Espace documentaire collaboratif sécurisé

Un lien de dossier partagé, une fois transféré, continue de marcher pour quiconque le détient. Il n’y a pas de trace de qui l’a fini par avoir, et aucun moyen de retirer l’accès à une personne sans le casser pour tout le monde.

Les pièces jointes sont pires d’une autre façon : une copie vit dans chaque boîte qu’elle a traversée, plus chaque sauvegarde et chaque dossier d’éléments envoyés le long de la chaîne. Supprimer l’original ne change rien à ces copies.

Aucun de ces échecs ne ressemble à un incident. L’accès s’accumule en silence, jusqu’à ce qu’un salarié parti, un sous-traitant ancien ou un vieux lien transféré soit encore une porte ouverte sur les documents d’un client, dont plus personne ne se souvient.

Les droits au niveau du répertoire demandent « qui peut ouvrir ce lecteur », ce qui est la mauvaise question. La bonne est « qui doit voir le dossier de ce client précis » — et cela change selon le dossier et selon la personne, pas selon le répertoire.

L’accès par rôle répond à cela : un relecteur ne voit que les dossiers qui lui sont assignés, un client ne voit que sa propre demande, et un responsable voit l’équipe sans que chaque relecteur voie tout le périmètre du responsable.

Revoyez les accès selon un rythme, pas seulement quand quelqu’un part. Un accès qui avait du sens à l’ouverture d’un dossier est rarement revu à la clôture, et c’est exactement ainsi que les accès périmés s’accumulent.

Un mot de passe partagé est soit mémorable, donc devinable, soit immémorable, donc noté quelque part d’insécure. Dans les deux cas, il n’expire pas tout seul et n’identifie pas qui l’a utilisé.

Un lien magique lié à l’e-mail d’une personne et à une fenêtre de validité limitée règle les deux : il identifie le destinataire, et il cesse de marcher tout seul au lieu d’exiger que quelqu’un pense à le désactiver.

Cela compte surtout pour les contributeurs externes — clients, sous-traitants, relecteurs ponctuels — qui ont besoin d’un accès le temps d’un dossier, et pas au-delà. Un compte durable pour un contributeur unique est une dette d’accès dès le premier jour.

Le chiffrement en transit et au repos est un minimum, pas un différenciateur. Posez la question, mais ne vous arrêtez pas là. La question plus utile est où les données se trouvent physiquement, et sous les règles de quelle juridiction.

Demandez la liste complète des sous-traitants, pas seulement l’affirmation du fournisseur principal. L’envoi d’e-mails, les sauvegardes et les outils de journalisation sont souvent des services distincts, et un espace peut être hébergé en UE sur le papier alors que l’un de ces sous-traitants ne l’est pas.

Demandez ce qu’il advient d’un document après suppression — s’il sort des sauvegardes selon un calendrier, ou s’il y reste indéfiniment. « Supprimé » doit avoir un sens défini, pas être une action d’interface qui ne fait que cacher le fichier.

Journalisez les événements d’accès — qui a consulté, téléchargé ou validé un document, et quand — séparément des documents eux-mêmes. Ce journal permet de répondre à « qui a vu ceci » sans rouvrir le fichier.

Ne collectez pas trop au nom de la sécurité. Journaliser le contenu entier des documents dans un fil d’activité ne fait que dupliquer des données sensibles dans un second endroit, qui doit lui aussi être protégé.

Contrôlez aussi l’accès au journal lui-même. Un relevé détaillé de qui a consulté quoi est sensible en soi, et ne devrait pas être plus ouvert que les documents qu’il suit.