Bonjour,
Le 24/11/2018 à 17:28, Gepi a écrit :
Ce document est très intéressant, merci.
Je me permets de répondre sur le point A, le B n’étant pas de ma compétence… Je
ne partage pas votre lecture.
Je ne comprend pas comment l’élève, l’enseignant etc … qui voit ses données personnelles
collectées à accès aux "mises en garde" du GNU figurant en préambule de chaque
script et, le cas échéant, ce que cela changerai. Les données personnelles, sauf celles
des développeurs, ne sont pas dans les scripts mais dans la base de données et le point
sensible est là.
La question de l’hébergeur sous-traitant et des obligations qui lui sont liées
résident dans la BDD dans laquelle sont stockées les informations personnelles
des utilisateurs de votre GEPI. Non seulement en termes de sécurité, mais
aussi, par exemple, des conditions d’accès des équipes techniques de
l’hébergeur. Les salariés de l’hébergeur ont-ils signé un engagement de
confidentialité et d’absence de diffusion au regard des données des hébergés ?
Est il en capacité de le produire ou de signer un engagement en ce sens ? Est
il conforme à vos propres engagements ?
Les sauvegardes éventuelles des bases effectuées par l’hébergeur respectent
t’elles aussi vos propres engagements en terme de stockage et d’archivage des
données (durée, sécurité, droit d’accès, de modification et de supression) ?
Par définition, un hébergeur mutualisé a accès à vos bases de données et vous
devez vous assurer du traitement des données personnelles que vous lui confiez.
En cas de problème, notamment de piratage ou de diffusion des données, vous
serez le premier responsable, puisque vous êtes le collecteur de ces données. A
vous ensuite de démontrer que vous aviez pris toutes les précautions auprès de
votre sous-traitant afin que sa responsabilité soit engagée et la vôtre
dégagée...
Si vous n’avez pas accès à la base de données parce que, par exemple, vous
achetez une prestation chez Sylogix alors, sauf pour les sauvegardes que vous
effectuez, votre responsabilité est différente et se limite à la collecte des
données et pas à leur traitement.
Concrètement, je ne sais pas ce que tu souhaites.
Chiffrer les données dans la base de données implique que la clé de
déchiffrage soit stockée quelque part.
Si elle est dans le secure/connect.inc.php, on déporte le problème (*).
L'hébergeur héberge généralement à la fois le serveur web (les pages
php,...) et le serveur de base de données.
(*) et on alourdit toutes les requêtes puisqu'il y a un traitement de
chiffrage/déchiffrage sur toutes les requêtes impliquant un accès aux
adresses parent/élève, aux notes, absences,... bref à quasiment tout ce
qui est dans la base de données.
Pour le point B, je n'ai pas fini la lecture de l'analyse Canopé.
Sur certains points je ne sais pas trop comment remplir le registre
présenté à la page 45:
- la partie Acteurs risque de rebuter la plupart des administrateurs
Il faudrait suggérer un remplissage, mais lequel?
Mettre le chef d'établissement dans tous les champs.
- Mesures de sécurité techniques:
Ça peut être les limitations d'accès au serveur (local fermé,...),
les sauvegardes en local,... la complexité des mots de passe,...
- Mesures de sécurité organisationnelles?
Ça ne me parle pas clairement.
Il faudrait donner des exemples/suggestions.
- La distinction entre les parties Personnes concernées et Destinataires?
Il faut que les champs soient remplis puisque les utilisateurs
élèves/parents/personnels doivent avoir accès au registre.
Pour la partie Personnes concernées, on pourra pré-remplir un certain
nombre de lignes d'après les modules activés dans Gepi, et les droits
d'accès choisis pour les différents statuts.
Et proposer l'ajout manuel de lignes.
Il faut sans doute aussi mentionner l'exploitation de fichiers STS et
Siècle pour nourrir la base de données Gepi en précisant les champs pris
en compte.
Cordialement
--
Stephane Boireau
Collège Le Hameau - Bernay (27)
http://stephane.boireau.free.fr/gadgets/crobards.html
_________________________________________________________________________________
Documentation Gepi en ligne : http://www.sylogix.org/projects/gepi/wiki
Pour modifier ou rsilier votre abonnement cette liste :
https://lists.sylogix.net/mailman/listinfo/gepi-users
