Nous avons déjà signalé il y a quelques jours que la sécurité informatique était un processus, comme disait Bruce Schneier ; un processus qui n’est pas qu’électronique, qui n’est SURTOUT pas que technologique ; un processus qui demande plus que l’introduction d’outils. En fait, la partie la plus visible de la sécurité informatique, correspondant à l’entrée de données confidentielles dans un formulaire en ligne n’est sans doute pas la partie la plus importante et sans doute pas [1] celle qui est la plus susceptible de vol d’identitié. Très souvent, le vol d’identité provient d’une mauvaise gestion physique des informations conservées.

Les exemples pullulent. Ce peut être l’ordinateur portable qui est perdu ou volé par un employé Hydro-Québec, avec dedans les modalités de sécurité des grands barrages ; tout récemment, l’ordinateur perdu par une infirmière d’un hopital du Minnesota avec les numéros d’assurance sociale de milliers de patients ; même perte d’un portable contenant les coordonnées de 28,5 millions d’anciens combattants américains. Et tellement d’autres. Même si les vols s’intéressent souvent plus à la machine (hardware) plutôt qu’aux informations, le risque est réel.

Ce peut être aussi, et c’est encore plus choquant, les ordinateurs qui sont mis à la poubelle par des banques ou autres institutions sans que ceux-ci ne soient expurgés de leur contenu informationnel.

Rappelons que juridiquement il existe une obligation légale de conserver l’intégrité et la confidentialité de certains documents. Au Québec, il y a, parmi bien d’autres lois :

1) La Loi concernant le cadre juridique des technologies de l’information qui dispose à l’article 34 :

« 34. Lorsque la loi déclare confidentiels des renseignements que comporte un document, leur confidentialité doit être protégée par un moyen approprié au mode de transmission, y compris sur des réseaux de communication.

La documentation expliquant le mode de transmission convenu, incluant les moyens pris pour assurer la confidentialité du document transmis, doit être disponible pour production en preuve, le cas échéant. »

2) La Loi sur la protection des renseignements personnels dans le secteur privé, à l’article :

« 10. Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. »

3) La Loi sur l’accès et la protection des renseignements personnels dans le secteur public, à l’article :

« 63.1. Un organisme public doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits et qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support. »

Or, cette sécurité se doit d’être maintenue durant tout le cycle de vie du document confidentiel concerné.

Encore une fois, et pour revenir sur la solution proposée par la Commissaire à la vie privée de l’Ontario, à quoi sert de protéger l’accès si on ne sait pas ce qui est fait, derrière, par les gestionnaires des renseignements personnels. D’où l’appel à la transparence de propositions d’industrie Canada « Working Together to Prevent Identity Theft », qui semblent un peu trop rapidement oubliées.

[1] Même si on nage dans le flou à cet égard.