Logiciel RH : comment assurer la sécurité des données

De plus en plus d’entreprises font le choix d’adopter un logiciel RH pour améliorer et fluidifier leurs processus de gestion des salariés : paie, recrutement, notes de frais, plans de formation, etc… Une adoption qui doit être effectuée sans négliger la cybersécurité.

Dans le cadre d’une solution logicielle destinée aux ressources humaines, nous parlons d’un SIRH, car il correspond au Système d’Information des Ressources Humaines. Il peut s’agir d’un système installé sur site, c’est-à-dire sur les serveurs de l’entreprise, ou disponible dans le Cloud, selon le modèle SaaS : l’entreprise n’a qu’à exploiter la solution sans devoir maintenir l’infrastructure système et réseau sous-jacente.

Ce système centralise l’ensemble des informations relatives aux employés, ce qui implique que sa base de données contient des informations personnelles. Une fois en place, le logiciel RH va pouvoir accompagner l’organisation dans diverses tâches :

• La gestion de la paie,
• La centralisation des données RH et des données de paie,
• Le suivi en temps réel des données de paie et RH,
• L’édition de documents, graphiques ou tableaux de bord RH,
• Le recrutement et l’intégration des collaborateurs (onboarding)
• La gestion des congés et des absences,
• La centralisation de la gestion des notes de frais,
• Etc…

Ainsi, le SIRH permet aux services RH des entreprises de se concentrer davantage sur des tâches à forte valeur ajoutée. De ce fait, la mise en place d’un SIRH nécessite une formation des équipes RH pour qu’elles puissent exploiter au maximum les fonctionnalités offertes par l’outil. C’est également une étape importante pour que l’adoption soit réussie.

Par ailleurs, nous pouvons affirmer que le SIRH sécurise l’activité de l’entreprise, car il va permettre de détecter et de lutter contre certaines fraudes. Par exemple, un employé qui essaierait de se faire rembourser deux fois la même note de frais.

Le SIRH et la protection des données personnelles

Quand nous entendons parler de traitement de données personnelles, nous sommes contraints de penser au Règlement Général sur la Protection des Données (RGPD). En effet, les entreprises européennes doivent s’assurer que l’outil est conforme au RGPD et qu’il assure la protection des données personnelles. De plus, il doit être pris en compte dans le registre des traitements.

Les informations stockées dans un SIRH sont sensibles, puisque nous pouvons citer les noms et prénoms des collaborateurs, les coordonnées bancaires et les adresses postales. Ceci peut être complété par d’autres documents relatifs à la santé de l’employé, mais aussi à ses performances. Que le logiciel SH soit hébergé en interne ou dans le Cloud, les organisations doivent s’assurer que la solution respecte les bonnes pratiques de sécurité pour éviter toute fuite de données ou cyberattaque.

En effet, si un cybercriminel parvient à compromettre le SIRH d’une entreprise, il peut la menacer de diffuser sur le Dark Web les documents et informations volés. Ceci sera préjudiciable pour l’entreprise, mais également pour les employés qui seront des victimes collatérales. Un attaquant en possession des données personnelles de tous les salariés d’une entreprise peut réutiliser ces données dans le cadre d’autres actions malveillantes, telles que l’usurpation d’identité.

Parmi les bonnes pratiques de sécurité à adopter, nous pouvons citer :

• Le chiffrement des données
• L’authentification multifacteurs pour protéger les accès à l’application
• La gestion les accès et des permissions : limitez les accès selon les responsabilités de chaque utilisateur et désactivez les comptes inactifs
• La maintenance de l’application via l’installation des correctifs (mise à jour logicielle)
• L’accès à l’interface web de l’application doit être effectué via le protocole HTTPS (à moins qu’une application de bureau soit utilisée)
• La sauvegarde des données, dans le respect des recommandations (stratégie 3-2-1, à minima)