La politique de classification de l'information

L'université produit, reçoit et conserve des informations de sensibilités très inégales. La plupart ont vocation à être diffusées ; une petite part exposerait l'établissement, des personnes ou le pays si elle circulait sans contrôle. La politique de classification de l'information fixe une échelle unique pour toutes les activités — formation, recherche, administration —, dit qui classe et qui en répond, et quelles règles suivent chaque niveau, de la création d'un document à sa destruction.

Elle s'applique à toute personne qui travaille à l'université ou pour elle — titulaires, contractuels, doctorants, vacataires, stagiaires, prestataires, chercheurs invités —, et aux étudiants pour les informations qu'ils manipulent dans leur formation. Elle vaut pour toute information, quelle que soit sa forme : fichier, mail, papier, conversation, échantillon.

Ce qui change¶

Les principes¶

• On classe l'information, pas son support : un contenu garde son niveau dans un fichier, un mail, sur papier ou à l'oral ;
• l'impact le plus lourd l'emporte : un document prend le niveau de sa partie la plus sensible, et des données peu sensibles peuvent le devenir ensemble, par leur volume ou leurs recoupements ;
• le besoin d'en connaître : on accède à une information parce qu'on en a besoin pour sa mission ; la discrétion professionnelle s'impose à tous, et continue après le départ de l'université ;
• une ouverture maîtrisée : l'université est un établissement public. Classer trop haut est une non-conformité au même titre que classer trop bas, et la classification ne fait obstacle ni au droit d'accès aux documents administratifs, ni à la science ouverte ;
• des mesures proportionnées, des niveaux réversibles : la sensibilité d'une information décroît en général avec le temps ;
• le producteur classe, le référentiel guide : celui qui produit l'information propose son niveau à partir du référentiel de l'université. Il peut s'en écarter, à condition de le motiver par écrit et d'en informer le RSSI ; à la baisse, il lui faut l'accord du responsable de sa structure.

Des anciens niveaux aux nouveaux¶

Les quatre niveaux en usage jusqu'ici changent de nom :

• public reste public ;
• restreint devient diffusion limitée ;
• confidentiel reste confidentiel ;
• secret devient diffusion restreinte.

Un document marqué SECRET avant la politique se traite donc comme un document en diffusion restreinte.

Qui fait quoi¶

• le producteur de l'information, ou son responsable, propose le niveau, marque le document, tient à jour la liste des personnes autorisées en diffusion restreinte, et revoit le niveau au fil du temps ; dans un projet, le responsable du projet partage cette responsabilité ;
• le destinataire applique les règles du niveau reçu, et ne retransmet pas au-delà de la mention sans prévenir l'émetteur — sans son accord, à partir de confidentiel ;
• les directeurs de composantes, d'unités et de services mettent la politique en œuvre dans leur périmètre et désignent un nouveau responsable quand le précédent quitte ses fonctions ;
• le RSSI tient la politique et ses annexes à jour, valide les solutions de chiffrement, instruit les incidents et les dérogations ;
• le fonctionnaire de sécurité de défense (FSD) valide les niveaux en diffusion restreinte et les moyens d'échange associés ;
• le délégué à la protection des données (DPO) est consulté pour toute information qui comporte des données personnelles ;
• le responsable des archives veille à la conservation et à la destruction des documents ;
• la DSI fournit les outils qui conviennent à chaque niveau.

Les cas particuliers¶

• données personnelles : confidentiel au minimum ; diffusion restreinte pour les données sensibles — santé, opinions, orientation sexuelle, biométrie, origine ;
• données de santé de la médecine du travail et de la santé étudiante : diffusion restreinte, sous le secret médical ;
• données de recherche : un niveau fixé en cohérence avec le plan de gestion des données du projet ; leur destin normal est de devenir publiques à la publication ;
• PPST, zones à régime restrictif : leur régime propre s'applique, sous l'autorité du FSD ;
• thèses : publiques dès la soutenance, sauf embargo ou clause de confidentialité — confidentielles le temps de l'embargo ;
• examens et concours : sujets confidentiels jusqu'à la fin des épreuves, copies en diffusion limitée, grilles de correction publiques après la proclamation des résultats ;
• commande publique : pièces des candidats confidentielles jusqu'à la notification du marché ;
• secrets techniques — mots de passe, jetons, clés, certificats : diffusion restreinte. Leur place est Lockpass, le coffre-fort de secrets de l'établissement, pour l'instant en phase de test ; jamais un mail, un fichier bureautique, un ticket ou un dépôt de code.

Les documents existants¶

Pas de marquage rétroactif systématique : un document créé avant la politique se classe à sa prochaine réutilisation, à sa transmission ou à son versement aux archives. Les fonds identifiés comme sensibles font l'objet d'un plan de reprise arrêté avec le RSSI.

À l'échéance indiquée sur le marquage, ou à défaut tous les cinq ans, le responsable de l'information revoit son niveau, et l'abaisse si possible. La classification ne décide ni de la communicabilité d'un document à qui en fait la demande, ni de sa conservation : les durées sont celles des tableaux de gestion du pôle Archives.

Au quotidien¶

• Déterminer la sensibilité de ses données ;
• marquer ses documents sensibles ;
• où stocker ses données ;
• partager ses données ;
• chiffrer ses données sensibles.

La politique précise, pour l'information, la politique de sécurité des systèmes d'information ; la charte du bon usage en rappelle les règles à tous les utilisateurs. Le texte de la politique et ses annexes — le référentiel de classification, la matrice des outils et des usages — sont publiés sur l'intranet de l'université.