Protéger vos données sensibles – 1ère Partie
Le Règlement Général sur la Protection des Données (RGPD) est un règlement européen qui fixe des règles que les autorités publiques, les entreprises et toutes les autres organisations doivent respecter lorsqu’elles traitent des données à caractère personnel. Le RGPD est important pour les écoles car il vise à protéger les données personnelles et sensibles des élèves, des enseignants et des parents. Ces données peuvent concerner l’identité, la santé, la religion, les performances scolaires, etc. Le RGPD impose aux écoles de respecter des principes tels que la licéité, la transparence, la minimisation, la sécurité, la responsabilité et le consentement dans le traitement des données.
L’objectif de cet article n’est pas de vous détailler l’ensemble de vos obligations concernant cette réglementation, mais de vous montrer quels mécanismes sont disponibles dans votre plateforme Microsoft 365 pour protéger vos données sensibles.
Voici quelques scénarios que nous souhaitons traiter :
– En tant que direction ou secrétaire, j’envoie régulièrement des emails à mes enseignants avec des données privées concernant nos étudiants (état de santé, situation des parents, situation financière de la famille, etc …) . Il serait préjéduciable qu’un enseignant puisse transférer ces courriers à des personnes externes à l’établissement que ce soit volontairement ou non.
– En tant que professeur, j’ai dans mon OneDrive des documents d’ordre privé sur mes élèves, il serait facheux que ces documents soient partagés avec des personnes externes à mon établissement, mais je dois pouvoir partager certains documents non sensibles avec l’extérieur
– En tant qu’élève, je reçois sur ma boite scolaire des courriers avec pièces jointes qui contiennent des informations privées. Il serait critique que je puisse transférer ces courriers à quiconque, que ce soit à des camarades de classes ou à des personnes étrangères à mon établissement.
– Note école utilise SharePoint comme outil intranet scolaire, chaque élève possède un dossier individuel avec des documents privés, il serait mal venu que je puisse partager ces documents.
Classification des contenus
Avant de mettre en place nos mécanismes de protection, il faut d’abord identifier nos données sensibles. Nous allons donc classifier nos contenus à l’aide d’étiquettes (balises).
Les étiquettes dans Microsoft 365 sont des outils qui vous permettent de classifier vos contenus sensibles selon le niveau de confidentialité et de protection requis. Vous pouvez appliquer des étiquettes de confidentialité à vos fichiers et e-mails pour les contrôler et les suivre.
Voici les étiquettes, et niveaux de sensibilité que je souhaite mettre en place
– Privé : Contenu individuel et privé, qui ne doit pas être partagé, ni en interne ni en externe
– Interne : Contenu pouvant circuler entre les membres de mon organisation mais en aucun cas ne peut être rendu disponible à l’extérieur
– Sensible : Contenu comportant des données sensibles pour lequel je dois porter une attention particulière avant de le rendre disponible à d’autres
– Public : Contenu n’ayant aucune sensibilité particulière, qui pourrait se retrouver sur internet sans que cela porte préjudice à mon établissement
Microsoft Purview - Conformité
Depuis la console d’adminisrtation Microsot 365, vous allez trouver le menu ‘Conformité’ qui va vous rediriger vers la console d’administration Pureview.
Toutes les manipulations faites, sont réalisables avec des licences Microsoft Education A1 et A3
Nous allons pouvoir définir nos étiquettes et leurs stratégies.
Etiquettes
La première chose à faire, si ce n’est pas déjà fait, c’est d’activer l’utilisation des étiquettes sur les fichiers Office Online (OneDrive et SharePoint).
Ensuite, nous pouvons nous lancer dans la création de notre première étiquette.
Nous en avons 4 à faire
Création de l’étiquette : Privé
Définition de la portée de l’étiquette
Avec nos licences A1 et A3, nous ne pouvons définir la portée de nos étiquettes que sur les fichiers et les emails. Il faudra une licence A5 pour appliquer nos étiquettes sur nos groupes Microsoft 365 (équipe Teams) et sur nos espaces SharePoint. Pouvoir mettre une étiquette de confidentialité sur tout un site SharePoint ou une équipe Teams permet de définir une confidentialité sur l’ensemble du contenu de ce site ou cette équipe sans devoir le faire fichier par fichier.
Marquage de contenu
Je décide ici de marquer mes contenus avec un pied de page automatique, reprenant un message de description de l’étiquette
Mon étiquette ne sera pas placée de manière automatiquement sur mes contenus.
Paramètres de protection des sites et des groupes
N’étant pas sous licence A5, je ne peux pas appliquer mes étiquettes sur des sites et/ou des groupes. Je dois me contenter de le faire manuelle sur mes contenus, emails ou fichiers
Passer en revue mon étiquette
Publication de mon étiquette
Je ne vais pas publier mon étiquette tout de suite, car j’en ai d’autres à créer avant de faire une publication
On va donc répéter cette opération pour les étiquettes suivantes
– Interne : Contenu pouvant circuler entre les membres de mon organisation mais en aucun cas ne peut être rendu disponible à l’extérieur
– Sensible : Contenu comportant des données sensibles pour lequel je dois porter une attention particulière avant de le rendre disponible à d’autres
– Public : Contenu n’ayant aucune sensibilité particulière, qui pourrait se retrouver sur internet sans que cela porte préjudice à mon établissement
N’oublions pas de définir les priorités de nos étiquettes, de la moins confidentielle à la plus confidentielle.
Publication - Création d'une stratégie
Nous allons maintenant pouvoir publier nos étiquettes, donc créer une stratégie d’utilisation de celles-ci
On va évidemment ajouter nos 4 étiquettes dans cette nouvelle stratégie
Cette stratégie peut être attribuée à une partie de mes utilisateurs, sur base d’une unité administrative. Mais cela nécessite une licence A5
Cette stratégie peut être attribuée à tout le monde, ou à des utilisateurs spécifiques sur base de groupes de sécurité par exemple.
Dans mon cas, je vais l’appliquer à tout le monde
Le paramétrage sera ici fait en fonction de vos attentes. Obliger tout le monde à appliquer une étiquette sur chaque email ou fichier pourrait sembler trè contraignant, mais cela reste très intéressant pour avoir une classification optimale.
Etiquette par défaut pour les documents
Je vais estimer que tout nouveau document à une confidentialité moyenne, sensible
Etiquette par défaut des courriers
Pour les emails, la valeur par défaut sera sur Public. Mais si mon courrier contient des pièces jointes, la confidentialité de mon courrier deviendra l’étiquette de priorité la plus élevées selon mes pièces jointes.
Nom et description de ma stratégie
Dès que mon étiquette est publiée, voici ma liste de stratégies
Il va falloir patienter entre 1h et 24h que ces éléments soient déployés chez tout le monde et dans toutes les applications concernées (OneDrive, SharePoint, Outlook, Outlook Web, Word, Word Web, etc …)
Exemples
Rédaction d’un nouveau courrier avec étiquette, étiquette par défaut ‘Sensible’
Rédaction ou édition d’un document Word dans mon OneDrive
Pied de page du document
Vue depuis mon OneDrive
Si je souhaite adapter mon étiquette pour diminuer la confidentialité de mon document, je dois le justifier
Après ces quelques tests et exemples, nous allons maintenant pouvoir envisager la mise en place de règles de protection. Je vous invite donc à lire la seconde partie de cet article.
« Coming soon »
