À qui appartiennent réellement vos données de sécurité ? (Et pourquoi cela est important lorsque vous changez de fournisseur) 

À qui appartiennent réellement vos données de sécurité ? (Et pourquoi cela est important lorsque vous changez de fournisseur) 

Lorsqu'elles évaluent les plateformes de gestion des effectifs de sécurité, la plupart des entreprises se concentrent sur les fonctionnalités, les tarifs et l'expérience utilisateur. Mais il existe un facteur essentiel qui est souvent négligé jusqu'à ce qu'il soit trop tard : la propriété des données.

L'emplacement de vos données de sécurité, l'identité de ceux qui les contrôlent et la facilité avec laquelle vous pouvez y accéder ne sont pas seulement des détails techniques : ce sont des décisions stratégiques qui pourraient déterminer si votre entreprise parvient à assurer la continuité de ses activités ou si elle est confrontée à une interruption catastrophique de ses activités.

À qui appartiennent réellement vos données de sécurité lorsque vous utilisez un logiciel cloud ?

Voici une question qui prend souvent au dépourvu de nombreux responsables de la sécurité : si vous utilisez une plateforme cloud de gestion du personnel de sécurité, à qui appartiennent légalement les rapports d’incident, les registres de patrouille, les dossiers des employés et les informations sur les clients stockés dans ce système ?

La réponse n'est pas aussi simple qu'on pourrait le croire. La propriété des données et leur hébergement sont deux concepts fondamentalement différents que la plupart des entreprises confondent. Lorsque vous hébergez des données sur la plateforme cloud d'un fournisseur, vous bénéficiez généralement d'une licence vous permettant d'utiliser ces données et d'y accéder, mais le fournisseur conserve souvent un contrôle important sur la manière dont ces données sont stockées, traitées et, surtout, exportées.

Cette distinction est importante. La véritable propriété des données signifie que vous disposez de droits illimités sur vos données, dans un format que vous pouvez réellement exploiter. Cela signifie que vous pouvez extraire chaque rapport d'incident, chaque point de contrôle de patrouille horodaté, chaque dossier de certification des employés et chaque communication avec les clients, sans aucune restriction, altération ni contrôle de la part du fournisseur.

De nombreux éditeurs de logiciels de sécurité affirment que vous êtes « propriétaire de vos données », tout en rendant pratiquement impossible l’exportation de ces données dans un format complet et exploitable. Ils proposent parfois des fonctionnalités d’exportation limitées — par exemple, des rapports d’incident au format PDF ou des listes d’employés au format CSV — mais qu’en est-il d’une extraction complète des données incluant les relations entre les entités, les champs personnalisés, l’historique des révisions et les métadonnées du système ? C’est souvent une tout autre histoire.

Avant de signer un contrat, assurez-vous de bien comprendre le cadre juridique régissant vos données. Lisez attentivement les conditions générales d'utilisation. Le contrat stipule-t-il explicitement que vous conservez l'intégralité de vos droits de propriété ? Pouvez-vous mettre fin à la relation contractuelle et obtenir une exportation complète de vos données dans un délai raisonnable ? Sous quel format ces données vous seront-elles fournies, et aurez-vous besoin de l'aide du prestataire pour les exploiter ?

Que se passe-t-il lorsque vous changez de fournisseur de services de sécurité ?

C'est là que la question de la propriété des données revêt une importance cruciale, et c'est un scénario auquel de nombreuses entreprises ne sont absolument pas préparées.

Prenons une situation courante : un hôpital a passé un contrat avec la société de sécurité A depuis cinq ans. Au cours de cette période, la société de sécurité A a utilisé sa plateforme de gestion des effectifs pour consigner des milliers d’incidents : urgences médicales, conflits avec des visiteurs, incidents de stationnement, signalements de vols, problèmes de violence au travail et failles de sécurité. Toutes ces données ont été méticuleusement enregistrées, classées et stockées sur la plateforme de la société de sécurité A.

Le contrat de sécurité de l’hôpital arrive désormais à échéance. À l’issue d’un appel d’offres, l’établissement décide d’attribuer le marché à la société de sécurité B, qui utilise une plateforme de gestion des effectifs totalement différente. Le directeur de la sécurité de l’hôpital part du principe qu’il conservera l’accès à ces cinq années d’historique des incidents, de données de patrouille et de renseignements de sécurité. Après tout, ces incidents se sont produits dans son établissement, ont impliqué son personnel et ses visiteurs, et constituent un savoir institutionnel essentiel.

Mais voici le problème : ces données sont hébergées sur la plateforme du fournisseur de la société de sécurité A. Lorsque la société de sécurité A perd son contrat, qu’advient-il de ces données ? Dans de nombreux cas, la réponse est catastrophique : l’hôpital en perd complètement l’accès.

Il ne s'agit pas d'un scénario hypothétique. Cela se produit régulièrement dans tous les secteurs d'activité. Un campus d'entreprise change de prestataire de services de sécurité et perd trois ans de données sur l'évolution des incidents qui étayaient son dispositif de sécurité. Une université change de prestataire et ne peut plus accéder aux archives nécessaires aux enquêtes menées au titre du Titre IX. Une usine perd les rapports d'incidents de sécurité qui constituaient des preuves essentielles dans une affaire d'indemnisation des accidents du travail en cours.

L'entreprise, propriétaire réel des installations où ces incidents se sont produits, n'a souvent aucun lien direct avec le fournisseur du logiciel de sécurité. Son contrat est conclu avec la société de sécurité, qui à son tour a conclu un contrat avec le fournisseur du logiciel. Lorsque la relation avec la société de sécurité prend fin, l'accès aux données prend également fin.

Cela engendre de graves problèmes qui vont bien au-delà de la simple perte de données historiques. Les audits de conformité peuvent vous obliger à fournir des données relatives aux incidents de sécurité survenus au cours des années précédentes. Des procédures judiciaires peuvent exiger l'accès à des rapports d'incident spécifiques ou à des registres de patrouille. Les demandes d'indemnisation auprès des assurances peuvent dépendre de la documentation relative aux mesures de sécurité mises en place et aux interventions menées en cas d'incident. L'analyse des tendances nécessite des données historiques continues afin d'identifier des schémas récurrents et d'orienter les améliorations en matière de sécurité.

Questions que les entreprises devraient poser à leurs fournisseurs de services de sécurité :

Avant de signer ou de renouveler un contrat de services de sécurité, les entreprises doivent aborder explicitement la question de la propriété et de la conservation des données :

• À qui appartiennent les données de sécurité générées dans nos locaux ? Ce point doit être clairement précisé dans le contrat. L'entreprise doit conserver la propriété de tous les rapports d'incident, registres de patrouille, registres d'accès et données de sécurité générés dans ses locaux.

• Que deviennent nos données en cas de résiliation du présent contrat ? Le contrat doit préciser que l'entreprise recevra une exportation complète de toutes les données dans un format standard et exploitable, dans un délai défini (30 jours maximum) à compter de la résiliation du contrat.

• Pouvons-nous accéder directement à nos données pendant la durée du contrat ? N'attendez pas la fin de la relation pour demander l'accès à vos données. Les entreprises doivent pouvoir à tout moment exporter et consulter leurs données de sécurité, que ce soit via un accès direct à la plateforme ou grâce à des exportations régulières et programmées.

• Sous quel format les données exportées seront-elles fournies ? Exigez des formats structurés et lisibles par machine (JSON, XML ou CSV correctement formaté) qui préservent toutes les relations entre les données, et non pas simplement des rapports au format PDF, difficiles à analyser ou à migrer vers de nouveaux systèmes.

• L'extraction des données entraînera-t-elle des frais ? Certains fournisseurs facturent des frais importants pour l'exportation des données. Ces frais doivent être clairement précisés dans le contrat de service afin d'éviter toute surprise financière pendant la phase de transition.

• Comment garantirez-vous la continuité des données si nous changeons de prestataire ? Les meilleurs prestataires de services de sécurité comprennent cette préoccupation et y répondent de manière proactive. Ils doivent être disposés à collaborer avec votre nouveau prestataire afin de faciliter le transfert des données et d'assurer la continuité des opérations.

Certaines entreprises avant-gardistes résolvent ce problème en gérant leur propre référentiel de données de sécurité, distinct de la plateforme de leur prestataire de services. Elles exigent de leur prestataire de sécurité qu’il leur fournisse régulièrement (chaque semaine ou chaque mois) des exportations de données qui alimentent leur propre entrepôt de données ou leur centre d’opérations de sécurité. Cela garantit le maintien de la propriété des données, quel que soit le prestataire de sécurité avec lequel le contrat a été conclu.

Une autre approche qui se développe consiste pour les entreprises à acquérir directement une licence d’utilisation de la plateforme de gestion des effectifs et à en donner l’accès à leur prestataire de services de sécurité. Cela inverse la relation habituelle : l’entreprise contrôle la plateforme et les données, tandis que la société de sécurité n’est qu’un simple utilisateur. En cas de changement de contrat, l’entreprise conserve une continuité totale des données et le nouveau prestataire de sécurité n’a qu’à être intégré à la plateforme existante.

Le coût réel d'une erreur

Imaginez ce qui se passe lorsque vous devez changer de prestataire, mais que vous vous rendez compte que vos données sont bloquées. Vous êtes confronté à un renouvellement de contrat aux conditions défavorables, mais il s’avère pratiquement impossible d’extraire trois ans de rapports d’incidents, de données de rondes de sécurité, de dossiers de formation et de communications avec les clients. Le prestataire propose des exportations, mais celles-ci sont dans des formats qui ne préservent pas les relations entre les enregistrements. Les champs personnalisés sur lesquels vous comptiez ne s’exportent pas du tout. Les données historiques ne sont disponibles que par tranches de 90 jours, chacune nécessitant un ticket d’assistance et un délai de traitement de trois semaines.

Avant de signer votre prochain contrat ou de renouveler votre plateforme actuelle, prenez le « test d’exportation » très au sérieux. Demandez dès aujourd’hui une exportation complète de vos données, tant que vous êtes encore en bons termes avec votre fournisseur. Examinez ce que vous recevez. Pourriez-vous migrer vers une nouvelle plateforme avec ces données ? Pourriez-vous reconstituer vos opérations si nécessaire ? Si la réponse n’est pas « absolument oui », il est temps d’avoir une discussion sérieuse sur la propriété des données, leur portabilité et l’indépendance opérationnelle à long terme de votre entreprise.

Vos données de sécurité reflètent des années d'informations opérationnelles, de relations clients, d'enseignements tirés des incidents et d'analyses sur votre personnel. Assurez-vous qu'elles restent véritablement les vôtres, non seulement en théorie, mais aussi dans la pratique.