Qui possède vraiment vos données de sécurité? (Et pourquoi c’est important lorsqu’on change de fournisseur) 

Lors de l’évaluation des plateformes de gestion de la main-d’œuvre en sécurité, la plupart des entreprises se concentrent sur les fonctionnalités, les prix et l’expérience utilisateur. Mais il y a un facteur critique qui est souvent négligé jusqu’à ce qu’il soit trop tard : la propriété des données.  

Où se trouvent vos données de sécurité, qui les contrôle et la facilité avec laquelle vous pouvez y accéder ne sont pas seulement des détails techniques — ce sont des décisions stratégiques qui pourraient déterminer si votre entreprise maintient la continuité opérationnelle ou fait face à une perturbation commerciale catastrophique. 

Qui possède réellement vos données de sécurité lorsqu’on utilise un logiciel infonuagique? 

Voici une question qui surprend de nombreux directeurs de la sécurité : si vous utilisez une plateforme de gestion de la main-d’œuvre en sécurité basée sur le cloud, qui détient légalement les rapports d’incident, les journaux de patrouille, les dossiers des employés et les informations des clients stockés dans ce système? 

La réponse n’est pas aussi simple qu’on pourrait le croire. La propriété des données et l’hébergement de données sont deux concepts fondamentalement différents que la plupart des entreprises confondent. Lorsque vous hébergez des données sur la plateforme infonuagique d’un fournisseur, vous obtenez généralement une licence pour utiliser et accéder à ces données, mais le fournisseur conserve souvent un contrôle important sur la façon dont ces données sont stockées, traitées et, plus important encore, sur la manière dont elles sont exportées. 

Cette distinction compte. La véritable propriété des données signifie que vous avez des droits illimités sur vos données dans un format que vous pouvez réellement utiliser. Cela signifie que vous pouvez extraire chaque rapport d’incident, chaque point de contrôle de patrouille horodatés, chaque dossier de certification des employés et chaque communication avec les clients sans restriction, dégradation ni contrôle des fournisseurs d’accès aux fournisseurs. 

Beaucoup de fournisseurs de logiciels de sécurité affirment que vous « possédez vos données » tout en rendant presque impossible l’exportation de ces données dans un format complet et utilisable. Ils peuvent offrir des capacités d’exportation limitées — peut-être des rapports d’incidents au format PDF ou des listes d’employés en CSV — mais une extraction de données complète incluant des connexions relationnelles, des champs personnalisés, des révisions historiques et des métadonnées système? C’est souvent une toute autre histoire. 

Avant de signer un contrat, comprenez le cadre légal régissant vos données. Examinez attentivement les conditions d’utilisation. L’entente indique-t-elle explicitement que vous conservez la pleine propriété? Pouvez-vous mettre fin à la relation et recevoir une exportation complète des données dans un délai raisonnable? Dans quel format seront ces données, et aurez-vous besoin de l’aide du fournisseur pour en comprendre le sens? 

Que se passe-t-il lorsque vous changez de fournisseur de services de sécurité? 

C’est là que la propriété des données devient cruciale, et c’est un scénario qui prend de nombreuses entreprises complètement au dépourvu. 

Considérez cette situation courante : un hôpital a signé un contrat avec la société de sécurité A depuis cinq ans. Pendant cette période, Security Company A a utilisé sa plateforme de gestion de la main-d’œuvre pour documenter des milliers d’incidents — urgences médicales, conflits de visiteurs, incidents de stationnement, rapports de vols, préoccupations liées à la violence au travail et vulnérabilités en matière de sécurité. Toutes ces données ont été minutieusement enregistrées, catégorisées et stockées sur la plateforme de Security Company A. 

Maintenant, le contrat de sécurité de l’hôpital est à renouveler. Après un processus d’appel d’offres compétitif, ils décident d’attribuer le contrat à Security Company B, qui utilise une plateforme de gestion de la main-d’œuvre complètement différente. Le directeur de la sécurité de l’hôpital suppose qu’ils conserveront l’accès à ces cinq années de dossiers d’incidents, de données de patrouille et de renseignements de sécurité. Après tout, ces incidents se sont produits dans leur établissement, ont impliqué leur personnel et leurs visiteurs, et représentent des connaissances institutionnelles cruciales. 

Mais voici le problème : ces données résident dans la plateforme fournisseur de Security Company A. Lorsque la société de sécurité A perd le contrat, que se passe-t-il avec les données? Dans bien des cas, la réponse est dévastatrice : l’hôpital perd complètement l’entrée. 

Ce n’est pas un scénario hypothétique. Ça arrive régulièrement dans tous les secteurs. Un campus corporatif change de fournisseur de sécurité et perd trois ans de données sur les tendances des incidents qui influençaient sa posture de sécurité. Une université change de fournisseur et ne peut plus accéder aux documents historiques nécessaires aux enquêtes sous le Titre IX. Une usine de fabrication perd les incidents de sécurité documentés qui constituaient des preuves cruciales dans une affaire d’indemnisation des travailleurs en cours. 

L’entreprise — le véritable propriétaire de l’installation où ces incidents se sont produits — n’a souvent aucune relation directe avec le fournisseur du logiciel de sécurité. Leur contrat est avec la compagnie de sécurité, qui a à son tour un contrat avec le fournisseur de logiciels. Lorsque la relation avec l’entreprise de sécurité prend fin, l’accès aux données prend fin aussi. 

Cela crée de graves problèmes au-delà de la simple perte des archives historiques. Les audits de conformité peuvent vous exiger de produire des données d’incidents de sécurité des années précédentes. Les procédures judiciaires peuvent exiger l’accès à des rapports d’incidents spécifiques ou à des registres de patrouille. Les réclamations d’assurance peuvent dépendre de mesures de sécurité documentées et de réponses aux incidents. L’analyse des tendances nécessite des données historiques continues pour identifier les tendances et éclairer les améliorations en matière de sécurité. 

Questions que les entreprises devraient poser à leurs fournisseurs de services de sécurité : 

Avant de signer ou de renouveler un contrat de services de sécurité, les entreprises doivent aborder explicitement la propriété et la conservation des données : 

• À qui appartiennent les données de sécurité générées dans nos installations? Cela devrait être explicitement indiqué dans le contrat. L’entreprise devrait conserver la propriété de tous les rapports d’incidents, journaux de patrouille, enregistrements d’accès et données de sécurité générés à ses emplacements. 

• Que se passe-t-il avec nos données si nous résilions ce contrat? L’accord doit préciser que l’entreprise reçoit une exportation complète de toutes les données dans un format standard utilisable dans un délai défini (maximum de 30 jours) après la résiliation du contrat. 

• Pouvons-nous accéder directement à nos données pendant la période du contrat? N’attendez pas la fin de la relation pour demander l’accès aux données. Les entreprises devraient avoir la capacité continue d’exporter et d’examiner leurs données de sécurité, soit par un accès direct à la plateforme, soit par des exportations régulières programmées. 

• Dans quel format les exportations de données seront-elles fournies? Insistez sur des formats structurés et lisibles par machine (JSON, XML ou CSV correctement formaté) qui préservent toutes les relations de données, pas seulement des rapports PDF difficiles à analyser ou à migrer vers de nouveaux systèmes. 

• Y aura-t-il des frais pour l’extraction des données? Certains fournisseurs facturent des frais importants pour l’exportation de données. Ces éléments devraient être explicitement pris en compte dans l’entente de service afin d’éviter les coûts surprises lors de la transition. 

• Comment assurerez-vous la continuité des données si nous changeons de fournisseur? Les meilleurs fournisseurs de services de sécurité comprennent cette préoccupation et y répondent de manière proactive. Ils devraient être prêts à collaborer avec votre nouveau fournisseur pour faciliter le transfert de données et assurer la continuité opérationnelle. 

Certaines entreprises tournées vers l’avenir résolvent ce problème en maintenant leur propre dépôt de données de sécurité, séparé de la plateforme de leur fournisseur de services. Ils exigent que leur fournisseur de sécurité fournisse régulièrement des exportations de données (hebdomadaires ou mensuelles) qui alimentent l’entrepôt de données ou le centre d’opérations de sécurité de l’entreprise. Cela garantit une propriété continue des données, peu importe la société de sécurité qui détient le contrat. 

Une autre approche émergente consiste à permettre aux entreprises de licencier directement la plateforme de gestion de la main-d’œuvre et de fournir l’accès à leur fournisseur de services de sécurité. Cela inverse la relation typique : l’entreprise contrôle la plateforme et les données, et l’entreprise de sécurité n’est qu’un utilisateur. Lorsque les contrats changent, l’entreprise conserve une continuité complète des données et le nouveau fournisseur de sécurité doit simplement être intégré à la plateforme existante. 

Le vrai prix à payer pour se tromper 

Pensez à ce qui se passe lorsque vous devez changer de fournisseur mais découvrez que vos données sont piégées. Vous faites face au renouvellement de contrat avec des conditions défavorables, mais obtenir trois ans de rapports d’incident, de données de tours de garde, de dossiers de formation et de communications avec les clients s’avère presque impossible. Le fournisseur fournit des exportations, mais elles sont dans des formats qui ne préservent pas les relations entre les enregistrements. Les champs personnalisés sur lesquels tu t’es appuyé n’exportent pas du tout. Les données historiques ne sont disponibles que par tranches de 90 jours, chacune nécessitant un billet de support et un délai de trois semaines. 

Avant de signer ce prochain contrat ou de renouveler votre plateforme actuelle, prenez le test d’exportation au sérieux. Demandez une exportation complète des données dès aujourd’hui, tant que vous êtes encore en règle avec votre fournisseur. Examinez ce que vous recevez. Pourriez-vous migrer vers une nouvelle plateforme avec ces données? Pourriez-vous reconstruire vos opérations si nécessaire? Si la réponse est moins que « absolument oui », il est temps d’avoir une conversation sérieuse sur la propriété des données, la portabilité et l’indépendance opérationnelle à long terme de votre entreprise. 

Vos données de sécurité représentent des années d’intelligence opérationnelle, de relations avec les clients, d’apprentissages sur les incidents et d’informations sur la main-d’œuvre. Assurez-vous qu’elle reste vraiment à vous, pas seulement en théorie, mais en pratique.