Classification des données pour les entreprises

La classification des données aide les entreprises à ne plus traiter chaque information comme si elle présentait le même risque. Un message de fournisseur, une note de processus interne, un enregistrement de paiement client et un code de récupération admin ne doivent pas circuler au sein de l’entreprise selon les mêmes règles.

Les données sensibles sont stockées dans tout votre réseau d’entreprise : elles transitent par les CRM, les boites de réception, l’espace de stockage cloud, les feuilles de calcul, les systèmes RH, les plateformes de support, les logiciels financiers et les outils des prestataires. Sans système commun pour les classer, les équipes se fient souvent à leur instinct : si un élément semble pouvoir être partagé en toute sécurité, ou s’il nécessite probablement une approbation, elles choisiront la voie la plus rapide et la plus simple.

Cela peut fonctionner pendant un certain temps, mais cela n’est pas évolutif. Une politique de classification des données claire donne à votre entreprise un langage commun pour décider quelles informations peuvent être publiques, lesquelles doivent rester internes, lesquelles nécessitent des contrôles plus stricts et lesquelles ne doivent être accessibles qu’à des rôles spécifiques.

Qu’est-ce que la classification des données ?

Pourquoi la classification des données est importante

Un cadre simple de classification des données

Exemples de classification des données pour les équipes d’entreprise

Comment la classification détermine le contrôle d’accès

Partager des données classifiées en toute sécurité

Commencer par un audit des données

Comment créer une politique de classification des données

Comment Proton Pass for Business prend en charge la classification des données

Intégrer la classification à la protection quotidienne des données

Qu’est-ce que la classification des données ?

La classification des données est le processus consistant à étiqueter les données d’entreprise selon leur niveau de sensibilité et l’ampleur des dommages qu’elles pourraient causer si elles étaient exposées, modifiées, perdues ou mal utilisées. En pratique, cela consiste à regrouper les informations en niveaux clairs afin que chacun sache comment les stocker, les partager, les protéger et, à terme, les supprimer.

Un système de classification utile s’intègre au travail quotidien. Il permet aux collaborateurs de comprendre rapidement quand les informations peuvent circuler librement, quand elles nécessitent une approbation et quand l’accès doit être limité à un petit groupe. L’objectif est de rendre la décision la plus sûre évidente avant que les données ne soient copiées, partagées, exportées ou stockées là où elles ne devraient pas l’être.

Les conseils du National Cyber Security Centre du Royaume-Uni sur la gestion des actifs(nouvelle fenêtre) traitent l’information comme un actif qui nécessite de la visibilité, une appropriation et une protection. C’est une façon utile de structurer la classification : avant de décider qui peut accéder aux données sensibles, vous devez savoir ce que sont ces données et où elles se trouvent.

Pourquoi la classification des données est importante

Vous ne pouvez pas protéger ce que votre entreprise n’a pas identifié. Cela est particulièrement vrai pour les PME, qui ne disposent généralement pas des ressources nécessaires pour protéger chaque système et chaque type d’information avec le même niveau de contrôle. Avant qu’une entreprise puisse décider qui doit accéder aux données sensibles, quels systèmes ont besoin de protections plus fortes, ou là où la MFA et le partage sécurisé sont les plus urgents, elle doit savoir quelles informations elle détient et quelles données importent le plus.

La classification des données est la première étape d’une stratégie pratique de protection contre les fuites de données. Elle sépare les informations commerciales courantes des données qui pourraient causer un préjudice réel si elles étaient exposées, modifiées, perdues ou partagées avec la mauvaise personne.

Cela est particulièrement utile car les informations se dispersent dans les CRM, les boites de réception, l’espace de stockage cloud, les systèmes RH, les outils de support, les logiciels financiers, les exports et les plateformes des prestataires. La classification donne aux collaborateurs un signal clair : ce qui peut être traité normalement, ce qui nécessite une approbation et ce qui ne doit être accessible qu’à des rôles spécifiques.

Elle favorise également la conformité. L’Information Commissioner’s Office (ICO) du Royaume-Uni, l’autorité responsable de l’application de la protection des données et des conseils sur le GDPR au Royaume-Uni(nouvelle fenêtre), attend des organisations qu’elles appliquent des mesures techniques et organisationnelles appropriées. La classification permet de rendre cela pratique en adaptant la protection à la sensibilité des données.

Pour la prévention des fuites de données, le principe est simple : les données sensibles ne doivent pas être accessibles à plus de personnes que nécessaire. Le guide de Proton sur la prévention des pertes de données pour les entreprises explique comment la réduction de l’exposition inutile avant un incident peut limiter les dégâts par la suite.

Un cadre simple de classification des données

Un cadre de classification n’a pas besoin d’être compliqué. Quatre niveaux sont généralement suffisants pour les petites et moyennes entreprises :

Public
Interne
Confidentiel
Restreint

Public

Les données publiques sont des informations approuvées pour un usage externe. Une version publiée de cet article que vous lisez, par exemple, constituerait des données publiques : elle peut être lue, partagée ouvertement en toute sécurité et indexée sans créer de risque significatif pour la sécurité ou le respect de la vie privée.

D’autres exemples incluent :

Contenu du site internet
Communiqués de presse
Fiches de poste publiques
Documents de vente approuvés
Pages produits
Descriptions publiques de l’entreprise.

Les informations publiques doivent toujours faire l’objet d’un contrôle d’exactitude et de marque, mais elles ne nécessitent généralement pas de contrôle d’accès strict une fois approuvées.

Interne

Les données internes sont destinées uniquement aux collaborateurs et aux partenaires approuvés, mais pas à une diffusion publique. Leur divulgation peut ne pas causer de dommages graves, mais elle peut créer de la confusion, un risque de réputation ou des problèmes opérationnels.

En voici quelques exemples :

Documents de processus internes
Notes d’équipe
Procédures opérationnelles standard
Supports de formation
Plans de projet non sensibles
Calendriers internes
Listes de contacts générales des prestataires.

Les données internes doivent rester dans les systèmes approuvés de l’entreprise. Par exemple, un brouillon de brief de campagne, une checklist d’intégration ou des notes d’une réunion de planification d’équipe peuvent ne pas être hautement sensibles, mais ils ont tout de même leur place dans l’espace de travail approuvé de l’entreprise, et non dans un dossier personnel, une boite de réception privée ou un téléchargement non géré.

Confidentiel

Les données confidentielles sont des informations commerciales sensibles ou des informations personnellement identifiables (PII) qui pourraient nuire à l’entreprise, aux clients, aux employés ou aux partenaires si elles étaient exposées. L’accès doit être restreint aux rôles approuvés ayant un besoin professionnel clair.

En voici quelques exemples :

Dossiers clients
Fichiers des employés
Contrats
Conditions commerciales
Rapports financiers
Informations sur le pipeline des ventes
Tickets de support contenant des données personnelles
Plans d’affaires non publiés
Contrats de prestation non publics

Les données confidentielles ne doivent être accessibles qu’aux rôles approuvés. Elles ne doivent pas se trouver sur des drives personnels, dans des dossiers partagés ouverts, des feuilles de calcul non gérées ou des boites de réception dont personne ne contrôle l’accès. S’il est nécessaire de les partager à l’extérieur, l’entreprise doit utiliser un espace de stockage cloud d’entreprise chiffré de bout en bout (E2EE) et limiter le partage aux destinataires autorisés dans un but professionnel clair.

Restreint

Les données restreintes constituent la catégorie la plus sensible. Si elles sont exposées, mal utilisées ou modifiées, l’entreprise pourrait s’exposer à de graves conséquences financières, juridiques, opérationnelles ou de sécurité.

En voici quelques exemples :

Identifiants admin
Codes de récupération
Secrets d’authentification
Informations de paiement des clients
Dossiers RH hautement sensibles
Fichiers de litiges juridiques
Rapports d’incidents de sécurité
Journaux d’accès privilégiés
Clés de chiffrement
Informations d’accès aux sauvegardes

Les données restreintes nécessitent les contrôles les plus stricts : accès limité, authentification forte et gestion des identifiants, espace de stockage cloud chiffré de bout en bout, partage sécurisé et auditabilité.

Niveau de classification	Sensibilité	Exemples	Niveau d’accès	Règles de partage
Public	Faible	Articles publiés, contenu de site internet, communiqués de presse, publications d’offres d’emploi publiques, documents de vente approuvés	Approuvé pour un usage externe	Peut être partagé publiquement après examen et approbation
Interne	Modérée	Notes d’équipe, brouillons de briefs de campagne, checklists d’intégration, documents de processus internes	Collaborateurs et partenaires approuvés	À conserver au sein des systèmes d’entreprise approuvés
Confidentiel	Élevée	Dossiers clients, fichiers des employés, contrats, rapports financiers, tickets de support avec données personnelles	Rôles approuvés uniquement	Partager uniquement avec des destinataires autorisés et dans un but professionnel clair
Restreint	La plus élevée	Identifiants admin, codes de récupération, informations de paiement, rapports d’incidents de sécurité, journaux d’accès privilégiés	Utilisateurs désignés ou groupes étroitement contrôlés	Ne pas partager par message, chat, captures d’écran ou documents non gérés

Exemples de classification des données pour les équipes d’entreprise

La classification devient plus facile lorsque les équipes peuvent l’identifier dans leur propre travail. Les équipes financières peuvent traiter une page de tarification publique comme publique, tandis que les factures, les fichiers de paie, les documents fiscaux et les enregistrements de paiement sont généralement confidentiels. Les identifiants bancaires et l’accès admin aux plateformes de paiement doivent être restreints, car ils peuvent exposer des informations, modifier des paramètres ou transférer de l’argent.

En pratique, cet accès doit être contrôlé par des autorisations basées sur les rôles, une authentification forte, des examens réguliers des accès et un gestionnaire de mots de passe d’entreprise qui aide les équipes à gérer et à contrôler les identifiants derrière les systèmes sensibles.

Les données RH suivent un schéma similaire. Une offre d’emploi peut être publique, tandis que les contrats de travail, les informations sur les salaires, les arrêts maladie, les informations sur les prestations et les données des candidats sont généralement confidentiels. Les enquêtes sensibles, les identifiants admin des RH et un accès élargi aux dossiers des employés doivent être restreints.

Il ne s’agit pas d’une anomalie historique : l’amende de 2022 de l’ICO contre Interserve(nouvelle fenêtre), d’un montant total de 4,4 millions de livres sterling, est une mise en garde sérieuse sur le fait que les données des employés doivent être classées et protégées en tant qu’informations commerciales sensibles, et non traitées comme de la simple documentation interne.

Les équipes commerciales, de réussite client, de marketing et informatiques ont également besoin de limites claires. Les dossiers clients et les tickets de support contenant des informations personnelles ou relatives au compte sont souvent confidentiels. Les travaux de segmentation internes, la planification des campagnes et les rapports de performance peuvent être internes ou confidentiels selon qu’ils incluent des données clients, une sensibilité commerciale ou une stratégie d’entreprise non publique.

La documentation des prestataires doit être classée en fonction de son contenu, surtout si elle inclut des informations d’accès, des conditions commerciales ou des informations de sécurité. Les ensembles de données clients exportés, l’accès admin au CRM, l’accès admin aux plateformes publicitaires telles que Google Ads ou Meta Business Manager, les identifiants de sauvegarde, les codes de récupération, les journaux d’accès privilégiés et les identifiants des outils de sécurité doivent être restreints, car un seul fichier ou compte exposé peut affecter bien plus d’une personne.

Comment la classification détermine le contrôle d’accès

Une fois les données classifiées, l’accès cesse d’être un paramètre d’autorisation générique pour devenir une décision commerciale. La question n’est plus seulement de savoir si quelqu’un peut ouvrir un système, mais si son rôle justifie l’accès aux informations qu’il contient.

Une équipe de support peut avoir besoin des conversations avec les clients, mais pas de chaque fichier client exporté. Le service financier peut avoir besoin des enregistrements de paiement et de comptabilité, mais pas des enquêtes RH. Un prestataire externe peut avoir besoin d’accéder à un espace de travail de projet, mais pas à l’ensemble des archives de fichiers clients de l’entreprise.

Pour les données confidentielles et restreintes, l’accès doit laisser une trace d’audit. L’entreprise doit savoir qui a accédé à quoi, pourquoi l’accès existe et si les autorisations sont révoquées immédiatement après un changement de rôle ou un départ de l’entreprise.

Un gestionnaire de mots de passe pour les équipes informatiques prend en charge la gestion centralisée, le partage sécurisé, les politiques, les rapports et journaux admin, le provisionnement SCIM et les intégrations SSO. Cela aide les équipes à limiter l’accès aux identifiants qui déverrouillent les systèmes sensibles, au lieu de laisser les mots de passe dans les navigateurs, les feuilles de calcul ou les fils de discussion.

Les règles de partage doivent suivre la sensibilité de l’information. Un actif publié peut circuler librement une fois approuvé, mais un contrat, un fichier client, un enregistrement de paiement ou un code de récupération nécessite plus de contrôle. Plus les données sont sensibles, moins de personnes doivent les recevoir, et plus la méthode de partage doit être délibérée.

Cela est particulièrement important pour les messages. De nombreuses entreprises envoient encore des informations sensibles par le biais de pièces jointes, de captures d’écran ou de textes copiés, puis perdent le fil de la destination de ces informations. Le guide de Proton sur la façon d’envoyer en toute sécurité des informations sensibles par message explique des méthodes plus sûres pour traiter les informations sensibles lorsque l’utilisation du message est nécessaire.

Les identifiants et les secrets nécessitent des règles plus strictes que les documents ordinaires. Les mots de passe, les codes de récupération, les clés d’accès et les informations d’accès admin ne doivent pas être envoyés par message, chat, captures d’écran ou documents partagés. Ils doivent être stockés et partagés via un gestionnaire de mots de passe d’entreprise tel que Proton Pass for Business, où l’accès peut être contrôlé, examiné et révoqué de manière plus sûre.

Commencer par un audit des données

Avant de rédiger une politique de classification des données, cartographiez les emplacements actuels des données de l’entreprise. Le premier audit n’a pas besoin d’être parfait. Il doit simplement montrer quels systèmes contiennent des informations sensibles, qui peut y accéder et où des copies non contrôlées peuvent exister.

Commencez par les emplacements quotidiens tels que les CRM, les plateformes RH, les logiciels financiers, l’espace de stockage cloud, les boîtes de réception de messages, les drives partagés, les outils de support, les gestionnaires de mots de passe, les portails de prestataires, les téléchargements, les exports et les sauvegardes.

Champ	Éléments à enregistrer
Emplacement	Où se trouvent les données
Type de données	Données clients, d’employés, financières, d’identifiants ou opérationnelles
Niveau de classification	Public, interne, confidentiel ou restreint
Propriétaire	Personne ou équipe responsable
Accès	Qui peut le consulter, le modifier, l’exporter ou le partager
MFA	Si l’authentification multifacteur est activée
Partage avec les prestataires	Si des tiers peuvent y accéder
Statut de conservation	Conserver, examiner, supprimer ou anonymiser

Comment créer une politique de classification des données

Une politique de classification des données doit être suffisamment courte pour que les collaborateurs puissent l’utiliser et assez précise pour guider les décisions réelles. Elle doit définir les niveaux de classification, expliquer à qui appartiennent les données sensibles et connecter chaque niveau à l’accès, au stockage, au partage, à la conservation et à l’examen.

Une politique simple peut inclure :

Objet et portée : ce que couvre la politique et à qui elle s’applique.
Niveaux de classification : public, interne, confidentiel et restreint, avec des exemples.
Propriété : qui approuve l’accès et gère l’examen des catégories de données sensibles.
Règles d’accès : qui peut accéder à chaque niveau et comment l’accès est approuvé ou retiré.
Règles de partage : quels canaux sont approuvés pour chaque niveau de classification.
Stockage et conservation : où chaque type de données doit être conservé et pendant combien de temps.
Fréquence d’examen : à quelle fréquence la politique et les règles d’accès sont examinées.
Processus de conservation légale : quand les règles de suppression ou de conservation doivent être suspendues lors d’enquêtes actives, de litiges ou de procédures judiciaires.

La politique doit également laisser de la place au discernement. Tous les documents ne s’intégreront pas parfaitement dans une catégorie. En cas de doute, les collaborateurs doivent savoir à qui s’adresser et quelle règle par défaut suivre. Pour les données sensibles, l’option par défaut la plus sûre consiste généralement à restreindre l’accès jusqu’à ce que le propriétaire légitime confirme le contraire.

Comment Proton Pass for Business prend en charge la classification des données

La classification des données indique à votre entreprise quelles informations nécessitent une protection plus forte. Le contrôle d’accès traduit cette décision dans la pratique quotidienne.

Les identifiants font partie de cette couche d’accès. Si un mot de passe donne accès à des données restreintes, telles que des paramètres admin, des exports clients, des systèmes financiers, des codes de récupération ou des journaux de sécurité, cet identifiant nécessite un traitement plus strict qu’un identifiant pour un service interne à faible risque.

Un gestionnaire de mots de passe d’entreprise sécurisé comme Proton Pass for Business aide les équipes à appliquer ces décisions d’accès dans la pratique. Les identifiants peuvent être stockés dans des coffres-forts chiffrés, organisés par équipe ou par fonction, et partagés uniquement avec les personnes qui en ont besoin.

Les admins bénéficient également d’une meilleure visibilité sur l’accès aux identifiants grâce à des rapports et des journaux, tandis que les politiques, les intégrations SSO et le provisionnement SCIM aident les équipes informatiques à gérer les arrivées et les départs de manière plus cohérente.

Cela rend la classification plus facile à appliquer dans le travail quotidien. Les identifiants financiers peuvent rester au sein du service financier. L’accès admin des RH peut être réservé aux responsables RH autorisés. Les codes de récupération de sauvegarde et les identifiants admin privilégiés peuvent être limités aux personnes responsables de la récupération et de la sécurité.

Intégrer la classification à la protection quotidienne des données

La classification des données n’est pas de la paperasse pour le plaisir de la paperasse. C’est un moyen de rendre la protection contre les fuites de données plus facile à appliquer au quotidien.

Une fois que votre entreprise sait quelles données sont les plus sensibles, l’étape suivante consiste à contrôler qui peut y accéder. Un gestionnaire de mots de passe peut aider les équipes à contrôler et à surveiller les identifiants qui déverrouillent les systèmes sensibles et les données restreintes.

Contrôlez l’accès aux données classifiées dans l’ensemble de votre organisation grâce à un gestionnaire de mots de passe d’entreprise.