Lors d’un audit interne, un responsable informatique m’a montré un espace partagé nommé « Documents sensibles ». À l’intérieur, on trouvait des contrats, des procédures, des présentations commerciales et des fichiers de test. Tous étaient accessibles au même groupe d’utilisateurs. Le problème n’était pas l’absence de bonne volonté. Personne n’avait défini ce que « sensible » voulait réellement dire, ni qui devait décider du niveau de protection d’un document.

La classification de l’information en entreprise répond précisément à cette situation. Elle permet de distinguer les informations selon leur valeur, leur sensibilité et les conséquences de leur divulgation, modification ou indisponibilité. Bien menée, elle ne produit pas une couche administrative supplémentaire. Elle donne des règles concrètes pour partager, stocker, protéger et détruire l’information de façon cohérente.

Pourquoi la classification de l’information crée des résultats concrets

Une organisation ne protège pas toutes ses informations avec le même niveau de contrôle. Ce serait coûteux, difficile à administrer et souvent contre-productif. Un communiqué public, une grille salariale, un dossier médical et une clé d’accès applicative n’exposent pas l’entreprise au même risque.

Sans classification, les équipes prennent des décisions au cas par cas. Un fichier confidentiel finit dans un outil de partage externe parce que la solution est pratique. Un prestataire reçoit plus de données que nécessaire pour réaliser sa mission. Un collaborateur conserve des documents sensibles dans sa messagerie, faute de savoir où les déposer. Ces écarts sont fréquents, y compris dans des organisations équipées de bons outils de sécurité.

La classification fournit un langage commun entre directions, équipes informatiques, conformité, achats et responsables opérationnels. Elle aide à répondre à des questions simples, mais déterminantes : qui peut accéder à cette information, peut-elle sortir de l’organisation, combien de temps doit-elle être conservée et quelles protections doivent s’appliquer ?

Elle soutient aussi les démarches ISO 27001, NIST, de protection des renseignements personnels et de gestion des risques fournisseurs. Lorsqu’un auditeur demande comment les informations sensibles sont identifiées et protégées, une politique claire doit être accompagnée de pratiques vérifiables dans les outils et les processus.

Classification information entreprise : partir des usages, pas des étiquettes

Le piège classique consiste à créer une taxonomie très détaillée avant même d’avoir compris les flux réels d’information. On obtient alors huit ou dix niveaux de classification, des règles difficiles à mémoriser et une adoption limitée. Sur le terrain, quatre niveaux suffisent souvent.

Une structure pragmatique peut distinguer l’information publique, interne, confidentielle et restreinte. L’information publique peut être diffusée sans impact significatif. L’information interne est destinée aux collaborateurs, sans être nécessairement critique. L’information confidentielle couvre, par exemple, les données contractuelles, financières, RH ou commerciales dont une divulgation serait préjudiciable. Le niveau restreint concerne les données dont l’exposition pourrait provoquer un dommage élevé : identifiants d’administration, informations de santé, secrets techniques, dossiers d’enquête ou projets d’acquisition.

Ces noms peuvent varier. L’enjeu n’est pas de reprendre un modèle standard à la lettre, mais de faire correspondre chaque niveau à des décisions utilisables. Si les collaborateurs ne savent pas si un fichier doit être marqué « interne » ou « confidentiel », les définitions doivent être revues. Une classification utile se comprend en quelques secondes.

Chaque niveau doit préciser les règles de manipulation attendues. Pour une information confidentielle, cela peut signifier un partage limité aux personnes autorisées, un stockage dans un espace approuvé, l’interdiction d’un envoi non chiffré et une vérification avant toute transmission à un tiers. Pour une information restreinte, les mesures peuvent inclure une authentification renforcée, une validation du propriétaire de l’information et une journalisation des accès.

Identifier les propriétaires de l’information

La technologie peut appliquer des étiquettes, chiffrer des fichiers ou empêcher certains partages. Elle ne peut pas décider, seule, si un rapport d’incident, un fichier client ou un plan de continuité mérite un niveau de protection particulier. Cette responsabilité revient au propriétaire de l’information.

Le propriétaire n’est pas forcément la personne qui a créé le fichier. Il s’agit généralement de la direction ou de la fonction qui comprend la finalité des données, les obligations applicables et l’impact potentiel d’un incident. Une direction des ressources humaines sera naturellement impliquée pour les dossiers collaborateurs. La fonction juridique ou conformité pourra intervenir sur les documents contractuels. Les équipes technologiques doivent soutenir ces décisions, non les porter seules.

Dans les petites et moyennes organisations, les rôles peuvent être regroupés. Cela reste acceptable si les responsabilités sont explicites. Une matrice simple indiquant qui classe, qui approuve les exceptions et qui valide le partage externe évite beaucoup de zones grises.

Relier la classification aux contrôles existants

Une politique isolée ne change pas les pratiques. La classification doit se traduire dans les environnements où l’information circule : messagerie, espaces collaboratifs, applications métier, postes de travail, sauvegardes et plateformes utilisées par les fournisseurs.

Le premier chantier est souvent la gestion des accès. Les groupes d’accès doivent être revus à partir du niveau de sensibilité, et non uniquement selon l’organigramme. Une personne peut avoir besoin de consulter un dossier sans pouvoir le modifier, le télécharger ou le transmettre. Cette distinction réduit l’exposition sans empêcher le travail quotidien.

Le second concerne les outils de collaboration. Selon le niveau de classification, on peut configurer des avertissements avant un partage externe, limiter les liens anonymes, empêcher le téléchargement sur un appareil non géré ou appliquer le chiffrement. Ces mécanismes sont utiles lorsqu’ils répondent à un scénario clair. Les activer indistinctement crée des contournements, parfois plus risqués que le problème initial.

La gestion des tiers mérite une attention particulière. Avant de transmettre des données à un prestataire, il faut connaître leur classification, leur volume, leur emplacement et la durée prévue du traitement. Les clauses contractuelles, les contrôles d’accès et le suivi du fournisseur peuvent alors être proportionnés au risque réel. Un fournisseur qui traite des données restreintes ne doit pas être évalué comme un simple imprimeur recevant une brochure publique.

Déployer sans ralentir les équipes

Un déploiement efficace commence par un périmètre limité. Les données personnelles, les informations financières, les contrats et les informations d’accès constituent souvent de bons points de départ. Ces catégories sont présentes dans la plupart des organisations et leurs conséquences en cas d’erreur sont faciles à expliquer.

Il est préférable de tester les règles auprès de quelques équipes plutôt que de publier une politique exhaustive à l’ensemble de l’organisation. Une phase pilote révèle rapidement les difficultés : étiquettes trop nombreuses, classifications mal comprises, absence d’espace de stockage adapté ou processus de validation trop lent.

La formation doit s’appuyer sur des situations rencontrées par les utilisateurs. Un responsable des achats doit savoir comment classer une proposition fournisseur et comment la transmettre. Une équipe RH doit savoir quelles précautions prendre avec une liste de candidats. Un gestionnaire de projet doit comprendre pourquoi un espace de partage personnel n’est pas adapté à certains livrables.

Il faut également prévoir des exceptions. Certaines activités exigent un partage rapide avec un client, un partenaire ou une autorité. Le processus doit permettre une décision documentée, prise par la bonne personne, sans transformer chaque exception en blocage. La discipline vient d’un cadre compris et applicable, pas d’une interdiction générale.

Mesurer ce qui fonctionne et corriger ce qui bloque

La maturité ne se mesure pas au nombre de documents étiquetés. Elle se mesure à la qualité des décisions et à la réduction des écarts. Quelques indicateurs suffisent : part des espaces contenant des données sensibles avec des droits revus, nombre de partages externes non conformes, délai de traitement des demandes d’exception, résultats des contrôles d’accès et constats d’audit récurrents.

Les incidents et presque-incidents doivent alimenter l’amélioration du dispositif. Si des fichiers confidentiels sont régulièrement envoyés au mauvais destinataire, il faut examiner l’étiquette, les règles de messagerie, la formation et le processus de travail. Chercher uniquement l’erreur individuelle ne règle pas la cause.

Une classification de l’information bien menée n’a pas vocation à rendre chaque collaborateur expert en conformité. Elle doit rendre la bonne décision plus simple que le raccourci risqué. Dans votre organisation, les équipes savent-elles reconnaître une information qui ne doit pas circuler librement, et disposent-elles d’une façon pratique de la protéger ?

Source : ISO/IEC 27001:2022, systèmes de management de la sécurité de l’information, et ISO/IEC 27002:2022, mesures de sécurité de l’information.