La perte de données suite au départ d'un employé constitue un problème majeur pour les entreprises
D'après une étude

Le , par Stéphane le calme, Chroniqueur Actualités
Une étude menée par le cabinet Osterman Research a indiqué que, concernant la protection des données, 69 % des entreprises redoutent une perte des données après le départ (licenciement, fin de contrat, départ volontaire) d’un employé. Le cabinet voit trois raisons qui peuvent expliquer le fait que les employés s’en aille avec les données de leur ancien employeur :
  • l’inadvertance : à l'ère des dispositifs BYOD, les applications et les stockages sur le cloud, il arrive que les employés partent de l’entreprise avec des données qui lui appartiennent sans même réaliser ou alors se souvenir que ces données sont en leur possession. En outre, étant donné que de nombreux employés ont pris l’habitude de travailler au moins à temps partiel une fois à la maison (heures normales ou non), il arrive qu’ils gardent une source de données riche de l’entreprise sur leur ordinateur personnel, sur une clé USB, sur des fichiers dans le cloud, etc. ;
  • ils ne pensent pas que c’est mauvais ou alors estiment que cela ne va pas nuire à l’entreprise : par exemple un employé qui, pendant son contrat, a travaillé à créer des relations clients, a participé à la création d’une propriété intellectuelle ou laisse derrière lui une entreprise qui pourrait bientôt fermer boutique, peut trouver juste de prendre des données avec lui, souvent parce qu’il estime que ces données lui appartiennent également. Pour Osterman Research, ce problème a encore pris plus d’ampleur avec le fait que les politiques de protection de données des entreprises ne sont pas renforcées mais aussi par le manque de déploiement de technologies de surveillance dont l’optique est de protéger l’entreprise contre les exfiltrations de données.
  • ils le font avec de mauvaises intentions : certains employés peuvent prendre des données appartenant à l’entreprise en guise de représailles parce qu’ils estiment avoir été licenciés, mis à pieds ou être passés à côté d’une promotion de façon injuste. Ils peuvent aussi avoir un différend personnel avec leur supérieur ou alors ils voudraient pouvoir obtenir un avantage dans leur nouvel emploi en apportant sur un plateau les données confidentielles de la concurrence. « Même si la portion des employés qui emportent / détruisent les données de l’entreprise de façon mal intentionnée est un faible pourcentage relatif aux pertes de données subies par les entreprises, les dommages qui peuvent en résulter sont parfois importants ».

Osterman Research pense qu’il y a des signes qui montrent qu’un employé envisage de voler des données entreprises ou est déjà en train de le faire, et recommande aux responsables d’y être attentifs :
  • les employés copient des informations sur le cloud, des clés USB, des périphériques personnels, des comptes de messagerie personnels, etc. « Bien que cela arrive souvent à cette époque du BYOD et que cela est souvent effectué par des employés qui font tout simplement leur travail, un pic dans l'une de ces activités pourrait être le signe qu'un employé est sur le point de quitter l’entreprise et envisage d’exfiltrer des données avant son départ » ;
  • un nombre significatif de documents effacés depuis son ordinateur, des documents entreprises et d’autres dépôts de données ;
  • des pics soudain ou des baisses dans l'activité d'email ;
  • un accès inhabituel à des comptes ou des installations entreprises comme le système GRC (Gestion de Relations Clients, qui permet entre autres d'améliorer la connaissance du client et lui fournir des produits ou services répondant au mieux à ses attentes) ou à des comptes financiers à des heures différentes de celles auxquelles il y accède souvent ;
  • des courriels et autres éléments de communications entre un employé et la concurrence.



Osterman Research prévient que l’exfiltration des données suite aux départs des employés peut créer une variété de problèmes, allant du simple fait d’être ennuyeux à la capacité à mettre une entreprise à genoux. De plus, lors de leur enquête, plus d’une entreprise sur cinq ne disposait de moyen de récupérer les données en la possession de leurs employés lorsqu’ils s’en sont allés. Les conséquences de cette exfiltration de données peuvent donc être diverses, entre autres :
  • une perte de la propriété intellectuelle : nombreuses sont les entreprises qui ont des secrets commerciaux, des brevets, un portfolio clients ou d’autres données confidentielles qui constituent pour elles un socle précieux sur lequel s’appuient leurs activités. Si ces données venaient à être diffusées suite au départ d’un employé, cela pourrait leur causer un préjudice financier important, amoindrir leurs perspectives de revenus ou leur réputation. Le cabinet donne plusieurs exemples en guise d’illustration : « alors qu'il était encore employé, un technicien informatique de la division Hotwire.com d'Expedia a piraté les dispositifs des dirigeants d'entreprise et utilisé l'information obtenue pour générer plus de 330 000 dollars en opérations sur options d'achat d'actions. Bien que l’employé a quitté Expedia en 2015, il a continué à utiliser un ordinateur portable de l’entreprise qu’il n'avait pas retourné à son départ, continuant alors d’accéder aux dispositifs et comptes de messagerie utilisés par des dirigeants d'entreprises jusqu'à ce qu'il soit pris en 2016 » ;
  • des poursuites judiciaires et d’autres litiges ;
  • la perte d’un avantage compétitif .

Osterman Research propose alors quelques politiques et procédures pour minimiser voire éliminer une exfiltration potentielle de données par des employés qui quittent l’entreprise. En voici quelques unes :
  • assurer une visibilité permanente des données d'entreprise sensibles : par exemple en déployant un système d'archivage de contenu qui permettra la saisie, l'indexation et l'immuabilité du contenu sur la base de la politique de l'entreprise. L'archivage des courriels est le premier choix logique et la meilleure façon de lancer un processus d’archivage de contenu mais d'autres types de données (comme les fichiers, le contenu des médias sociaux, les messages texte, les pages Web et d’autres contenus) devraient également être envisagés pour l’archivage ;
  • limiter l’accès des employés aux données : par rôle, fonction, nécessité de savoir, etc. En limitant l'accès des employés aux informations sensibles ou confidentielles, l’impact des employés qui exfiltrent des données peut être atténué. L'utilisation de solutions permettant aux utilisateurs d'accéder UNIQUEMENT au contenu dont ils ont BESOIN pour mener à bien leur mission est essentiel ;
  • chiffrer les données en transit, au repos et en utilisation ;
  • demander une authentification appropriée pour le contenu sensible ;
  • bien gérer les dispositifs mobiles et les ordinateurs portables : en raison de la quantité importante de données stockées sur les smartphones et les ordinateurs portables, il est vital de s’assurer de pouvoir effacer à distance les données mobiles afin que les anciens employés n’aient plus accès au contenu stocké sur ces périphériques ;
  • s’assurer de disposer d’une politique de sauvegarde efficace ;
  • insérer des clauses de confidentialité claires dans les contrats de travail ;
  • élaborer des politiques sur l'utilisation adéquate des plateformes ;
  • ne pas connecter une imprimante à des ordinateurs individuels.

Source : papier blanc Osterman Research


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de joublie joublie - Membre averti https://www.developpez.com
le 04/01/2017 à 16:31
Ils le font avec de mauvaises intentions : certains employés peuvent prendre des données appartenant à l’entreprise en guise de représailles parce qu’ils estiment avoir été licenciés, mis à pieds ou être passés à côté d’une promotion de façon injuste.
En France la chambre sociale et la chambre criminelle de la cour de cassation ont une position constante sur le vol de documents appartenant à l'entreprise pour la défense des droits du salarié : ce vol est admis pour peu que certaines conditions soient remplies (conditions définies par les juges de la haute cour et assez restrictives).

Ceci dit, dans cet article on voit bien les failles énormes de sécurité informatique dans certaines entreprises, par exemple continuer à accéder à une messagerie de l'entreprise avec le même mot de passe utilisé par des dizaines de personnes.
Avatar de 7gyY9w1ZY6ySRgPeaefZ 7gyY9w1ZY6ySRgPeaefZ - Membre émérite https://www.developpez.com
le 04/01/2017 à 17:40
J'avoue que ça me fait pas mal rire ce «problème» de fuite d'information.
Pour être du côté sécurité (je suis dba), tu peux faire des recommandations longue comme mon bras pour améliorer les usages et surtout stopper les mauvaises pratiques et les mots de passe foireux répandus à trop de monde avec trop de droits. Et là, justement, la plupart des sociétés ne vont rien faire ou très peu parce que «ça prend trop de temps», «c'est pas si important», «on a toujours fait comme ça», «ce projet là est plus important», etc...
Quand le mot de passe sysadmin est le nom d'un fruit de moins de huit lettres en minuscule... Ben, tu hallucines tout de même. Quand tu quittes la société des années après et que rien n'a bougé, c'est assez drôle de se plaindre de fuite alors que rien ou trop peu n'est fait en amont.

On sait pas mal tous les moyens de sécuriser les données mais combien d'environnement de travail suivent ne serait-ce que 25% de ces bonnes pratiques ?

Ma conclusion, c'est qu'au final, rien n'est vraiment fait pour sécuriser efficacement les données mais la loyauté et l'éthique des employés fait que l'impact est nul voir négligeable.

Honnêtement, qu'est-ce que je pourrais vraiment faire des données de mes anciens employeurs ? Vendre des listes de clients, des adresses courriels pour quelques milliers d'euros ? Vendre le mot de passe du fruit pour le Sysadmin ?
Pour le risque que je prends en brisant ma carrière, ça n'en vaut pas le coup.
Je gagne sûrement bien davantage en monnayant ma loyauté.
Avatar de RyzenOC RyzenOC - Inactif https://www.developpez.com
le 04/01/2017 à 19:16
ce qui me fait rire c'est qu'a aucun moment ils se demandent pourquoi les salariés s'en vont...

Une boite ou l'on se sens bien avec un salaire honnête (oui sa existe) on ne la quitte généralement pas sauf raison personnel et dans ce cas j'vois pas pourquoi le salarié voudrait trahir l'entreprise si cette dernière l'a toujours bien traité.
Avatar de yento yento - Membre émérite https://www.developpez.com
le 04/01/2017 à 19:38
Rassembler data loss et knowledge loss dans la même question. Deux choses qui n'ont rien avoir.

Voilà les gens qui arrangent les sondages pour faire ressortir ce qu'ils veulent.
Avatar de 7gyY9w1ZY6ySRgPeaefZ 7gyY9w1ZY6ySRgPeaefZ - Membre émérite https://www.developpez.com
le 04/01/2017 à 19:46
Citation Envoyé par RyzenOC Voir le message
Une boite ou l'on se senT bien avec un salaire honnête (oui Ça existe) on ne la quitte généralement pas sauf raison personnel et dans ce cas j'vois pas pourquoi le salarié voudrait trahir l'entreprise si cette dernière l'a toujours bien traité.
C'est bien trop restrictif ton affaire. Tu peux changer de boîte pour évoluer (il n'y a pas forcément le poste disponible dans la structure actuelle ou il est déjà occupé), pour changer de métier, pour changer de région, pour se mettre en danger (quoi de pire professionnellement que l'immobilisme, surtout dans les TI !), etc...
Après, la perte de données, ce n'est pas nécessairement de la trahison volontaire, comme le rappel le début de l'article

J'ai des dizaines de mots de passe sensibles dans ma tête.
Et puis, la perte de données, c'est aussi quitté son poste et faire la transmission de connaissance à des personnes qui n'ont pas les compétences pour les comprendre, surtout pas en deux semaines !
Même mis dans une base de connaissance, la plupart du temps, ça moisit sur place et c'est oublié en quelques mois. L'information est disponible et accessible mais finalement perdu !
Avatar de - https://www.developpez.com
le 04/01/2017 à 21:42
Quel stade d'avancement du projet qui est le plus souvent sujet à cela ?
Avatar de marsupial marsupial - Membre émérite https://www.developpez.com
le 05/01/2017 à 11:13
Le cabinet aborde le sujet de manière théorique et manque de pragmatisme. Beaucoup de patrons deviennent voyous car la situation économique l'exige : la loi de la jungle, manger ou être mangé.
Cela se répercute de manière plus ou moins aigüe sur l'employé qui alors à son tour appliquera la loi de la jungle à son comportement.
Fleur Pellerin propose la création d'un NASDAQ européen afin d'offrir le choix aux start up de rester en Europe. Cette mesure atténuerait la pression sur les entreprises.
Cela enlèverait une cause à la fuite de donnée.
Il reste beaucoup à faire en plus d'agir sur le comportement et la relation employeur-employé.

NB : la loi de la jungle reste nullement une raison à mes yeux pour justifier un vol de données bien que cela soit compréhensible.

"Les règles ne sont pas souples. Moi non plus. Rompez"

"J'ai goûté en connaisseur, je te remercie du cadeau. Tu te rappelles de cette annonce pour conduire des camions ? Ca pourrait servir."
Avatar de fiftytwo fiftytwo - Membre émérite https://www.developpez.com
le 06/01/2017 à 4:04
Jai vu un cas ou chef de lequipe de dev est entre en froid avec le CEO et proprio de la boite , qui au passage est un gros connard qui traite ses employes comme de la merde

Avant de dire au CEO daller se faire voir au pays de nikos aliagas , et claquer la porte , il a bien pris le soin de partir avec tout le code source du nouveau bebe de lentreprise , il avait acces a tout sans controles

Resultat des courses , ils ont du changer plein de parametres concernant l'infra en ligne (serveurs , hebergeurs , bdd , etc .....) et reprendre le code depuis quasiment zero

Le remplacant a eu dans son contrat des clauses supplementaires relatives a la securisation de ces donnees , etc .... pour proteger la boite dun nouveau sabotage .

Le CEO a une attitude un peu expeditive , cest a dire que le processus de licenciement est lance en secret , le soir meme tous les acces sont revoques et materiel confisques avant meme que lemploye arrive le lendemain matin .

Ainsi il a juste a venir dans son bureau , quelques minutes de blabla et pusi signer des docs , recuperer son carton avec ses effets personnels deja emballes et au revoir president .....

En soit cest une bonne attitude de prevenir des actes de vengeance , mais tant qu' une personne est en poste investir et consacrer du temps a la securite est le dernier de ses soucis

Un autre cas que jai vu chez des collegues , comme mentionne par 7gyY9w1ZY6ySRgPeaefZ , un pseudo-genie se barre de son job apres avoir monte linfra de A a Z , en ayant eu les mains libres de la direction , qui etait contente de ses services

Transfert de competences bacle , mots de passe transmis incorrects , backdoors ouvertes pour ses besoins de teletravail , zero documentation , donnes sensibles disparues (mais quil a miraculeusement en sa possession sans que cela ne gene personne) , etc .....

Tu rajoutes de la politique dedans , ben a la premiere merde qui cest qu'on rappelle en cata pour tout regler ?? Bien sur ce meme genie qui au pasage a facture ses prestations de consulting alors qu''elles sont simplement dues a son laxisme et envie de saboter son ancienne boite
Avatar de 7gyY9w1ZY6ySRgPeaefZ 7gyY9w1ZY6ySRgPeaefZ - Membre émérite https://www.developpez.com
le 06/01/2017 à 14:58
Une anecdote personnelle :
Je quitte une job et je transferts les logins / mots de passe des bases de données à mon successeur et mon supérieur par courriel. Ok, rétrospectivement, ce n'est pas ce qu'il y a de plus optimal.
Une heure après, je constate que mon mail confidentiel a subi divers reply all et qu'il y a maintenant une douzaine de personnes dans les destinataires...
J'ai ri bien fort et je n'ai jamais regretté d'avoir quitté cette ambiance de fonctionnaires !!!
Avatar de JPLAROCHE JPLAROCHE - Membre actif https://www.developpez.com
le 16/01/2017 à 14:00
une autre anecdote personnel,

viré âpres 3 burnout (je ne supportais pas la destruction des emplois) fini seul dans le service informatique , le dirigeant gentil Con à continuer dans sa débilité aujourd'hui perd plus des 75% de ses informations
motif achat d'un logiciel pour une boutique alors que l'entreprise une une industrie ..... cherché l'erreur
l'incapacité est déplorable et le bêtise encore plus. 500.000 € de perte et ça continue , son model de C. est breveter , il ne ce contente pas de couper la branche mais scie l'arbre qui lui donne les pépettes , AH enfin le dernier mot de l'histoire attend qu'on le foute dehors avec un parachute de 285.000 €

alors parler de perte de données .... quand on voit ce qu'il faut fournir dans le domaine des assurances ect.... et les normes vis a vis des impots !!!! je ne vois pas comment un vrais service informatique perd des données....
sauf si vous rencontrer Gentil-Con .......

@bient$ot
Contacter le responsable de la rubrique Accueil