Exemple d’EFVP : un cabinet comptable passe à Microsoft 365

Cabinet Exemple, un cabinet comptable de 12 personnes, migre ses courriels, ses calendriers et ses dossiers clients d’un serveur installé au bureau vers Microsoft 365, plus précisément vers les services Exchange Online, SharePoint et Teams. Le cabinet entreprend ce projet pour trois raisons : remplacer le serveur de fichiers, qui arrive en fin de vie, permettre au personnel de travailler à distance et faciliter le partage de documents avec les clients. Les renseignements visés ne serviront pas à des fins nouvelles.

La présente évaluation porte sur la migration elle-même et sur l’hébergement des courriels, des calendriers et des documents dans Microsoft 365 après la migration. Elle couvre les renseignements de 100 à 10 000 personnes, surtout des clients du cabinet, mais aussi des membres du personnel. Les dossiers clients contiennent des déclarations de revenus, des numéros d’assurance sociale et des coordonnées bancaires, et le degré de sensibilité de l’ensemble a été jugé moyen. L’évaluation ne porte pas sur les autres activités du cabinet qui ne sont pas liées à ce changement de système. Le projet ne comporte aucune décision fondée exclusivement sur un traitement automatisé.

Les renseignements proviennent d’abord des clients du cabinet, qui fournissent leurs déclarations de revenus et leurs pièces justificatives, leur numéro d’assurance sociale et leurs coordonnées bancaires, et qui échangent des courriels avec le cabinet. S’y ajoutent les courriels et les calendriers des membres du personnel. Ces renseignements se trouvent actuellement sur le serveur installé au bureau. Les personnes concernées n’ont pas été informées du projet de migration.

Un consultant informatique établi à Laval transfère ces renseignements du serveur vers Microsoft 365, puis gérera le compte une fois la migration terminée, ce qui lui donne accès à l’ensemble des données hébergées. Aucun contrat écrit n’encadre son intervention. Microsoft héberge ensuite les courriels, les calendriers et les documents en vertu d’une entente écrite. Le compte a été ouvert au Canada, mais la province où les données sont stockées reste à confirmer, tout comme la possibilité que le soutien technique de Microsoft y accède depuis l’extérieur du Canada. Le sort des données qui demeureront sur l’ancien serveur après la migration n’est pas précisé et reste lui aussi à confirmer.

Au sein du cabinet, l’accès aux renseignements est limité aux membres du personnel qui en ont besoin dans l’exercice de leurs fonctions, et le travail à distance leur permettra de les consulter hors du bureau. Aucune durée de conservation n’est définie pour les courriels, les calendriers ou les dossiers clients hébergés dans Microsoft 365. Enfin, des renseignements reviennent vers les clients, puisque le cabinet se servira de la plateforme pour partager des documents avec eux.

L’évaluation a relevé quatre constats : le lieu où Microsoft traite les renseignements n’est pas connu, aucune durée de conservation n’est définie, aucun contrat écrit n’encadre le travail du consultant informatique et les personnes concernées n’ont pas été informées du projet. Elle a aussi fait ressortir trois risques de gravité moyenne. Le plus probable est celui d’une conservation des renseignements plus longue que nécessaire, jugée d’une probabilité élevée faute de durée définie. Les risques d’un traitement à l’extérieur du Québec sans protection adéquate et d’un accès non autorisé aux renseignements sont jugés d’une probabilité faible.

Certains éléments restent à confirmer, notamment la province où Microsoft stocke les données et la possibilité que son soutien technique y accède depuis l’extérieur du Canada. Cabinet Exemple adopte les trois mesures énoncées dans le présent document pour donner suite à ces constats et réduire les risques relevés.