce.
Aux fins de la présente politique, on entend par « donnée à caractère personnel » toute information relative à une personne physique identifiée ou identifiable. Est considérée comme identifiable toute personne dont l'identité peut être déterminée, directement ou indirectement, au moyen d'un identifiant, d'une donnée ou d'un ensemble de données, tels que le nom et le prénom, la pièce d'identité, l'adresse postale ou électronique, le numéro de téléphone, l'adresse IP, les données de localisation, les identifiants en ligne, les images, les enregistrements vocaux, la signature, les caractéristiques physiques, économiques, culturelles ou sociales, ainsi que toute autre information permettant son identification.
Les données à caractère personnel traitées par l'organisation peuvent notamment inclure les catégories suivantes :
Le traitement de chaque catégorie et type de données à caractère personnel impliquera la mise en œuvre de mesures techniques et organisationnelles spécifiques, en fonction de la nature des informations, du niveau de risque associé et des obligations légales applicables dans chaque cas.
En conséquence, tous les utilisateurs, employés, collaborateurs ou tiers autorisés intervenant dans l'une quelconque des activités de traitement doivent respecter les obligations et les mesures de sécurité prévues par la présente politique et par la réglementation en vigueur en matière de protection des données, tout au long du cycle de vie des données à caractère personnel, depuis leur collecte ou leur consultation jusqu'à leur conservation, leur verrouillage et leur suppression définitive.
De même, les données à caractère personnel ne pourront être traitées qu’aux fins expressément autorisées, en garantissant à tout moment le respect des principes de licéité, de loyauté, de transparence, de minimisation des données, d’exactitude, de limitation de la finalité, d’intégrité, de confidentialité et de responsabilité proactive.
Dans le cas où des transferts internationaux de données s'avéreraient nécessaires, le niveau de protection du pays de destination sera vérifié et les garanties exigées par la réglementation seront mises en place. Dans un premier temps, il sera vérifié s'il existe une décision d'adéquation approuvée par la Commission. À défaut, il sera fait recours à l’un des mécanismes prévus à l’article 46 du RGPD, la signature de clauses contractuelles types étant préférable. Ce n’est que dans des cas exceptionnels qu’il sera fait valoir l’une des exceptions prévues à l’article 49 du RGPD. En tout état de cause, rien de tout cela ne s’appliquera lorsque le transfert est nécessaire dans le cadre d’une coopération internationale avec des organismes de pays tiers et que tout traité ou convention internationale, ainsi que la directive (UE) 2016/680 et les articles 43 à 47 de la loi organique n° 7/2021 du 26 mai, relative à la protection des données à caractère personnel traitées à des fins de prévention, de détection, d’enquête et de poursuite d’infractions pénales et d’exécution de sanctions pénales.
Conformément aux dispositions de l'article 30 du RGPD, un registre des activités menées sous la responsabilité de l'organisation doit être tenu et mis à jour en fonction des changements qui surviennent. Ce registre doit contenir toutes les informations indiquées ci-dessous :
De même, lorsqu’une personne agit en tant que sous-traitant, elle tiendra également un registre de toutes les catégories d’activités de traitement effectuées pour le compte d’un responsable du traitement, qui contiendra :
Ces registres seront consignés par écrit, y compris sous forme électronique.
La réglementation relative à la protection des données permet aux personnes concernées d'exercer auprès du responsable du traitement leurs droits d'accès, de rectification, d'opposition, de suppression (« droit à l'oubli »), de limitation du traitement, de portabilité et de ne pas faire l'objet de décisions individualisées.
À cette fin, l'organisme a mis en place les canaux indiqués ci-dessous afin que les personnes concernées puissent lui adresser leurs demandes d'exercice de leurs droits par e-mail, par courrier postal ou par tout autre canal interne mis en place et communiqué au personnel.
De même, dans le but de réglementer et de définir en détail le protocole d'intervention en cas d'exercice des droits, l'organisme a élaboré ce protocole d'intervention.
Ce protocole d'intervention décrit la procédure mise en place pour garantir le respect des droits des personnes concernées et s'applique tant aux employés habilités à traiter les demandes de droits formulées par les personnes concernées et le personnel placé sous leur responsabilité, qu'aux autres tiers ayant accès aux données et aux responsables du traitement au sein de l'organisation, y compris le personnel placé sous leur responsabilité, tous étant soumis aux dispositions dudit protocole et tenus d’agir à tout moment conformément aux instructions qui y sont définies.
Le contrôle d'accès par mot de passe constitue l'une des principales mesures de sécurité visant à protéger les systèmes et les informations de l'organisation. L'utilisation de mots de passe robustes et sûrs est essentielle, car un mot de passe faible ou compromis peut mettre en danger la confidentialité, l'intégrité et la disponibilité des données traitées.
L'accès aux données à caractère personnel et aux informations confidentielles de l'organisation sera limité en fonction des responsabilités et des fonctions attribuées à chaque salarié. À cette fin, des autorisations et des profils d'accès seront définis pour chaque poste ou rôle, afin de garantir que chaque utilisateur ne puisse accéder qu'aux informations strictement nécessaires à l'exercice de ses fonctions.
Chaque utilisateur disposera d'identifiants d'accès uniques, personnels et incessibles. Il est formellement interdit de partager ses mots de passe ou d'autoriser des tiers à utiliser ses identifiants.
Les mots de passe doivent respecter les critères de sécurité fixés par l'organisation et rester strictement confidentiels.
Tout mot de passe doit respecter TOUS les critères suivants : • Au moins 10 caractères. • Combiner des majuscules, des minuscules, des chiffres et des symboles (!@#$%) • Durée maximale de 3 mois. • Unique par service : ne jamais réutiliser sur différentes plateformes. • Ne pas réutiliser les 5 derniers mots de passe. |
✓ FAIRE | ✗ À NE PAS FAIRE |
Utiliser un mot de passe différent pour chaque système ou application | Noter ses mots de passe sur des post-it, des bouts de papier ou dans des fichiers non chiffrés |
Changer le mot de passe tous les 3 mois ou immédiatement en cas de suspicion de compromission | Ne partagez pas vos mots de passe avec vos collègues, ni même avec l'équipe informatique |
Utiliser un gestionnaire de mots de passe chiffré avec une authentification à deux facteurs (2FA) | Utilisation des données personnelles : nom, date de naissance, numéro d'identité, nom de l'animal de compagnie |
Activer l'authentification à deux facteurs (2FA) sur tous les services qui le permettent | Utiliser des combinaisons de touches : qwerty, 123456, asdf, etc. |
Prévenez immédiatement le responsable de la sécurité si vous soupçonnez que votre mot de passe a été compromis. | Activer l'option « Mémoriser le mot de passe » dans les navigateurs des ordinateurs partagés |
Le poste de travail physique doit être maintenu en ordre afin d'éviter tout accès non autorisé aux documents ou aux appareils.
✓ FAIRE | ✗ À NE PAS FAIRE |
Retirer immédiatement les documents imprimés de l'imprimante | Laisser des documents confidentiels en vue sur la table lorsqu'on s'absente |
Conserver sous clé les documents papier sensibles à la fin de la journée de travail | Placer des boissons sans couvercle hermétique à proximité d'équipements ou de documents |
Conserver les appareils mobiles de l'entreprise (ordinateurs portables, téléphones mobiles, tablettes) dans un endroit sûr | Laisser des clés USB ou des disques durs externes branchés et sans surveillance |
Détruire les documents obsolètes à l'aide d'une déchiqueteuse | Jeter des documents contenant des données à la poubelle ordinaire sans les détruire |
L'écran de l'appareil peut exposer des informations sensibles à des personnes non autorisées. Il est obligatoire d'appliquer les mesures suivantes :
Tous les appareils électroniques, équipements informatiques et autres ressources de l'entreprise mis à la disposition du salarié doivent être utilisés conformément aux mesures de sécurité minimales établies par l'organisation, parmi lesquelles figurent, sans que cette liste soit exhaustive, les suivantes :
✓ FAIRE | ✗ À NE PAS FAIRE |
Si l'employé souhaite utiliser l'appareil à des fins personnelles, il doit obtenir l'autorisation préalable et écrite de l'entreprise. | Utiliser ces appareils à des fins autres que professionnelles. |
Les appareils doivent disposer des derniers correctifs et mises à jour du système d'exploitation, conformément aux mises à jour périodiques prévues par le développeur du système. | Ne pas utiliser d'autres appareils que ceux fournis par l'organisation dans le cadre de vos fonctions professionnelles. |
Les paramètres de sécurité doivent être définis par défaut par le responsable informatique de l'entreprise. | Tout appareil contenant des informations critiques, confidentielles ou relevant de catégories particulières de données au sens du RGPD doit être doté de mesures de protection adéquates garantissant la sécurité des informations et empêchant tout accès non autorisé. |
En cas de perte, de vol, de délit de vol ou d'accès non autorisé à l'appareil, le personnel doit signaler immédiatement l'incident au responsable de la sécurité. | Ne pas connecter les appareils professionnels à Internet via des réseaux Wi-Fi publics sans passer par l'accès VPN de l'entreprise. |
Signaler tout incident de sécurité survenu. | Ne stockez aucune donnée ni information confidentielle de l'organisation sur des supports amovibles. |
Utiliser exclusivement les outils, applications et systèmes d'entreprise autorisés et mis à disposition par l'organisation pour l'exercice de ses fonctions. | Ne pas installer, utiliser ni stocker localement des logiciels, applications ou outils non autorisés par l'organisation, ni recourir à des solutions non autorisées pour le traitement des informations de l'entreprise ou des données à caractère personnel. |
La messagerie d'entreprise est un outil de travail. Son utilisation inappropriée constitue l'une des principales voies d'entrée des menaces (hameçonnage, logiciels malveillants) et de fuite d'informations.
✓ FAIRE | ✗ À NE PAS FAIRE |
Vérifiez toujours l'expéditeur avant d'ouvrir des pièces jointes ou des liens | Utiliser la messagerie professionnelle à des fins personnelles ou privées |
Chiffrer les e-mails contenant des données à caractère personnel ou des informations confidentielles | Envoyer des bases de données, des données à caractère personnel ou des informations confidentielles sans les crypter |
Utiliser la fonction « CCO » (copie cachée) lors de l'envoi d'e-mails à plusieurs destinataires | Ouvrir des pièces jointes ou cliquer sur des liens provenant d'expéditeurs inconnus |
Signaler les e-mails suspects au responsable de la sécurité | Transmettre des chaînes de courriels ou des courriels à caractère commercial non autorisés |
Se déconnecter de sa messagerie lorsqu'on utilise des ordinateurs partagés ou publics | Configurer la messagerie d'entreprise sur des appareils non autorisés |
ALERTE : Hameçonnage Si vous recevez un e-mail vous demandant vos identifiants, vos coordonnées bancaires ou vous invitant à agir de toute urgence, NE CLIQUEZ PAS et NE RÉPONDEZ PAS. Signalez-le immédiatement au responsable de la sécurité. |
✓ FAIRE | ✗ À NE PAS FAIRE |
Ne consulter que les sites nécessaires à l'exercice de ses fonctions professionnelles | Se connecter à des réseaux Wi-Fi publics sans utiliser le VPN de l'entreprise |
Utiliser le VPN d'entreprise lors de la connexion depuis des réseaux externes ou publics | Télécharger des logiciels, de la musique, des films ou tout autre contenu sans autorisation |
Signaler tout comportement anormal du réseau ou du matériel | Analyser les ports, tester les vulnérabilités ou mener des attaques internes/externes |
Débranchez immédiatement les périphériques USB non autorisés | Accéder au réseau réservé aux invités avec des appareils professionnels |
Installer des extensions de navigateur non autorisées | |
Se livrer à toute activité susceptible de compromettre la disponibilité ou l'intégrité du réseau |
L'installation de logiciels non autorisés peut entraîner l'introduction de logiciels malveillants, de failles de sécurité ou de problèmes de licence, avec de graves conséquences juridiques et techniques.
✓ FAIRE | ✗ À NE PAS FAIRE |
Demander par écrit une autorisation préalable avant d'installer tout logiciel. | Installer des logiciels, des applications ou des extensions sans autorisation écrite |
Vérifiez que le logiciel dispose d'une licence valide avant de l'installer. | Utiliser des versions piratées ou sans licence de n'importe quel logiciel |
Veillez à toujours maintenir à jour le système d'exploitation et les applications. | Désactiver l'antivirus ou les mises à jour automatiques du système |
Vérifier la compatibilité du logiciel avec le système d'entreprise. | Effectuer des tests ou des développements avec des données à caractère personnel réelles sans autorisation |
L'utilisation de systèmes d'IA générative (chatbots, assistants, générateurs de contenu, etc.) nécessite une prudence particulière afin de protéger la confidentialité des informations d'entreprise et des données personnelles.
✓ FAIRE | ✗ À NE PAS FAIRE |
Demander l'autorisation préalable de la direction ou du service compétent pour utiliser des outils d'IA | Saisir les données personnelles de clients, d'employés ou de tiers dans des systèmes d'IA |
Utiliser l'IA exclusivement pour des tâches professionnelles autorisées | Partager des informations confidentielles, des secrets d'entreprise ou de la propriété intellectuelle à l'aide d'outils d'IA externes |
Aborder les résultats générés par l'IA avec un esprit critique et les vérifier | Publier ou diffuser du contenu généré par l'IA sans révision ni autorisation préalable |
Utiliser des outils d'IA non autorisés pour prendre des décisions ayant des répercussions sur des personnes |
N'oublie pas : Les données que vous saisissez dans un outil d'IA externe peuvent être traitées et stockées par des tiers. Ne saisissez jamais d'informations que vous ne publieriez pas sur un canal public. |
Les périphériques amovibles (clés USB, disques durs externes, cartes SD) constituent une source courante de fuite d'informations et d'introduction de logiciels malveillants.
✓ FAIRE | ✗ À NE PAS FAIRE |
Demander l'autorisation de sortir tout support contenant des données hors des locaux | Retirer des supports contenant des données à caractère personnel ou confidentielles sans autorisation |
Toujours chiffrer le contenu des supports amovibles contenant des données sensibles | Connexion de périphériques USB d'origine inconnue aux équipements de l'entreprise |
Enregistrer l'attribution et la restitution des supports amovibles | Jeter ou mettre au rebut des disques durs, des clés USB ou d'autres supports sans les détruire de manière sécurisée |
Remettre au responsable de la sécurité les supports devant être éliminés |
Le simple fait d'appuyer sur la touche « Suppr » ou de glisser-déposer un fichier dans la corbeille ne supprime PAS les données de manière sécurisée. Cela supprime uniquement la référence au fichier, mais son contenu reste sur le disque.
Un incident de sécurité désigne tout événement qui compromet ou est susceptible de compromettre la confidentialité, l'intégrité ou la disponibilité des informations.
Exemples d'incidents qui DOIVENT être signalés au responsable de la sécurité : • Perte ou vol d'appareils ou de documents contenant des informations • Accès non autorisé aux systèmes ou aux données • Réception d'un e-mail de hameçonnage ou clic sur un lien malveillant • Virus ou logiciel malveillant détecté sur l'ordinateur • Envoi accidentel de données à caractère personnel à un destinataire erroné. Mot de passe exposé ou compromis |
Les sauvegardes garantissent que l'organisation puisse récupérer ses données en cas d'incident. Il incombe à chacun de veiller à leur bon fonctionnement.
Version | Date | Description |
V.1.0 | 2026 | Version initiale |
Remarque
Forme
Compatibilité
Application pratique
Exception