Data ma­na­ge­ment : une bonne gestion des données pour un usage pertinent

La gestion des données est une dis­ci­pline re­la­ti­ve­ment récente des tech­no­lo­gies de l’in­for­ma­tion, née en réponse à l’in­ter­con­nexion crois­sante et à l’explosion des volumes de données dans les en­tre­prises modernes. Le sujet mobilise aussi la recherche : la science des données (data science), un domaine encore jeune, s’intéresse notamment au stockage et à la mise en relation per­ti­nents des données, ainsi qu’à la recherche efficace dans de vastes volumes.

Data ma­na­ge­ment : dé­fi­ni­tion et ex­pli­ca­tion

La gestion des données (ou data ma­na­ge­ment) impose certaines exigences con­cer­nant le trai­te­ment des données nu­mé­riques. Il s’agit d’un processus continu, non d’actions ponc­tuelles. Dès leur collecte et saisie, les données doivent être or­ga­ni­sées. Dans ce contexte, la mi­ni­mi­sa­tion et la qualité des données sont deux facteurs es­sen­tiels à prendre en compte. Au-delà de la nécessité de protéger les contenus, les données doivent avant tout pouvoir être utilisées aux fins spé­ci­fiques énoncées pour leur collecte. Tous les efforts doivent être déployés pour garantir leur parfaite adé­qua­tion aux tâches de l’en­tre­prise. Il faut également dé­ter­mi­ner les durées de con­ser­va­tion légales et opé­ra­tion­nelles. Iden­ti­fier ra­pi­de­ment les données inutiles et les supprimer en toute sécurité est aussi important que garder les données utiles.

Les dif­fé­rents types de données

Pour bien planifier la gestion des données, il faut dans un premier temps s’in­ter­ro­ger sur les types de données à traiter. Leur clas­se­ment en ca­té­go­ries peut ainsi faciliter leur trai­te­ment sys­té­ma­tique et éviter les oublis :

• Données per­son­nelles : il s’agit des in­for­ma­tions qui se rap­por­tent di­rec­te­ment aux personnes, telles que leur nom, leur numéro de téléphone et leur adresse. Elles com­pren­nent également les données de mesure et les habitudes d’achat. Ces in­for­ma­tions peuvent concerner des clients, des employés, mais aussi des tiers. Elles bé­né­fi­cient d’une pro­tec­tion par­ti­cu­lière.
• Données com­mer­ciales sensibles : il s’agit des données internes des en­tre­prises, telles que les chiffres comp­tables, les documents fiscaux et les secrets com­mer­ciaux : autant d’in­for­ma­tions dont la gestion revêt un intérêt par­ti­cu­lier pour les en­tre­prises. Il est judicieux de définir pré­ci­sé­ment quelles in­for­ma­tions sont con­cer­nées dans le cadre d’une politique de gestion des données.
• Données se­con­daires : il s’agit des données générées dans le cadre d’une activité qui vise un autre objectif. Exemple : les bandes de vi­déo­sur­veil­lance, laquelle sert d’abord à lutter contre les ef­frac­tions et les vols. Il arrive qu’elles con­tien­nent des images faisant ap­pa­raître les plaques d’im­ma­tri­cu­la­tion des véhicules des clients. Citons aussi les fichiers-journaux (logs) en­re­gis­trés sur les réseaux d’en­tre­prise, qui en­re­gistrent les adresses IP des visiteurs.
• Données publiques : il s’agit des données vo­lon­tai­re­ment rendues publiques, telles que les in­for­ma­tions présentes sur les sites Web et les brochures d’en­tre­prises. Le respect des lois sur le droit d’auteur et la pro­tec­tion de ses propres données, qu’il s’agisse de photos, de slogans pu­bli­ci­taires ou de logos, sont ici es­sen­tiels. Ces derniers peuvent être protégés par la loi sur les dessins et modèles (propriété in­dus­trielle).

Data ma­na­ge­ment : tâches et mise en œuvre

La gestion des données doit intégrer toutes les étapes du processus, de la collecte des données à leur archivage ou sup­pres­sion, et ce, le plus ef­fi­ca­ce­ment possible. Elle s’applique à toute la « durée de vie » des données. On parle également de data lifecycle ma­na­ge­ment (DLM, gestion du cycle de vie des données en français).

La collecte des données

Le trai­te­ment des données commence par la collecte. Deux aspects sont es­sen­tiels :

1. Mi­ni­mi­sa­tion des données : ne collecter que les in­for­ma­tions stric­te­ment né­ces­saires. Ce principe est consacré par le Règlement général sur la pro­tec­tion des données (RGPD). Les données ne peuvent être traitées que si la personne concernée a donné son con­sen­te­ment ou si le trai­te­ment est ju­ri­di­que­ment né­ces­saire, par exemple pour l’exécution d’un contrat.
2. Qualité des données : une saisie ri­gou­reuse évite les demandes de pré­ci­sions et les re­trai­te­ments inutiles. Les in­for­ma­tions devraient être en­re­gis­trées dès le départ dans le format dans lequel elles seront ensuite utilisées. Chaque transfert ou con­ver­sion peut in­tro­duire des erreurs dans le jeu de données.

Le stockage des données

Il est important de choisir l’em­pla­ce­ment de stockage et le format. Outre le stockage local, une sau­ve­garde dans un stockage Cloud est en­vi­sa­geable. Les deux options ont des avantages et des in­con­vé­nients ; pour des données très im­por­tantes, une solution combinée est re­com­man­dée :

Pour de grands volumes de données, les bases de données sont à pri­vi­lé­gier. Si un logiciel spé­cia­lisé est utilisé (par exemple pour la comp­ta­bi­lité ou la gestion des stocks), la question de l’em­pla­ce­ment de stockage ne se pose gé­né­ra­le­ment pas. Dans ce dernier cas, il faut toutefois veiller à la com­pa­ti­bi­lité avec les systèmes externes et aux pos­si­bi­li­tés d’export, par exemple via l’export FEC (Fichier des écritures comp­tables) pour les contrôles fiscaux.

La sécurité des données

La sécurité est un sujet à la fois essentiel et complexe en gestion des données. Les in­for­ma­tions doivent être protégées contre toute perte, toute al­té­ra­tion (vo­lon­taire ou non) et tout accès non autorisé. La CNIL propose des res­sources ré­gu­liè­re­ment mises à jour qui dé­tail­lent les risques et les mesures de pro­tec­tion, sur son site Web. Ces re­com­man­da­tions s’ins­cri­vent dans le cadre du RGPD et s’alignent sur des ré­fé­ren­tiels in­ter­na­tio­naux comme l’ISO/IEC 27001, dédiée au ma­na­ge­ment de la sécurité de l’in­for­ma­tion.

Risques possibles :

• dommages matériels dus à un incendie, à l’eau ou à une sur­ten­sion
• perte de données liée à une erreur de ma­ni­pu­la­tion
• perte de données ou in­dis­po­ni­bi­lité des systèmes causées par des logiciels mal­veil­lants (ran­çon­gi­ciels, ex­fil­tra­tion de données)
• perte de données due à un bogue logiciel
• perte liée au vol (appareils, supports, sau­ve­gardes)

En réponse à ces dif­fé­rents risques, les solutions mises en œuvre vont des mé­ca­nismes de pro­tec­tion logiciels aux dis­po­si­tifs physiques, comme les alarmes anti-incendie et anti-intrusion.

Pour éviter toute mauvaise surprise, il est conseillé de suivre les principes suivants :

• Mises à jour ré­gu­lières : il convient d’évaluer les avantages et les in­con­vé­nients des modes de mise à jour au­to­ma­ti­sée et manuelle. L’avantage des mises à jour au­to­ma­ti­sées est qu’on ne risque pas de les oublier. Quant aux mises à jour manuelles, elles per­met­tent d’éviter toute mise à jour erronée.
• Mots de passe sécurisés : il existe ici dif­fé­rentes stra­té­gies. Il est in­té­res­sant d’obliger les employés à choisir des mots de passe complexes. Il est également judicieux de pro­gram­mer une mo­di­fi­ca­tion régulière des mots de passe. En revanche, combiner l’uti­li­sa­tion de mots de passe complexes à leur mo­di­fi­ca­tion fréquente peut amener les employés à écrire leurs mots de passe sur papier et à les conserver à leur poste de travail.
• Pro­tec­tion antivirus et pare-feu : une solution antivirus à jour est in­dis­pen­sable sur tous les postes et serveurs. Selon la taille et l’ex­po­si­tion du réseau, complétez par un pare-feu et, le cas échéant, un système de détection d’intrusion (IDS).
• Stratégie de sau­ve­garde : l’un des points les plus im­por­tants reste, sans aucun doute, la stratégie de sau­ve­garde. Les données doivent être sau­ve­gar­dées ré­gu­liè­re­ment et de la manière la plus ex­haus­tive possible, sur des supports distants. La sau­ve­garde des bases de données présente un défi par­ti­cu­lier. Il n’est pas toujours possible de copier des fichiers ouverts en cours d’ex­ploi­ta­tion. La sau­ve­garde doit alors se faire à partir de l’ap­pli­ca­tion utilisée ou d’un logiciel spécial, tel que MySQLDump.

La pro­tec­tion des données

Il s’agit ici uni­que­ment de garantir que les personnes non au­to­ri­sées n’aient pas accès aux données con­fi­den­tielles. La pro­tec­tion des données couvre les domaines suivants :

1. Empêcher les accès externes : cela requiert des mesures de sécurité des données.
2. Bloquer l’accès interne aux données per­son­nelles : une gestion fine des droits dans le logiciel utilisé est né­ces­saire. On peut ainsi refuser l’accès à certains col­la­bo­ra­teurs ou n’afficher que par­tiel­le­ment des en­re­gis­tre­ments. Une pro­tec­tion sup­plé­men­taire est assurée par le chif­fre­ment des données en transit et au repos, ce qui préserve les données sensibles d’un accès direct au matériel (par exemple en cas d’ef­frac­tion) ou par des employés non autorisés.

Les exigences de l’en­tre­prise

Dans la mesure du possible, la gestion des données doit être intégrée in­tui­ti­ve­ment aux processus de l’en­tre­prise. En effet, cela permet de maximiser son ac­cep­ta­tion par les employés, et donc son ef­fi­ca­cité. De plus, certains des objectifs présentés offrent des avantages en termes de gains d’ef­fi­ca­cité. La collecte de données inutiles prend du temps et peut exaspérer les clients. L’en­re­gis­tre­ment ordonné et sûr des données accroît la pro­duc­ti­vité.

Chaque en­tre­prise peut donc profiter de la mise en œuvre d’une politique de gou­ver­nance des données stipulant comment les données doivent être traitées en son sein. Cette politique peut notamment aborder la qualité des données et les pos­si­bi­li­tés d’amé­lio­ra­tion de leur trai­te­ment par le biais de cor­rec­tions au­to­ma­tiques. Elle peut aussi définir des concepts communs.

L’archivage

L’archivage des données qui ne sont plus utilisées fait également partie des tâches des en­tre­prises. Cela concerne les données soumises à une obli­ga­tion de con­ser­va­tion légale, à l’instar des factures et dossiers fiscaux. En ce sens, cet aspect doit faire partie in­té­grante d’un concept de gestion des données.

• Stockage séparé : il réduit le volume des sau­ve­gardes courantes et facilite la pro­tec­tion et la con­for­mité des données.
• Support de stockage adapté : tous les supports ne con­vien­nent pas à l’archivage. Les disques durs doivent être mis sous tension ré­gu­liè­re­ment pour vérifier leur bon fonc­tion­ne­ment. Les supports optiques (CD/DVD) sont sensibles aux in­fluences ex­té­rieures et ont une durée de vie limitée. Les lecteurs de bandes mag­né­tiques sont une option solide pour l’archivage long terme : coût d’ac­qui­si­tion des lecteurs élevé et ma­ni­pu­la­tion moins pratique, mais car­touches peu coûteuses et très durables.

La sup­pres­sion

Les données devenues inutiles doivent être sup­pri­mées. C’est aussi un bon moyen de se décharger de la res­pon­sa­bi­lité de leur sécurité. Un bon outil de gestion des données doit permettre d’iden­ti­fier, isoler et supprimer ces données. Les données per­son­nelles, en par­ti­cu­lier, doivent être sup­pri­mées en toute sécurité.

Les fonctions de sup­pres­sion des systèmes d’ex­ploi­ta­tion au­to­ri­sent gé­né­ra­le­ment l’écra­se­ment de ces données, mais non leur sup­pres­sion dé­fi­ni­tive. Les données con­ti­nuent d’exister sur le disque dur jusqu’à ce que l’em­pla­ce­ment de stockage soit utilisé de manière aléatoire et qu’elles soient ainsi écrasées.

Les autres di­rec­tives légales

Au-delà du RGPD, la con­for­mité opé­ra­tion­nelle repose sur trois piliers pratiques : tenir un registre des trai­te­ments décrivant finalités, bases légales, ca­té­go­ries de données et durées de con­ser­va­tion ; réaliser une AIPD (PIA) avant tout trai­te­ment pré­sen­tant un risque élevé (par exemple sur­veil­lance à grande échelle ou trai­te­ment de données sensibles) ; et notifier toute violation de données per­son­nelles à la CNIL dans les 72 heures, en informant les personnes con­cer­nées lorsqu’un risque élevé est identifié. Ces exigences s’ap­pli­quent en France au res­pon­sable de trai­te­ment comme au sous-traitant.

Les types de gestion des données

L’or­ga­ni­sa­tion de la gestion des données dépend de la taille de l’en­tre­prise. Sur le marché, dif­fé­rentes approches de solutions intégrées sont dis­po­nibles. Voici quelques exemples :

• En­ter­prise Resource Planning Systems (ERP, pro­gi­ciels de gestion intégrée) : ces systèmes offrent une approche globale, qui couvre toutes les res­sources de l’en­tre­prise, à savoir le personnel, les équi­pe­ments et les matières premières. Les four­nis­seurs les plus connus sont SAP, Sage, Oracle et Microsoft. Il existe aussi des solutions gratuites, comme Odoo et Dolibarr.
• Master Data Ma­na­ge­ment (gestion cen­tra­li­sée des données de référence) : ces systèmes servent à la cen­tra­li­sa­tion et au trai­te­ment des données de référence d’une en­tre­prise. Ces données com­pren­nent les données sur les employés, les clients, mais aussi les équi­pe­ments. L’objectif est de parvenir à une qualité uniforme des données pour en améliorer l’ex­ploi­ta­bi­lité. Cette approche est souvent com­plé­men­taire des ERP (intégré ou connecté).
• Content Ma­na­ge­ment Systems (CMS, systèmes de gestion de contenu) : ces systèmes servent prin­ci­pa­le­ment à gérer des contenus et in­for­ma­tions d’en­tre­prise, et peuvent par exemple prendre la forme d’un site Intranet cen­tra­lisé pour toute l’en­tre­prise. En raison de leur grande flexi­bi­lité, d’autres usages, comme la gestion des for­mu­laires et l’in­té­gra­tion de bases de données, sont également possibles.
• Systèmes de gestion do­cu­men­taire (DMS) : ces systèmes, qui s’ins­cri­vent dans la gestion de données, capturent, indexent, ver­sion­nent et *archivent les documents.

Les défis de la gestion des données

La gestion des données est un processus dynamique qui nécessite un ajus­te­ment constant aux exigences de l’en­tre­prise. Cela pose de nombreux nouveaux défis.

Le Big Data

Les volumes de données ne cessent d’augmenter. Par con­sé­quent, les exigences en matière de gestion des données sont élevées, notamment sur les points suivants :

• Mise à l’échelle du stockage et des capacités de sau­ve­garde
• Or­ga­ni­sa­tion et facilité de recherche des données né­ces­saires
• Mi­ni­mi­sa­tion des données et ex­trac­tion des in­for­ma­tions es­sen­tielles

La sécurité

Les res­pon­sables de réseaux sont chaque jour con­fron­tés à de nouveaux risques. Le vol d’in­for­ma­tions par in­gé­nie­rie sociale et le ran­çon­ne­ment au moyen de ran­çon­gi­ciels n’en sont que quelques exemples. Plus une en­tre­prise numérise ses bases de données, plus elle devient dé­pen­dante du bon fonc­tion­ne­ment du système qu’elle utilise. C’est pourquoi il est in­dis­pen­sable de rester en per­ma­nence informé des nouveaux risques et de prendre ses dis­po­si­tions pour parer à une panne ma­té­rielle ou une perte d’accès à ses systèmes.

Les di­rec­tives légales

Depuis l’entrée en ap­pli­ca­tion du RGPD, les en­tre­prises ont dû fournir d’im­por­tants efforts et faire face à des in­cer­ti­tudes. Il n’est pas exclu que d’autres textes si­mi­laires voient le jour ou que des mo­di­fi­ca­tions des lois en vigueur imposent des chan­ge­ments sup­plé­men­taires. Cela peut affecter la gestion des données des en­tre­prises.

Chan­ge­ments dans l’en­vi­ron­ne­ment de l’en­tre­prise

La gestion des données doit tenir compte des chan­ge­ments de structure ou de processus d’une en­tre­prise. Un moyen de s’y préparer est de recourir à des systèmes ex­ten­sibles ou faciles à migrer. Dispenser des for­ma­tions ré­gu­lières à ses employés sur la gou­ver­nance des données au sein de l’en­tre­prise est une mesure sup­plé­men­taire qui peut être prise.