Comment éviter que la surveillance de sécurité du réseau ne devienne une surveillance des salariés ?
En fixant avant de commencer la finalité, les données et les personnes ayant accès, et en l'écrivant. Formulez la finalité comme la détection d'attaques sur les appareils et les systèmes, en excluant explicitement le contrôle de la performance ou du comportement. Ne collectez que des métadonnées, conservez-les pour une durée définie et limitez l'accès aux quelques personnes chargées de la sécurité, avec une trace de leurs actions. Dites aux salariés ce qui est surveillé et pourquoi, associez les représentants du personnel là où ils existent et menez une analyse d'impact relative à la protection des données si le traitement est susceptible d'engendrer un risque élevé. Revoyez le dispositif chaque année. NetSenX va dans ce sens par conception : il observe des appareils et des connexions, ne déchiffre jamais le trafic, rend compte de l'usage de l'IA par appareil et par programme plutôt que par personne, et tient un journal d'audit de qui a fait quoi dans le compte.
Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.
À lire ensuite
Questions liées
- Un ordinateur de bureau inutilisé peut-il servir à des attaquants ?
- Comment repérer de l'activité sur un ordinateur qui devrait être inactif ?
- Que doit faire l'informatique des ordinateurs des salariés en congé de longue durée ?
- Comment surveiller les portables des prestataires sur notre réseau ?
- Les prestataires doivent-ils avoir un réseau séparé ?
← Les 40 questions sur Personnel, RH et risque interneTous les thèmes