Comment configurer une collaboration sécurisée sur les documents pour votre équipe — sans fuite de votre IP

En ce moment même, il y a un fichier dans votre drive partagé nommé quelque chose comme v3_final_FINAL_FINAL.docx. Vous ne savez pas qui l’a modifié en dernier. Vous ne savez pas s’il s’agit de la version validée par votre CTO. Vous n’êtes pas entièrement sûr de savoir qui y a accès.

C’est le « chaos des versions » : un problème bien trop courant pour les équipes qui se développent à distance. C’est désagréable, n’est-ce pas ? Peut-être pas assez. Parce qu’il ne s’agit pas seulement d’un désagrément fastidieux : c’est une grave faille de sécurité.

Un accès non contrôlé signifie que les anciens employés et les prestataires conservent des autorisations qui n’ont jamais été révoquées. Des versions non suivies signifient que des informations sensibles se retrouvent au mauvais endroit au mauvais moment. Et les outils de collaboration sur les documents que vous utilisez sont en train de traiter discrètement et constamment le contenu de vos documents pour alimenter leurs fonctionnalités d’IA et leur indexation de recherche.

But it doesn’t have to be this way. Here’s a step-by-step guide to using document collaboration tools without opening yourself up to an IP leak.

Comment la plupart des équipes s’y prennent mal pour collaborer sur des documents

La collaboration en ligne sur les documents est un élément essentiel de l’activité d’une entreprise. C’est rapide, efficace, et peu importe où se trouvent vos collaborateurs (tant qu’ils disposent du wifi).

Le problème, c’est que de nombreuses équipes en phase de démarrage ont tendance à se tourner vers ce qui est le plus rapide à mettre en œuvre — Google Docs, Notion, Dropbox — et commencent immédiatement à les utiliser sans prendre le temps de construire un système autour. Pas d’architecture de dossiers, pas de conventions d’accès ni de protocole de contrôle des versions.

Pour une équipe de startup qui progresse rapidement, cela peut sembler tout à fait acceptable. Mais ce n’est vraiment pas le cas, en particulier pour une équipe dont les documents contiennent de l’IP qui mérite d’être protégée. En fait, la cybersécurité pour les startups devrait commencer beaucoup plus tôt que vous ne le pensez.

Les problèmes qui en découlent ont tendance à se regrouper autour de trois aspects :

• Le chaos des versions : en l’absence de système, les documents se multiplient et il n’y a pas de source unique d’information à laquelle se fier. Les collaborateurs travaillent sur des fichiers obsolètes. Les modifications se perdent en chemin. Il existe cinq versions légèrement différentes de la même feuille de route sur votre drive, sans aucun moyen de confirmer laquelle est à jour.
• La prolifération des accès : la gestion des autorisations prend du temps, de sorte que les fichiers sont partagés à grande échelle plutôt que gérés de manière spécifique. Les prestataires, les anciens employés et les collaborateurs externes accumulent les accès. Vous perdez rapidement le fil de qui peut voir quoi.
• L’exposition invisible des données : les outils de collaboration grand public scannent généralement les documents pour alimenter leur indexation de recherche, leurs suggestions d’IA et la publicité personnalisée. Rien ne reste simplement en sécurité dans votre dossier cloud : tout est lu par un robot.

À quoi ressemble une bonne collaboration sur les documents

Avant même de vous pencher sur les outils de collaboration sur les documents, sachez clairement ce que vous cherchez à accomplir.

Une bonne configuration de collaboration sur les documents vous apporte cinq choses :

1. La coédition en temps réel : au lieu d’échanger d’incessants messages avec des documents en pièces jointes, plusieurs personnes peuvent modifier le même document en même temps, les modifications étant visibles en temps réel.
2. L’historique des versions : un enregistrement fiable et horodaté de qui a modifié quoi et quand, qui vous évite de devoir vous fier à vos notes autocollantes ou à votre mémoire parfois défaillante.
3. Des contrôles d’accès granulaires : vous pouvez définir des autorisations au niveau du dossier, du document et de l’utilisateur (à l’inverse d’une politique du type « toute personne disposant du lien »).
4. Un partage externe sécurisé : vous pouvez partager des documents en dehors de votre organisation sans pour autant ouvrir l’accès à tout le reste de votre drive.
5. Un véritable respect de la vie privée pour vos données : vous avez la certitude que vos données textuelles ne sont pas scannées, exploitées ou traitées par un tiers (y compris votre fournisseur d’un espace de stockage cloud professionnel).

Avec les outils de collaboration les plus populaires (ceux vers lesquels les équipes se tournent sans réfléchir), vous n’en obtiendrez peut-être que deux. La bonne plateforme peut vous offrir les cinq.

Mais quel que soit l’outil utilisé, vous aurez toujours besoin d’un système pour le faire fonctionner.

Comment configurer la collaboration sur les documents pour votre équipe : un cadre étape par étape

Étape 1 : Faites l’inventaire de ce que vous avez

Vous ne pouvez pas construire un système de collaboration sur les documents propre et sécurisé sur une base désordonnée et non sécurisée. Commencez donc par un inventaire honnête de ce que vous avez déjà.

Dressez la liste de tous les outils où se trouvent actuellement vos documents (Google Drive, Notion, Dropbox, pièces jointes de messages, Slack). Découvrez ensuite qui a accès à ces outils, qui en contrôle l’accès et ce qu’il advient d’un document une fois qu’il a quitté votre système.

Passez vos drives au peigne fin à la recherche des « fichiers problématiques » qui nécessiteront une attention particulière : des documents qui existent en plusieurs versions sans propriétaire bien défini, des dossiers partagés avec des personnes qui n’ont plus besoin d’y accéder, et des fichiers commercialement sensibles (par exemple, des feuilles de route, des modèles financiers, des spécifications techniques) stockés dans des outils dotés de contrôles d’accès faibles ou inexistants.

Étape 2 : Concevez une architecture de dossiers logique (et pas trop complexe)

Quoi que vous fassiez ensuite, ne migrez surtout pas d’abord pour organiser plus tard. Ce serait ne faire qu’aggraver le chaos : déplacer le même désordre vers un nouvel emplacement moins familier.

Prenez plutôt une grande inspiration… puis concevez votre structure de dossiers. Pour vous guider, voici une architecture de dossiers simple et évolutive qui conviendra à la plupart des start-ups :

• Entreprise : procès-verbaux des réunions du conseil d’administration, pactes d’actionnaires, documents de recherche de fonds, contrats juridiques
• Produit : feuilles de route, spécifications des fonctionnalités, fichiers de conception, recherche
• Ingénierie : documentation technique, décisions d’architecture, guides des outils internes, spécifications techniques
• Opérations : politiques de RH, finance, contrats des fournisseurs
• Clients : un sous-dossier par client, contenant tout ce qui est lié à cette relation.

Rappelez-vous : restez simple et limitez la profondeur. Les structures de fichiers complexes ont tendance à être ignorées — les collaborateurs déposent les fichiers au niveau supérieur et le chaos s’installe. En règle générale : trois niveaux d’arborescence au maximum. Si vous vous surprenez à en créer un quatrième, c’est que la structure doit être simplifiée.

Étape 3 : Adaptez vos niveaux d’accès à la sensibilité des données

Tout le monde n’a pas besoin d’accéder à tout. La protection des données d’entreprise commence par la définition de trois niveaux d’accès avant d’inviter votre équipe.

• À l’échelle de l’entreprise : documents opérationnels non sensibles tels que les manuels d’équipe, les notes de réunions générales, les guides de processus
• Accès au niveau de l’équipe : travail départemental accessible uniquement à l’équipe concernée
• Accès restreint : tout ce qui est commercialement sensible, protégé par la loi ou couvert par la confidentialité des clients. C’est le niveau le plus important à sécuriser : si (par exemple) des documents de recherche de fonds, des feuilles de route, des spécifications techniques, des données clients ou des contrats clients sont vus ou partagés par la mauvaise personne, cela engage votre responsabilité concurrentielle ou juridique.

Notre application Workspace gère tout cela depuis un tableau de bord admin unique. Vous pouvez contrôler les membres, les autorisations et l’accès aux applications en un seul endroit, quelle que soit la taille de l’équipe.

Étape 4 : Établissez les quatre règles d’or du contrôle des versions

Maintenant que votre architecture de dossiers est en place, vous devez établir quatre conventions simples pour vous assurer de ne plus jamais voir un fichier nommé v3_final_FINAL_FINAL2_FINAL3.docx dans l’un de ces dossiers. Ce sera quand même plus agréable pour tout le monde, n’est-ce pas ?

Ces quatre règles s’appliquent à tous les membres de votre équipe (assurez-vous qu’ils les connaissent) :

• Tous les documents actifs n’existent qu’à un seul endroit : pas de copies locales, pas de pièces jointes à un message
• Pas de numéro de version dans les noms de fichiers : votre outil doit proposer un véritable historique des versions et suivre chaque modification. Partagez les documents via un lien plutôt qu’en pièce jointe pour éviter toute confusion. Si vous devez partager un export statique, indiquez la date dans le message d’accompagnement, et non dans le nom du fichier.
• L’historique des versions est la source unique d’information : si vous voulez savoir qui a modifié quoi et quand, il vous suffit de consulter l’historique des versions.
• Ne supprimez pas, archivez : déplacez les documents obsolètes vers un dossier d’archive clairement identifié. Vous ne voulez pas supprimer un document dont vous (ou un organisme de réglementation) pourriez avoir besoin plus tard.

Étape 5 : Définissez votre protocole concernant le partage externe

C’est généralement lors du partage externe que le contrôle d’accès fait défaut. Un prestataire se voit associer un lien vers l’ensemble d’un dossier de projet plutôt que vers ce qui le concerne uniquement (sans date d’expiration pour cet accès). Un investisseur potentiel conserve l’accès à votre data room de recherche de fonds bien après avoir décidé de ne pas investir. Le monde extérieur à votre périmètre est plein de dangers.

Pour réduire ce danger, définissez un protocole avant de partager quoi que ce soit en externe. Trois règles :

• Accordez un accès minimal uniquement pour des documents ou dossiers spécifiques (pas pour des espaces de travail ou des drives entiers)
• Définissez des dates d’expiration pour tous les liens
• Révoquez l’accès à la fin du projet en tant qu’étape standard du processus de départ de l’entreprise

Les bons outils de productivité et de collaboration appliquent automatiquement des règles de ce type pour vous. Proton Drive définit par défaut des dates d’expiration sur les liens partagés — ainsi, l’accès expire sans que personne n’ait à se soucier de le révoquer.

Étape 6 : Choisissez une plateforme capable d’appliquer vos exigences de sécurité

La plupart des équipes évaluent les plateformes de collaboration uniquement sur leur facilité d’utilisation. Celle-ci est importante, bien sûr, mais la sécurité ne doit pas être reléguée au second plan.

La propriété intellectuelle est désormais le type de données le plus coûteux à perdre lors d’une fuite de données (à hauteur de 178 $ par enregistrement compromis, selon l’IBM(nouvelle fenêtre)). Si vos documents contiennent de l’IP qui mérite d’être protégée, votre plateforme de collaboration doit être sécurisée par défaut, et non par configuration.

Lorsque vous sélectionnez un outil de collaboration, vous devez savoir :

• Le fournisseur peut-il accéder au contenu de vos documents ?
• Où vos données sont-elles stockées et quelles juridictions s’appliquent ? Vos données sont-elles souveraines ?
• Le chiffrement est-il de bout en bout ou uniquement en transit ?
• Les contrôles admin sont-ils centralisés et suffisamment granulaires pour appliquer la politique d’accès ?

Voici comment se comparent quatre outils de collaboration en ligne sur les documents :

*Google Docs, Notion et Confluence ont leur siège social aux États-Unis et sont soumis à la juridiction américaine, y compris au CLOUD Act. Proton a son siège en Suisse, en dehors des juridictions américaine et européenne.

Pour les équipes qui gèrent des données IP sensibles, Proton Docs permet de réaliser de la coédition collaborative en temps réel sans risquer l’exposition des données.

Il fait partie de Proton Workspace, une suite de collaboration sécurisée qui ajoute un espace de stockage cloud professionnel chiffré, des visioconférences sécurisées et des contrôles admin centralisés à la collaboration sur les documents. Le tout repose sur un chiffrement de bout en bout et est protégé par les lois suisses très strictes sur le respect de la vie privée.

Découvrez votre environnement de collaboration efficace et sécurisé

Pour avoir un contrôle total sur vos documents — et avoir l’esprit tranquille quant à leur sécurité —, vous devez disposer du bon système et de la bonne plateforme.

Nous vous avons montré comment construire le bon système. La plateforme pour l’appliquer est Proton Workspace.

Plus de 100 000 organisations (dont des agences gouvernementales, des prestataires de soins de santé et des cabinets d’avocats) font confiance à Proton pour sécuriser leurs données les plus sensibles. Vos documents méritent le même niveau de protection.