La sécurité informatique est un enjeu crucial, notamment pour les actifs informationnels tels que les données de recherche. C’est pourquoi l’Université du Québec à Montréal (UQAM) a mis en place une Politique de sécurité informatique s’appliquant à tous les employés de l’institution, qu’ils soient enseignants, administratifs, associations, syndicats ou étudiants. Cette politique vise à garantir la confidentialité, l’intégrité et la disponibilité des données tout au long de leur cycle de vie.
L’importance de la sécurité informatique
La sécurité informatique englobe l’ensemble des mesures visant à protéger les données et les équipements nécessaires à leur traitement. Il s’agit d’une responsabilité institutionnelle et individuelle, nécessitant la mise en place de droits et de responsabilités collectifs ou individuels.
Objectif de ce guide
Ce document a pour but de recommander les meilleures pratiques de sécurité pour les environnements de travail manipulant des données de recherche. Ces recommandations s’appliquent aux postes de travail, afin de préserver la confidentialité, l’intégrité et la disponibilité des données.
Il est important de noter que les mesures de sécurité doivent être proportionnelles aux risques encourus et au type de données manipulées. Les données sensibles sont généralement celles contenant des informations personnelles ou liées à la propriété intellectuelle.
Mesures de sécurité recommandées
Contrôles physiques
- Contrôler physiquement les accès aux locaux où les données de recherche sont hébergées.
- Stocker les données non utilisées dans des endroits sécurisés comme des locaux ou des armoires.
Configuration des postes de travail
- Protéger les postes de travail accédant aux données de recherche par un mot de passe fort. Consultez notre guide pour créer un mot de passe sécurisé.
- Maintenir à jour le système d’exploitation et les logiciels des postes de travail, en activant les mises à jour automatiques.
- Installer un antivirus sur tous les postes de travail (les ordinateurs personnels ne sont pas autorisés).
- Activer le pare-feu personnel sur tous les postes de travail.
- Configurer l’écran de veille pour verrouiller automatiquement le poste après 15 minutes d’inactivité.
- Éviter d’utiliser des solutions telles que Logmein ou TeamViewer pour accéder à distance aux postes de travail. L’UQAM propose un service VPN sécurisé à cet effet.
- Activer les fonctionnalités de contrôle du compte utilisateur (UAC) pour demander un mot de passe ou une autorisation lors d’actions spécifiques.
- Désactiver l’exécution automatique (Autorun) sous Windows.
Stockage et accès aux données
- Éviter de stocker les données uniquement sur un poste de travail, une clé USB ou un disque dur externe. Créez plusieurs copies des données.
- Privilégier le stockage des données sur un espace commun du réseau, tel que notre service OwnCloud.
- Protéger l’accès aux données sensibles par un mot de passe fort ou en les chiffrant directement sur le disque. L’UQAM a effectué une revue de sécurité de l’outil de chiffrement Cryptomator, qui répond à nos exigences.
- Contrôler l’accès aux données en suivant le principe du moindre privilège.
- Mettre en place une procédure de retrait de l’accès aux données lors du départ de collaborateurs.
Transfert de fichiers externes
- Transférer les données sensibles vers l’extérieur en utilisant des canaux de communication chiffrés ou en chiffrant les données avant leur envoi (ex. VeraCrypt, Portable PGP, GnuPG, FileVault2 pour Mac).
- Éviter d’utiliser des services de stockage externe (ex. Dropbox) pour partager des données sensibles.
Destruction des données
- Conserver les données de recherche aussi longtemps que nécessaire selon les ententes ou la législation en vigueur.
- Éliminer de manière sécurisée toutes les données papier grâce au Service des archives et de la gestion des documents.
- Utiliser des mécanismes d’effacement sécurisé pour les équipements électroniques (ex. SDelete pour Windows, Dban pour Mac).
- Détruire physiquement les CD ou DVD.
- Conserver un historique et une documentation des données détruites ainsi que des méthodes utilisées.
Si vous avez des questions concernant ce guide, n’hésitez pas à compléter le formulaire prévu à cet effet.
