Vos données les plus sensibles se trouvent déjà en dehors de votre système

ACTUALITÉS

Vos données les plus sensibles se trouvent déjà en dehors de votre système

La gouvernance documentaire, la collaboration externe et la lacune que la plupart des organisations négligent

Les entreprises investissent massivement dans la sécurisation de leurs systèmes internes. Des contrôles d'accès sont mis en place. Les processus sont structurés. Le chiffrement est assuré.

Mais une grande partie de ces données ne reste pas interne.

Dans le cadre des opérations quotidiennes habituelles, des documents sont partagés en externe avec des partenaires, des fournisseurs, des autorités de régulation et des auditeurs. Dans les environnements SAP, cela se produit en permanence : commandes d'achat, documents qualité, spécifications techniques, déclarations de conformité et plans d'ingénierie, pour n'en citer que quelques-uns. La liste est longue et le volume considérable.

Cela signifie que des informations sensibles se trouvent déjà en dehors des limites du système. Non pas à cause d'une faille de sécurité. Non pas à cause d'une erreur. Tout simplement parce que c'est ainsi que fonctionne la collaboration en entreprise.

Le défi n'est pas d'empêcher cela, mais de le gérer.

Là où les contrôles traditionnels s'arrêtent

Au sein de SAP, la gouvernance documentaire est bien structurée. Les droits d'accès sont définis au niveau du système, les workflows garantissent la traçabilité et les journaux d'audit enregistrent toutes les activités. L'architecture est conçue pour assurer le contrôle.

Mais lorsqu'un document est partagé en externe — envoyé à un fournisseur pour révision, transmis à une autorité de régulation ou transféré à un partenaire pour validation —, cette architecture ne l'accompagne pas.

Le document sort du périmètre du système, emportant avec lui la visibilité et le contrôle que ce dernier offrait.

À ce stade, plusieurs choses se produisent généralement :

• L'accès n'est plus contrôlé au niveau du document. Une fois partagé, le document peut être transféré, téléchargé et redistribué sans restriction.
• La visibilité est réduite. Il n'existe souvent aucune trace claire permettant de savoir qui a consulté le document, à quel moment, ni ce qu'il en a fait.
• La traçabilité est perdue. Si des questions se posent par la suite — lors d'un audit, d'un contrôle de conformité ou d'une enquête de sécurité —, il est difficile, voire parfois impossible, de retracer l'historique d'un document partagé en externe.

Il ne s'agit pas d'une défaillance du système interne. C'est simplement que ce système n'a pas été conçu pour régir ce qui se passe au-delà de ses limites.

Déterminer où s'arrête réellement la gouvernance

La plupart des entreprises affirment avoir mis en place une gouvernance documentaire. Et au niveau du système, elles ont raison.

La question est de savoir jusqu'où cette gouvernance s'étend dans la pratique.

Si un document peut être partagé en externe sans contrôle d'accès, sans suivi des activités ni piste d'audit complète, la gouvernance s'arrête alors aux limites du système. Tout ce qui se passe au-delà de ce point échappe à tout contrôle.

Pour de nombreuses organisations, cette lacune n'existe pas parce qu'elle a été négligée, mais parce qu'on partait du principe que la gouvernance interne était suffisante.

Dans des environnements de collaboration de plus en plus complexes — avec davantage de partenaires, davantage d'exigences réglementaires et davantage de flux de documents —, cette hypothèse n'est plus valable.

Ce qu'implique une gouvernance efficace au-delà du système

Pour combler cette lacune, il n'est pas nécessaire de remplacer les workflows SAP existants ni d'alourdir les processus internes. Il s'agit plutôt d'étendre le contrôle au-delà des limites du système afin que les documents restent soumis à une gouvernance tout au long de leur cycle de vie.

Concrètement, cela signifie trois choses :

1. Partage contrôlé
Lorsqu'un document est diffusé à l'extérieur, les droits d'accès doivent être clairement définis et applicables : il faut préciser qui peut le consulter, pendant combien de temps et à quelles conditions. Ces droits d'accès doivent pouvoir être révoqués si les circonstances changent.

2. Traçabilité complète
Chaque interaction avec le document — accès, téléchargement, transfert, modification — doit être consignée dans une piste d'audit complète qui suit le document au-delà du système, et pas seulement à l'intérieur de celui-ci.

3. Visibilité continue
Les équipes chargées de la gouvernance et les responsables des documents doivent pouvoir suivre ce qu’il advient des documents une fois qu’ils sont en circulation, et pas seulement au moment de leur partage. Si un changement survient — par exemple, si un partenaire transmet un document à un destinataire non prévu ou si un accès a lieu en dehors des paramètres convenus —, cela doit être visible.

Le déficit de gouvernance est déjà bien présent

Ces données existent déjà en dehors du système. Il ne s'agit pas d'un risque futur, mais d'une réalité actuelle pour toute organisation qui met en œuvre une collaboration inter-systèmes.

La question n'est pas de savoir s'il faut s'en occuper. Il s'agit plutôt de déterminer à quelle vitesse une organisation peut passer de la simple conviction que la gouvernance va au-delà de SAP à la mise en œuvre active de cette approche.

En effet, l'efficacité de la gestion des documents ne dépend pas de l'emplacement où se trouvent les informations, mais de la manière dont elles sont contrôlées dans la pratique.