À qui appartiennent réellement vos données de sécurité ? (Et pourquoi cela est important lorsque vous changez de fournisseur) 

Lorsqu'elles évaluent les plateformes de gestion des effectifs de sécurité, la plupart des entreprises se concentrent sur les fonctionnalités, les tarifs et l'expérience utilisateur. Mais il existe un facteur essentiel qui est souvent négligé jusqu'à ce qu'il soit trop tard : la propriété des données.  

L'emplacement de vos données de sécurité, leur contrôleur et leur facilité d'accès ne sont pas seulement des détails techniques, mais des décisions stratégiques qui peuvent déterminer si votre entreprise maintiendra sa continuité opérationnelle ou fera face à une interruption catastrophique de ses activités. 

À qui appartiennent réellement vos données de sécurité lorsque vous utilisez un logiciel cloud ? 

Voici une question qui prend de court de nombreux responsables de la sécurité : si vous utilisez une plateforme cloud de gestion des effectifs de sécurité, qui est légalement propriétaire des rapports d'incident, des registres de patrouille, des dossiers des employés et des informations sur les clients stockés dans ce système ? 

La réponse n'est pas aussi simple qu'il y paraît. La propriété des données et l'hébergement des données sont deux concepts fondamentalement différents que la plupart des entreprises confondent. Lorsque vous hébergez des données sur la plateforme cloud d'un fournisseur, vous obtenez généralement une licence vous permettant d'utiliser et d'accéder à ces données, mais le fournisseur conserve souvent un contrôle important sur la manière dont ces données sont stockées, traitées et, plus important encore, exportées. 

Cette distinction est importante. La véritable propriété des données signifie que vous disposez de droits illimités sur vos données dans un format que vous pouvez réellement utiliser. Cela signifie que vous pouvez extraire chaque rapport d'incident, chaque point de contrôle de patrouille horodaté, chaque dossier de certification des employés et chaque communication avec les clients sans restriction, dégradation ou contrôle par le fournisseur. 

De nombreux fournisseurs de logiciels de sécurité affirment que vous êtes « propriétaire de vos données », tout en rendant pratiquement impossible l'exportation de ces données dans un format complet et utilisable. Ils peuvent offrir des capacités d'exportation limitées, par exemple des rapports d'incidents au format PDF ou des listes d'employés au format CSV, mais qu'en est-il de l'extraction complète des données, y compris les connexions relationnelles, les champs personnalisés, les révisions historiques et les métadonnées du système ? C'est souvent une tout autre histoire. 

Avant de signer tout contrat, familiarisez-vous avec le cadre juridique régissant vos données. Lisez attentivement les conditions d'utilisation. Le contrat stipule-t-il explicitement que vous conservez l'intégralité des droits de propriété ? Pouvez-vous mettre fin à la relation et obtenir une exportation complète des données dans un délai raisonnable ? Dans quel format ces données seront-elles fournies, et aurez-vous besoin de l'aide du fournisseur pour les exploiter ? 

Que se passe-t-il lorsque vous changez de fournisseur de services de sécurité ? 

C'est là que la propriété des données revêt une importance cruciale, et c'est un scénario auquel de nombreuses entreprises ne sont absolument pas préparées. 

Prenons un exemple courant : un hôpital a conclu un contrat avec la société de sécurité A depuis cinq ans. Au cours de cette période, la société de sécurité A a utilisé sa plateforme de gestion des effectifs pour documenter des milliers d'incidents : urgences médicales, litiges entre visiteurs, incidents de stationnement, signalements de vols, problèmes de violence au travail et failles de sécurité. Toutes ces données ont été méticuleusement enregistrées, classées et stockées dans la plateforme de la société de sécurité A. 

Le contrat de sécurité de l'hôpital doit maintenant être renouvelé. Après un processus d'appel d'offres concurrentiel, ils décident d'attribuer le contrat à la société de sécurité B, qui utilise une plateforme de gestion des effectifs complètement différente. Le directeur de la sécurité de l'hôpital suppose qu'ils conserveront l'accès à ces cinq années d'enregistrements d'incidents, de données de patrouille et de renseignements de sécurité. Après tout, ces incidents se sont produits dans leurs locaux, ont impliqué leur personnel et leurs visiteurs, et représentent des informations institutionnelles essentielles. 

Mais voici le problème : ces données sont stockées sur la plateforme du fournisseur de la société de sécurité A. Lorsque la société de sécurité A perd le contrat, qu'advient-il des données ? Dans de nombreux cas, la réponse est catastrophique : l'hôpital perd tout accès à ces données. 

Il ne s'agit pas d'un scénario hypothétique. Cela se produit régulièrement dans tous les secteurs. Un campus d'entreprise change de prestataire de services de sécurité et perd trois ans de données sur les tendances en matière d'incidents qui lui permettaient d'évaluer son niveau de sécurité. Une université change de fournisseur et ne peut plus accéder aux archives nécessaires aux enquêtes menées dans le cadre du Titre IX. Une usine de fabrication perd les incidents de sécurité documentés qui constituaient des preuves essentielles dans une affaire en cours concernant l'indemnisation des accidents du travail. 

L'entreprise, propriétaire réel des installations où ces incidents se sont produits, n'a souvent aucun lien direct avec le fournisseur du logiciel de sécurité. Son contrat est conclu avec la société de sécurité, qui à son tour a conclu un contrat avec le fournisseur du logiciel. Lorsque la relation avec la société de sécurité prend fin, l'accès aux données prend également fin. 

Cela crée de sérieux problèmes qui vont bien au-delà de la simple perte d'archives historiques. Les audits de conformité peuvent vous obliger à fournir des données sur les incidents de sécurité survenus au cours des années précédentes. Les procédures judiciaires peuvent exiger l'accès à des rapports d'incidents ou à des registres de patrouille spécifiques. Les demandes d'indemnisation peuvent dépendre des mesures de sécurité documentées et des réponses apportées aux incidents. L'analyse des tendances nécessite des données historiques continues afin d'identifier les schémas et d'orienter les améliorations en matière de sécurité. 

Questions que les entreprises devraient poser à leurs fournisseurs de services de sécurité : 

Avant de signer ou de renouveler un contrat de services de sécurité, les entreprises doivent aborder explicitement la question de la propriété et de la conservation des données : 

• À qui appartiennent les données de sécurité générées dans nos installations ?Cela doit être explicitement stipulé dans le contrat. L'entreprise doit conserver la propriété de tous les rapports d'incident, registres de patrouille, registres d'accès et données de sécurité générés sur ses sites. 

• Qu'advient-il de nos données si nous résilions ce contrat ?Le contrat doit préciser que l'entreprise reçoit une exportation complète de toutes les données dans un format standard utilisable dans un délai défini (30 jours maximum) après la résiliation du contrat. 

• Pouvons-nous accéder directement à nos données pendant la durée du contrat ?N'attendez pas la fin de la relation pour demander l'accès aux données. Les entreprises doivent pouvoir exporter et consulter leurs données de sécurité à tout moment, soit via un accès direct à la plateforme, soit via des exportations régulières programmées. 

• Dans quel format les données exportées seront-elles fournies ?Exigez des formats structurés et lisibles par machine (JSON, XML ou CSV correctement formaté) qui préservent toutes les relations entre les données, et non pas seulement des rapports PDF difficiles à analyser ou à migrer vers de nouveaux systèmes. 

• Y aura-t-il des frais pour l'extraction des données ?Certains fournisseurs facturent des frais importants pour l'exportation des données. Ceux-ci doivent être clairement mentionnés dans le contrat de service afin d'éviter toute surprise lors de la transition. 

• Comment allez-vous garantir la continuité des données si nous changeons de fournisseur ?Les meilleurs fournisseurs de services de sécurité comprennent cette préoccupation et y répondent de manière proactive. Ils doivent être disposés à collaborer avec votre nouveau fournisseur afin de faciliter le transfert des données et d'assurer la continuité opérationnelle. 

Certaines entreprises avant-gardistes résolvent ce problème en conservant leur propre référentiel de données de sécurité, distinct de la plateforme de leur fournisseur de services. Elles exigent de leur fournisseur de sécurité qu'il leur fournisse régulièrement (chaque semaine ou chaque mois) des exportations de données qui alimentent leur propre entrepôt de données ou leur centre d'opérations de sécurité. Cela leur garantit la propriété continue des données, quelle que soit la société de sécurité avec laquelle elles ont conclu un contrat. 

Une autre approche émergente consiste pour les entreprises à obtenir directement une licence pour la plateforme de gestion des effectifs et à en donner l'accès à leur prestataire de services de sécurité. Cela inverse la relation habituelle : l'entreprise contrôle la plateforme et les données, et la société de sécurité n'est qu'un simple utilisateur. En cas de changement de contrat, l'entreprise conserve une continuité totale des données et le nouveau prestataire de sécurité n'a plus qu'à être intégré à la plateforme existante. 

Le coût réel d'une erreur 

Imaginez ce qui se passe lorsque vous devez changer de fournisseur, mais que vous découvrez que vos données sont bloquées. Vous devez renouveler votre contrat à des conditions défavorables, mais il s'avère pratiquement impossible d'extraire trois années de rapports d'incidents, de données de rondes de gardiennage, de registres de formation et de communications avec les clients. Le fournisseur propose des exportations, mais celles-ci sont dans des formats qui ne préservent pas les relations entre les enregistrements. Les champs personnalisés sur lesquels vous vous appuyiez ne sont pas exportés du tout. Les données historiques ne sont disponibles que par tranches de 90 jours, chacune nécessitant un ticket d'assistance et un délai de traitement de trois semaines. 

Avant de signer votre prochain contrat ou de renouveler votre plateforme actuelle, prenez au sérieux le test d'exportation. Demandez dès aujourd'hui une exportation complète des données, tant que vous êtes encore en bons termes avec votre fournisseur. Examinez ce que vous recevez. Pourriez-vous migrer vers une nouvelle plateforme avec ces données ? Pourriez-vous reconstruire vos opérations si nécessaire ? Si la réponse n'est pas « absolument oui », il est temps d'avoir une conversation sérieuse sur la propriété des données, leur portabilité et l'indépendance opérationnelle à long terme de votre entreprise. 

Vos données de sécurité représentent des années d'informations opérationnelles, de relations clients, d'enseignements tirés des incidents et de connaissances sur le personnel. Assurez-vous qu'elles restent véritablement les vôtres, non seulement en théorie, mais aussi dans la pratique.