Déterminer la sensibilité de ses données

Classer une donnée, c'est estimer le tort que causerait sa divulgation : à l'université, aux personnes concernées, voire au pays. La politique de classification de l'université retient quatre niveaux, du plus au moins sensible : diffusion restreinte, confidentiel, diffusion limitée, public. Le niveau décide ensuite de tout le reste : où stocker la donnée, avec qui et comment la partager, comment marquer le document.

D'abord, cherchez dans les exemples¶

Le référentiel de l'université donne le niveau de chaque type de document. Si votre donnée figure ci-dessous, appliquez le niveau indiqué.

Diffusion restreinte

• donnée de santé : médecine du travail, santé étudiante ;
• donnée à caractère personnel sensible ;
• mot de passe, phrase secrète, jeton, clé, certificat ;
• contrat de brevet et de licence, jusqu'à la publication du brevet ;
• information relevant de la protection du potentiel scientifique et technique de la nation (PPST), ou produite en zone à régime restrictif.

Confidentiel

• dossier de personnel : entretien professionnel, bulletin de paye, contrat, arrêté ;
• dossier et fiche de recrutement ;
• dossier étudiant : inscription, dossier pédagogique ;
• document contenant des données à caractère personnel ;
• pièces de la commande publique, jusqu'à la notification du marché ;
• sujet d'examen ou de concours, jusqu'à la fin des épreuves ;
• habilitation à diriger des recherches ;
• analyse de données scientifiques travaillées ;
• appel à projets, convention et budget d'un programme de recherche ;
• rapport scientifique et compte rendu de réunion d'un programme de recherche ;
• contrat de recherche, de valorisation, de prestation ;
• dossier de valorisation ;
• communiqué de presse, avant sa diffusion ;
• thèse sous embargo ou sous clause de confidentialité.

Diffusion limitée

• facture, bon de commande, devis ;
• compte rendu des instances RH ;
• liste des candidats reçus et admis, avant sa publication officielle ;
• copies et productions des étudiants ;
• emploi du temps individuel ;
• donnée brute de recherche, base de données, collection ;
• documentation scientifique ;
• rapport d'activité du laboratoire, règlement intérieur, procès-verbal ;
• budget, procédure, note de service.

Public

• délibération et compte rendu des conseils ;
• emploi du temps d'une composante ;
• grille de correction, après la proclamation des résultats ;
• production scientifique publiée ;
• communiqué de presse diffusé ;
• politique générale du laboratoire ;
• thèse soutenue, hors embargo.

Sinon, évaluez l'impact¶

Si votre donnée n'est pas dans les exemples, demandez-vous ce que causerait sa divulgation, volontaire ou accidentelle :

• pour l'université : conséquences juridiques, financières, sur son image ou sur son patrimoine scientifique ;
• pour les personnes concernées : désagréments, difficultés, préjudice ;
• pour le pays : atteinte à sa sécurité, à sa souveraineté ou à ses intérêts économiques.

Puis retenez le niveau qui correspond à l'impact le plus lourd :

• impact catastrophique — condamnation pénale, conséquences irrémédiables pour une personne, atteinte aux intérêts de la Nation : diffusion restreinte ;
• impact important — contentieux, perte financière significative, discrédit, sérieuses difficultés pour les personnes : confidentiel ;
• impact modéré — pénalités contractuelles, atteinte faible à l'image, désagréments surmontables : diffusion limitée ;
• aucun impact : public.

Des données peu sensibles une à une peuvent le devenir ensemble, par leur volume ou par les recoupements qu'elles permettent : c'est l'ensemble qu'on classe. Et si votre type de document manque au référentiel, signalez-le au RSSI : il le complétera.

Et ensuite ?¶

Une fois le niveau choisi :

• s'il est confidentiel ou en diffusion restreinte, marquez-le, c'est obligatoire ; et à partir de diffusion limitée, précisez qui peut le lire, par une mention : marquer ses documents sensibles ;
• stockez-le dans un espace qui convient à ce niveau : où stocker ses données ;
• partagez-le avec les bons outils, et seulement avec qui en a besoin : partager ses données ;
• chiffrez-le s'il est en diffusion restreinte, toujours ; s'il est confidentiel, sur une clé ou un disque : chiffrer ses données sensibles.