La protection des données des clients : un impératif

La multiplication des attaques informatiques oblige les entreprises à appliquer différentes méthodes afin de renforcer la sécurité de leurs fichiers sensibles.

L’époque où des étudiants en informatique créaient un virus qu’ils diffusaient ensuite sur le web est révolue ! Des cybercriminels très organisés leur ont succédé. Leur objectif est clair : gagner de l’argent en infectant les réseaux des entreprises afin de dérober ou rendre inexploitables certaines informations. Ces piratages ont d’autant plus d’impacts que les données sont au cœur de l’activité économique de toute organisation, notamment avec la dématérialisation des documents.

Face à ces menaces, les entreprises doivent mettre en place une politique de sécurité globale. Le concept de « forteresse », reposant principalement sur un antivirus et un pare-feu qui surveillent un périmètre limité et parfaitement identifié, n’est plus adapté à la problématique actuelle. Le monde est devenu hyper connecté !

Les PME doivent alors relever un double défi : être à la fois agiles et innovantes pour réussir leur transformation numérique, et, en même temps, être sécurisées pour pérenniser leur activité économique et rassurer leurs clients et partenaires.

Les atouts du Cloud

Ce challenge concerne particulièrement les cabinets d’expertise-comptable qui manipulent des informations confidentielles, notamment à caractère personnel. Pour échanger des données EDI avec leurs clients, ils utilisent des logiciels installés sur leurs postes de travail, et sont de plus en plus nombreux à migrer une partie de leur parc informatique dans le Cloud. Ils profitent ainsi des avantages des applications en mode SaaS.

Le « Software as a Service » -par exemple un logiciel de facturation accessible en ligne depuis n’importe quel appareil, fixe et mobile- permet de bénéficier d’outils ergonomiques et mis à jour automatiquement afin d’intégrer les derniers correctifs de sécurité ou des changements de dates réglementaires.

En hébergeant leurs fichiers sur des serveurs gérés par des prestataires mandatés par les éditeurs de logiciel, les cabinets d’experts-comptables délèguent une partie de la sécurité des données -et leurs sauvegardes- à des équipes spécialisées.

Il ne faut cependant pas oublier que les applications dans le Cloud et l’hébergement des données reposent sur un modèle de responsabilité partagée. D’un côté, le fournisseur du programme en ligne est responsable de la sécurité de son data center et de la qualité de son service. Il doit assurer la confidentialité, l’intégrité et la disponibilité des informations -en particulier leur redondance- que lui délègue son client. Ce dernier doit alors vérifier que ses propres serveurs ne soient pas impactés par un code malveillant ou une intrusion en faisant appel à des sociétés spécialisées pour réaliser différents audits de sécurité, conformes aux normes en vigueur. De l’autre, l’entreprise est responsable de la confidentialité de ses données.

La confidentialité des données

L’entreprise doit contrôler les accès à ses applications dans le Cloud et surveiller étroitement les flux avec son réseau informatique. Il faut alors respecter le référentiel général de sécurité (RGS) qui rappelle qu’une politique de sécurité cohérente repose sur quelques piliers indispensables.

Il y a tout d’abord la confidentialité des données stockées en interne ou partagées via Internet. Leur divulgation peut avoir un impact négatif sur la pérennité du cabinet d’experts-comptables ou celle de ses clients. Cette confidentialité implique le recours systématique à des solutions de cryptage (SSL 128). Les portails déclaratifs et d’échanges doivent disposer de ce processus, comme le portail d’échanges cabinets-clients Sage LinkUp Experts. Mais il doit être aussi déployé par les experts-comptables afin que leurs échanges ne puissent être interceptés.

Toujours à propos du secret des données, les entreprises doivent adopter des mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données nécessaires au regard de leurs besoins soient traitées. Cela est appelé le « Privacy by Design ». 

L’intégrité des données stockées et partagées en interne ou dans le Cloud est aussi un pilier fondamental. Son respect certifie que les documents et services fournis sont conformes aux exigences des clients ou à la réglementation.

À propos d’exigences, le secret professionnel doit être respecté dans son intégralité. De nombreux experts-comptables limitent ainsi volontairement les échanges de données « critiques ». Quels que soient les besoins techniques exprimés par le cabinet d’expertise-comptable ou l’éditeur, les informations traitées par un logiciel doivent rester inaccessibles à toute personne n’exerçant pas dans ce dit cabinet. 

Formation et réglementation

Par ailleurs, la sécurité informatique ne doit plus être considérée comme une affaire de produits. C’est un process et elle n’est pas innée. D’où la nécessité de sensibiliser tous les collaborateurs des cabinets d’experts-comptables, mais aussi des TPE afin qu’ils appliquent les bonnes pratiques.

De trop nombreuses erreurs basiques sont commises. Celles-ci peuvent prendre deux formes. Premièrement la fuite intentionnelle sous forme de partage d’informations confidentielles, vol de documents d’entreprises, d’ordinateurs portables, de téléphones ou de périphériques de stockage (disques durs et de clés USB, etc.) Deuxièmement ; la négligence de la part des collaborateurs qui naviguent sur des sites non sécurisés ou laissent leur session ouverte.

Des campagnes de sensibilisation doivent être mises en place, car la législation va devenir de plus en plus complexe et contraignante. Les nouvelles recommandations de la CNDP visent à responsabiliser les acteurs des traitements de données en uniformisant les obligations pesant sur les responsables et leurs sous-traitants. Ces derniers peuvent faire l’objet de sanctions administratives importantes en cas de méconnaissance des dispositions du règlement.