Tous les articles par Damien Bancal

Damien Bancal, expert reconnu en cybersécurité Damien Bancal est une figure incontournable de la cybersécurité, reconnu à l’international pour son expertise et son engagement depuis plus de 30 ans. Fondateur de ZATAZ.com en 1989 (et DataSecurityBreach.fr en 2015), il a fait de ce média une référence majeure en matière de veille, d’alertes et d’analyses sur les cybermenaces. Auteur de 17 ouvrages et de plusieurs centaines d’articles pour des médias comme Le Monde, France Info ou 01net, il vulgarise les enjeux du piratage informatique et de la protection des données personnelles. Lauréat du prix spécial du livre au FIC/InCyber 2022, finaliste du premier CTF Social Engineering nord-américain (2023), et vainqueur du CTF Social Engineering du HackFest Canada (2024), il est reconnu pour sa capacité à allier pratique du terrain et transmission pédagogique. Le New York Times ou encore Le Big Data ont salué son parcours, et l’agence Tyto PR l’a classé parmi les 500 personnalités tech les plus influentes en 2023. Il est aujourd’hui 9ᵉ influenceur cyber en Europe. Chroniqueur à la radio et à la télévision (France Info, RTL, M6, Medi1...), il est également réserviste citoyen au sein de la Gendarmerie Nationale (Lieutenant-Colonel - Unité Nationale Cyber) et de l'Éducation Nationale (Hauts-de-France). Médaillé de la Défense Nationale (Marine) et des réservistes volontaires, il poursuit son engagement au travers de son entreprise veillezataz.com, lancée en 2022.
Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données

Les écoutes de la NSA : rien de nouveau sous les drapeaux

Un commentaire

La NSA a toujours été à l’écoute de ses alliés et des pays non alliés dans le cadre de la lutte anti-terroriste. Rappelons que lors de la découverte du programme Echelon en 2000, la classe politique française et européenne avait été choquée par cette découverte. Voyons messieurs les politiciens ! Echelon surveillait tout et tout le monde bien avant les années 2000, entre autres : les communications téléphoniques, les fax et les communications électroniques, celles qui transitent par ondes radio, voies hertziennes, satellites, câbles, fibres optiques, sans oublier, bien sûr, les réseaux informatiques.

Et les services français ne sont pas en reste. A la même époque, ils avaient développé leur propre système d’écoute, basé également sur Echelon, mais ne disposaient pas des mêmes moyens pour avoir une panoplie d’outils aussi large. Les entreprises comme Airbus, Thomson-CSF, Siemens, Wanadoo, Alcatel-Lucent et autres, ont toujours subi ce genre d’espionnage industriel. A l’heure où la France lance rapports sur rapports, livres blancs sur la défense et la sécurité nationale (2008 et 2013), tous abordant les questions concernant notre capacité de cyber défense, notre allié a affiné son programme d’écoute Prism et s’adapte aux nouveaux outils technologiques disponibles dans le monde. Il a ainsi créé un ensemble d’outils lui permettant d’effectuer des recherches de masse avec son moteur XKeyscore, alimenté par les différents programmes développés par la NSA (FairView, Evilolive, Prism), associés à sa capacité de surveillance des câbles sous-marins grâce à Upstream.

La NSA possède cette capacité phénoménale d’enregistrer l’ensemble du trafic mondial sur ses propres data center, lui donnant la possibilité de stocker ainsi cinq zettaoctets de données dans un seul de ses centres basé dans l’Utah. Pour comparaison, cela qui équivaut à la capacité de stockage de 250 milliards de DVD. Aujourd’hui, la question n’est plus de savoir ce qui est écouté, mais de mettre en évidence l’ensemble des techniques utilisées dans le cadre de l’espionnage ; les implications réelles des constructeurs et éditeurs de solution IT, et des opérateurs de télécommunications ; l’implication des sociétés de services de type Skype, Google, Facebook, Microsoft, etc. Avec l’avènement du Cloud Computing et du Big Data, des questions doivent être posées sérieusement.

Après les révélations d’espionnage, le Parlement demande la suspension temporaire de l’accord SWIFT. Après les tergiversations du Parti Populaire Européen qui a demandé un report du vote sans l’obtenir, les eurodéputés ont finalement adopté à une courte majorité (280 pour, 254 contre) une résolution demandant la suspension de l’accord SWIFT avec les États-Unis. En vertu de l’accord UE/États-Unis sur le Programme américain de pistage des financements terroristes (TFTP), approuvé en juillet 2010 par le Parlement européen, les autorités américaines peuvent avoir accès aux données bancaires européennes stockées sur le réseau de la société SWIFT (Society for Worldwide Interbank Financial Telecommunication), aux seules fins de lutte contre le terrorisme et dans le respect de certaines exigences de protection de la vie privée des citoyens.

Les médias brésiliens ont révélé le 8 septembre dernier que la NSA est capable d’entrer dans le système SWIFT depuis 2006, malgré les cryptages et les pare-feu. À l’occasion du débat du 9 octobre dernier en plénière, la Commission avait indiqué ne pas souhaiter, à ce stade, demander la suspension de l’accord SWIFT, car elle estimait qu’elle ne disposait d’aucune preuve selon laquelle les États-Unis auraient frauduleusement accédé à ce système.

Pour Françoise Castex, c’est inacceptable: « Il existe, selon nous, des indications claires selon lesquelles la NSA pourrait récupérer des informations relatives à nos entreprises et à nos concitoyens sur le serveur SWIFT et les détourner. Nous appelons les 28 à suspendre cet accord, le temps de faire toute la lumière sur cette affaire. Nous demandons, en outre, à EUROPOL d’ouvrir une enquête sur l’accès non autorisé aux données financières de paiement. »

Pour l’eurodéputée socialiste: « A partir du moment où votre partenaire vous espionne, la confiance est rompue. » Avant d’ajouter: « Depuis avril, je demande la suspension des accords PNR et SWIFT avec les USA. L’Europe devrait aller plus loin en gelant les négociations sur l’accord de libre-échange avec les États-Unis! ». De conclure: « Le respect des droits fondamentaux des citoyens européens doit être une condition préalable à tout accord! ». (Par Jean-François Beuze, Président de Sifaris et Madame La Député Françoise Castex pour DataSecurityBreach.fr)

Espionnae, Sécurité, Smartphone

Vos doigts sont des mouchards

Une étude effectuée par des chercheurs de l’Université de Stanford indique que nos doigts et notre position de main sur nos smartphones pourraient servir à nous surveiller. Nous savions déjà que le micro et le haut-parleur d’un téléphone portable permettait d’identifier l’appareil. Voici une nouveauté dans l’identification. Le chercheur Hristo Bojinov, du Stanford Security Lab, explique à Mashable que son équipe a découvert que tous les capteurs de mouvement possèdent de petites anomalies qui pourraient être exploités pour nous espionner.

Ces anomalies permettraient de tracer nos précieux devenus uniques, et donc identifiables. « Le capteur de mouvement et le navigateur standard suffisent à identifier les appareils mobiles lorsqu’ils sont connectés à internet. Ils relient les données du capteur de mouvement au code des pages web visitées. »

Pour le chercheur, cette possibilité est infaillible et non contrôlable par les utilisateurs. Les universitaires ont réalisé un site web capable de jouer avec cette possibilité. Une annonce qui permet à Bojinov de faire causer de sa startup Anfacto, qu’il a monté avec les autres éditeurs de cette étude, Dan Boneh, Yan Michalevsky et Gabi Nakibly.

Cyber-attaque, DDoS, Espionnae, Vie privée, VPN

Google veut protéger les ONG et les droits de l’Homme des DDoS

Un commentaire

La filiale « idées » de Google, la Google Ideas, vient d’annoncer qu’une de ses nouvelles initiatives seraient à destination des ONG et autres associations de défense des Droits de l’Homme. Le géant américain annonce vouloir ainsi protéger des attaques DDoS, les sites web des défenseurs des Droits de l’Homme. L’annonce a été faite lors du « Conflict in a connected world« . Le projet, baptisé Shields, va profiter du Page Speed Service (PSS). Le PSS permet d’accélérer l’accès aux pages web. Un moyen technique qui va être utilisé, aussi, pour contrer les dénis de service distribués (DDoS) qui peuvent bloquer sites web et communication (emails, …) des serveurs visés par un afflux pirate de données. Plusieurs sites web ont été invités, ils sont basés en Iran, Syrie, Birmanie (Myanmar) et au Kenya. Arbor Network, proposera d’ici peu une carte baptisée « Digital Attack Map » qui montrera les attaques visant les sites protégés. Bilan, les DDoS seront interceptés par Google. Les DDoS et les informations transitant par PSS. A noter que d’ici quelques semaines, Google va proposer uProxy, une application pour Chrome et Firefox. Mission, créer un système de sécurisation des données.

Pendant ce temps, en Europe

Le Parlement européen a annoncé, lundi soir, un renforcement de la protection des données personnelles sur internet. La commission des libertés publiques a approuvé les propositions de sanctions et la directive destinées à renforcer la protection des données personnelles (sur Internet, dans les entreprises, …) au sein des états membres. La prochaine loi doit donner un plus grand contrôle sur leurs données personnelles. Les entreprises, mais aussi les géants du web, comme Google, auront obligation d’obtenir notre consentement préalable pour l’utilisation de nos données. Nous pourrons, mais en France cela est déjà normalement possible via la Loi Informatique et des Libertés, de demander aux entreprises de supprimer nos données. Des amendes sont annoncées. Elles pourront atteindre jusqu’à 5% du chiffre d’affaires. Le texte doit être approuvé lors d’une prochaine session du Parlement.

Après trois ans de travail parlementaire les eurodéputés de la Commission LIBE ont adopté à une forte majorité le règlement (49 +, 2- et 1 abst pour le règlement) et la directive (29+, 20, – 3 abst) sur les données personnelles et ont octroyé aux deux rapporteurs du Parlement européen, Jan-Philippe Albrecht (Verts, All), et Dimitrios Droutsas (S&D, GR) un large mandat de négociation avec le Conseil et la Commission européenne. Les socialistes Sylvie Guillaume et Françoise Castex présentes lors du vote se félicitent de ce résultat.   « Nous aurions pu souhaiter un encadrement plus strict sur l’encadrement des données pseudonymes mais ce résultat est dans l’ensemble un bon résultat qui était encore impensable il y a quelques mois », note Françoise Castex. « En Février la droite européenne majoritaire au Parlement était favorable à un allégement de la proposition de la commission européenne, allant même jusqu’à déposer des amendements proposés par les géants du Net américain. Nous ne pouvons que nous féliciter qu’ils aient fini par voter pour ce texte qui va vers une meilleure protection des consommateurs: le consentement explicite, l’encadrement des transferts de données vers un État tiers ou la possibilité de déréférencement sont des avancées réelles pour la protection de la vie privée des citoyens européens. »

Pour Sylvie Guillaume : « La protection des données est un droit fondamental pour les citoyens européens et les dernières révélations sur les écoutes de la NSA en France nous rappellent plus que tout que nous avons besoin de nous doter de règles claires. Malgré un lobbying intense, le compromis obtenu va véritablement dans le sens de règles renforcées au service des consommateurs, tout en n’accablant pas les PME de charges bureaucratiques excessives. Ainsi, grâce au vote de ce soir, un consentement explicite devra être donné librement avant tout traitement des données personnelles et toute personne pourra retirer son consentement dès qu’elle le souhaitera. Loin des contrats de confidentialité plus longs encore que le texte d’Hamlet (cf. ITunes), chacun pourra, au moyen de pictogrammes, connaître précisément et de façon claire à quelles fins ses données sont traitées, si elles sont transférées à des tiers…Enfin, des compagnies comme Google, Facebook et Skype ne pourront plus être autorisées à transférer des données à des pays tiers sans un accord européen légal sur des transferts de données. Soit autant de mesures qui doivent sonner comme un message fort à l’adresse du Conseil européen avec lequel les négociations vont s’ouvrir ».

Les députées européennes concluent: « L’affaire PRISM, et les plaintes de plus en plus nombreuses des consommateurs sur ce sujet montrent que la question de la protection des données personnelles est devenue un sujet très sensible. Après trois ans de travail parlementaire il serait bon de ne plus trop trainer et d’obtenir un texte fort avant la fin du mandat ! ».

Cybersécurité, escroquerie, Phishing, spam

Les hackers partent aussi en vacances en août

Un commentaire

Selon le « RSA Fraud Report », la France n’est plus dans le trio de tête des pays les plus attaqués par les campagnes de phishing. Dans l’édition de septembre de son Fraud Report, RSA, la division sécurité d’EMC, constate que les attaques utilisant des techniques de phishing ont diminué de 25% au mois d’août 2013 comparé au mois de juillet, passant de 45232 à 33861. De plus, la France – présente en quatrième position du classement des pays les plus attaqués en juillet – n’est plus dans la compétition au mois d’août, cédant sa place à l’Inde qui a enregistré une augmentation des attaques de 2 points. Le phishing ou hameçonnage est l’une des techniques les plus utilisées par les fraudeurs afin d’obtenir des renseignements personnels et usurper ainsi l’identité de l’internaute. Particulièrement adaptés pour obtenir des renseignements bancaires, ces trojans sont déployés pour présenter aux utilisateurs un site web généré par un programme malveillant qui les incite à rentrer leurs informations personnelles.

Cybersécurité, Espionnae, Fuite de données, Vie privée

Backdoor D-Link

Accéder, sans mot de passe, dans un routeur D Link, facile grâce à une backdoor. Craig, du blog Dev TTys 0, vient d’analyser le routeur DIR-100 REVA de D-Link. Son petit jeu, un reverse engineering, lui a donné l’occasion de découvrir qu’en quelques lignes de code, il était possible d’accéder aux commandes de la machine, en outre passant login et mot de passe.

Bilan, il semble qu’une porte cachée dans le firware permet à celui qui connait le truc de s’inviter dans le – précieux -. « On peut raisonnablement conclure que de nombreux dispositifs D-Link sont susceptibles d’être affectés par cette backdoor » souligne le chercheur. En bref, si votre navigateur est configuré avec comme User-Agent « xmlset_roodkcableoj28840ybtide », vous obtiendrez automatiquement un accès administrateur sur le panneau de contrôle web du routeur, sans la moindre demande d’autorisation.

Les machines concernées par cet étrange firware sont : DIR-100 ; DI-524 ; DI-524UP ; DI-604S ; DI-604UP ; DI-604 + et TM-G5240. « En outre, plusieurs routeurs Planex semblent également utiliser le même firware » termine Craig. Il s’agit de BRL-04UR et BRL-04CW. Une raison de plus pour commencer à adopter openwrt/ddwrt/tomato etc. D-Link n’a pas encore donnée ses explications sur ce sujet.

Cyber-attaque, Leak, Piratage

Portait de pirate : PhenomenalCrew

3 commentaires

Qui sont-ils ? Pourquoi agissent-ils ? Interview de jeunes pirates qui signent leurs actions malveillantes sur la toile sous le nom de PhenomenalCrew. Depuis plusieurs mois, le groupe de pirates francophones PhenomenalCrew fait parler de lui en s’attaquant à des dizaines de sites Internet. Ce groupe,  formé de quatre jeune internautes, se dit passionné d’informatique et avide de bases de données. Des Universités, des communes, des mutuelles ont été ciblées par ces jeunes gens. Des actes qui pourraient leur couter très cher. La loi française condamne les actes de piratage informatique de 3 à 7 ans de prison et jusqu’à 350.000€ d’amende. Rencontre avec ces bidouilleurs qui pourraient très bien être votre fils ou votre petit frère. Les propos tenus dans cette interview ne reflètent pas les idées de la rédaction mais celles de ces jeunes pirates.

[+] DataSecuriyBreach.fr –  Pourquoi PhenomenalCrew ?

Le Nom parle de lui-même, nous sommes Phénoménal, non ?

[+] DataSecuriyBreach.fr – Depuis plusieurs mois vous piratez sites et serveurs, pourquoi ?

Nous nous battons contre la corruption, les informations atténuées par les médias et le contrôle que nous subissons par certaines sociétés secrètes, la guerre en Palestine nous préoccupe aussi beaucoup.

[+] DataSecuriyBreach.fr – Dans vos piratages, des communes, des universités, des constructeurs automobiles. Pourquoi ces cibles ?

Nous visons de grands sites pour faire passer nos messages, quoi de mieux qu’un grand constructeur de voitures, la voiture est un objet que tout le monde possède, donc utile. Pour ce qui est des universités, c’est une autre histoire. Nous avions vu un reportage tantôt sur des élèves travaillant sur des tablettes numériques, pendant que nous, Français, sommes encore sur des ardoises ou support papier, le monde évolue et nous nous restons au même endroit … Les méthodes sont archaïques. Après ces fameux piratages d’Universités, les sites web visés ont mis à jour leurs sites.

[+] DataSecuriyBreach.fr – Vous avez piraté aussi des espaces de mutuelle, pourquoi ?

S’ils protègent leurs clients comme leurs sites Web, où va le monde ! Un certain laxisme a été repéré dans ce genre de système que nous, pays développé,  avons la chance d’avoir … et que nous ne sommes pas fichus de sécuriser un minimum.

[+] DataSecuriyBreach.fr – Qu’est-ce que vous aimez dans le « hack » ?

Le Hacking n’est pas un loisir, c’est un devoir pour nous.

[+] DataSecuriyBreach.fr – Y a-t-il vraiment un défi, aujourd’hui, à la vue des outils qui automatisent les attaques ?

Il faut avoir du courage, fouiner, trouver, comprendre et enfin attaquer. C’est vrai que cela efface le côté un peu « Kitch » du piratage informatique à la main ou avec le bon vieux Backtrack. Il faut savoir se modérer dans les attaques automatisées et pratiquer d’autant plus manuellement.

[+] [+] DataSecuriyBreach.fr – et les autorités ?

Nous savons que nos actions sont illégales, mais nous essayons de nous protéger au mieux contre cette justice qui s’acharne sur nous les hackers. Nous voulons faire avancer les choses. Les gouvernements ne sont pas, non plus, très en accord avec la loi, comme nous avons pu le voir très récemment dans l’affaire Snowden. Je pense que nos actions sont minimes à côté de leurs actes.

[+] DataSecuriyBreach.fr – Pourquoi diffuser les bases de données des sites piratés. Les personnes dans les BDD, comme celle de la banque européenne du sperme ne sont pas responsables des failles/bugs/…

Les webmasters prendront plus conscience de ce qu’il leur arrive si leurs utilisateurs sont mis en danger. Ils prendront cela au sérieux, ce qui fera avancer leurs corrections. Ce que nous faisons est en fait bénéfique, regardez certaines universités que nous avions piraté. Ils ont fait une « Version 2.0 » de leur site web. Ce qui montre que notre piratage a été utile. Ils ont pris conscience des choses. Des personnes mal intentionnées auraient pu faire bien pire.

[+] DataSecuriyBreach.fr – Ne pensez-vous pas qu’aujourd’hui, le web est devenu un énorme « merdier » ?

Tout tourne autour des systèmes informatiques. Tout le monde s’y met de plus en plus tôt, ce qui laisse place à des générations très jeunes, comme très âgées. Dans le web, on y met tout et n’importe quoi … et c’est vrai, surtout n’importe quoi.

[+] DataSecuriyBreach.fr – Comment voyez-vous votre avenir dans 5 ans ?

Nous ne pouvons malheureusement pas savoir de ce que demain sera fait, nous espérons tout de même avoir un rôle dans la sécurité informatique, se ranger et être au service des gens, au lieu de les traquer.

[+] DataSecuriyBreach.fr – Vous ciblez vos « hacks » comment ?

Nous décidons en équipe de ce que nous voulons pirater. Nous pesons le pour et le contre et essayons de trouver des raisons valables à ces attaques, ça ne se fait pas comme ça, un matin, en se levant du lit.

[+] DataSecuriyBreach.fr – Avez-vous déjà trouvé des choses que vous n’avez pas osé diffuser ? Oui, des coordonnées bancaires.

[+] DataSecuriyBreach.fr – Pourquoi ?

Ce sont les fichiers les plus sensibles, que l’on peut trouver dans une base de données classiques, tout tourne autour de l’argent, nous pouvons détruire une famille financièrement et nous en sommes conscients, c’est pour cela que nous évitons de les partager.

[+] DataSecuriyBreach.fr – Qu’avez-vous pu trouver d’étonnant ?

Un petit site, peu cacher de très grandes choses comme des gouvernements, une banque nationale. Il est possible de s’attaquer à petit dans la forme, mais gros dans le fond des choses essentielles. C’est cela qui nous a troublé, il y a peu. Pourquoi cacher d’aussi grandes informations, dans un site d’amusement.

[+] DataSecuriyBreach.fr – Comment voyez-vous l’avenir du web ?

Très avancé, et moins kiddies nous l’espérons, et toujours avec nous, PhenomenalCrew, pour le défendre.

Android, Sécurité, Smartphone

Androïck Ver. 2.0 reconnu par l’OWASP

Cocorico ! Androïck version 2.0 vient de sortir. L’outil a été sélectionné par l’OWASP Mobile Security Project. C’est le seul outil français a avoir été sélectionné ! Derrière cette création, Florian Pradines, 20 ans, un étudiant en deuxième année à l’IUT informatique d’Aix-en-Provence (Aix-Marseille Université). En plus de ses études, le chercheur travaille pour la société Phonesec en tant qu’expert sécurité. La rédaction de Data Security Breach a posé quelques questions au jeune informaticien pour découvrir quelques petits secrets sur son outil.

[+] Datasecuritybreach.fr – Qu’est ce qu’Androïck ?

Florian Pradines- Androïck est un outil programmé en python qui permet d’apporter une aide à l’analyse forensic des applications Android stockés sur nos appareils. L’application récupère le fichier apk (en gros, le logiciel), les données qui sont stockées sur votre ordinateur. Ensuite, l’application analyse tous les fichiers récupérés à la recherche de bases de données et lorsqu’elle en trouve, elle les extrait au format csv afin d’en faciliter l’analyse. Un autre point intéressant est le fait qu’Androïck récupère aussi les fichiers et apk stockés sur la carte SD du téléphone. Il est aussi compatible avec les applications systèmes.

[+] Datasecuritybreach.fr – Pourquoi cette idée ?

Florian Pradines – Lorsque j’analysais des applications, une étape qui pouvait être longue était celle de récupérer toutes les données (apk, fichiers, etc…) sur mon ordinateur. Ensuite, il fallait que je trouve les bases de données pour les extraire et voir leur contenu. Sans compter que parfois, je perdais un peu de temps à chercher le nom exact du package pour pouvoir le récupérer. Cette étape n’est pas particulièrement intéressante et c’est là qu’intervient Androïck.

[+] Datasecuritybreach.fr – Etre choisi par Owasp, voilà de quoi être fier ?

Florian Pradines – Bien sûr, c’est une grande satisfaction et fierté. Je consacre du temps à ce projet et être choisi par l’OWASP va me permettre de pouvoir échanger avec d’autres personnes importantes sur la scène Android.

[+] Datasecuritybreach.fr – Evolution de l’outil ?

Florian Pradines – L’outil va bien sûr évoluer encore. Les prochaines fonctionnalités seront sûrement la décompilation automatique de l’application et la conversation au format jar, afin de gagner encore plus de temps sur l’analyse. Dans le futur, si le projet fonctionne aussi bien que je l’espère, une application Android pourrait voir le jour afin de faire certaines opérations directement sur son smartphone.

[+] Datasecuritybreach.fr – Autres projets ?

Florian Pradines – La sécurité iOS et Windows phone qui sont des acteurs importants du marché m’intéressent aussi. J’ai dans l’idée de faire de la recherche sur ces systèmes.

https://www.owasp.org/index.php/OWASP_Mobile_Security_Project#tab=Mobile_Tools https://www.owasp.org/index.php/Projects/OWASP_Androick_Project

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données

La sécurité reste le principal frein à la transformation numérique des entreprises en Europe

Un commentaire

Selon une enquête réalisée à l’échelle européenne par Quocirca pour CA Technologies, les problématiques liées à la sécurité des données (propriétés intellectuelles, données personnelles et localisation de stockage) restent la principale barrière qui freine l’adoption du Cloud par les entreprises

1.     L’enquête « L’Adoption des Services basés sur le Cloud » révèle qu’une majorité d’entreprises européennes (52%) restent prudentes vis-à-vis du Cloud. Parallèlement, une proportion équivalente (environ 25%) l’adoptent et le rejettent.

2.    Le premier vecteur d’adoption du Cloud reste les économies de coût. Mais désormais, les entreprises cherchent également à améliorer leur efficacité en mettant l’informatique réellement au service des métiers. Le Cloud devient ainsi le levier d’accélération des stratégies de transformation que les entreprises appellent de leurs vœux depuis 30 ans.

3.    La principale barrière freinant l’adoption du Cloud est la sécurité des données. 78% des entreprises réticentes pensent qu’elles ne disposent pas de ressources suffisantes et 65% considèrent qu’elles manquent des compétences nécessaires à la sécurisation de leurs services de Cloud. Mais les entreprises ayant déjà mis en œuvre des programmes de transformation numérique reposant sur le Cloud ont pris en compte dès le départ les problématiques de sécurité.

4.    Pour consulter le rapport complet, « The Adoption of Cloud-Based Services », cliquez ici.

L’adoption des services de Cloud par les entreprises ne cesse d’augmenter. Une récente enquête réalisée par Quocirca pour le compte de CA Technologies révèle que 57% des DSI de grandes entreprises européennes utilisent des services de Cloud dès qu’ils le peuvent ou en complément à leurs propres ressources internes. Selon eux, les services de Cloud accroissent la compétitivité de l’entreprise (la productivité, l’efficacité et la collaboration), le tout pour un coût total de possession inférieur. Près d’une entreprise européenne sur deux est encore réticente à adopter le  Cloud, du fait de préoccupations liées à la sécurité de leurs données 43% des entreprises européennes restent encore réticentes au Cloud. Parmi elles, on en compte 23% qui évitent de recourir au Cloud. 17% évaluent leur intérêt au cas par cas et  3% bloquent systématiquement l’accès au Cloud.

La principale barrière freinant l’adoption du Cloud est la sécurité. Plus de 54% de ces entreprises se déclarent préoccupées par les problématiques de sécurité liées à la propriété intellectuelle (vol de brevets, etc.), 43% par les problématiques de respect de la vie privée (exploitation de données personnelles, etc.) et 39% par le stockage de données confidentielles dans le Cloud (l’actualité relate quotidiennement des cas retentissants de vols et de fuites de données critiques).

Plus des trois quarts (78%) de ces entreprises françaises réticentes au Cloud déclarent manquer de ressources pour sécuriser ces services de Cloud et 65% de compétences adéquates. Ces chiffres laissent entendre que si on les aidait à mettre en œuvre et à sécuriser leurs services de Cloud, la plupart pourrait surmonter la principale barrière qui freine leur adoption.

Parmi les autres barrières mentionnées par les dirigeants informatiques interrogés, les législations sont perçues comme d’importants freins, principalement dans le secteur public, l’industrie et les télécommunications. Ceci soulève deux questions fondamentales :

–      comment innover dans un contexte de régulation intense ?

–      la loi est-elle un obstacle à l’innovation ?

La gestion des identités et des accès pour sécuriser les services de Cloud Les entreprises qui ont adopté le Cloud ont pensé à la sécurité dès le début de leur projet : 93% des entreprises françaises favorables au Cloud disposent d’un système de gestion des identités et des accès, contre seulement 48% des entreprises réticentes. 68% d’entre elles exploitent un modèle SaaS, contre seulement 30% des entreprises réticentes.

« Notre enquête prouve que la gestion des identités et des accès est primordiale pour les entreprises adoptant le Cloud. Les entreprises françaises encore réticentes peuvent surmonter leurs problématiques de sécurité et simplifier leurs processus grâce à des offres SaaS. D’ailleurs l’étude montre que 82% des entreprises favorables au Cloud considèrent que de nombreux services de sécurité – Single Sign On (SSO), gouvernance fédérée des identités et des accès – sont plus efficaces lorsqu’ils sont délivrés via des modèles SaaS ou hybrides », déclare Gaël Kergot, Directeur des Solutions de Sécurité chez CA Technologies.

Outre les gains d’efficacité, de productivité et de satisfaction des clients, les solutions de gestion des identités et des accès en mode SaaS répondent surtout au besoin de réduction de la complexité informatique exprimé par les entreprises européennes dans cette enquête. Qu’elles soient enthousiastes ou réticentes au Cloud, entre 30 et 40% d’entre elles considèrent que la complexité est encore un frein majeur au déploiement de services de Cloud. Ceci est notamment dû au fait qu’elles considèrent manquer des compétences nécessaires pour réussir leurs déploiements.

Emploi, Entreprise

YesWeHack – Le portail qui permet de recruter un hacker

La sécurité informatique évolue. Les entreprises, petites ou grandes, ont un véritable besoin d’hommes et de femmes compétents dans le domaine de la sécurité informatique. Une étude sortie lors des Assises de la Sécurité 2013 indiquait même que 9 entreprises sur 10 ont connu un problème de sécurité l’année dernière [1]. 91% des entreprises ont vécu au moins un incident de sécurité externe ; 85% un incident interne. Autant dire que la recherche de compétences n’est pas un vain mot. De ce constat est né YesWeHack (http://yeswehack.com), un portail d’offres d’emplois et de services dédiées à la sécurité informatique. Un espace unique en partenariat avec RemixJobs [2].

Sécurité, confidentialité, efficacité, convivialité En 2013, l’offre a dépassé la demande dans le domaine de la sécurité informatique et les bonnes ressources se font rares, car être un hacker, c’est avant tout être un passionné qui souhaite exercer son art pour le compte d’une entreprise au même titre qu’un peintre souhaite exposer des œuvres dans une galerie. Recruter, chercher un emploi, proposer ou trouver un stage dans la sécurité informatique est un parcours du combattant. YesWeHack (http://yeswehack.com) veut faciliter les démarches. En effet, aucun outil ne centralise l’ensemble de ces demandes. Les services existant tentent de s’en approcher mais sont trop généralistes, peu ergonomiques et trop onéreux pour espérer faire gagner du temps lors d’un recrutement ou de la recherche d’un emploi.

L’idée de YesWeHack (http://yeswehack.com), mettre en relation les recruteurs, les chefs d’entreprises et les spécialistes de la sécurité informatique, le tout dans un espace dédié, efficace, sécurisé et convivial. Vous cherchez, vous trouverez avec YesWeHack (http://yeswehack.com).

Dans quelques semaines, un annonceur pourra prendre une option baptisé « challenge ». Elle obligera le candidat à valider une épreuve de sécurité informatique afin de postuler à l’offre. Une recherche qui sera définie dans un cahier des charges décidé par le recruteur. Les challenges seront développés par Hackerzvoice [3]. Une équipe forte de son expérience sur la Nuit du Hack [4]. A noter que pour plus de sécurité, un identifiant PGP [5] du recruteur et/ou d’un candidat sera proposé dans les offres/recherches afin d’identifier parfaitement les parties.

Simplicité, efficacité autour d’un domaine, d’une passion : la sécurité informatique. YesWeHack (http://yeswehack.com) apporte aux recruteurs et aux candidats l’outil ultime qui facilitera le quotidien en termes d’emploi dans le domaine de la sécurité informatique.

[+] Contacts Mail:

contact@yeswehack.com

Twitter: @yeswehack

Web : http://yeswehack.com

[+] Références [1] Neuf entreprise sur dix ont connu un problème de sécurité en 2013 https://www.datasecuritybreach.fr/9-entreprise-sur-10-ont-connu-un-probleme-de-securite-en-2013/

[2] RemixJobs

http://remixjobs.com

[3] HackerzVoice

http://www.hackerzvoice.net

[4] Nuit du Hack

http://www.nuitduhack.com

[5] Open PGP

http://www.openpgp.org

Chiffrement, Entreprise, Fuite de données, Sauvegarde

Un centre hospitalier mit en demeure par la CNIL

Le 25 septembre dernier, la Présidente de la CNIL a lancé une mise en demeure à l’encontre du Centre hospitalier de Saint-Malo. Tout a débuté en juin 2013, la Commission Informatique et liberté contrôlait le C.H. et découvrait qu’un prestataire avait pu accéder, avec le concours de l’établissement, aux dossiers médicaux de plusieurs centaines de patients. Un acte interdit par le code de la santé publique et la loi Informatique et Libertés. Les établissements de santé publics et privés doivent  procéder à l’analyse de leur activité.

Les actes pratiqués à l’occasion de la prise en charge des malades sont ainsi « codés » selon une nomenclature particulière, de sorte qu’à chaque acte possède son code de remboursement par l’assurance maladie. « Afin d’analyser leur activité et de détecter d’éventuelles anomalies de codage, certains établissements ont recours à l’expertise de sociétés extérieures pour procéder à la vérification et à la correction de ces opérations« . Une aide qui permet des remboursements rapides.

Sauf que les entreprises de santé ont oublié qu’en application des dispositions prévues au chapitre X de la loi Informatique et Libertés, les traitements de données à caractère personnel à des fins d’évaluation ou d’analyse des activités de soins et de prévention sont soumis à l’autorisation de la CNIL. De tels actes doivent s’opérer dans le respect du secret médical et des droits des malades. La CNIL veille à ce que ces traitements ne portent pas sur les données nominatives des malades.

Le contrôle au Centre hospitalier de Saint-Malo a permis à la CNIL de relever que le prestataire mandaté par l’hôpital a pu accéder, avec le concours de l’établissement, aux dossiers médicaux de 950 patients (informatisés ou en version papier). La mise en demeure du Centre hospitalier de Saint-Malo indique que l’hôpital doit veiller à ce que les dossiers des malades ne puissent pas être accessibles par des tiers, notamment par les prestataires choisis pour l’optimisation du codage.

La CNIL a décidé de rendre publique cette mise en demeure en raison de la sensibilité des données (à savoir des données de santé), de la gravité des manquements constatés, du nombre de personnes concernées et de la nécessité de prévenir le renouvellement de tels manquements. Pas de sanction prise, aucune suite ne sera donnée à cette procédure si le Centre hospitalier de Saint-Malo se conforme à la loi dans le délai imparti de 10 jours.