Qui possède vraiment vos données de sécurité? (Et pourquoi c’est important lorsqu’on change de fournisseur) 

Qui possède vraiment vos données de sécurité? (Et pourquoi c’est important lorsqu’on change de fournisseur) 

Lors de l'évaluation des plateformes de gestion des effectifs de sécurité, la plupart des entreprises se concentrent sur les fonctionnalités, le prix et l'expérience utilisateur. Mais un facteur crucial est souvent négligé jusqu'à ce qu'il soit trop tard : la propriété des données.

L’emplacement de vos données de sécurité, les personnes qui les contrôlent et la facilité avec laquelle vous pouvez y accéder ne sont pas de simples détails techniques ; ce sont des décisions stratégiques qui peuvent déterminer si votre entreprise maintient la continuité de ses opérations ou fait face à une interruption catastrophique de son activité.

Qui possède réellement vos données de sécurité lorsqu’on utilise un logiciel infonuagique?

Voici une question qui prend souvent au dépourvu les directeurs de la sécurité : si vous utilisez une plateforme de gestion des effectifs de sécurité basée sur le nuage, qui est légalement propriétaire des rapports d’incidents, des journaux de patrouille, des dossiers des employés et des renseignements clients stockés dans ce système ?

La réponse n'est pas aussi simple qu'il n'y paraît. La propriété des données et l'hébergement des données sont deux concepts fondamentalement différents que la plupart des entreprises confondent. Lorsque vous hébergez des données sur la plateforme infonuagique d'un fournisseur, vous obtenez généralement une licence d'utilisation et d'accès à ces données, mais le fournisseur conserve souvent un contrôle important sur leur stockage, leur traitement et, surtout, leur exportation.

Cette distinction est importante. La véritable propriété des données signifie que vous avez des droits illimités sur vos données dans un format que vous pouvez réellement utiliser. Cela signifie que vous pouvez extraire chaque rapport d'incident, chaque point de contrôle horodaté, chaque dossier de certification d'employé et chaque communication client sans restriction, dégradation ou contrôle de la part d'un fournisseur.

De nombreux fournisseurs de logiciels de sécurité affirment que vous « possédez vos données » tout en rendant presque impossible leur exportation dans un format complet et exploitable. Ils offrent parfois des fonctionnalités d'exportation limitées – rapports d'incidents en format PDF ou listes d'employés au format CSV – mais une extraction complète des données, incluant les liens relationnels, les champs personnalisés, l'historique des modifications et les métadonnées système ? C'est souvent une toute autre histoire.

Avant de signer un contrat, assurez-vous de bien comprendre le cadre juridique régissant vos données. Examinez attentivement les conditions générales d'utilisation. Le contrat stipule-t-il clairement que vous conservez la pleine propriété de vos données ? Pouvez-vous résilier le contrat et obtenir une exportation complète de vos données dans un délai raisonnable ? Dans quel format ces données seront-elles fournies et aurez-vous besoin de l'aide du fournisseur pour les interpréter ?

Que se passe-t-il lorsque vous changez de fournisseur de services de sécurité?

C'est là que la propriété des données devient cruciale, et c'est un scénario qui prend de nombreuses entreprises totalement au dépourvu.

Prenons l'exemple suivant : un hôpital a un contrat avec la compagnie de sécurité A depuis cinq ans. Durant cette période, la société A a utilisé sa plateforme de gestion des effectifs pour documenter des milliers d'incidents : urgences médicales, conflits avec les visiteurs, incidents de stationnement, vols, cas de violence au travail et failles de sécurité. Toutes ces données ont été méticuleusement enregistrées, catégorisées et stockées sur la plateforme de la compagnie A.

Le contrat de sécurité de l'hôpital est à renouveler. Après un appel d'offres, le contrat a été attribué à l'entreprise de sécurité B, qui utilise une plateforme de gestion de la main-d'œuvre totalement différente. Le directeur de la sécurité de l'hôpital présume qu'ils conserveront l'accès aux cinq années d'historique des incidents, aux données de patrouille et aux renseignements de sécurité. Après tout, ces incidents se sont produits dans l'établissement, ont impliqué le personnel et les visiteurs, et constituent des informations institutionnelles cruciales.

Mais voici le hic : ces données sont hébergées sur la plateforme du fournisseur de l’entreprise de sécurité A. Si cette dernière perd son contrat, qu’arrive-t-il aux données ? Dans bien des cas, la réponse est catastrophique : l’hôpital perd tout accès à ses données.

Ce n'est pas un scénario hypothétique. Ce genre de situation se produit régulièrement dans tous les secteurs. Un campus d'entreprise change de fournisseur de sécurité et perd trois ans de données sur les tendances des incidents, données qui ont permis d'établir sa stratégie de sécurité. Une université change de fournisseur et n'a plus accès aux archives nécessaires aux enquêtes menées en vertu du Titre IX. Une usine perd les incidents de sécurité documentés qui constituaient des preuves cruciales dans une affaire d'indemnisation des accidents du travail en cours.

L’entreprise — le véritable propriétaire de l’installation où ces incidents se sont produits — n’a souvent aucune relation directe avec le fournisseur du logiciel de sécurité. Leur contrat est avec la compagnie de sécurité, qui a à son tour un contrat avec le fournisseur de logiciels. Lorsque la relation avec l’entreprise de sécurité prend fin, l’accès aux données prend fin aussi.

Cela engendre de graves problèmes, au-delà de la simple perte de données historiques. Les vérifications de conformité peuvent exiger la production de données sur les incidents de sécurité des années précédentes. Les procédures judiciaires peuvent nécessiter l'accès à des rapports d'incidents spécifiques ou aux registres de patrouille. Les demandes d'indemnisation peuvent dépendre de mesures de sécurité documentées et des réponses apportées aux incidents. L'analyse des tendances requiert des données historiques continues pour identifier les schémas et orienter les améliorations en matière de sécurité.

Questions que les entreprises devraient poser à leurs fournisseurs de services de sécurité :

Avant de signer ou de renouveler un contrat de services de sécurité, les entreprises doivent aborder explicitement la propriété et la conservation des données :

• À qui appartiennent les données de sécurité générées dans nos locaux ? Ça doit être clairement stipulé dans le contrat. L’entreprise doit conserver la propriété de tous les rapports d’incidents, registres de patrouilles, enregistrements d’accès et données de sécurité générés sur ses sites.

• Que deviennent nos données si nous résilions ce contrat ? L'entente devrait préciser que l'entreprise reçoit une exportation complète de toutes les données dans un format standard et utilisable dans un délai défini (30 jours maximum) après la résiliation du contrat.

• Pouvons-nous accéder directement à nos données pendant la durée du contrat ? N'attendez pas la fin de la relation contractuelle pour demander l'accès aux données. Les entreprises doivent pouvoir exporter et consulter leurs données de sécurité en permanence, soit par un accès direct à la plateforme, soit par des exportations régulières et planifiées.

• Dans quel format les données exportées seront-elles fournies ? Exigez des formats structurés et lisibles par machine (JSON, XML ou CSV correctement formaté) qui préservent toutes les relations entre les données, et pas seulement des rapports PDF difficiles à analyser ou à migrer vers de nouveaux systèmes.

• Des frais seront-ils facturés pour l'extraction des données ? Certains fournisseurs facturent des frais élevés pour l'exportation de données. Ces frais doivent être clairement indiqués dans le contrat de service afin d'éviter les coûts imprévus lors de la transition.

• Comment assurerez-vous la continuité des données en cas de changement de fournisseur ? Les meilleurs fournisseurs de services de sécurité comprennent cette problématique et y répondent de manière proactive. Ils devraient être prêts à collaborer avec votre nouveau fournisseur pour faciliter le transfert des données et assurer la continuité opérationnelle.

Certaines entreprises visionnaires résolvent ce problème en conservant leur propre référentiel de données de sécurité, distinct de la plateforme de leur fournisseur de services. Elles exigent de ce dernier des exportations de données régulières (hebdomadaires ou mensuelles) qui alimentent leur propre entrepôt de données ou centre d'opérations de sécurité. Cela garantit la continuité de la propriété des données, quel que soit le fournisseur de sécurité responsable du contrat.

Une autre approche émergente consiste pour les entreprises à acquérir directement une licence pour la plateforme de gestion des effectifs et à en donner l'accès à leur fournisseur de services de sécurité. Ce modèle inverse la relation traditionnelle : l'entreprise contrôle la plateforme et les données, tandis que la société de sécurité n'est qu'un utilisateur. En cas de changement de contrat, l'entreprise conserve l'intégralité de la continuité de ses données et le nouveau fournisseur de sécurité doit simplement être intégré à la plateforme existante.

Le vrai prix à payer pour se tromper

Imaginez la situation : vous devez changer de fournisseur, mais vos données sont bloquées. Vous devez renouveler votre contrat à des conditions défavorables, et extraire trois ans de rapports d'incidents, de données de rondes, de dossiers de formation et de communications clients s'avère pratiquement impossible. Le fournisseur offre des exportations, mais dans des formats qui ne préservent pas les liens entre les enregistrements. Les champs personnalisés dont vous aviez besoin ne sont pas exportés. L'historique des données n'est disponible que par tranches de 90 jours, chaque exportation nécessitant l'ouverture d'un billet d'assistance et un délai de trois semaines.

Avant de signer votre prochain contrat ou de renouveler votre plateforme actuelle, prenez le test d'exportation au sérieux. Demandez dès aujourd'hui une exportation complète de vos données, tant que votre relation avec votre fournisseur est encore en règle. Analysez les données reçues. Pourriez-vous migrer vers une nouvelle plateforme avec ces données ? Pourriez-vous reconstruire vos opérations au besoin ? Si la réponse n'est pas « oui », il est temps d'aborder sérieusement la question de la propriété des données, de leur portabilité et de l'indépendance opérationnelle à long terme de votre entreprise.

Vos données de sécurité représentent des années de renseignements opérationnels, de relations clients, d'enseignements tirés d'incidents et de connaissances sur vos effectifs. Assurez-vous qu'elles restent vraiment vôtres, non seulement en théorie, mais aussi en pratique.