Bonjour,
Je travaille régulièrement sur des projets client confidentiels, c'est à dire soumis à la signature d'un accord de confidentialité. Certaines informations transitent par email. Certains collaborateurs utilisent à titre personnel GMail et ont donc configuré leur webmail pour qu'il récupère automatiquement les emails en question, ce qui leur permet de gérer leurs boites mail perso/pro via une interface unique.
Je me pose la question de la conformité de cette pratique par rapport à un accord de confidentialité. Vous allez probablement me dire "tout dépend ce qui est stipulé dans l'accord de confidentialité", mais en fait le problème n'est pas spécifique : est-ce que le fait d'utiliser un service externe pour gérer des données confidentielles peut être problématique ? Est-ce que mes collaborateurs (ou moi-même) sommes en infraction par rapport à un accord de confidentialité qui stipule classiquement que toute information confidentielle ne doit pas être divulguée ?
Je suis preneur de vos retours par rapport à cette problématique, en particulier des retours d'expériences réelles.
Bonne journée à toutes et tous.
# Bonne question...
Posté par jihele . Évalué à 8.
qu'on pourrait étendre à l'utilisation de services tiers tels que WeTransfer, OneDrive, Dropbox, etc.
Même chose chez nous où on bosse sur des projets qui se veulent confidentiels mais où aucune consigne n'est donnée pour éviter ces services… qui sont donc utilisés allègrement.
[^] # Re: Bonne question...
Posté par LeBouquetin (site web personnel, Mastodon) . Évalué à 4.
La problématique est effectivement exactement la même.
# je dirais que non
Posté par gaaaaaAab . Évalué à 4.
je suis un peu à côté, vu que ceci n'est pas un retour d'expérience réelle, ni l'avis d'un juriste.
si les informations transitent en clair par e-mail, la question du prestataire fournissant la boite e-mail parait assez accessoire. Et si les infos sont chiffrées, le fait que ça soit gmail ou un autre est sans incidence.
Pour le dire autrement, dans une situation analogue, je ne m'autoriserais une redirection de ce type que si elle n'est pas strictement inférieure à tous les chaînons intermédiaires en terme de confidentialité.
[^] # Re: je dirais que non
Posté par LeBouquetin (site web personnel, Mastodon) . Évalué à 3.
Je comprends ce que tu dis et j'acquiesce partiellement. Partiellement seulement car le fait d'intégrer GMail dans la chaîne fait que GMail est dans la sphère de confidentialité - et il me semble que GMail a accès aux contenus et est autorisé par l'utilisateur à les analyser.
Imaginons que le projet confidentiel concerne un projet directement concurrent à Google, est-ce que le client n'aurait pas toute légitimité pour se retourner contre moi ? D'un point de vue moral, oui, mais d'un point de vue légal/contractuel, je ne sais pas - et c'est ce que je cherche à identifier.
[^] # Re: je dirais que non
Posté par gaaaaaAab . Évalué à 4.
Je ne l'ai pas précisé dans mon premier commentaire, mais c'est sûr que limiter le nombre d'intermédiaires réduit la surface d'attaque, dont il faudrait éviter autant que possible. Après, il faut trouver le compromis entre sécurité et utilisabilité.
A titre personnel, dans un cas similaire, je n'utiliserais qu'une boite pro sans redirection, sous réserve d'avoir un accès à distance au serveur de mail (que ça soit en imaps depuis une ip public ou sur un VPN). Ou alors, si le serveur e-mail est opéré par le client et est difficilement accessible, sur un serveur de mail opéré par ta boite avec imaps/vpn. Je ne ferais pas le compromis d'utilisabilité que tu décris avec un fournisseur d'e-mail tierce à la gmail, mais je veux bien admettre que je suis un peu plus parano que la moyenne :-)
alors demande à un juriste, parce que demander çà à linuxfr, c'est l'équivalent de demander un avis médical à doctissimo :-)
[^] # Re: je dirais que non
Posté par jihele . Évalué à 2.
Je vais peut-être dire une bêtise, mais tu sembles poser qu'il n'existe que deux cas,
le "tout en clair sur tout le canal" (le fournisseur d'accès peut lire le contenu, les autres utilisateurs du wifi aussi)
le "tout chiffré même le message" (PGP à fond)
Le fonctionnement courant, je crois, est de dialoguer avec le serveur de messagerie en connexion chiffrée (SSL) mais d'échanger des messages non chiffrés (pas de PGP de gros barbus). Dans ce cas, la question du prestataire n'est pas accessoire. C'est pas pareil si c'est chez Google ou dans le serveur mail de la boîte.
Non ?
[^] # Re: je dirais que non
Posté par gaaaaaAab . Évalué à 2. Dernière modification le 16 mai 2017 à 14:55.
c'est vrai que tu vas accéder à tes e-mails en clair sur gmail dans une connexion sécurisée en HTTPS, mais il y a aussi le transfert en SMTP entre l'expéditeur et la boite mail. Et c'est à ça que je pensais en parlant d'envoi en clair. J'aurais pu être plus précis.
Du coup, je me rend compte qu'il y a SMTPS, mais je n'ai pas l'impression que ça soit très répandu. Et puis une fois que tu t'es connecté à ton serveur SMTP en ssl, tu n'as pas la garantie que l'échange entre le serveur SMTP que tu a joins et le serveur d'email de destination sera aussi encapsulé dans une canal sécurisé.
Donc oui, dans un contexte pro, dès qu'il y a une tierce partie, perso, je ferais du GPG.
# Confidentiel => pas de GMail, Dropbox et consort
Posté par lolop (site web personnel) . Évalué à 7.
Si des données doivent être confidentielles, peuvent donner lieu à dépôt de brevet et autre, il est suicidaire de passer par des services de ce genre (email ou stockage externe, qui plus est d'une société US). Les états unis utilisent leurs moyens d'interception non seulement pour l'espionnage militaire et politique, mais aussi pour l'espionnage industriel (ici, ici, ici…).
Si les sociétés ne veulent pas que leurs secrets se retrouvent dans les mains des concurrents alors elles doivent faire l'effort de mettre en place en interne les outils dont elles ont besoin, et sensibiliser leurs personnels sur les fuites d'infos lorsqu'on passe par des services hébergés par des tiers.
J'ai eu à collaborer un court moment avec une boite dont le concurrent direct était une grosse boite aux USA. Un ingénieur m'a proposé de me transmettre le code par… dropbox. Je lui ai demandé s'ils étaient conscients de ce qu'ils faisaient… il semble que non. Finalement il m'a simplement apporté le code sur une clé USB.
J'ai aussi vu une personne qui travaille pour une boite chargée de rédiger et déposer des brevets… et qui travaille via GMail. No comment. À ce niveau de stupidité c'est pathologique.
Un collègue me dirait que ça fera de la sélection naturelle économique… mais ça coûte cher au pays.
Python 3 - Apprendre à programmer dans l'écosystème Python → https://www.dunod.com/EAN/9782100809141
[^] # Re: Confidentiel => pas de GMail, Dropbox et consort
Posté par gaaaaaAab . Évalué à 5.
0ui. Et pendant ce temps, pleins de boites migrent tout leur SI dans le Claude …
# Pratique vs théorique
Posté par arnaudus . Évalué à 3.
En fait, je me demande si la question est théorique ou pratique. En théorie, oui, c'est débile de laisser trainer des données confidentielles chez des tiers. En pratique, il est probablement plus sûr de faire passer ses mails par gmail et https plutôt que dans une boîte maintenue par quelqu'un d'incompétent sur un serveur recyclé entreposé dans la cave des locaux loués par une PME…
Dans ces cas de figure, Gmail, le FAI, ou l'hébergeur du Cloud est un tiers de confiance, un professionnel rémunéré (ou pas, mais je ne pense pas que ça soit différent) pour assurer un service. On pourrait aussi douter de La Poste (ou de tout transporteur de lettres ou colis physique), de la boîte qui a installé les caméras de surveillance, des opérateurs de téléphone, des serruriers, voire de l'assembleur des ordinateurs ou des fondeurs de processeur. Dans le fait d'envoyer un mail avec un document confidentiel, il y a des dizaines ou des centaines de tiers de confiance directement ou indirectement impliqués ; et paradoxalement, les tiers impliqués dans l'envoi d'un mail par Gmail sont probablement moins nombreux et moins douteux que ceux impliqués dans une solution "maison", à moins d'avoir un budget informatique à la hauteur du niveau de sécurité souhaité.
[^] # Re: Pratique vs théorique
Posté par jihele . Évalué à 4.
Et en pratique, le risque n'est pas le même selon qu'on est une boîte qui gère des projets industriels importants, voire secret-défense, ou bien qu'on est une PME qui cherche à protéger sa PI face à ses concurrents directs.
Google est curieux et à la solde du gouvernement US, OK, mais mes projets, ça l'intéresse pas trop. D'où la difficulté à faire passer le message en interne dans ma boîte et à faire utiliser des solutions internes plutôt que cloud.
# Mouais ...
Posté par Maleplume . Évalué à 1.
" … est-ce que le fait d'utiliser un service externe pour gérer des données confidentielles peut être problématique ?"
Tout dépend des termes de service proposés.
Un analyse succinte des risques peut déjà être consultée en anglais avec l'extension Terms of Service Didn't Read mais, en matière contractuelle, il me semble au minimum nécessaire de les éplucher consciencieusement avec l'aide d'un avocat ou d'un légiste, puis préciser contractuellement les canaux convenus par les deux parties comme "confidentiels".
Je ne me fierais personnellement en aucun cas à la "confidentialité" de données traitées à quelque stade que ce soit par les Gafam, encore moins si elles peuvent en quelque manière intéresser un concurrent Outre-Atlantique.
"J’ai connu ce qu’ignorent les Grecs : l’incertitude." (J L Borges / La loterie à Babilone)
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.