Données des étudiants : cinq exigences à poser à votre prestataire

Un établissement d'enseignement détient des informations sensibles sur des milliers de personnes : identité, adresse, téléphone des parents, notes, situation financière, parfois des informations de santé. Lorsqu'il confie ces données à une plateforme en ligne, il reste responsable de ce qui leur arrive. Le prestataire, lui, n'a de comptes à rendre que sur ce qui est écrit dans le contrat.

Voici les cinq points à exiger noir sur blanc. Nous nous les appliquons aussi.

1. Savoir où sont hébergées les données

Première question, et souvent la plus embarrassante pour le prestataire : dans quel pays, dans quel bâtiment, chez qui ? « Dans le cloud » n'est pas une réponse. Vous devez connaître :

• le pays et la ville où se trouvent les serveurs ;
• l'entreprise qui exploite ces serveurs, si ce n'est pas le prestataire lui-même ;
• la législation qui s'applique aux données stockées ;
• la procédure pour récupérer l'intégralité de vos données si vous changez de prestataire, avec un délai et un format.

Ce dernier point, la réversibilité, est trop souvent oublié. Un contrat sans clause de sortie vous rend dépendant.

2. Des accès par rôle, pas des comptes partagés

Dans beaucoup d'établissements, un même identifiant circule entre trois ou quatre agents du secrétariat. Le jour où une note est modifiée, personne ne sait qui l'a fait.

Exigez que chaque utilisateur ait son propre compte, et que ce compte ne donne accès qu'à ce dont il a besoin :

• l'enseignant saisit les notes de ses cours, pas celles des autres ;
• le caissier voit les paiements, pas les délibérations ;
• le secrétaire de faculté gère sa faculté, pas l'ensemble de l'université ;
• l'administrateur système du prestataire n'a pas de raison de lire le contenu des dossiers.

Demandez aussi comment les comptes sont désactivés quand un agent quitte l'établissement. C'est une faille classique : l'ancien employé dont le compte fonctionne encore six mois plus tard.

3. Un journal des actions

Tout ce qui compte doit laisser une trace : qui a modifié quelle note, quand, depuis quel poste ; qui a validé un paiement ; qui a exporté la liste des étudiants. Ce journal doit être consultable par l'établissement, et impossible à effacer par un simple utilisateur.

Le journal ne sert pas qu'à punir. Il permet de répondre sereinement à un étudiant qui conteste une note, de retrouver l'origine d'une erreur, et il dissuade ceux qui seraient tentés de « corriger » un résultat.

4. Des sauvegardes, et la preuve qu'elles fonctionnent

Demandez au prestataire :

• à quelle fréquence les données sont sauvegardées ;
• où se trouvent les copies, et si l'une d'elles est hors site ;
• quand a eu lieu le dernier test de restauration, et avec quel résultat.

Une réponse du type « nous sauvegardons tous les jours » ne suffit pas. Une sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une garantie. Nous y revenons en détail dans un autre article consacré à la règle 3-2-1.

5. La double authentification pour les comptes sensibles

Un mot de passe se vole, se devine ou se note sur un papier collé à l'écran. Pour les comptes qui peuvent modifier des notes, valider des paiements ou administrer la plateforme, exigez un second facteur : un code reçu par SMS, généré par une application sur le téléphone, ou une clé physique.

Le SMS a ses limites, mais il fonctionne sur tous les téléphones, y compris les plus modestes, et il vaut infiniment mieux qu'aucun second facteur. Pour les administrateurs, une application d'authentification est préférable.

Les questions à poser en réunion

Avant de signer, posez ces questions et exigez que les réponses figurent au contrat :

1. Où sont physiquement nos données, et sous quelle loi ?
2. Qui, chez vous, peut y accéder, et ces accès sont-ils journalisés ?
3. Pouvons-nous créer des rôles adaptés à notre organisation ?
4. Pouvons-nous consulter nous-mêmes le journal des actions ?
5. Quand avez-vous testé une restauration pour la dernière fois ?
6. La double authentification est-elle disponible, et peut-on l'imposer ?
7. Comment récupérons-nous nos données si nous partons ?

Un prestataire sérieux répond à ces questions par écrit, sans détour.

Pour notre part, l'accès aux serveurs que nous exploitons à Kinshasa est réservé à des administrateurs nommément désignés, ces accès sont journalisés, et la réversibilité est inscrite au contrat : vous recevez une archive complète de vos données et de la configuration sous quinze jours, sans frais. Le détail figure sur la page de notre offre d'hébergement. Pour passer en revue votre situation actuelle, écrivez-nous.