Permissions : qui voit quoi une fois que les données quittent le fichier

La quatrième partie a fixé l'ordre de migration : les données de référence avant les transactions, un fonctionnement en parallèle avec une date de fin annoncée plutôt qu'ouverte, et un seul signe de réussite — quelqu'un cesse d'ouvrir l'ancien fichier sans qu'on le lui demande. Les données vivent désormais dans leur nouvelle maison.

Et avec elles arrive une question qui n'existait pas dans le monde des fichiers, non pas parce que quelqu'un l'ignorait, mais parce qu'un fichier n'a aucun moyen de la poser : qui voit quoi ? Ce n'est pas une question de sécurité réservée à l'informatique. C'est une question opérationnelle qui vous concerne, car sa réponse détermine ce que chaque collaborateur peut apprendre sur l'entreprise, sur ses collègues et sur vos clients.

Un fichier ne connaît qu'une réponse : ouvert ou fermé

Le tableur est un excellent outil pour bien des choses, mais pas pour les permissions. Il n'a qu'un seul niveau : quiconque y accède voit tout. Il n'y a pas de colonne qui apparaît pour une personne et se cache pour une autre, pas de ligne que le comptable peut lire et le commercial non. Même le mot de passe parfois placé sur un fichier ne change pas l'équation, car il garde la porte plutôt que le contenu — franchissez la porte et tout ce qui se trouve derrière est visible.

Plus important encore, les copies se multiplient. Vous envoyez le fichier à un collègue pour qu'il vérifie une ligne, et une copie complète vit désormais en permanence sur son poste. Il la transmet à la personne qui l'aide, elle circule par e-mail, par messagerie et par clé USB, et elle finit sur l'ordinateur portable d'un collaborateur parti il y a un an. Vous n'avez jamais accordé d'accès permanent à personne, mais la copie l'accorde en votre nom, et il n'existe aucun moyen de le retirer une fois qu'elle est sortie.

Trois choses exposées chaque jour sans que personne ne le remarque

Demandez à un dirigeant ce que ses fichiers exposent, et il pense généralement aux chiffres de ventes. Trois autres choses circulent plus discrètement et comptent davantage :

• Les salaires. Le fichier de paie commence normalement comme une feuille chez le comptable, puis les RH en ont besoin, puis la personne qui exécute le virement bancaire le vérifie. Trois copies, chacune contenant tous les salaires de l'entreprise. Une fuite n'exige aucune mauvaise intention : il suffit que quelqu'un ouvre le fichier sur un écran qu'un collègue de passage peut lire. L'effet sur votre équipe est plus lourd que n'importe quelle perte financière, car la comparaison des salaires abîme les relations de travail d'une manière qui ne revient jamais à l'état antérieur.
• Les marges et les prix spéciaux. La feuille de ventes elle-même contient généralement le prix de revient, la fourchette de remise autorisée ou le tarif spécial accordé à un grand compte. Un commercial a besoin du prix pour vendre ; il n'a pas besoin du coût. Quand il voit les deux ensemble, son comportement de négociation change, et vos prix spéciaux atteignent le marché par le premier collaborateur qui part chez un concurrent.
• Les données clients. Noms, numéros de mobile, adresses, et parfois des images de pièces d'identité et d'immatriculations. Ce ne sont pas seulement des informations de l'entreprise ; ce sont les données personnelles de personnes qui vous les ont confiées. C'est aussi l'élément qui relève d'une obligation légale plutôt que d'une norme interne, et nous y revenons plus loin.

Remarquez qu'aucune des trois n'est exposée par décision. Personne n'a décidé que le commercial devait voir le coût — la colonne se trouvait simplement dans un fichier dont il avait besoin pour une autre raison. C'est précisément le problème : dans un monde de fichiers, l'exposition est l'état par défaut, et l'exception exige un effort délibéré que personne ne fait sous la pression du quotidien.

Ce qu'un système vous apporte d'abord n'est pas un écran plus joli

Lorsque vous passez à un système, la première vraie différence n'est ni l'apparence ni la vitesse. C'est que la question devient possible à poser et à résoudre : qui voit quoi ? Il y a quatre différences concrètes :

• La permission est rattachée au rôle, pas à la personne. Vous définissez une fois ce que le rôle commercial peut voir, et tous ceux qui occupent ce rôle en héritent. Un nouvel arrivant n'oblige pas à tout repenser, et un collaborateur qui change de service voit sa visibilité évoluer avec son rôle plutôt qu'au moment où quelqu'un pense à le faire.
• La permission descend jusqu'au champ. Un commercial peut voir la fiche client complète et l'historique de ses commandes sans voir la marge sur la même ligne. C'est impossible dans un fichier et banal dans un système bien conçu.
• Il existe un journal de qui a consulté et qui a modifié. Ce journal est moins un outil de surveillance du personnel qu'un outil pour mettre fin aux disputes. Quand un chiffre change et que tout le monde demande qui l'a modifié et quand, le système répond en une seconde au lieu que la question tourne aux accusations mutuelles sans référence pour trancher — exactement ce que décrivait le quatrième signal de la première partie de cette série.
• L'accès est retiré instantanément. Quand un collaborateur part, la désactivation de son compte met fin à son accès immédiatement et complètement. Les copies qu'il a tirées de vos fichiers au fil des années restent avec lui, et il n'existe aucun moyen de les récupérer, ni même de savoir combien il y en a.

L'enjeu juridique : les données clients ne sont pas une question de rangement

Les données clients diffèrent des deux autres éléments, car le coût d'une mauvaise gestion n'est pas un embarras interne mais une responsabilité légale. La loi sur la protection des données personnelles (PDPL), supervisée par l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA), s'applique à toute organisation qui traite les données personnelles de personnes situées dans le Royaume, sans exemption liée à la taille. Elle rend l'organisation responsable de la protection de ces données, de ne pas en collecter plus que la finalité ne l'exige, et de signaler toute violation qui les menace.

Mettez cette obligation à côté de la pratique quotidienne : un fichier contenant des centaines de fiches clients envoyé via une application de messagerie à trois collaborateurs, enregistré automatiquement sur leurs téléphones personnels. Dans cette situation, vous ne savez pas où existent des copies de vos données, qui peut y accéder, ni comment les supprimer si un client le demande. La différence entre cela et un système qui conserve les données en un seul endroit sous des permissions définies n'est pas une question d'élégance — c'est la différence entre pouvoir se conformer et ne pas le pouvoir.

Nous détaillons ces obligations dans notre guide pratique de la loi sur la protection des données personnelles, et avons traité le cas le plus fréquent — des données clients qui circulent dans des conversations — dans vos conversations clients et la loi. Pour une vue plus large de la protection d'une petite entreprise, consultez notre guide de cybersécurité pour les PME.

Le regard d'Origami

Lorsque nous construisons un système sur mesure pour une entreprise qui fonctionnait sur des tableurs, la matrice des permissions appartient à la phase de conception plutôt qu'à la livraison. La raison est pratique : une permission n'est pas un réglage ajouté à la fin, c'est une décision qui façonne la répartition des écrans, la construction des rapports et l'endroit où un champ sensible est séparé d'un champ ordinaire. La reporter produit un système qu'on ne peut plus restreindre par la suite sans en reconstruire certaines parties.

Nous construisons aussi cette matrice à partir des rôles sur lesquels l'entreprise fonctionne réellement aujourd'hui plutôt qu'à partir d'une liste théorique, car une permission conçue loin de la réalité opérationnelle bloque le travail, et l'équipe la contourne par le moyen le plus rapide disponible — généralement en exportant les données vers un fichier. À ce stade, vous êtes revenu exactement au point de départ, après avoir payé pour un système que personne n'utilise. Cette logique traverse tout ce que nous construisons dans nos services : un contrôle qui ne respecte pas la façon dont le travail se fait réellement ne tiendra pas.

Définir les permissions sans paralyser le travail

L'erreur courante lors d'un premier déploiement est une rigueur excessive : tout est fermé et ouvert sur demande, si bien que l'équipe passe sa semaine à attendre des validations et apprend à détester le système avant d'apprendre à s'en servir. L'ordre suivant permet de l'éviter :

• Partez des rôles, pas des noms. Écrivez la liste des rôles que votre entreprise compte réellement : comptable, commercial, magasinier, directeur d'agence. Moins de dix rôles couvrent généralement tous les collaborateurs, et une liste de rôles est bien plus facile à gérer qu'une liste de personnes qui change chaque mois.
• Nommez d'abord les champs sensibles. Salaire, coût, marge, remise autorisée, pièces d'identité des clients. C'est une courte liste dans n'importe quelle entreprise, et une décision claire sur chaque élément règle l'essentiel du problème.
• Séparez la consultation de la modification. Tous ceux qui doivent voir un chiffre n'ont pas besoin de le modifier. La lecture sans modification est la permission la plus sûre et la moins perturbante pour le travail, et elle suffit dans la plupart des cas.
• Faites de l'export une permission à part. Celle-ci est toujours oubliée : quiconque peut exporter des données vers un fichier peut contourner tout ce qui précède en un seul clic. Décidez qui détient cette permission et faites apparaître chaque export dans le journal comme n'importe quelle autre action.
• Revoyez la liste à chaque changement dans l'équipe. Une arrivée, un transfert entre services ou une fin de collaboration. Une revue périodique tous les quelques mois fait généralement apparaître des comptes appartenant à des personnes parties et des permissions restées après une mission temporaire terminée.

La règle qui gouverne tout est simple : chacun voit ce dont il a besoin pour faire son travail, et tout ce dont il a besoin pour le faire. La première moitié vous protège ; la seconde empêche le système de devenir un obstacle que l'équipe contourne.

À suivre

Nous avons réglé la question de qui voit quoi, reste celle de ce qu'il y a à voir. La prochaine partie traite des rapports que vous construisiez à la main à la fin de chaque mois, et explique pourquoi un rapport dans un système devient une vue de l'instant présent au lieu d'un exercice de collecte qui se termine après que le mois qu'il décrit est déjà passé. Nous clôturerons ensuite la série avec les trente premiers jours après la migration et ce qui casse généralement pendant cette période.

Sources

• Autorité saoudienne des données et de l'intelligence artificielle (SDAIA) — la loi sur la protection des données personnelles, ses règlements d'application et les obligations du responsable du traitement.
• Autorité nationale de cybersécurité (NCA) — contrôles essentiels de cybersécurité couvrant la gestion des identités et des accès.
• Ministère des Ressources humaines et du Développement social — exigences relatives à la tenue des dossiers du personnel et des données salariales.
• Autorité de la zakat, des impôts et des douanes (ZATCA) — exigences relatives à la conservation des factures et des documents et à leur production sur demande.
• Ministère du Commerce — dispositions régissant les livres et registres commerciaux.