Ressources
La gouvernance des données en entreprise
Gouverner ses données, c'est savoir en permanence qui possède quoi, où cela réside, combien de temps on le conserve et comment on le récupère. Quatre réponses écrites suffisent à transformer un système d'information en actif maîtrisé.
Quatre réponses écrites, tenues à jour
Chaque jeu de données a un propriétaire métier nommé, qui décide de son usage et arbitre les accès. Il réside quelque part, et cet emplacement engage la juridiction applicable. Il se conserve une durée déterminée, au terme de laquelle il est archivé ou supprimé selon une règle écrite. Il se récupère enfin dans un format ouvert, ce qui garantit la réversibilité vis-à-vis d'un fournisseur. Ces quatre points tiennent dans un tableau d'une page, et ce tableau constitue la gouvernance.
- Un propriétaire métier nommé pour chaque jeu de données
- Un emplacement d'hébergement connu, avec sa juridiction
- Une durée de conservation écrite, et le geste qui suit son terme
- Un format d'export ouvert, testé au moins une fois par an
- Une matrice d'accès revue à chaque mouvement de personnel
Le tableau de gouvernance, colonne par colonne
Cinq colonnes suffisent à gouverner un système d'information de taille moyenne. Le tableau se tient à jour lors des revues trimestrielles, et il sert directement de base à un dossier de conformité.
| Colonne | Ce qu'elle contient | Ce qu'elle permet de décider |
|---|---|---|
| Jeu de données | Le nom métier, pas le nom technique | Qui participe à la discussion |
| Propriétaire | Une personne nommée, dans une direction | Qui accorde un accès et sur quel motif |
| Emplacement | Le service et la région d'hébergement | La juridiction applicable et le plan de reprise |
| Conservation | Une durée et le geste au terme | L'archivage, la suppression, l'anonymisation |
| Export | Le format et la date du dernier test | La réversibilité et le coût d'un changement de fournisseur |
Où la gouvernance s'enseigne
- heures en cursus de données
- 120
- heures en certificat de transformation
- 40
- heures en cursus de sécurité
- 100
Cycle de vie, anonymisation, hébergement, réversibilité.
Le même sujet, du point de vue de la direction.
Politique, analyse de risque, référentiels, continuité.
Questions de direction
Par où commencer dans une petite structure ?
Par l'inventaire : lister les jeux de données réellement utilisés et leur attribuer un propriétaire tient en une demi-journée et couvre déjà l'essentiel du risque. Les autres colonnes se remplissent ensuite, jeu par jeu.
Que recouvre la réversibilité ?
La capacité à récupérer ses données dans un format exploitable et à les remettre en service ailleurs. Elle se teste, comme une sauvegarde : un export annuel effectivement rechargé vaut toutes les clauses contractuelles.
Qui doit tenir le tableau de gouvernance ?
Une personne identifiée, rattachée à la direction, qui l'actualise lors des revues trimestrielles avec les propriétaires métier. Le tableau reste court précisément pour qu'une seule personne puisse le tenir à jour.
À explorer ensuite
- Données personnellesFinalité, base légale, minimisation, durée de conservation, sécurité et droits des personnes : le registre des traitements en pratique.
- Sécurité d'un site industrielSystème de management HSE, permis de travail, coactivité, audit interne, indicateurs avancés et culture sécurité : le dispositif complet d'un site.
- Analyser un risqueDanger, exposition, criticité, document unique et hiérarchie des mesures de prévention : la méthode d'analyse de risque appliquée à un poste réel.
- Enquête d'accidentRecueil des faits, arbre des causes, causes profondes, plan d'action et retour d'expérience : conduire une enquête après un accident ou un presqu'accident.
- Réflexes de cybersécuritéIdentités et habilitations, mises à jour, sauvegardes testées, segmentation réseau et sensibilisation : les mesures qui protègent le plus pour le moins d'effort.
- Répondre à un incidentDétection, confinement, éradication, restauration, collecte de preuves et rapport post-incident : la procédure de réponse et ce qu'elle demande de préparer.