Étiquettes de sécurité

Dans le cadre de la sécurisation des actifs informationnels du Cégep, la DRT s’affaire à déployer dans tout le cégep un système d’étiquetage des documents ainsi que des politiques d’étiquetage automatique des documents numériques. À cet effet, vous aurez probablement remarqué l’apparition de plusieurs messages dans vos applications de bureautique (Outlook, Word, etc.) faisant mention de ces étiquettes.

Afin de permettre la classification précise et sécuritaire des documents numériques, la DRT a créé 4 étiquettes de sécurité différentes :

• Public : Cette étiquette sert à classifier les documents qui devraient être accessibles par tous les usagers (internes et externes) des systèmes du cégep. Des exemples de documents publics sont notamment des communications étant destinées à l’extérieur du cégep, des notes de cours, des descriptifs de programmes, etc.

• Interne : Cette étiquette sert à classifier les documents qui ne devraient être accessibles que par les usagers internes (employés et étudiants) du collège. Ces documents ne devraient pas contenir de données sensibles et leur divulgation ne devrait pas entrainer de répercussions légales ou réglementaires et présenter un risque faible. Les documents possédant cette étiquette ne seront accessibles que par les usagers possédant un compte @cegepsl.qc.ca et un contrôle de l’accès sera effectué mais ces documents ne seront pas cryptés. Des exemples de documents internes sont des présentations PowerPoint de départements, des vidéos de formation destinées aux employés, des communications internes (info625 par exemple), etc.

• Confidentiel — Groupe : Cette étiquette sert à classifier les documents qui ne devraient être accessibles que par les usagers de votre direction ou département et contenant des informations sensibles, ou dites nominatives, telles que des numéros d’assurance sociale, numéros de carte de crédit et numéros de comptes bancaires mais aussi des noms/prénoms ainsi que dates de naissance et adresses et d’autres informations sensibles telles que des rapports médicaux et autre. La divulgation de ces données exposerait le Cégep à des dommages financiers, juridiques, et réglementaires importants. Les documents possédant cette étiquette ne seront accessibles que par les usagers possédant un compte @cegepsl.qc.ca et un contrôle de l’accès sera effectué. De plus, ces documents sont cryptés. Des exemples de documents confidentiels sont des listes d’étudiants et d’employés, des rapports médicaux d’étudiants, des listes de courriels, etc.

• Confidentiel — Autre : Cette étiquette est identique à l’étiquette Confidentiel – Groupe en ce qui concerne l’accès aux documents et le cryptage. Cependant, la gestion des utilisateurs ayant accès au document est gérée par l’utilisateur apposant l’étiquette. À noter que cette étiquette est la seule permettant le partage à l’externe de documents confidentiels.

Notes importantes sur les étiquettes

• Tous les nouveaux documents créés doivent obligatoirement avoir une étiquette. Sans cette dernière, le fichier ne pourra pas être sauvegardé.

• L’étiquetage automatique a été mis en place. Tous les fichiers existants devraient avoir une étiquette. Si cette dernière contient des données sensibles (NAS, numéro de compte bancaire, etc.), le fichier aura l’étiquette Confidentiel et un rapport sera envoyé à l’équipe de sécurité.

• Les étiquettes ne remplacent pas le système de gestion des accès. Un document avec l’étiquette public ne deviendra pas accessible à tous les utilisateurs si ce dernier se retrouve dans un emplacement (Teams, SharePoint, etc.) avec des accès restreints.

• Les étiquettes ne devraient pas être utilisées afin de protéger le droit d’auteur et les notes de cours puisque ces documents ne contiennent pas d’informations confidentielles.

Envoi de documents à l’externe

Lorsque vous envoyez des documents ou courriels possédant l’étiquette Confidentiel – Autre, le récipiendaire du message ou document ne faisant pas partie du Cégep pourra accéder au document via 3 méthodes : 

1. Code à usage unique (un code sera envoyé à l’adresse du récipiendaire lorsque ce dernier appuiera sur le bouton Lire le message. Si le code entré est correct, ce dernier pourra accéder au message et à ses pièces jointes)
2. Compte Microsoft (le récipiendaire doit se connecter avec un compte Microsoft ne faisant pas partie de l’organisation) 
3. Compte Google (le récipiendaire doit se connecter avec un compte Google)