Need-to-know-Prinzip

Tout le monde dans l'entreprise n'a pas besoin de tout savoir. Ce qui paraît évident au quotidien est, en sécurité de l'information, un principe établi avec des règles claires. Il s'applique aux dossiers du personnel comme aux informations classifiées – et aux anciens appareils sur lesquels ces données se trouvent encore.

Que signifie need-to-know ?

Le principe provient de la protection étatique du secret. Pour les des informations classifiées il s'applique en Allemagne que seules les personnes qui en ont besoin pour l'exercice de leurs fonctions peuvent en avoir connaissance. Une habilitation de sécurité ou un poste élevé ne suffit pas à lui seul.

Dans les entreprises, le need-to-know est aujourd'hui un élément standard. La norme ISO/IEC 27001 exige des règles d'accès fondées sur les besoins de l'activité. Le RGPD exige, avec le principe de confidentialité (art. 5, par. 1, point f) et avec les mesures techniques et organisationnelles prévues à l'art. 32, une protection contre l'accès non autorisé.

Distinction avec des principes similaires

Principe	Question sous-jacente	Exemple
Need-to-know	De quelles informations cette personne a-t-elle besoin pour sa tâche ?	La comptabilité voit les factures, mais pas les arrêts maladie.
Least privilege (droits minimaux)	De quels droits techniques ce compte a-t-il besoin au minimum ?	Un compte de service ne doit pouvoir que lire, pas écrire.
Principe du double contrôle	Qui contrôle les opérations critiques ?	Une deuxième personne confirme l'autorisation de destruction.
Séparation des fonctions	Quelles tâches ne doivent pas reposer entre les mêmes mains ?	Celui qui sort les appareils de l'inventaire ne signe pas lui-même la remise.

Le need-to-know lors de la mise au rebut informatique

Les anciens appareils sont une faille souvent négligée. Si des ordinateurs portables se trouvent dans un dépôt ouvert, n'importe quel salarié peut y accéder, même s'il n'aurait jamais dû voir les données. Le principe se met ici facilement en œuvre :

• Rassembler les anciens appareils dans une pièce fermée à clé avec Contrôle d’accès .
• Seules des personnes désignées peuvent emballer et remettre les appareils et signer les procès-verbaux.
• Chez le prestataire, seuls les collaborateurs chargés de l'effacement ou de la destruction ont accès aux supports de données.
• Les certificats d'effacement et de destruction sont adressés à un interlocuteur fixe, et non à une liste de diffusion ouverte.

Pour les administrations et les personnes soumises à la protection des informations classifiées, des exigences supplémentaires s'appliquent à la mise au rebut. En savoir plus dans le guide VS-NfD : mise hors service du matériel informatique.

Une erreur fréquente : les anciens appareils sont posés dans un couloir pour l'enlèvement afin que le coursier les trouve plus facilement. Pendant quelques heures, le personnel de nettoyage, les visiteurs et les salariés d'autres services y ont alors accès. Planifiez donc la remise directement depuis la pièce sécurisée.

Le need-to-know chez Second IT

Second IT traite les supports de données dans des zones à contrôle d'accès et sous vidéosurveillance. Tous les collaborateurs sont tenus au secret des données ou à la confidentialité ; des NDA individuels s'y ajoutent sur demande. Le traitement selon les exigences VS-NfD est possible. En savoir plus sur le Secret des données et confidentialité.

Questions fréquentes sur le principe du need-to-know

Le principe du need-to-know est-il prescrit par la loi ?

Pour les informations classifiées, oui, par le biais de la directive allemande sur les informations classifiées (Verschlusssachenanweisung). Pour les entreprises, il découle indirectement du RGPD, qui exige une protection appropriée contre l'accès non autorisé. Des normes telles que ISO/IEC 27001 en font une exigence.

Le need-to-know s'applique-t-il aussi aux cadres dirigeants ?

Oui. Ce qui compte, c'est la tâche, pas la hiérarchie. Une directrice générale n'a pas automatiquement besoin d'accéder à chaque dossier du personnel ou à chaque support de données.

Comment mettre en œuvre le principe sur le plan technique ?

Par des concepts de rôles et de droits, des groupes dans l'annuaire, le chiffrement et une revue régulière des autorisations. Sur le plan physique, des pièces fermées à clé, des journaux d'accès et des responsabilités claires aident.

Quelle est la différence entre need-to-know et least privilege ?

Le need-to-know demande de quelles informations une personne a besoin pour sa tâche. Le least privilege demande de quels droits techniques un compte a besoin au minimum. L'un limite le cercle de connaissance, l'autre les droits système. Les deux se complètent.

Comment protéger les anciens appareils avant l'enlèvement selon le principe du need-to-know ?

Rassemblez les appareils dans une pièce fermée à clé avec contrôle d'accès. Seules des personnes désignées les emballent et les remettent. Ne posez jamais d'anciens appareils dans un couloir en vue de l'enlèvement, car les visiteurs et d'autres services y ont accès.