MWCP18 Masterclass RGPD avec Office 365

Guillaume Mathieu
Technical Director of Metsys
RGPD avec Office 365
process, outils et sécurité
#MWCP18
Sébastien Paulet
MVP - O365 / ECM / Agile

GUILLAUME MATHIEU ET @SP_TWIT #MWCP18

SPEAKERS
Enterprise Solutions
Architect
SPT Conseil
@SP_twit
Blog
sppublish.wordpress.com
Directeur Technique
Metsys
Blog
http://msreport.free.fr
Blog
http://msreport.free.fr

ARTICLE 4:
«DONNÉES À CARACTÈRE PERSONNEL», TOUTE INFORMATION SE RAPPORTANT
À UNE PERSONNE PHYSIQUE IDENTIFIÉE OU IDENTIFIABLE (CI-APRÈS
DÉNOMMÉE «PERSONNE CONCERNÉE»); EST RÉPUTÉE ÊTRE UNE «PERSONNE
PHYSIQUE IDENTIFIABLE» UNE PERSONNE PHYSIQUE QUI PEUT ÊTRE IDENTIFIÉE,
DIRECTEMENT OU INDIRECTEMENT, NOTAMMENT PAR RÉFÉRENCE À UN
IDENTIFIANT, TEL QU'UN NOM, UN NUMÉRO D'IDENTIFICATION, DES DONNÉES
DE LOCALISATION, UN IDENTIFIANT EN LIGNE, OU À UN OU PLUSIEURS
ÉLÉMENTS SPÉCIFIQUES PROPRES À SON IDENTITÉ PHYSIQUE, PHYSIOLOGIQUE,
GÉNÉTIQUE, PSYCHIQUE, ÉCONOMIQUE, CULTURELLE OU SOCIALE »
QU’EST CE QU’UNE DONNÉE PERSONNELLE ?

Article 9:
« […] qui révèle l'origine raciale ou ethnique, les opinions
politiques, les convictions religieuses ou philosophiques ou
l'appartenance syndicale, ainsi que le traitement des données
génétiques, des données biométriques aux fins d'identifier une
personne physique de manière unique, des données concernant
la santé ou des données concernant la vie sexuelle ou
l'orientation sexuelle d'une personne physique […] »

NOM
NUMÉRO D’IDENTIFICATION (ID)
ADRESSE EMAIL
IDENTIFIANT UTILISATEUR (UID)
EMPLACEMENT
DÉTAILS BANCAIRES
ADRESSE IP
OPINION POLITIQUES, RELIGIEUSES, ÉTHNIQUES, ACTIVITÉES SYNDICALES ++
COOKIES
INFORMATIONS GÉNÉTIQUES, PHYSIOLOGIQUES OU PHYSIQUES
INFORMATIONS MÉDICALES

EXEMPLE DE TRAITEMENT DE DONNÉES PERSONNELLES
Collecte des informations salariés (nouveau salarié, paie).
Traitement des arrêts maladie.
Constitution d’une base cliente (données des clients).
Sondage.

HISTORIQUE DES LOIS PRÉCÉDENTES
1978 : loi Informatique et liberté
1995 : directive européenne
2014 : jurisprudence Google avec l’Espagne (droit au déréférencement)
25 mai 2018 : RGPD (Règlement Général Protection Données)

PORTE SUR LA PROTECTION DES PERSONNES PHYSIQUES À L’ÉGARD DU
TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL, CONSIDÉRÉE
COMME UN DROIT FONDAMENTAL.
ENTRÉE EN VIGUEUR LE 25 MAI 2018
SANCTIONS ADMINISTRATIVES ALLANT JUSQU’À 10M€/2% CA MONDIAL
VOIR 20M€/4% CA MONDIAL SUIVANT L’INFRACTION (ART. 83)
SANCTION PÉNALES DÉJÀ PRÉVUES EN DROIT FRANÇAIS ALLANT
JUSQU’À 300K€ ET 5 ANS DE PRISON.
RGPD - RÈGLEMENT GÉNÉRAL SUR LA PROTECTION DES DONNÉES

LES PARTIES
Les propriétaires des données personnelles
Le responsable du traitement
Le DPO (délégué à la protection des données)
L’organisme de contrôle (la CNIL en France)

OBLIGATION DU RESPONSABLE DES TRAITEMENTS
ARTICLE 5 - LES DONNÉES À CARACTÈRE PERSONNEL DOIVENT ÊTRE :
2. LE RESPONSABLE DU TRAITEMENT EST RESPONSABLE DU RESPECT DU
PARAGRAPHE 1 ET EST EN MESURE DE DÉMONTRER QUE CELUI-CI
TRANSPARENCE
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées
ultérieurement d'une manière incompatible avec ces finalités […];
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour
lesquelles elles sont traitées (minimisation des données);
FINALITE
d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour
que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elle
s sont traitées, soient effacées ou rectifiées sans tarder (exactitude);
MAJ / EXPORT /
SUPPRESSION
e) conservées sous une forme permettant l'identification des personnes concernées pendant une
durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées[…]; RETENTION
f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y
compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction
ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles
appropriées (intégrité et confidentialité);
SECURITE
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité,
loyauté, transparence

DÉMARCHE RGPD SUR O365
MISE EN CONFORMITÉ DES PROCESSUS MÉTIERS
MISE EN CONFORMITÉ DE LA SÉCURITÉ
PROCESSUS
QUALITÉ

MICROSOFT SOUS TRAITANT DE VOS
DONNÉES
CLOUD

RESPONSABILITÉ
Gouvernance des données
et gestion des droits
Responsabilité
SharePoint
Online Hybride
Azure/
IaaS Localement
Points de terminaison
clients
Gestion des comptes et
des accès
Infrastructure d identités
et d annuaires
Contrôles réseau
Applications
Système d exploitation
Réseau physique
Centre de données
physique
ClientMicrosoft
Hôtes physiques
Les données Office 365 sont la
propriété exclusive du client. Mi
crosoft est le seul responsable
de la fourniture du service, co
mme indiqué dans les Conditio
ns de service en ligne (OST).

ENGAGEMENT DEPUIS 2014
DANS LES CONDITIONS D'UTILISATION :
"MICROSOFT S’ENGAGE ENVERS L’ENSEMBLE DE SES CLIENTS À APPLIQUER
LES CONDITIONS DU GDPR À COMPTER DU 25 MAI 2018."
+ UNE ANNEXE DÉDIÉE
REVU ET APPROUVÉ PAR LE G29
ENGAGEMENT CONTRACTUEL

LES DONNÉES OFFICE 365
SHAREPOINT
Teams
OneDrive
Yammer
O365 Groups
Planner
EXCHANGE

SOURCES DE CONTENUS DANS O365

NEW! : MULTI GEO
CAPABILITY
NEW! : YAMMER ET LES
INDEX DU MOTEUR DE
RECHERCHE SERONT EUX
AUSSI GEO LOCALISÉS.
NOUVEAUX DATA CENTER
(FRANCE : Q2 2018,…)
TRANSPARENCE

DEMO : LOCALISATION

L’ANNUAIRE AZURE ACTIVE DIRECTORY
Les attributs Azure AD -> stockés dans le Datacenter où le Tenant a été créé.
Attributs répliqués dans les centre de données USA : GivenName, Surname, userPrincip
alName, Domain, PasswordHash, SourceAnchor, AccountEnabled, PasswordPolicies, Str
ongAuthenticationRequirement, ApplicationPassword, PUID

COMMENT FILTRER LES ATTRIBUTS QUE VOUS SYNCHRONISEZ – DEMO ?

COTÉ UTILISATEUR
TRANSPARENCE – DISCLAIMER FOR EXTERNAL USERS

GERÉ VIA LE PORTAIL AZURE.
LICENCES AZURE AD PREMIUM P1, P2 (INCLUES DANS EMS E3 / EMS E5)
TRANSPARENCE – DISCLAIMER FOR EXTERNAL USERS - DEMO

PARAMÈTRAGE EN LIGNE (FORMAT PDF)
(VOIR HTTPS://DOCS.MICROSOFT.COM/EN-US/AZURE/ACTIVE-DIRECTORY/GOVERNANCE/ACTIVE-DIRECTORY-TOU )
TRANSPARENCE – DISCLAIMER FOR EXTERNAL USERS

MÉTHODOLOGIE D’AUDIT
DES CONTENUS

FAITES L’INVENTAIRE DES DONNÉES PERSONNELLES POUVANT APPARAITRE
-> REGISTRE DES TRAITEMENTS (SI >250 EMPLOYÉS OU SI TRAITEMENT
PARTICULIER)
IDENTIFIER LES CONTENUS PERSONNELS

- QUEL TYPE DE DONNÉE PERSONNELLE
- ORIGINE DES DONNÉES
- PERSONNES IMPACTÉES (INTERNES, ÉTUDIANTS, CLIENTS, FOURNISSEURS,
PARTENAIRES)
- SUPPORT/EMPLACEMENT DES DONNÉES PERSONNELLES
(PAPIER/SHAREPOINT/MESSAGERIE/DISQUE PARTAGÉS)
INFO À RECUEILLIR:

UNE BOUCHÉE APRÈS L’AUTRE …
COMMENT AVALER UN ÉLÉPHANT?
Risque
Facilité

NATIONALITÉS
PRÉSENCE DE MINEURS
RESPONSABLE DU TRAITEMENT
FINALITÉ PRINCIPALE
PROCÉDURE DE COLLECTE DES DONNÉES PERSONNELLES
SOUS-TRAITANTS IDENTIFIÉS
INFO À RECUEILLIR (1/3):

LOCALISATION GÉOGRAPHIQUE DES DONNÉES
TRANSFERT DES DONNÉES PERSONNELLES VERS EXTÉRIEUR
(COMMUNICATION CLIENT/FOURNISSEUR/PARTENAIRE, SOUS QUELLE FORME?)
TRANSFERT DES DONNÉES PERSONNELLES HORS EUROPE?
DURÉE D'UTILITÉ DES DONNÉES
DURÉE DE CONSERVATION DES DONNÉES (JUSTIFICATION)

IMPACT EN CAS DE FUITE
RISQUES IDENTIFIÉS DE FUITE
POUR CHAQUE RISQUE, MESURES DE REMÉDIATION/LIMITATION DES RISQUES
DATE DE DERNIÈRE RÉVISION DE LA GESTION DE LA DONNÉE
SI RISQUE ÉLEVÉ NON ATTÉNUABLE, COMMUNICATION/DÉCLARATION CNIL

POUR CHACUN DES TYPES DE DONNÉES, IL CONVIENDRA DE VOIR :
- SI LA SÉCURITÉ DES APPLICATIONS DE STOCKAGE EST SUFFISANTE
- SI LES CONSENTEMENTS SONT CORRECTEMENT RECUEILLIS
- SI LES CONSENTEMENTS SONT EUX-MÊMES CORRECTEMENT CONSERVÉS
AUDIT DE CHAQUE TYPE DE DONNÉES PERSONNELLES

DÉFINISSEZ DES CATÉGORIES POUR VOS:
- TEAMS
- O365 GROUPS
- YAMMER
- SHAREPOINT > RÉVISION DES PLANS DE CLASSEMENT
- ONEDRIVE / MAILBOXES
AFIN DE MIEUX POUVOIR LES ORGANISER
NEW! : NOUVELLE CENTRALE D’ADMINISTRATION SHAREPOINT ONLINE
AVEC POSSIBILITÉ DE GÉRER LES TEAMS/GROUPS ET L’OPTION DE
PARTAGE AVEC LES UTILISATEURS EXTERNES
CLASSER – MISE EN PLACE D’UNE POLITIQUE DE GOUVERNANCE

LOCALIZATION
Gouvernance O365
Web Site
Extranets
Intranet
DMS
Collaborative
Records
Management
…
No tools O365
Mini. TCO
O365
Personal
documents
Records / Archives
Internal
Public
External
Restricted
External
Public
Internal Restricted /
confidential formal
Internal Restricted /
confidential Informal

LES DOCUMENTS SONT LA TRACE D’UN PROCESS MÉTIER
-> LE PLAN DE CLASSEMENT EST LE REFLET DE L’ORGANISATION DU
PROCESS MÉTIER
DEMO SPT CONSEIL
SHAREPOINT – PLAN DE CLASSEMENT

SHAREPOINT – PLAN DE CLASSEMENT
LES PREMIERS NIVEAUX « INVARIANTS » SONT DES SOUS SITES OU DES BIBLIOTHÈQ
LES CLASSEMENTS SUR DES PROCESS MÛRS SE FONT AVEC DES
MÉTADONNÉES
POUR LES « CASES MANAGEMENT », PENSEZ AUX DOCUMENTS SETS
POUR LES PROCESS MOINS FORMELS, DOSSIERS/SOUS DOSSIERS

CLASSIFICATION TRANSVERSE – LES ETIQUETTES O365
DÉFINIR LES « TYPOLOGIES » DE CONTENUS TRANSVERSES À L’ENTREPRISE.
1 SEULE PAR CONTENU
INTERFACE D’ADMINISTRATION :
SÉCURITÉ ET CONFORMITÉ | CLASSIFICATIONS |
ETIQUETTES | PUBLIER LES ÉTIQUETTES
PEUT ÊTRE APPLIQUÉE MANUELLEMENT PAR
L’UTILISATEUR FINAL DEPUIS LES PROGRAMMES
CLIENTS OU LES INTERFACES WEB
RAPPORT DISPONIBLES

DÉTECTER – LABELS / ETIQUETTES AUTOMATIQUES
Application automatique des Etiquettes sur les contenus sensibles
dans Exchange Online, SharePoint Online, and OneDrive.
Interface d’administration :
Sécurité et conformité | Classifications | Stratégies d’étiquettes | Appliquer
automatiquement une étiquette

LES ÉTIQUETTES ET EXCHANGE ONLINE

NOTIONS D’ARCHIVES EN/FR
T-1 T0 T1 T2
Documents Records Archives
Archives
courantes
Archives
inter.
Archives
histo.
E-Discovery
Destruction |
Patrimoine

RECORDS MANAGEMENT - RETENTION POLICIES - TEAMS
POSSIBILITÉ :
- COMME SHAREPOINT
- « ARCHIVAGE » DE TEAMS

RECORDS MANAGEMENT - RETENTION POLICIES - SHAREPOINT
DURÉE DE RÉTENTION
- PAR BIBLIOTHÈQUE
- PAR CONTENT TYPE
- PAR ETIQUETTE
POSSIBILITÉ D’ASSOCIER UNE RÉTENTION POLICY À UN ETIQUETTE :
« XX ANNÉE/MOIS/SEMAINE/JOURS APRÈS [MÉTADONNÉES] » ALORS
SUPPRIMER/DÉCLARER COMME ENREGISTREMENT
+ MISE EN « HOLD » DE SOUS SITES COMPLETS
NEW! : ARRIVÉE ANNONCÉE DE RÉTENTIONS BASÉES SUR ÉVÉNEMENTS

RECORDS MANAGEMENT - RETENTION POLICIES - EXCHANGE
2 SCÉNARIOS DE MISE EN ŒUVRE (FAIRE L’UN OU L’AUTRE) :
- LES RÉTENTIONS TAGS (DÉPRÉCIÉS)
- LES ÉTIQUETTES OFFICE 365

RECORDS MANAGEMENT - RETENTION POLICIES - EXCHANGE

RÉTENTION AVEC LES ÉTIQUETTES OFFICE 365 ET LES ÉVENTS
DEMO

DROIT D’ACCÈS / DROIT DE PORTABILITÉ / DROIT D’OPPOSITION

PROCESSUS DE MISE À JOUR/EXPORT/SUPPRESSION DES DONNÉES PERSONNELLES
POUR CHAQUE TYPE DE DONNÉES, IL CONVIENDRA AUSSI DE DÉFINIR,
IMPLÉMENTER ET DOCUMENTER UN PROCESSUS PERMETTANT DE RÉPONDRE
AUX REQUÊTES DES CITOYENS MISE À JOUR / EXPORT / SUPPRESSION DES
DONNÉES PERSONNELLES SOUS UN DÉLAI COURT.

LA RECHERCHE DE CONTENU
3 MÉTHODES POUR LE FAIRE : CONTENT SEARCH / EDISCOVERY / DSR
RECHERCHE CROSS BAL /SHAREPOINT / ONEDRIVE
POSSIBILITÉ :
- D’EXPORTER
- GELER
- SUSPENDRE LES PÉRIODES
DE RÉTENTION
ANNONCÉ : EDISCOVERY
SUR MESSAGES YAMMER

DSR (DATA SUBJECT REQUEST) -> LES DEMANDES

DSR (DATA SUBJECT REQUEST) -> LE FILTRE DE RECHERCHE

DSR (DATA SUBJECT REQUEST) -> L’EXPORTATION DES DONNÉES

DSR (DATA SUBJECT REQUEST) -> LES ALERTES

PROTECTION CONTRE LA PERTE DES DONNÉES – DATA LOSS PREVENTION POLICIES
APPLICATION DE COMPORTEMENTS (MESSAGE D’ALERTES, BLOCAGE DU MAIL) SELON :
- ÉTIQUETTES
- MOTS CLÉS
- INFORMATION SENSIBLES (NUMÉRO DE CARTE D’IDENTITÉ,…)
PRISE EN CHARGE EXCHANGE ONLINE /
SHAREPOINT ONLINE (ONEDRIVE FOR BUSINESS)

PROTECTION CONTRE LA PERTE DES DONNÉES – DATA LOSS PREVENTION POLICIES

CLOUD APP SECURITY
DÉTECTION DU SHADOW IT
-> ALERTES
-> UTLISATION LOGS DES PARE-FEU ET FIREWALL
ATTENTION : OFFICE 365 CLOUD APP SECURITY
<> MICROSOFT CLOUD APP SECURITY

CLOUD APP SECURITY

AUTHENTIFICATION MULTI-FACTEURS

AUTHENTIFICATION MULTI-FACTEURS
Méthode avec Office
365 uniquement.
Méthode avec Azure
AD Premium P1 / P2

GESTION DES MENACES

RECHERCHE DANS LES LOGS AVANCÉ

IRM – INFORMATION RIGHT MANAGEMENT
UTILISATION IRM SUR O365 (À PARTIR DE LICENCE E3)
FAIRE PORTER LES PERMISSIONS AU NIVEAU DES DOCUMENT.
SYSTÈME DE CLEF PUBLIQUE/CLEF PRIVÉ ET
UN CHIFFREMENT DES DOCUMENTS À LA
VOLÉE (CLÉS PUBLIQUES RSA 2048 BITS, ET
SHA-256 POUR LES SIGNTAURES)
LIRE HTTPS://DOCS.MICROSOFT.COM/FR-FR/INFORMATION-PROTECTION/UNDERSTAND-EXPLORE/HOW-DOES-IT-WORK

AZURE INFORMATION PROTECTION (AIP)
- SYSTÈME D’ÉTIQUETTE DIFFÉRENT
DE CELUI D’O365 (PLUS DE
FONCTIONNALITÉS)
- IRM PAR ETIQUETTE

AZURE INFORMATION PROTECTION (AIP)

AZURE SECURITY CENTER
DÉTECTION DES INTRUSIONS DANS LE SI
RGPD : 72 HEURES POUR REPORTER UN
INCIDENT

ENTERPRISE MOBILITY + SECURITY

LABELS UNIFIÉS

COMPLIANCE MANAGER
NORMES SUPPORTÉES PAR MICROSOFT (GDPR, ISO, ETC.)
CRITÈRES ET ACTIONS À FAIRE COTÉ CLIENT
INFORMATIONS À SAISIR DIRECTEMENT.
HTTPS://SERVICETRUST.MICROSOFT.COM/COMPLIANCEMANAGER

MODERN WORKPLACE CONFERENCE PARIS
DU 16 AU 18 OCTOBRE 2018
#MWCP18

MERCI BEAUCOUP!
THANK YOU! #MWCP18

MWCP18 Masterclass RGPD avec Office 365

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à MWCP18 Masterclass RGPD avec Office 365

Similaire à MWCP18 Masterclass RGPD avec Office 365 (20)

Plus de Sébastien Paulet

Plus de Sébastien Paulet (20)

MWCP18 Masterclass RGPD avec Office 365