1. Énoncé de politique
L’objectif de cette politique est de fournir un cadre de sécurité qui assurera la protection de l’information de l’Université contre l’accès non autorisé, la perte ou les dommages tout en soutenant les besoins d’ouverture et de partage de l’information de notre culture universitaire. L’information universitaire peut être verbale, numérique et/ou sur papier, contrôlée individuellement ou partagée, autonome ou en réseau, utilisée à des fins administratives, de recherche, d’enseignement ou autres. Les normes et procédures liées à la présente politique de sécurité de l’information seront élaborées et publiées séparément.
Le non-respect de cette politique peut vous exposer à des mesures disciplinaires et à des sanctions potentielles décrites à la section 1.1.7 de Droits, règles et responsabilités.
2. qui est concerné par cette politique
La politique de sécurité de l’information s’applique à l’ensemble du corps professoral et du personnel de l’Université, ainsi qu’aux étudiants agissant au nom de l’Université de Princeton dans le cadre de leur service au sein d’organismes universitaires tels que des groupes de travail, des conseils et des comités (par exemple, le Faculty-Student Committee on Discipline). Cette politique s’applique également à toutes les autres personnes et entités à qui l’on accorde l’utilisation de l’information de l’Université, y compris, mais sans s’y limiter, les entrepreneurs, les employés temporaires et les bénévoles.
Autorisation – fonction consistant à établir les niveaux de privilège d’une personne pour accéder à l’information et/ou la traiter.
Disponibilité – s’assurer que l’information est prête et adaptée à l’utilisation.
Confidentialité – s’assurer que les informations sont conservées dans le strict respect de la vie privée.
Intégrité – s’assurer de l’exactitude, de l’exhaustivité et de la cohérence des informations.
Accès non autorisé – consulter, examiner, copier, modifier, supprimer, analyser ou traiter des informations sans autorisation appropriée et sans besoin professionnel légitime.
Information universitaire – information que l’Université de Princeton recueille, possède ou à laquelle elle a accès, quelle que soit sa source. Cela inclut les informations contenues dans des documents papier ou d’autres supports, communiquées sur des réseaux vocaux ou de données, ou échangées lors de conversations.
4. Politique
L’Université de Princeton sécurise de manière appropriée ses informations contre tout accès non autorisé, toute perte ou tout dommage, tout en soutenant les besoins d’ouverture et de partage de l’information de notre culture universitaire.
A. Niveaux de classification
Toutes les informations de l’Université sont classées dans l’un des quatre niveaux en fonction de leur sensibilité et des risques associés à leur divulgation. Le niveau de classification détermine les protections de sécurité qui doivent être utilisées pour l’information.
Lorsque l’on combine des informations, le niveau de classification de l’information résultante doit être réévalué indépendamment de la classification de l’information source pour gérer les risques.
Des exigences supplémentaires pour la protection de l’information dans chaque niveau de classification sont identifiées dans les normes et procédures de protection de l’information de Princeton.
Les niveaux de classification sont :
1. Restreint
Les informations universitaires suivantes sont classées comme restreintes :
- Numéro de sécurité sociale
- Numéro de compte bancaire
- Numéro de permis de conduire
- Numéro de carte d’identité de l’État
- Numéro de carte de crédit
- Informations de santé protégées (telles que définies par HIPAA)
Les lois étatiques et fédérales exigent que l’accès non autorisé à certaines informations à accès restreint soit signalé à l’agence ou aux agences appropriées. Tout signalement de cette nature à des parties externes doit être effectué par ou en consultation avec le Bureau du conseiller général (voir : Bureau du conseiller général/Privacy/Information Technology).
Le partage d’informations à accès restreint au sein de l’Université peut être autorisé si cela est nécessaire pour répondre aux besoins commerciaux légitimes de l’Université. Sauf exigence contraire de la loi (ou à des fins de partage entre des entités chargées de l’application de la loi), aucune information à diffusion restreinte ne peut être divulguée à des parties extérieures à l’Université, y compris des contractants, sans l’accord écrit préalable du destinataire proposé (i) de prendre des mesures appropriées pour préserver la confidentialité des informations à diffusion restreinte ; (ii) de ne pas divulguer les informations à diffusion restreinte à toute autre partie, à quelque fin que ce soit, sans le consentement écrit préalable de l’Université ou sans une ordonnance judiciaire ou une assignation à comparaître valide ; et (iii) d’informer l’Université à l’avance de toute divulgation en vertu d’une ordonnance judiciaire ou d’une assignation à comparaître, à moins que l’ordonnance ou l’assignation à comparaître n’interdise explicitement une telle notification. En outre, le destinataire proposé doit se conformer aux exigences de la présente politique. Tout partage d’informations à accès restreint au sein de l’Université doit être conforme aux politiques de l’Université, y compris les droits, règles et responsabilités et la politique d’utilisation acceptable des technologies de l’information et des ressources numériques de l’Université de Princeton.
2. Confidentiel
Les informations de l’Université sont classées comme confidentielles si elles ne relèvent pas de la classification à accès restreint, mais ne sont pas destinées à être partagées librement au sein ou en dehors de l’Université en raison de leur nature sensible et/ou d’obligations contractuelles ou légales. Les exemples d’informations confidentielles comprennent toutes les informations non restreintes contenues dans les dossiers du personnel, les dossiers d’enquête sur les fautes professionnelles et l’application de la loi, les données financières internes, les dossiers des donateurs et les dossiers d’éducation (tels que définis par la FERPA).
Le partage d’informations confidentielles peut être autorisé si cela est nécessaire pour répondre aux besoins commerciaux légitimes de l’Université. À moins que la divulgation ne soit exigée par la loi (ou à des fins de partage entre les entités chargées de l’application de la loi), lors de la divulgation d’informations Confidentielles à des parties extérieures à l’Université, le destinataire proposé doit accepter (i) de prendre les mesures appropriées pour protéger la confidentialité des informations :(ii) de ne pas divulguer les informations à toute autre partie à quelque fin que ce soit sans le consentement écrit préalable de l’Université ou une ordonnance ou une assignation judiciaire valide ; et (iii) d’informer l’Université à l’avance de toute divulgation en vertu d’une ordonnance ou d’une assignation judiciaire, sauf si l’ordonnance ou l’assignation interdit explicitement une telle notification. En outre, le destinataire proposé doit se conformer aux exigences de la présente politique. Tout partage d’informations confidentielles au sein de l’Université doit être conforme aux politiques de l’Université, y compris les droits, règles et responsabilités et la politique d’utilisation acceptable des technologies de l’information et des ressources numériques de l’Université de Princeton.
3. Non restreint au sein de Princeton (UWP)
Les informations de l’Université sont classées comme non restreintes au sein de Princeton (UWP) si elles ne relèvent pas des classifications restreintes et confidentielles, mais ne sont pas destinées à être partagées librement en dehors de l’Université. Un exemple est le Facebook de la faculté.
La présomption est que les informations UWP resteront au sein de l’Université de Princeton. Toutefois, ces informations peuvent être partagées à l’extérieur de Princeton si cela est nécessaire pour répondre aux besoins commerciaux légitimes de l’Université, et le destinataire proposé s’engage à ne pas divulguer à nouveau les informations sans le consentement de l’Université.
4. Publiquement disponible
Les informations de l’Université sont classées comme publiquement disponibles si elles sont destinées à être mises à la disposition de toute personne à l’intérieur et à l’extérieur de l’Université de Princeton.
B. Protection, traitement et classification de l’information
- Selon sa classification, l’information universitaire doit être protégée de façon appropriée contre l’accès non autorisé, la perte et les dommages. Les exigences de sécurité spécifiques à chaque classification se trouvent dans les normes et procédures de protection de l’information de Princeton.
- La manipulation d’informations universitaires provenant d’une autre source que l’Université de Princeton peut nécessiter la conformité à la fois à cette politique et aux exigences de la personne ou de l’entité qui a créé, fourni ou contrôlé l’information. Si vous avez des inquiétudes quant à votre capacité à vous conformer, consultez le cadre supérieur concerné et le Bureau du conseiller juridique général.
- Lorsque cela est jugé approprié, le niveau de classification peut être augmenté ou des exigences de sécurité supplémentaires imposées au-delà de ce qui est requis par la politique de sécurité de l’information et les normes et procédures de protection de l’information de Princeton.
- Si vous recevez des informations non classifiées contrôlées (CUI) ou si vous les créez, contactez le Bureau de la sécurité de l’information (ISO) pour vous assurer que des contrôles de sécurité appropriés sont appliqués aux données. Si vous n’êtes pas sûr qu’il s’agisse de CUI, veuillez contacter le Bureau de l’administration des projets de recherche ou l’ISO.
5. Responsabilités
Tous les professeurs, le personnel, les étudiants de l’Université de Princeton (lorsqu’ils agissent au nom de l’Université par le biais d’un service dans les organes de l’Université) et les autres personnes à qui l’on accorde l’utilisation des informations de l’Université sont censés :
- Comprendre les niveaux de classification des informations définis dans la politique de sécurité de l’information.
- Selon le cas, classifier l’information dont on est responsable en conséquence.
- Accéder à l’information uniquement en cas de besoin pour répondre à des besoins professionnels légitimes.
- Ne pas divulguer, copier, communiquer, vendre, prêter, modifier ou détruire toute information de l’Université sans un but professionnel valide et/ou une autorisation.
- Protéger la confidentialité, l’intégrité et la disponibilité de l’information universitaire d’une manière conforme au niveau de classification et au type d’information.
- Traiter l’information conformément aux normes et procédures de protection de l’information de Princeton et à toute autre norme ou politique universitaire applicable .
- Sauvegarder toute clé physique, carte d’identité, compte informatique ou compte réseau qui permet d’accéder aux informations de l’Université.
- Jeter les supports contenant des informations de l’Université de Princeton d’une manière cohérente avec le niveau de classification de l’information, son type et toute exigence de conservation de l’Université applicable. Cela comprend les informations contenues dans tout document papier (comme une note de service ou un rapport) ou dans tout support de stockage électronique, magnétique ou optique (comme une clé USB, un CD, un disque dur, une bande magnétique ou un disque).
- Contactez le bureau de l’avocat général avant de divulguer des informations générées par ce bureau ou avant de répondre à toute assignation à comparaître dans le cadre d’un litige ou de l’application de la loi, à des ordonnances du tribunal et à d’autres demandes d’informations émanant de plaideurs privés et d’agences gouvernementales.
- Contactez le bureau approprié de l’Université avant de répondre aux demandes d’informations émanant d’agences de réglementation, d’inspecteurs, d’examinateurs et/ou d’auditeurs.
6. Politiques, procédures, normes et modèles connexes de Princeton
Droits, règles, Responsabilités
Politique d’utilisation acceptable des technologies de l’information et des ressources numériques de l’Université de Princeton
Politique de traitement des cartes de crédit pour les sites marchands de l’Université
Politique de contrôle des exportations
Sécurité des données de recherche. Guidelines
Politique de prévention du vol d’identité
Procédure de réponse à une exposition possible de données universitaires sensibles
Normes et procédures de protection de l’information de Princeton
Modèle d’accord sur les informations confidentielles
7. Révision de la politique
Au minimum, la politique de sécurité de l’information sera révisée tous les 12 mois.
8. Journal des mises à jour
Le 21 mai 2004 – Politique émise.
Le 5 novembre 2015 – Approuvée par le CCE.
Le 31 août 2017 – Mise à jour.
Le 6 janvier 2020 – Ajout du langage CUI.
Le 7 février 2020 – Ajout de la section B.4.. sur les informations non classifiées contrôlées.
Il s’agit de l’article B.5.