Un planning de garde partagé entre plusieurs équipes contient des informations qui, mises bout à bout, révèlent les absences individuelles, les rotations et parfois la localisation de personnels. Pour une structure comme un SDIS ou un établissement de santé, ces créneaux ne sont pas de simples lignes dans un calendrier : ce sont des données opérationnelles sensibles.
Agendis 22 se positionne sur ce créneau précis, celui de la gestion de planning métier. L’outil offre-t-il un niveau de sécurité à la hauteur de ce qu’il manipule ?
Lire également : Cccp13, caisse de compensation : comprendre vos relevés en ligne
Droits d’accès granulaires dans Agendis 22 : le moindre privilège appliqué au planning
La plupart des articles sur la sécurité des données recommandent de limiter les accès au strict nécessaire. Le conseil est facile à formuler, plus difficile à mettre en pratique dans un outil de planification où des dizaines d’utilisateurs consultent, modifient ou valident des créneaux chaque jour.
Agendis 22 propose une gestion des droits découpée en plusieurs niveaux : lecture seule, modification et validation. Chaque profil est rattaché à un rôle et à un service. Un agent de terrain ne voit que ses propres créneaux et ceux de son unité.
A lire également : TUBE inox diamètre en stock ou à la découpe : quelle solution retenir ?
Un responsable de service accède aux plannings de son périmètre, avec la possibilité de valider les changements. L’administrateur général, lui, dispose d’une vue d’ensemble.
Ce découpage correspond au principe du moindre privilège, un fondement de la sécurité informatique que beaucoup d’outils métier B2B négligent. Lorsqu’un compte est compromis, l’attaquant n’accède qu’à une fraction des données, pas à l’intégralité du système.
Un agenda partagé classique (type Google Agenda ou Outlook) attribue souvent les mêmes droits à tous les membres d’un groupe. C’est exactement le problème qu’une gestion granulaire par rôle permet d’éviter. Dans un contexte où les plannings révèlent des disponibilités individuelles et des affectations de ressources, cette distinction n’est pas un luxe.
Accès mobile sans VPN : comment Agendis 22 sécurise le canal terrain
Agendis 22 est conçu pour être consulté directement depuis le terrain, sans passer par un navigateur classique ni par un VPN. Cette accessibilité simplifie l’usage quotidien, mais elle ouvre un front de sécurité que les contenus habituels sur la protection des données ignorent : celui du terminal mobile.
Un agent qui consulte son planning depuis un smartphone personnel se connecte via un réseau potentiellement non maîtrisé (Wi-Fi public, réseau 4G partagé). Deux questions se posent alors :
- Le flux entre le terminal et le serveur est-il chiffré de bout en bout, y compris hors VPN ?
- L’authentification repose-t-elle sur un simple mot de passe ou sur un mécanisme renforcé (MFA, jeton d’accès temporaire) ?
Le chiffrement du canal mobile est un prérequis, pas une option, dès lors que l’outil transporte des créneaux de garde nominatifs. Sur ce point, l’éditeur d’Agendis 22 gagnerait à publier une documentation technique accessible, détaillant le protocole de chiffrement utilisé et la politique de gestion des sessions sur mobile.
Agendis 22 face aux exigences de la directive NIS2
La directive européenne NIS2, transposée progressivement dans le droit français, élargit le périmètre des organisations soumises à des obligations strictes en matière de cybersécurité. Les structures de sécurité civile et certains opérateurs de services publics entrent dans ce périmètre.
Pourquoi cela concerne-t-il un outil de planification ? Parce que NIS2 ne se limite pas aux pare-feu et aux antivirus. La directive impose des mesures concrètes sur l’ensemble de la chaîne applicative :
- Journalisation des accès : chaque consultation, modification ou export de données doit être tracé et conservé pendant une durée définie
- Authentification multifacteur (MFA) par défaut pour les accès administrateurs, et recommandée pour tous les utilisateurs
- Notification d’incident dans un délai court en cas de compromission avérée
- Audits réguliers de sécurité, internes ou par un tiers indépendant
Agendis 22, déployé dans des environnements soumis à ces exigences (notamment des SDIS), doit pouvoir démontrer sa conformité. Les journaux d’accès horodatés sont le socle minimal de cette démonstration. Sans eux, impossible de prouver qui a consulté quel planning, à quelle heure, depuis quel terminal.
La question du MFA par défaut est tout aussi centrale. Un portail métier qui se contente d’un mot de passe unique pour accéder à des données de garde expose l’organisation à un risque que NIS2 qualifie explicitement d’inacceptable. L’éditeur d’Agendis 22 n’a pas, à ce jour, publié de certification ou d’audit de conformité NIS2 accessible publiquement, ce qui laisse les décideurs dans l’incertitude.
Ce que les assureurs cyber attendent d’un portail métier comme Agendis
Les contrats de cyber-assurance se sont durcis ces dernières années. Les assureurs exigent désormais des preuves techniques avant d’accorder une couverture, et un outil de gestion de planning connecté fait partie des composants examinés.
Un assureur va typiquement demander si le portail métier applique le MFA, si les données sont chiffrées au repos et en transit, et si des audits de sécurité tiers sont réalisés régulièrement. Il vérifiera aussi l’existence de journaux d’accès exploitables en cas d’incident.
Pour une organisation qui utilise Agendis 22, l’absence de documentation publique sur ces points crée un angle mort. Le système peut très bien intégrer toutes ces protections sans que l’information soit facilement vérifiable. Le problème n’est pas nécessairement technique, il est communicationnel : un outil sûr qui ne le prouve pas reste un risque aux yeux de l’assureur.
Concrètement, si vous évaluez Agendis 22 pour votre organisation, la démarche la plus fiable consiste à demander directement à l’éditeur un dossier de sécurité : politique de chiffrement, architecture d’authentification, fréquence des audits, et conformité aux référentiels en vigueur. Cette exigence de transparence n’est pas une défiance, c’est la norme pour tout portail métier manipulant des données de planification sensibles.
La capacité d’Agendis 22 à gérer finement les droits d’accès et à fonctionner sur le terrain sans VPN répond à des besoins réels. Ce qui manque aujourd’hui, c’est la preuve formelle et publique que ces fonctionnalités reposent sur une architecture auditée et conforme aux cadres réglementaires récents. Pour les organisations concernées par NIS2, c’est ce dossier de preuves qui fera la différence entre un outil pratique et un outil de confiance.
