Checklist avant publication pour les lanceurs d'alerte

Liste de vérification avant publication : pour les lanceurs d'alerte

Avant une publication liée à une alerte, il y a beaucoup de choses à vérifier.

Le contenu des documents, les métadonnées des fichiers, l'historique cloud, les traces d'impression et de numérisation, le destinataire du signalement, les risques juridiques et le comportement après publication. Un seul oubli peut revenir vers le lanceur d'alerte ou les personnes qui l'entourent.

Cette liste de vérification sert à éviter d'avancer sous l'impulsion du moment juste avant l'envoi ou la publication.

Ce n'est pas un avis juridique. Dans une situation à haut risque, commencez par envisager un spécialiste ou un interlocuteur de confiance.

Vérifier le modèle de menace

Commencez par vérifier ce que vous protégez, et contre qui.

Envoyer avec un modèle de menace flou est dangereux.

Dans un signalement, l'autre partie possède des informations internes. Même des informations incompréhensibles pour un lecteur extérieur peuvent être connues côté organisation. Qui peut voir les documents, qui était à cette réunion, qui utilisait un appareil à ce moment-là : l'autre partie peut parfois le vérifier dans les journaux.

C'est pourquoi le modèle de menace ne regarde pas seulement si "le grand public" le découvre. On réfléchit à ce que peuvent voir les administrateurs de l'organisation, les supérieurs, le service juridique, l'audit, les systèmes d'information et les sociétés d'enquête externes.

Vérifier les documents

Ensuite, vérifiez les documents à transmettre.

Ne regardez pas seulement le texte, mais aussi le nom de fichier, le créateur, le nom de l'organisation, le numéro de version, les commentaires, l'historique des modifications, le filigrane et le numéro de document.

La modification d'un document peut affecter sa valeur probante.

En cas de doute, vérifiez auprès du destinataire du signalement ou d'un spécialiste.

Les documents se vérifient à la fois par leur contenu et par les informations du fichier. Même si les noms sont supprimés du texte, l'origine peut rester visible si les informations sur le créateur, les commentaires, l'historique de modification, le numéro de document, le filigrane ou le périmètre de diffusion restent. Convertir en PDF ne rend pas forcément le document sûr.

Le contenu lui-même est aussi un indice. Une réunion en petit comité, un document à diffusion limitée, l'écran d'un système précis ou une photo qui ne pouvait être prise que sur place indiquent qui pouvait savoir. Pour la publication, on ajuste les détails qui reviennent vers le lanceur d'alerte tout en conservant le noyau factuel.

Vérifier le cloud et les appareils

Vérifiez aussi les endroits où les documents ont été manipulés.

Regardez s'il reste des traces dans le cloud professionnel, les appareils internes, le Wi-Fi du travail, le cloud personnel, les dossiers synchronisés et les sauvegardes.

Dans un signalement, les actions antérieures à l'envoi peuvent devenir problématiques.

Avant d'envoyer les documents, rappelez-vous où vous les avez touchés. Les avez-vous ouverts sur un appareil du travail ? Les avez-vous téléchargés depuis un cloud professionnel ? Les avez-vous imprimés ? Les avez-vous photographiés avec un smartphone ? Les avez-vous déplacés vers un cloud personnel ?

Cette vérification ne sert pas à effacer complètement les actions passées. Elle sert à comprendre d'où les soupçons peuvent venir après publication, puis à ajuster le contenu publié ou le destinataire du signalement.

Vérifier le destinataire du signalement

Le destinataire du signalement est fortement lié à l'anonymat et à la sécurité.

La présence d'un formulaire anonyme ne suffit pas à conclure que c'est sûr.

Vérifiez qui l'exploite.

Le périmètre de protection change selon le destinataire. Une rédaction, un avocat, un point de signalement d'intérêt public, un canal interne ou une ONG n'ont pas les mêmes contenus traitables, mécanismes de confidentialité, méthodes de réponse ni politiques de journaux. Dans un signalement, choisir le destinataire est au centre de la gestion du risque.

Vérifiez aussi s'il est possible de consulter d'abord avec un simple résumé, sans tout envoyer dès le premier contact. Si une vérification d'identité est nécessaire, vérifiez l'objectif, la durée de conservation et les personnes qui peuvent consulter.

Vérifier le comportement après publication

Après l'envoi, puis après la publication, le risque continue.

Réagir excessivement aux réactions internes, faire des allusions sur les réseaux sociaux, parler à des collègues, envoyer trop vite des informations supplémentaires : ces comportements deviennent des éléments de corrélation.

Une alerte ne s'arrête pas au moment de l'envoi.

Planifiez aussi le comportement après publication.

Après publication, des réactions apparaissent dans l'organisation. À ce moment-là, changer brusquement d'attitude, contacter des personnes concernées, faire des allusions sur les réseaux sociaux ou envoyer précipitamment des informations supplémentaires augmente les corrélations. Le comportement après publication peut lui aussi être observé par ceux qui cherchent le lanceur d'alerte.

Critères pour s'arrêter au dernier moment

Si la vérification montre un risque élevé, arrêtez-vous. Vous êtes la seule personne candidate. L'origine des documents est trop étroite. La gestion du destinataire est inconnue. Le risque juridique n'est pas compris. La famille ou des collègues peuvent être affectés.

S'arrêter n'est pas un échec. Dans un signalement, ne pas se presser peut contribuer à la sécurité.

Si des points restent inconnus après la liste de vérification, traitez-les comme "non vérifiés". On n'avance pas avec un "ça devrait aller". Choisissez l'une des options suivantes : vérifier, réduire l'information, changer de destinataire, consulter, retarder l'envoi. Un envoi qui laisse un doute doit être arrêté avant publication.

Résumé

La vérification avant publication pour les lanceurs d'alerte examine le modèle de menace, les documents, l'historique cloud, les appareils, le destinataire du signalement et le comportement après publication.

Le texte n'est pas le seul indice : informations sur le créateur, historique de modification, numéro de document, version, journaux d'impression et historique cloud peuvent aussi en devenir.

La fiabilité du destinataire est également importante.

Vérifiez qui l'exploite, ce qui est enregistré et qui peut lire.

Si beaucoup de points restent incertains, arrêtez-vous avant d'envoyer. Dans un signalement à haut risque, se presser peut devenir la plus grande erreur.

Outils liés

Articles liés