Un mot de passe trop simple, réutilisé ou partagé, facilite l’accès frauduleux aux données. La CNIL recommande des mots de passe d’au moins 12 caractères et, lorsque cela est possible, l’activation d’une double authentification. Par ailleurs, évitez de noter vos mots de passe sur un document papier ou de les laisser accessibles à tous (ex. : Post-It sur votre ordinateur). Privilégiez également, lorsque cela est possible, les comptes individuels. Un accès individuel permet une meilleure historisation et gestion des habilitations et assure de ne pas communiquer ses mots de passe ou encore de limiter l’utilisation frauduleuse du compte par autrui.
Une personne ne doit accéder qu’aux informations dont elle a besoin pour mettre en œuvre ses missions. Ainsi, un éducateur n’a pas nécessairement besoin des mêmes accès qu’un dirigeant ou qu’un professionnel de santé. À titre d’exemple, un professionnel de santé est seul habilité à avoir accès au dossier médical d’un joueur. La gestion des habilitations implique également de s’assurer de supprimer ou modifier les droits des personnes si ces dernières quittent le club ou changent de fonction. La CNIL recommande une revue des habilitations au moins une fois par an.
Selon la CNIL, les messageries et plateformes grand public (WhatsApp, Facebook, etc.), sans protection supplémentaire, constituent rarement un moyen suffisamment sûr pour transmettre des données. Ainsi, bien que l’utilisation de WhatsApp ou de clés USB puisse sembler pratique et répondre à un besoin de rapidité, elle ne représente pas toujours une solution suffisamment sécurisée pour les informations transmises. Privilégiez donc l’utilisation d’outils tels que Smash afin de recevoir ou envoyer des fichiers contenant des informations personnelles tels que les pièces d’identité ou les fichiers comprenant de nombreux adhérents.
Le phishing, ou hameçonnage, est un des moyens les plus utilisés par les attaquants pour accéder à vos informations. Il peut notamment s’agir d’un courriel ou message envoyé vous incitant à effectuer une action urgente ou à transmettre vos identifiants et mots de passe. Il est donc primordial de faire preuve d’une vigilance particulière lorsqu’un message vous demande de cliquer sur un lien, de vous reconnecter ou bien vous crée un sentiment d’urgence. Dans de telles situations, n’hésitez pas à bien vérifier l’adresse électronique de l’expéditeur et la cohérence de la demande. En cas de doute, utilisez un autre canal pour vérifier la demande auprès de l’expéditeur supposé.
Un fichier envoyé au mauvais destinataire, un compte piraté ou la perte d’un ordinateur peuvent constituer une violation de données. Lorsqu’une fuite de données est constatée par le club, il est important de déterminer quelles données sont concernées et le volume de personnes touchées afin d’évaluer les démarches à effectuer. Une notification de violation de données à la CNIL devra par ailleurs être effectuée dans les 72 heures à compter de la prise de connaissance de la violation. Des mesures de remédiation de la vulnérabilité devront être implémentées au plus vite.
