Modèle destiné aux délégués à la protection des données
Le principe du double contrôle signifie que les mesures importantes ne doivent pas être prises ou mises en œuvre par une seule personne. L'objectif est de limiter les erreurs et les risques d'abus, car la probabilité qu'une seule personne soit corrompue est plus élevée que celle que deux personnes agissent de concert de manière abusive.
À l'origine, ce principe provient du Gestion de la qualité et de l'authentification, mais prend également de plus en plus d'importance dans le domaine de la protection des données.
Un exemple classique de ce principe est ce qu'on appelle le « deuxième avis » dans le domaine de la prise de décision médicale. Mais on trouve également des procédures de contrôle à double vérification dans le secteur bancaire ou dans l'administration publique.
Le principe du double contrôle, dans ses variantes symétrique et asymétrique
Pour le délégué à la protection des données, le principe du double contrôle joue un rôle particulier, notamment dans la conception d'un système de droits et de rôles, en particulier en ce qui concerne les droits d'administrateur, ainsi que dans la justification des opérations de suppression.
Cela peut, par exemple, être stipulé dans le cadre de la politique de protection des données de l'entreprise. On peut ainsi garantir que l'accès à l'archivage des e-mails ne soit possible que lorsque deux administrateurs sont connectés. Lors de la mise en œuvre, il existe toutefois un risque que les contrôles soient effectués de manière superficielle si les responsables se fient les uns aux autres. C'est pourquoi il convient également de respecter une structure organisationnelle hiérarchique dans le cadre du principe du double contrôle.
Les logiciels standard tels que SAP ont instauré, notamment pour les infotypes RH, le principe du double contrôle lors de la modification des infotypes, grâce à ce que l'on appelle des « codes de verrouillage ». Un enregistrement existe donc, mais il ne devient complet que lorsqu’un autre détenteur de droits le déverrouille. Ce processus peut être planifié selon une variante symétrique ou asymétrique.
Dans la variante asymétrique, un utilisateur peut créer, modifier et supprimer des enregistrements. Ceux-ci sont alors automatiquement verrouillés dans un premier temps. Un autre utilisateur peut à son tour les verrouiller et les déverrouiller. Dès que l'utilisateur B a déverrouillé les enregistrements, l'utilisateur A ne peut plus les modifier. Cela ne serait à nouveau possible que si l'utilisateur B verrouillait à nouveau les enregistrements.
Dans la variante symétrique, les deux utilisateurs disposent des mêmes droits, mais de manière réciproque, c'est-à-dire que le partage ne peut pas être effectué par l'utilisateur qui a créé les enregistrements.
Mettre en œuvre le principe du double contrôle en tant que TOM
Même si la RGPD même si le principe du double contrôle n'est pas expressément prescrit, il peut être mis en œuvre dans le cadre des mesures techniques et organisationnelles (MTO) prévues à l'article 32 RGPD un moyen approprié pour garantir la sécurité de la Traitement sont représentés.
Notamment lors de l'attribution et de l'utilisation de droits d'accès privilégiés, lors de la validation de schémas d'autorisation, lors de l'exportation de grands volumes de données ou lors de la finalisation Suppression En matière de données à caractère personnel, le principe du double contrôle peut contribuer à réduire le risque d'erreurs de manipulation, d'abus et d'accès non autorisés.
Les entreprises devraient donc, dans le cadre de leur analyse des risques, déterminer pour quelles opérations de traitement un contrôle supplémentaire effectué par une deuxième personne est approprié et proportionné.
Plus d'informations : Guide de révision des systèmes d'information (IS-Revision) V4.0 du BSI
German 
English 
Italian 
French