Sécuriser sa BDESE : Quelles sont les bonnes pratiques ?

Menaces de sécurité, cyberattaques, tentatives d’intrusion malveillantes ou encore maladresses des collaborateurs, les entreprises n’ont plus d’autre choix que de protéger leurs données sur chacun de leurs outils informatiques.

En 2021, 54% des entreprises ont signalé avoir été victimes de cyberattaques, selon le baromètre de la Cybersécurité en entreprise CESIN 2022. A la suite d’une cyberattaque, les organisations comptabilisent en moyenne une perte de 27% du chiffre d’affaires annuel, sans compter les coûts d’une demande de rançon (rançongiciel).

La BDESE est un outil qui regroupe des données à caractère sensible et confidentiel sur votre organisation. Elle n’est donc pas épargnée par cette menace grandissante, ni par la maladresse des collaborateurs. En plus de la Loi Informatique et Libertés à respecter, un certain nombre de bonnes pratiques sont à adopter au sein de l’organisation pour assurer la protection des données économiques, sociales et environnementales. Alors comment sécuriser les données de la BDESE ? Découvrez à travers notre article toutes les bonnes pratiques à adopter pour sécuriser la BDESE de votre organisation.

Quels sont les points du cadre légal de la BDESE sur la sécurité

La BDESE est un outil de communication et de partage des données sociales, économiques et environnementales d’une organisation. Les données renseignées dans cet outil sont à caractère sensible et confidentiel. En revanche, la BDESE ne doit contenir aucune donnée à caractère personnel ou permettant l’identification d’un salarié, décret n°2013-1305 du 27 décembre 2013 relatif à la base de données économiques et sociales et aux délais de consultation du comité d’entreprise et d’expertise.

Qui a accès à la Bdese ?

La base de données économiques, sociales et environnementales doit être accessible en permanence à l’ensemble des Instances représentatives du personnel :

• Les membres élus ; les titulaires et les suppléants du CSE (Le comité social et économique)
• Les représentants du comité central d’entreprise et du CSE d’établissement dans le cas d’une entreprise multi-établissements
• Les organisations syndicales

Dans le cadre de leurs attributions concernant la santé et la sécurité au travail, l’inspection du travail, le médecin du travail et les élus du comité CSSCT (commission santé, sécurité et conditions de travail) doivent également y avoir accès.

Quand la Bdese doit-elle être accessible ?

L’accès à la Bdese doit être permanent. Pour autant, cela ne signifie pas que l’accès doit être illimité. La cours de cassation a spécifié que l’obligation d’accès permanent est respectée lorsque la Bdese est accessible pendant les heures de travail (jours ouvrés, heures d’ouverture…). La lecture de la Bdese peut également être restreinte à un poste de travail de l’entreprise, mis à disposition pour cette utilisation.

BDESE : quel format pour sécuriser vos données ?

Il existe différents formats pour réaliser la BDESE, chacun ayant ses propres avantages mais aussi certaines limites en matière de sécurité.

Le classeur papier

Le classeur papier, bien qu’offrant une facilité de lecture, n’apporte aucune garantie de sécurité sur les maladresses des collaborateurs. Ce format oblige la mise en place d’heures de consultation pour veiller à la sécurité des données. C’est en partie pour cette raison qu’il est interdit au sein des organisations de plus de 300 collaborateurs.

Le fichier Excel

Le tableur Excel est le format utilisé par défaut dans une majeure partie des entreprises. En effet, la plupart d’entre elles possèdent déjà la suite Office pour l’ensemble des collaborateurs. Et quoi de mieux pour regrouper ces informations que l’outil leader du marché en matière de traitement des données ? C’est là que se trouve la confusion. La BDESE est un outil de communication qui a pour objectif de partager des informations relatives à l’organisation. Ce format n’assure pas la sécurité lors du partage de ces dernières et comporte un fort risque d’erreur lié aux multiples manipulations. De plus, l’administrateurs n’a pas ou peu de contrôle sur les différents profils de lecteurs.

Les fichiers partagés GED

Le format GED est une solution, comme pour le classeur Excel, qui est la plupart du temps déjà disponible dans l’entreprise avec la suite Office. Elle permet notamment d’associer des droits aux différents profils d’utilisateur sur les fichiers partagés. Malgré tout, l’attribution de ces derniers peu vite devenir ingérable dans le cas de grandes organisations ou de BDESE multi-entités.

La solution dédiée

La solution dédiée est à ce jour le choix qui vous assure le plus de sécurité. En effet, les différents prestataires sur le marché sont dans l’obligation de répondre à toutes les règles et normes de sécurité afin d’assurer la protection des données de leurs clients. De plus, les solutions dédiées proposent, dans la plupart des cas, des fonctionnalités supplémentaires pour renforcer la sécurité des données (gestion fine des profils, sécurisation des échanges et communication, historique des consultations…).

BDESE : La sécurité au quotidien

Alors que les notions de sécurité paraissent complexes, l’identification des différents points de vigilance peut facilement être établi par le service Ressources Humaines. Ainsi, ce rapport permettra soit à la DSI (direction des systèmes d’information) de réaliser les améliorations nécessaires sur l’outil existant, soit au service RH, de choisir un outil de gestion de la BDESE conforme aux besoins identifiés.

Les accès et les connexions

Le premier niveau de sécurité des données est la gestion des accès à la BDESE. Ce point peut paraitre évident mais dans la pratique, une simple autorisation de lecture sur une adresse mail ne sera pas suffisante. En plus de gérer les accès, il sera primordial de pouvoir contrôler et historiser les connexions.

a- L’accessibilité

Tout d’abord, l’organisation doit définir « quand » la Bdese sera accessible aux différentes IRP. Elle peut faire le choix d’un accès 24/7, ou uniquement sur les heures ouvrées ou/et jours ouvrés. Attention toutefois à la notion de droit à la déconnexion. L’organisation peut également limiter la consultation de la BDESE aux ordinateurs de l’entreprise.

b- La connexion

Ensuite, l’organisation peut mettre en place des règles de connexions comme par exemple, l’obligation de se connecter avec un mot de passe et un identifiant unique à l’environnement de la BDESE. Cela permettra de maitriser les différentes connexions à l’outil.

De même, l’entreprise peut installer une double authentification afin de minimiser les risques de piratage des accès de vos IRP.

Il est également possible de mettre en place le SSO, qui permettra de mutualiser les règles de connexions de votre entreprise sur l’ensemble des solutions logicielles.

En complément des différents points abordés précédemment, il est important de mettre en place un historique des connexions. Cette fonctionnalité permet de contrôler les connexions à la Bdese et ainsi déceler de possibles intrusions malveillantes. En complément, le service RH pourra s’assurer que tout le monde prend bien connaissance des données partagées dans l’outil et voir la fréquence des connexions de chaque utilisateur.

Pour finir, certaines solutions dédiées proposent un paramétrage des profils permettant de couper automatiquement les accès à la fin de chaque mandat. Ainsi, les données restent strictement confidentielles !

Maitriser la diffusion du contenu

Comme il est très souvent le cas, toutes les données contenues dans le Bdese ne doivent pas être accessibles à tous les IRP. Il est donc important de mettre en place une gestion fine des profils. Ainsi, l’organisation accordera à chaque profil la lecture des données de l’établissement qui le concerne.

Le service Ressources Humaines doit également protéger les documents et les données avant et pendant leur diffusion :

• Autorisation d’impression
• Autorisation de téléchargement
• Filigrane

Pour finir, l’entreprise doit envisager très sérieusement de faire signer une charte de confidentialité à tous les utilisateurs de la Bdese. Ce document permettra de les sensibiliser au caractère sensible et confidentiel des données et de les informer sur les bonnes pratiques de sécurité à adopter. En complément, ils auront connaissance des risques encourus en cas de divulgation des informations confidentielles de l’entreprise et des mesures pourront être appliquées en conséquence.

Mener un plan d’action sécurité de la BDESE

Le sujet de sécurité des données de la Bdese, au-delà des bonnes pratiques du quotidien, devra également passer entre les mains d’experts reconnus, soit au sein de votre organisation (DSI, SIRH…) soit par le biais d’une solution dédiée du marché.

Les bonnes pratiques

La sécurité des données de la Bdese reposera sur trois grands critères :

a- La sauvegarde des données

Cela consiste à sauvegarder les données de la Bdese sur plusieurs sites afin d’assurer le plan de reprise d’activité (PRA) et le plan de continuité d’activité (PCA). De cette manière, les données ne seront pas perdues en cas de problème sur l’un des sites (incendie, disfonctionnement, cyberattaques…).

b- L’authentification

Comme cité précédemment, l’authentification fait partie des démarches de sécurité incontournables actuellement. Cette dernière se traduit par plusieurs types d’actions, tel que les identifiants uniques et nominatifs, les authentifications multi-facteurs, les solutions anti brute-force.

c- Le cryptage des données

Il existe deux types de cryptage de données :

• Le cryptage du stockage des données
• Le cryptage de l’échange des données

Le cryptage du stockage peut se faire à l’aide de solution tel que BitLocker ou TrueCrypt. Le cryptage des échanges se fait à l’aide d’un VPN ou d’une communication HTTPS.

La solution Alcuin BDESE

Notre solution BDESE  est reconnue à la fois pour sa haute exigence en matière de sécurité et sa simplicité des processus. Notre force réside dans nos 20 ans d’expérience sur le marché de l’édition de logiciels ainsi que dans notre capacité à assurer la sécurité et la conformité des solutions que nous commercialisons.

En plus de vous accompagner dans la gestion de votre BDESE, Alcuin BDESE vous permet de gérer l’ensemble de votre dialogue social dans un seul et même outil. Cette mutualisation des besoins, tel que l’agenda social, les convocations, ou encore les consultations vous permet de minimiser les risques lors des échanges de données.

De plus, nous avons intégré, pour vous, les bonnes pratiques en matière de sécurité pour vous faciliter la mise en place de votre solution BDESE au sein de votre organisation.