Atlassian applique depuis un certain temps une stratégie claire axée sur le cloud pour ses produits, tels que Jira et Confluence. En tant que client, vous bénéficiez de cycles d'innovation nettement plus courts et de coûts de maintenance considérablement réduits. Concrètement, cela signifie :

• Les exigences les plus strictes en matière de disponibilité, de sécurité et de performances
• Les nouvelles fonctionnalités sont disponibles immédiatement
• Mise à l'échelle continue à mesure que la demande en nombre d'utilisateurs augmente
• Aucun investissement dans votre propre infrastructure

Que vous utilisiez déjà les produits Atlassian Cloud ou que vous envisagiez de changer, nos mises à jour cloud résument les nouvelles fonctionnalités les plus importantes d'Atlassian Cloud.

Dans cet article, nous nous concentrons sur la protection des données et la sécurité de l'information d'un point de vue suisse.

Comment accéder au cloud ?

Atlassian a développé un processus structuré de migration vers le cloud avec ses partenaires de solutions. Nous vous accompagnons tout au long du processus grâce à notre expertise technique et à notre expérience en matière de migration.

Notre évaluation gratuite de l'état de préparation au cloud est le point de départ idéal. Cela vous fournit des réponses à des questions telles que :

• Vos applications sont-elles entièrement disponibles dans le cloud ?
• À quoi ressemble le parcours migratoire difficile ?
• Comment évolue le modèle de licence ?
• Vos exigences en matière d'infrastructure cloud sont-elles satisfaites ?

Évaluation Cloud Readiness

Protection des données et sécurité de l'information

En tant que partenaire Swiss Atlassian Platinum Solution, il est important pour nous de nous concentrer sur les besoins et les exigences de nos clients suisses et européens. C'est pourquoi nous nous concentrons délibérément sur le thème de la sécurité des informations dans les solutions SaaS et Atlassian Cloud dans cet article de blog.

En matière de sécurité de l'information, il est utile de la diviser dans les domaines suivants :

• loi sur la protection des données: Quelles sont les bases légales des données et vous en tant qu'organisation ?
• Stockage et traitement des données: Où sont stockées les données et où sont-elles traitées ?
• intégrité des données: Comment l'intégrité des données est-elle garantie ?

Loi sur la protection des données

La pertinence et l'application des principes juridiques dépendent dans un premier temps de trois aspects :

• Quelles sont les données stockées dans le cloud ?
• Quelles sont les exigences légales pour vous en tant qu'organisation ?
• Y a-t-il des exigences de la part des autorités de surveillance ? Si oui, lequel ?

Les données ne sont pas les mêmes que les données

Il est important de savoir quelles données vous allez conserver dans votre cloud Atlassian. Une fois que vous avez une vue d'ensemble des données stockées dans votre Atlassian Cloud, vous pouvez les classer selon les aspects suivants :

• Données personnelles ou données non personnelles
• Pour les données personnelles :
• Données personnelles spéciales ou données personnelles particulièrement sensibles
• Données de personnes physiques ou données de personnes morales
• L'emplacement des personnes dont vous traitez les données

En gros : s'agit-il exclusivement de données non personnelles ou traitez-vous également des données personnelles ? Dans l'affirmative, certaines exigences légales et réglementaires s'appliquent.

Exigences légales et réglementaires pour votre organisation

Entreprises privées

Les entreprises privées en Suisse appartiennent à Loi fédérale suisse sur la protection des données insinue. Si vous proposez des produits ou des services sur le marché européen, vous devez également tenir compte du principe de localisation du marché. Dans ce cas, le RGPD européen s'applique également (article 3 du règlement).

Les aspects suivants sont pertinents pour le stockage des données personnelles :

• Où sont stockées les données et qui les traite ? Si des données sont transférées à l'étranger, il faut s'assurer que vos données y sont également protégées de manière adéquate. À cette fin, le Préposé fédéral à la protection des données et à la transparence dispose d'un Liste des états publiés, dont la législation garantit une protection adéquate des données.
• Si les données doivent être transférées vers un pays ne disposant pas d'un niveau de protection des données adéquat, des clauses contractuelles types acceptées peuvent être convenues entre vous et le partenaire cloud, à condition que les ajustements et les ajouts nécessaires à une utilisation conformément à la législation suisse sur la protection des données aient été effectués.

institutions financières

Atlassian investit constamment dans la conformité légale et réglementaire en Europe. Les exigences des autorités suivantes sont actuellement satisfaites (entre autres) :

• Autorité bancaire européenne : EBA — Atlassian
• Autorité fédérale de surveillance financière (BaFin) : BaFin Atlassian

Les institutions financières suisses sont principalement soumises à l'Autorité de surveillance des marchés financiers (FINMA). Les données d'identification des clients (CID) constituent un besoin de protection particulier. Cette protection est régie par le secret bancaire. Pendant longtemps, les données du CID n'ont pas été autorisées à quitter la Suisse conformément au « principe de non-contrôle transfrontalier ».

Cependant, depuis que les directives de la FINMA ont été modifiées, ce principe ne s'applique plus en principe. Dès que les éléments suivants sont remplis, les données des clients de la banque peuvent être stockées dans le cloud :

• anonymisation
• pseudonymisation
• chiffrement
• Mesures organisationnelles (surveillance, etc.)
• Mesures contractuelles

Administration et autorités

En tant qu'administration ou autorités cantonales ou municipales, vous êtes soumis à la législation sur la protection des données de votre canton. Les principaux aspects d'un éventuel stockage de données personnelles dans le cloud sont les suivants :

• Lieu de stockage des données et application du CLOUD Act
• Chiffrement des données par le client ou le contractant
• Existence de clauses contractuelles types reconnues

Stockage des données (résidence des données) et traitement des données

Conformément aux principes juridiques décrits ci-dessus, le stockage des données est souvent pertinent.

Atlassian offre donc la possibilité de définir explicitement l'emplacement du stockage des données pour tous les forfaits cloud (Standard, Premium, Enterprise). Cette option est disponible gratuitement.

Nos recommandations

• Sélectionnez la résidence des données « Europe » (en particulier : Francfort et Dublin)
• Signez l'addendum Atlassian sur le traitement des données (clauses contractuelles types couvrant la loi suisse sur la protection des données) : Addendum relatif au traitement des données — Atlassian
• Vérifiez la résidence des données des applications que vous utilisez
• Les utilisateurs d'Atlassian gèrent la confidentialité de leurs données personnelles : Gérez la confidentialité de vos données personnelles — Atlassian

Informations supplémentaires sur le sujet

• L'engagement d'Atlassian en matière de RGPD

Ce que promet la feuille de route Atlassian

• Résidence des données pour les applications, prévue pour le premier trimestre 2022 : les applications prennent en charge le stockage et la migration des données dans la même région que le produit hôte.

intégrité des données

Atlassian a déjà pris diverses mesures pour sécuriser vos données :

Livre blanc sur l'ECM140 Zero Trust

Prenez des mesures supplémentaires pour garantir l'intégrité de vos données.

Nos recommandations

• Activez l'authentification à deux facteurs
• Intégrer un fournisseur d'identité existant au SSO

Atlassian Access est nécessaire pour utiliser ces options. Bénéficiez des autres fonctionnalités de sécurité disponibles avec Access (par exemple, la liste blanche des adresses IP)

Ce que promet la feuille de route Atlassian

• Règles relatives aux mots de passe pour les employés n'appartenant pas à l'organisation (employés externes), prévues pour le troisième trimestre 2022
• Prise en charge de plusieurs fournisseurs d'identité pour la même entreprise, prévue pour le deuxième trimestre 2022
• Apportez votre propre clé : chiffrement BYOK pour Jira et Confluence, prévu pour 2023 : chiffrez les données des produits Jira et Confluence à l'aide d'une clé que vous gérez dans votre propre instance d'AWS KMS.
• Domaines personnalisés : utilisation du domaine de votre entreprise pour votre instance Atlassian Jira Cloud au quatrième trimestre 2023
• Résidence des données en Suisse pour le premier trimestre 2024
• Classification des données : possibilité de classer les données dans Jira et Confluence pour le premier trimestre 2024

Cela signifie-t-il concrètement ?

Les informations sont nombreuses et parfois complexes. Nous sommes heureux de vous aider à tirer le meilleur parti des possibilités du cloud.

• Nous soutenons votre migration vers le cloud
• En coopération avec nos partenaires en matière de conseil juridique, nous clarifions les problèmes de protection des données en suspens.

‍