Présenter du contenu confidentiel : protection des données pour les réunions du conseil d'administration

Une présentation au conseil d'administration est l'un des documents les plus sensibles que produisent la plupart des organisations : résultats financiers non publiés, projets d'acquisition, plans de restructuration, autant d'éléments qui font bouger les marchés ou les carrières s'ils fuitent trop tôt. Pourtant, l'outil utilisé pour la présenter fait souvent l'objet de moins d'attention que celui qui sert à réserver la salle de réunion. La protection des données pour les réunions du conseil mérite la même rigueur que celle appliquée aux chiffres eux-mêmes, et elle commence par une question que la plupart des gens ne posent jamais : où va réellement la présentation une fois que vous lancez le diaporama ?

Voici un guide pratique pour répondre à cette question, écrit pour celles et ceux qui doivent y répondre avant la prochaine réunion du conseil, et non après un incident.

La question que personne ne pose avant qu'il ne soit trop tard

La plupart des outils de présentation et de partage d'écran téléversent votre contenu sur un serveur quelque part avant de l'afficher aux spectateurs. Ce n'est pas forcément malveillant, c'est souvent simplement la façon la plus facile de concevoir une fonction de partage d'écran, mais cela signifie que votre présentation au conseil se retrouve sur une infrastructure que vous ne contrôlez pas, aussi longtemps que le prévoit la politique de conservation de l'éditeur.

Pour la plupart des présentations, c'est un risque maîtrisable. Pour une présentation au conseil, une discussion de fusion-acquisition ou des résultats non publiés, la question mérite d'être posée directement : cet outil stocke-t-il notre contenu, et si oui, où et pendant combien de temps ? La réponse détermine si votre exposition prend fin avec la réunion, ou si elle se poursuit discrètement sur le serveur de quelqu'un d'autre bien après que tout le monde a refermé son ordinateur portable.

Ce que « ne quitte jamais votre appareil » signifie vraiment

La réponse la plus solide à cette question est architecturale, pas procédurale : un contenu qui n'est jamais téléversé ne peut pas être exposé lors d'une violation de l'outil de présentation, point final. C'est le modèle qu'utilise l'application de bureau Cliqer. L'application pilote votre logiciel de présentation (PowerPoint, Keynote, Google Slides et d'autres) directement sur l'ordinateur qui affiche les diapositives. Les commandes de changement de diapositive, les positions du pointeur et tout flux d'écran ou de caméra transitent via WebRTC chiffré directement entre les participants, ou via un relais chiffré sur les réseaux restrictifs. Les diapositives elles-mêmes ne sont jamais téléversées sur un serveur.

Cette distinction mérite d'être explicitée auprès d'un conseil ou d'une équipe juridique : ce n'est pas que le contenu est chiffré pendant son stockage, c'est qu'il n'existe tout simplement aucune copie stockée à chiffrer.

Ce qui transite, et comment c'est protégé

Rien n'est présenté en vase clos. Certaines données circulent bel et bien entre la couche de coordination de la salle et les participants, et il vaut la peine de savoir exactement lesquelles :

Le détail complet, conçu spécifiquement pour les revues de sécurité, figure dans le diagramme des flux de données, qui précise également ce qui est transitoire et ce qui est stocké.

Contrôler qui se trouve dans la salle

La protection du contenu ne représente que la moitié du travail. L'autre moitié consiste à s'assurer que les bonnes personnes, et uniquement elles, se trouvent dans la salle.

• L'accès se fait sur invitation. On rejoint une salle avec un lien ou un code spécifique, pas via une liste publique.
• L'hôte voit chaque participant et peut exclure ou bloquer n'importe qui pendant la session.
• Pour les équipes soumises à des exigences d'accès formelles, les rôles d'équipe et le SSO déterminent qui, au sein de votre organisation, peut ne serait-ce que planifier ou animer une session du conseil.

Pour un conseil en particulier, il est judicieux d'associer cela à une règle interne simple : seuls les participants nommés et attendus rejoignent le lien de la session, et toute autre personne reçoit ensuite un enregistrement ou un compte rendu écrit plutôt que le lien en direct.

Intégrer cela à votre processus de gouvernance

Si votre organisation dispose d'une revue informatique ou de sécurité formelle pour les nouveaux outils, les présentations au niveau du conseil sont exactement le cas d'usage qui devrait la déclencher, même si l'outil est déjà utilisé ailleurs pour des réunions moins sensibles. Notre guide pour faire approuver un logiciel AV par la DSI détaille ce processus, et la checklist de sécurité pour logiciels de présentation vous donne les questions précises à poser.

Pour les organisations soumises à des obligations formelles en matière de protection des données, les recommandations de l'ICO britannique sur le UK GDPR et le board toolkit du NCSC sont des références utiles pour aborder le sujet comme une question de gouvernance plutôt que comme une question purement technique.

Checklist pratique avant votre prochaine réunion du conseil

1. Vérifiez que l'outil de présentation ne téléverse jamais le contenu des diapositives, et obtenez-le par écrit si cela compte pour votre processus de gouvernance.
2. Limitez les destinataires du lien de la salle, et évitez de le publier dans un espace plus largement accessible qu'une invitation de calendrier adressée aux participants nommés.
3. Utilisez des clés d'accès ou le SSO pour toute personne disposant d'un accès permanent lui permettant de planifier ou d'héberger des sessions sensibles.
4. Vérifiez que l'hôte peut voir et exclure des participants en cours de session, et expliquez à la personne qui anime comment procéder.
5. Examinez votre configuration réseau à l'avance si la réunion se tient sur un réseau inconnu ; consultez pourquoi les pare-feu d'entreprise bloquent les outils de présentation si vous prévoyez des problèmes de connexion chez un client ou un partenaire.

FAQ

Commencer

Avant votre prochaine réunion sensible, passez en revue le diagramme des flux de données avec la personne responsable de votre processus de gouvernance, ou contactez-nous si votre conseil ou votre équipe juridique a besoin de réponses écrites. Consultez la présentation complète de la sécurité pour tout ce qui est disponible en libre-service avec le plan Enterprise.