Archives de catégorie : Fuite de données

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, RGPD, Sauvegarde, Securite informatique

Le RGPD : Les 3 erreurs du Règlement Général de Protection des Données

Le RGPD, c’est demain ! La Commission européenne avait parfaitement raison de déclarer dans son évaluation sur le Règlement Général de Protection des Données de l’Union européenne qu’il s’agissait « du changement le plus important dans le règlement sur la confidentialité des données depuis 20 ans ». Toute entreprise doit se conformer au RGPD, mais ne devrait pas perdre de vue l’objectif ultime : permettre et gérer davantage d’interactions et d’activités numériques.

Tout d’abord, le RGPD, le nouveau règlement exige que les entreprises s’engagent à mener des contrôles de conformité systématiques de leur fonctionnement actuel et prévisionnel. En un mot, évaluer les données de l’entreprise ; où sont-elles stockées ; et comment sont-elles utilisées. Compte tenu de l’importance de la réglementation, de sa vaste portée et de ses importantes pénalités potentielles, toute multinationale doit appliquer ce règlement et y parvenir de façon positive.

En observant le marché en collaboration avec des clients, des partenaires, des analystes et des autorités de régulation sur les programmes numériques et le RGPD en lui-même, on constate des bonnes pratiques et des pratiques que l’on peut qualifier de mauvaises. Voici les trois « erreurs du RGPD » : des actions menées sous les auspices du RGPD qui peuvent être directement placées dans le panier des « mauvaises pratiques ».

Erreur n° 1 : Négliger le client

L’objectif ultime du RGPD est de permettre davantage d’activités numériques. Le RGPD confère aux particuliers de l’UE des droits plus forts, appliqués de façon uniforme, qui leur octroient un meilleur contrôle de leurs données et une protection leur vie privée à l’ère numérique. Par définition, le RGPD est une réglementation centrée sur le client. En général, les entreprises qui réussissent dans le secteur numérique ont un regard extrêmement pointu sur leurs clients. Une partie de cette vue perçante est constituée des données numériques qu’elles possèdent de leurs clients, et de leur gestion et leur exploitation.

Le RGPD offre l’occasion d’examiner comment les données des clients, la vie privée et la confiance font partie de l’expérience client globale (segment par segment, marché par marché). En général, les organismes centrés sur le client conduisent déjà de très bonnes pratiques relatives aux données de leurs clients, qui sont gérées par les sections commerciales de l’entreprise. Ces entreprises exploitent leurs données clients avec beaucoup de soin et d’attention, et suivent fort probablement déjà les pratiques exemplaires du RGPD bien avant que la réglementation ne soit appliquée.

Si le RGPD ne reçoit pas l’attention, l’implication et le cautionnement de la direction commerciale, cela peut être un signe que l’entreprise ne comprend pas vraiment le RGPD et ses objectifs. Celles qui sont impliquées dans le projet RGPD devraient s’assurer que le client est au cœur de leur programme et d’obtenir un bon niveau de soutien et de patronage commercial.

Erreur n° 2 : Se concentrer uniquement sur la conformité plutôt que sur la transformation numérique

Certaines mises en œuvre du RGPD sont conçues pour être simplement conformes à la nouvelle réglementation, mais ceci est loin d’être optimal. L’objectif primordial du RGPD est de faciliter et de permettre davantage d’interactions et d’activités numériques au sein du marché unique. À ce titre, il est un peu incongru qu’une entreprise n’aligne pas étroitement son flux de travail RGPD avec ses programmes numériques essentiels. Les entreprises doivent comprendre l’implication complète du RGPD et s’assurer que les parties commerciales de l’entreprise supervisent intégralement ces initiatives, non limité à seulement leurs équipes informatiques pour vérification de conformité.

Il y a un certain nombre d’avantages à harmoniser le RGPD avec les programmes de transformation numérique, compte tenu que l’objectif ultime du RGPD est ciblé sur le marché numérique. Dans cette optique, les objectifs réglementaires et commerciaux peuvent être parfaitement alignés et complémentaires. En outre, les entreprises peuvent utiliser ce haut niveau de contrôle, obtenu grâce au RGPD, comme une occasion pour non seulement conduire le programme RGPD mais permettre un contrôle qualité de pointe, voire une amélioration, du programme numérique de l’entreprise.

Erreur n° 3 : Se concentrer sur les pénalités du RGPD, plutôt que sur les KPI

Un choix de direction consiste à mener des initiatives RGPD en utilisant une logique étroite de conformité et de mise en évidence des sanctions potentiellement importantes : par exemple jusqu’à 20 millions d’Euros, ou 4% du chiffre d’affaires mondial du groupe (si supérieur). Dans cette approche, une entreprise cocherait la case « conformité réglementaire » et exposerait les 20 millions d’euros/4 % du CA en tant que raison d’être dans le document de lancement du projet. Cela conduirait la gestion informatique et le reste de l’entreprise à une définition peu ambitieuse des priorités et des ressources allouées. Cette logique de projet est un signe que ni le client ni l’optimisation de l’exploitation numérique sont au cœur du projet RGPD.

Une étroite conformité avec le RGPD n’ajoutera pas nécessairement un seul euro au résultat financier ; ni l’amélioration de la satisfaction de la clientèle ; ni un impact sur tout autre indicateur de performance critique que l’entreprise pilote en ce qui concerne son activité numérique. Cependant, un programme RGPD bien intégré dans l’entreprise, en gardant en point de mire l’amélioration des opérations et des interactions numériques, pourrait être complémentaire au programme numérique. Avec cet objectif plus large, il peut être comparé à une analyse de rentabilité pour le déploiement des ressources et des investissements. Par exemple, si vous devez déterminer la portée et la nature de vos données client, vous devriez utiliser le RGPD en tant que moyen pour s’assurer que vous soyez à jour et parvenir à une vue à 360° de votre clientèle. Vous assurez ainsi à la fois conformité et connaissance globale du client, créant par conséquence de nouvelles perspicacités ou actions en ce qui concerne la clientèle, et les interactions numériques et les transactions qui en découlent.

Bref, il existe un lien cohérent entre ces 3 échecs : le RGPD est considéré comme un exercice de conformité réglementaire plutôt qu’une partie intégrante des objectifs commerciaux de l’entreprise. Les entreprises se doivent d’être aux normes, mais l’occasion est plus ambitieuse et le RGPD peut être une aubaine pour la transformation numérique de l’entreprise. Ne gaspillez pas votre effort RGPD seulement sur la conformité. (Par Perry Krug, Principal Architect, Couchbase).

A noter que vous pouvez retrouver, dans le podcast Securite.fr, un numéro spécial dédié au RGPD.

Base de données, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, double authentification, Emploi, Entreprise, Fuite de données, RGPD, Securite informatique

Protection des informations numériques, enjeu majeur de l’innovation

Les données sont devenues l’actif le plus précieux des entreprises. Mais est-il le mieux gardé ? L’exposition des entreprises aux cybermenaces ne cesse de croître avec la mobilité des collaborateurs, le partage des données, le développement du Cloud computing, l’internet des objets et l’intégration de nouvelles entités. La protection des informations numériques représente pour les entreprises un enjeu économique fondamental et paradoxalement, assez souvent indûment négligé.

La protection des informations numériques à l’aube du RGPD. L’innovation contemporaine est intimement liée aux données. A l’ère du digital elles constituent le nouvel actif stratégique des entreprises, dont la compétitivité dépend aujourd’hui de leur capacité à contextualiser et analyser les masses accumulées de données. Chaque jour des milliers, voire des millions de nouveaux devices se connectent au grand « Internet of Everything » pour collecter et échanger des données. Le marché se tourne vers des outils analytiques avancés pour les valoriser. Ces nombreuses sources de collecte et d’accès aux données sont autant de points de fragilité pour les malfaiteurs voulant s’attaquer aux systèmes d’information et de production. Si ces devices ne sont pas protégés, si sont compromises la disponibilité, la confidentialité et l’intégrité des informations stockées, traitées ou transmises, l’avantage concurrentiel qu’elles offrent risque de se transformer en pertes et la force devient une menace.

Le ROI en cybersécurité : qu’est-ce que vous êtes prêts à perdre ?

Dans la sécurité numérique, les cyberattaques sont le risque le plus connu. En France, onze incidents de cybersécurité seraient comptabilisés chaque jour en milieu professionnel. Une récente étude estime les pertes financières à 1,5 million d’euros pour chaque incident en moyenne.

Dans le monde, le nombre de cyberattaques aurait augmenté en 2016 de 21% par rapport à l’année précédente, et cumulées, elles auraient coûté à l’économie mondiale 280 milliards de dollars, selon International Business Report (IBR) publié par le cabinet Grant Thornton. Mais le plus grand risque, et donc la plus grande crainte, ne se résume pas aux pertes financières. Par exemple, au Canada, 31,6 % des organisations sondées ont jugé que la principale conséquence d’une cyberattaque serait le temps passé à traiter ses effets, suivi d’atteinte à la réputation (29,2 %) et perte de clients (10,2 %). La perte directe de revenus n’a été citée que par 9,8 % d’interrogés. Malgré cela, 52% des organisations n’ont aucune couverture en cas d’attaque.

Selon moi, trop souvent encore les entreprises font appel aux experts « après la bataille ». Bien sûr, nous sommes capables de gérer la crise, mais la prévention reste la meilleure réponse aux cyberattaques. Il est temps d’accepter que le ROI de la cybersécurité ne se calcule pas en chiffre d’affaires généré, mais plutôt en efforts nécessaires à traiter les dommages potentiels. Il convient à toute entreprise, qu’elle soit un grand groupe ou une PME, de mettre en place une véritable stratégie de sécurité, pour diminuer son exposition au risque et accompagner son développement.

Protection des informations numériques : pour une véritable politique de sécurité numérique

La première étape consiste à faire appel à des experts pour évaluer les facteurs de risque et les points faibles en matière de cybersécurité.

Ces éléments serviront à définir une véritable politique de sécurité qui ne devra plus concerner la seule stratégie IT, mais être intégrée aux stratégies de tous les métiers par une conduite de changement. Effectivement, les facettes de la cybersécurité sont d’autant plus nombreuses, que le sujet est transverse et concerne tous les métiers de l’entreprise : la sécurisation de l’écosystème digital de l’entreprise et de ses outils collaboratifs, la gestion des identités et des accès, la prévention des pertes de données, etc.

Le cyberpiratage et les cyberattaques ne sont pas les seules menaces pour la sécurité numérique, mais les plus médiatisées : d’expérience, 35% des incidents de sécurité seraient causés en interne par des collaborateurs mal informés.

Ainsi, la protection des informations va bien au-delà de la sécurité : pour protéger tous les terminaux et points d’accès, il n’est plus question de se satisfaire d’un antivirus, aussi puissant soit-il. Avant de se pencher sur des solutions technologiques, il est vital de comprendre son actuel niveau de maturité, définir le niveau de sécurité visé et se faire accompagner pour instaurer une gouvernance, définir des responsabilités, revoir les règles et les procédures, et, finalement, envisager l’outillage nécessaire.

L’adoption de nouvelles technologies d’information continue d’aller beaucoup plus vite que la sécurité. Au nom de la productivité et de la performance, les entreprises ont parfois mis de côté les mesures de protection. En se posant en bouclier protégeant les données, la cybersécurité s’affirme en garant de l’innovation et de la vitalité de l’entreprise. (Par David Adde, Directeur du pôle Sécurité chez Avanade.)

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Particuliers, RGPD, santé, Securite informatique

Un laboratoire de radiologie perd les dossiers médicaux de 9 300 personnes

Laboratoire, perdu, HD ! Que deviennent les données stockées par les professionnels de santé ? Pour le Charles River Medical Associates, sur un disque dur portable perdu. 9.300 dossiers médicaux dans la nature !

Le Charles River Medical Associates est un laboratoire de radiologie américain. Il vient d’avouer (la loi américaine l’impose, NDR) avoir perdu un disque dur contenant 9.387 dossiers médicaux. Des sauvegardes d’informations personnelles et des images radiographiques. Des données de tous ceux qui ont subi une scintigraphie osseuse au depuis 2010. Huit ans d’informations privées, sensibles, sans protection, ni chiffrement.

Le laboratoire a envoyé un courriel, comme va l’imposer le RGPD en France dès le 28 mai 2018, aux patients impactés. Le disque dur « perdu » contient les noms, les dates de naissance, les numéros d’identification des patients et les images de scintigraphie osseuse.

Le groupe de santé a découvert cette disparition en novembre 2017. Il aura attendu trois mois pour alerter les patients ! Le groupe était tenu de signaler cette violation de la vie privée au Département américain de la santé et des services sociaux, ainsi qu’aux médias locaux.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD, Securite informatique

100.000€ d’amende pour Darty à la suite d’une fuite de données via un prestataire

Prestataire de services et fuite de données ! La CNIL condamne à 100.000€ d’amende l’enseigne de magasins spécialisés dans la vente d’électroménager, de matériels informatiques et audiovisuels à la suite de la découverte d’une fuite de données clients via un prestataire de services.

Avez-vous pensé à votre prestataire de services ? La Commission Informatique et des Libertés à, ce 8 janvier 2018, délibéré sur une nouvelle affaire de fuites de données révélée par le  protocole d’alerte du blog ZATAZ. Le lanceur d’alerte avait constaté une fuite de données visant les clients de l’entreprise française de magasins spécialisés Darty. Le courriel envoyé aux clients étant passés par le Service Après-Vente « web » de l’enseigne contenait un url qui pouvait être modifié. Il suffisait de changer le numéro de dossier dans l’adresse web proposé dans le courrier pour accèder aux informations des autres clients. « La brèche concernait le système de gestion des messages envoyés par les clients au Service après-vente » explique ZATAZ. Des milliers de messages étaient accessibles. Plus de 900.000 selon le lanceur d’alerte. Heureusement, aucunes données bancaires. Ils étaient accessibles les adresses mails, les numéros de téléphone, les noms, prénoms. De quoi créer des phishings ciblés ! La Commission Informatique et des Libertés condamné DARTY pour « négligence dans le suivi des actions de son sous-traitant, ce qui a permis l’accessibilité de données à caractère personnel variées et directement identifiantes se rapportant à de nombreux clients« . Le Règlement Général sur la Protection des Données, le RGPD, sera officiellement en action dès le 25 mai 2018. Voilà un signal fort sur le fait que les entreprises. Contrôlez aussi vos partenaires.

Argent, backdoor, Base de données, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Justice, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Securite informatique

Jugement de la FTC : Lenovo doit demander l’accord de ses clients pour les espionner

La Federal Trade Commission, la FTC, a donné son accord final à un règlement avec Lenovo Inc. Le constructeur d’ordinateurs avait été accusé de modifier les navigateurs. Des logiciels installés dans ses machines afin d’engranger les bénéficies des publicités qui s’y affichaient.

Dans sa plainte, la Federal Trade Commission ( FTC – Commission fédérale du commerce ) a déclaré qu’à partir d’août 2014, Lenovo a commencé à vendre aux États-Unis des ordinateurs portables grand public équipés d’un logiciel de publicité préinstallé. Appelé VisualDiscovery, cet outil interférait avec la façon dont le navigateur interagissait avec les sites Web. Il affichait de la publicité au profit de Lenovo. A cela s’est ajoutait de graves failles de sécurité. Dans le cadre du règlement avec la FTC, Lenovo à interdiction de modifier les fonctionnalités des logiciels préchargés sur ses ordinateurs portables.

Il est interdit à la marque d’injecter de la publicité dans les sessions de navigation Internet des consommateurs. Ensuite, interdit aussi de transmettre des informations sensibles des consommateurs à des tiers. Si la société préinstallé ce type de logiciel, la FTC exige que l’entreprise obtienne le consentement des consommateurs avant que le logiciel puisse fonctionner sur leurs ordinateurs portables. En outre, la société est tenue de mettre en œuvre un programme complet de sécurité. Sécurisation pour la plupart des logiciels grand public préchargés sur ses portables. Et cela durant les 20 prochaines années ! Enfin, ce programme de sécurité fera également l’objet d’audits par des tiers.

Pour conclure, VisualDiscovery est un adware développé par la société américaine Superfish, Inc. VisualDiscovery diffuse des annonces sous forme de pop-up dès qu’un internaute passait sa souris sur une image d’un produit vendu dans une boutique numérique.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, RGPD, Sauvegarde, Securite informatique

Plus d’une entreprise française sur cinq ne sera pas en conformité avec la réglementation RGPD en mai 2018

Alors que 78% des entreprises françaises redoutent un vol de données dans l’année à venir, une étude révèle un manque de préparation général à 6 mois de l’entrée en vigueur de la réglementation RGPD.

La société Proofpoint, entreprise spécialisée dans la cybersécurité, indique que les entreprises ne seront pas prêtes pour mai 2018 et la mise en place du Règlement Général sur la Protection des Données (RGPD). Une étude paneuropéenne (Royaume-Uni, France, Allemagne) a analysé le niveau de préparation des entreprises en prévision de l’entrée en vigueur du nouveau règlement. Et il n’est pas bon !

Commanditée par Proofpoint et intitulée « RGPD : entre perception et réalité », cette étude révèle un décalage évident entre perception et réalité en ce qui concerne le niveau de préparation des entreprises par rapport au nouveau règlement RGPD. Alors que 44% des entreprises européennes pensent qu’elles sont déjà en conformité avec la réglementation et que 30% pensent qu’elles le seront au moment de son entrée en vigueur, seules 5% auraient effectivement mis en place toutes les stratégies de gestion de données nécessaires pour garantir cette mise en conformité.

Vol de données : la nouvelle norme

Les cyberattaques sont malheureusement devenues monnaie courante pour les entreprises qui doivent désormais intégrer pleinement les risques associés à leurs stratégies de sécurité pour se protéger. A l’image du piratage d’Equifax exposant les données personnelles de plus de 145 millions de citoyens américains ou du ransomware Wannacry ayant affecté plus de 200,000 ordinateurs dans 150 pays, tout le monde est concerné.

La France, semble particulièrement affectée, avec 61% des entreprises françaises qui déclarent avoir subi un vol de données personnelles durant les deux années écoulées (54% au Royaume Uni et 56% en Allemagne) et 78% d’entre elles qui redoutent un vol de données dans les 12 mois à venir (54% au Royaume-Uni et 46% en Allemagne).

Niveau de préparation RGPD : un décalage évident entre perception et réalité

Si les décideurs IT français semblent mieux préparés que leurs voisins (51% des répondants français pensent que leur organisation est déjà en conformité avec la réglementation RGPD, contre 45% au Royaume-Uni et 35% en Allemagne), l’étude révèle que plus d’une entreprise française sur cinq (22%) ne sera toujours pas en conformité avec la réglementation lors de son entrée en vigueur en mai 2018 (23% au Royaume-Uni et 34% en Allemagne). Un résultat finalement peu surprenant, considérant que seules 5% des entreprises auraient effectivement mis en place toutes les stratégies de gestion de données nécessaires pour garantir cette mise en conformité.

Les décideurs IT semblent pourtant conscients des enjeux, puisque 66% des répondants confient que leur budget a augmenté en prévision de l’entrée en vigueur de RGPD. Plus de sept entreprises sur dix en Europe ont par ailleurs monté des équipes projet dédiées RGPD et plus d’une sur quatre a désigné un responsable de la protection des données. A l’épreuve des faits, et alors que les entreprises avaient deux ans pour se préparer (adoption de la réglementation en avril 2016), seuls 40% des répondants révèlent que leur organisation a rempli un formulaire de mise en conformité RGPD.

Des méthodes de préparation différentes

Le règlement RGPD n’imposant pas de processus standard et uniforme pour se mettre en conformité, l’étude révèle des disparités en ce qui concerne les méthodes de préparation et la mise en œuvre de technologies en ligne avec la réglementation. Par exemple, 58% des décideurs IT français (56% au Royaume-Uni et 47% en Allemagne) confient avoir déjà mis en place des programmes internes de sensibilisation sur la protection des données, 49% ont défini des niveaux d’accès utilisateurs pour les systèmes de traitement des données (44% au Royaume-Uni et 34% en Allemagne), et 44% ont déjà des technologies de cryptage des données en place (46% au Royaume-Uni et 25% en Allemagne).

En outre, seule une entreprise française sur deux (55%) semble avoir déjà identifié quelles données personnelles sont en sa possession et comment elles sont traitées (contre 50% au Royaume-Uni et 42% en Allemagne). Ce résultat semble démontrer que même si certaines entreprises mettent en place des stratégies et reconnaissent l’importance de se mettre en conformité avec la RGPD, un nombre significatif d’organisations courent toujours le risque de ne pas savoir où seront leurs données à l’entrée en vigueur de la réglementation.

Conséquences de la non-conformité

Au vu de la complexité de la réglementation RGPD, de nombreuses entreprises envisageraient de se contenter de limiter leur exposition au risque plutôt que de viser une pleine conformité. Pourtant, cette non-conformité pourrait coûter cher aux entreprises. Les amendes prévues peuvent atteindre jusqu’à quatre pour cent du chiffre d’affaires annuel ou 20 millions d’euros. Au-delà des amendes, la non-conformité représente également un risque important de perte de confiance des clients et de perte de revenus.

Certaines entreprises envisagent déjà les risques associés à la non-conformité, puisque 36% des décideurs IT français (48% au Royaume-Uni et 47% en Allemagne) déclarent que leur entreprise est financièrement préparée à couvrir les amendes. D’autres prévoient plutôt un transfert de risque, avec 22% des répondants français révélant que leur entreprise est couverte par une cyber assurance en cas d’attaque informatique (24% au Royaume-Uni et 27% en Allemagne).

« Un vent d’optimisme semble souffler dans les entreprises puisque qu’il existe un décalage notable entre perception et réalité en matière de préparation à la réglementation RGPD », explique Vincent Merlin, Directeur Marketing EMEA et APJ chez Proofpoint. « A moins de 6 mois de l’entrée en vigueur du nouveau règlement, il devient pourtant urgent d’investir dans des solutions permettant de savoir précisément où sont les données, de mettre en place les contrôle de sécurité nécessaires et de surveiller et réagir à toute tentative de vol de données ».

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde, Securite informatique

Identité à vendre : le marché de l’occasion petit bonheur des voleurs de données

2 commentaires

Marché de l’occasion : une récente étude de sécurité montre que trop souvent les gens ne parviennent pas à effacer correctement leurs données personnelles sur les disques usagés, mettant ainsi en péril leur identité et leur vie privée.

Une récente étude mondiale sur la sécurité révèle que vous mettez trop facilement vos informations personnelles en danger. La société de récupération de données Kroll Ontracka analysé des disques durs d’occasion achetés en ligne pour voir s’ils contenaient des traces de données après avoir été vendu par les propriétaires précédents. Parmi les disques examinés par Kroll Ontrack, des traces de données ont été trouvées sur près de la moitié. Malgré les efforts d’un utilisateur pour effacer ses données, la récupération reste simple. Surtout si un effacement n’est pas correctement effectué.

Pour cette étude, 64 disques durs d’occasion de diverses marques ont été achetées sur eBay (vendeurs privés). Les disques avaient été effacés avec succès ou contenaient encore des traces de données. L’étude a révélé qu’il restait des traces de données sur 30 disques (47%). Les 34 disques restants avaient été nettoyés avec succès (53%).

Données sensibles à vendre sur les sites de petites annonces !

La probabilité de trouver des données personnelles n’est pas le résultat le plus inquiétant de l’étude. La sensibilité de cette information l’est plus encore. Pour les utilisateurs imprudents, la vente d’appareils contenant des données personnelles s’apparente à la vente de leur identité.

C’est le cas d’un HD qui appartenait à une entreprise. Elle utilisait un fournisseur de services pour effacer et revendre ses anciens disques. Ce média contenait une mine d’informations très sensibles. Les noms d’utilisateur, adresses de domicile, numéros de téléphone et les détails de carte de crédit ont été retrouvés. Il contenait une liste d’environ 100 noms. Des informations sur leur expérience professionnelle, leur fonction, les téléphones et un carnet d’adresses de 1 Mo sortis du HD.

Marché de l’occasion : le diable est dans les détails

18 des 64 disques examinés contenaient des informations personnelles critiques ou très critiques. Près d’un tiers (21 disques) contenait des photos personnelles, des documents privés, des courriels, des vidéos … Des informations de compte utilisateur ont été découvertes sur huit lecteurs. La récupération de données transactionnelles a été possible sur sept disques durs. Cela incluait les noms de sociétés, les bulletins de salaire, les numéros de cartes de crédit, les coordonnées bancaires, les détails d’investissement et les déclarations de revenus.

Un média contenait toujours l’historique de navigation, tandis que des données explicites étaient présentes sur un autre.

Le risque s’étend au monde des affaires

Le domaine personnel n’est pas le seul à être touché. Des informations de nature professionnelle se retrouvent très souvent sur des appareils privés, comme par exemple les données commerciales. Six disques contenaient des données commerciales critiques telles que les fichiers CAO, PDF, jpgs, clés et mots de passe. Des paramétrages complets de boutiques en ligne, des fichiers de configuration et des vidéos de formation. Cinq autres contenaient d’autres données liées au travail : les factures et les bons de commande, dont une grande partie comprenant des renseignements personnels sensibles ont aussi été découverts.

Kingston Technology, fabricant et expert dans le domaine des disques SSD, souligne que les disques SSD se comportent très différemment des disques durs lorsqu’ils enregistrent ou effacent des données. Ces différences technologiques présentent leurs propres défis techniques lorsqu’il s’agit de supprimer de manière sécurisée les données des supports de stockage Flash. Les disques SSD ont plusieurs fonctions qui affectent l’état des données stockées, comme la fonction FTL (Flash Translation Layer), qui contrôle le mappage des fichiers, ainsi que le niveau d’usure, Trim, Garbage Collection et le chiffrement permanent. Tous ont un impact sur la récupération des données supprimées.

L’informatique et l’occasion, fuite possible

Attention, Data Security Breach rappelle que les données sont aussi récupérables sur les smartphones, consoles, TV connectées ou encore l’ordinateur de bord de votre voiture (GPS, …). La revente doit se faire dans les règles de l’art en vous assurant une destruction totale des données. Enfin, je vais être honnête, il est de plus en plus difficile sans passer par le marteau ou des outils puissants et couteux pour détruire le contenu.

Communiqué de presse, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Logiciels, Mise à jour, Oracle, Patch, Piratage, Securite informatique

Java est dangereux selon une nouvelle étude

Chaque jour, des millions d’utilisateurs ont recours aux applications Java sans être conscients que 88% d’entre elles sont vulnérables aux cyberattaques !

Vous utilisez java ? Êtes-vous comme 28% des entreprises qui ont mis en place une stratégie de supervision des failles de sécurité efficace pour faire face à des attaques de grande ampleur ? CA Technologies a présenté les résultats de sa derniére étude baptisée « Rapport sur la Sécurité des Logiciels en 2017 ». Une étude réalisée par Veracode, sa filiale spécialisée dans la sécurisation des logiciels.

Ce rapport est une analyse complète de données collectées auprès de plus de 1 400 entreprises en matière de sécurité des applications. Les conclusions de l’étude sont inquiétantes en ce qui concerne les délais de correction des vulnérabilités, les pourcentages d’applications présentant des failles et les risques mniprésents liés à l’utilisation de composants open source vulnérables.

A une époque où les cyberattaques sont devenues monnaie courante (vol de données sensibles, piratage industriel, ransomware, … etc.), l’analyse fournie par Veracode démontre que, sur le terrain, les principes basiques de sécurité ne sont pas respectés. Il est donc urgent que les entreprises aient consciences des mesures nécessaires pour hausser leur niveau de sécurité, face à des hackers dont la force de frappe n’est plus à démontrer.

88% des applications Java seraient dangereuses

Chris Wysopal, Directeur Technique de CA Veracode, explique : « En raison de l’utilisation généralisée de composants exogènes par les développeurs pour coder, une seule vulnérabilité peut suffire pour mettre en danger des milliers d’applications différentes. » 88% des applications Java contiendraient au moins un composant les exposant à des attaques de grande ampleur. Tout ceci est en partie dû au fait que moins de 28% des entreprises mènent régulièrement des analyses pour analyser la fiabilité des composants d’une application.

Outre des informations concernant la menace posée par l’utilisation de composants à risque, ce rapport met également en lumière d’autres enseignements comme le fait que 77% des applications présentent au moins une faille dès la première analyse. Ce nombre progresse à un rythme alarmant pour les applications qui échappent à un test avant leur mise en production. Les institutions gouvernementales continuent à se montrer les moins performantes. Seules 24,7% d’entre elles réussissent tous les scans de sécurité applicative. Par ailleurs, elles présentent le plus de failles exploitables, par exemple par cross-site scripting (49%) ou encore par injection SQL (32%). Deux secteurs enregistrent de légères progressions entre la première et la dernière analyse des vulnérabilités de leurs applications : la santé affiche un taux de réussite au scan de sécurité de 27,6%, puis de 30,2 % ; et la grande distribution : 26,2 % puis 28,5 %.

Les raisons de ces failles majeures

Au cours des 12 derniers mois, plusieurs failles majeures au sein des applications Java ont été provoquées par des vulnérabilités de composants logiciels, qu’ils soient d’origine open source ou de suites commerciales. « Struts-Shock », une faille révélée en mars 2017, en est une illustration. Selon les résultats des analyses, plusieurs semaines après l’attaque initiale, 68% des applications Java s’appuyant sur la bibliothèque Apache Struts 2 utilisaient toujours une version à risque du composant.

Cette vulnérabilité permettait d’exécuter du code à distance grâce à l’injection de commandes, et quelque 35 millions de sites étaient concernés. En exploitant cette faille, les cybercriminels ont pu pirater les applications de nombreuses victimes, dont l’Agence du Revenu du Canada et l’Université du Delaware.

Le rapport révèle également qu’environ 53,3 % des applications Java s’appuient sur une version vulnérable de la bibliothèque Commons Collections ; un chiffre identique aux résultats trouvés en 2016. L’utilisation de composants tiers pour le développement d’applications est courant, car il permet aux développeurs de réutiliser du code fonctionnel et d’accélérer la conception de logiciels. Des études ont montré que les composants open source pouvaient même constituer jusqu’à 75% du code d’un logiciel.

Industrialisation des cyberattaques : une réalité méconnue

Pour Chris Wysopal, les équipes de développement ne cesseront pas d’utiliser de tels composants, et il n’y a pas de raison qu’elles le fassent. Cependant, en cas de vulnérabilités, le temps presse. Les composants tiers et open source ne sont pas forcément moins sécurisés que du code développé en interne. Il est donc important de conserver un inventaire de leurs versions à jour. En effet, un grand nombre de failles sont le résultat de composants vulnérables. Et à moins que les entreprises ne prennent cette menace plus sérieusement et s’appuient sur des outils adaptés pour superviser leur utilisation, le problème ne peut qu’empirer.

L’utilisation de composants à risque fait partie des tendances les plus marquantes de ce rapport. L’ambiguïté réside dans le fait que bon nombre d’entreprises donnent la priorité à la gestion des vulnérabilités les plus dangereuses sans pour autant résoudre les problèmes au niveau du développement de leurs applications de façon efficace. Même les failles les plus graves nécessitent un temps considérable pour être corrigées. Seules 22 % des failles les plus sévères sont corrigées sous 30 jours et la plupart des criminels en profitent dès leur identification. Les pirates ont donc largement assez de temps pour infiltrer un réseau donné et occasionner des dégâts parfois irréversibles.

Le rapport donne 5 conseils à suivre

Tester le plus tôt possible dans le cycle de développement et le plus souvent possible ;
Donner aux développeurs les informations et les ressources dont ils ont besoin, notamment pour leur formation continue et les procédures de remédiation ;
Respecter les procédures de remédiations scrupuleusement et immédiatement après avoir découvert les vulnérabilités ;
Identifier et documenter les versions de vos composants logiciels, en limitant l’utilisation de composants à risques ;
Cibler en priorité les applications critiques et les vulnérabilités les plus virulentes lors des mesures de remédiation. Dans ces phases de crises, c’est souvent la seule possibilité en fonction de vos ressources.

En conclusion, il est urgent de réagir et d’agir rapidement, faute de quoi les entreprises, tout comme les organismes publics, verront leur notoriété mise à mal et perdront la confiance de leurs clients et utilisateurs. En laissant la porte ouverte à la cybercriminalité, elles ne feront qu’encourager des pratiques aussi nuisibles que dangereuses, aujourd’hui le danger ne vient plus de pirates isolés mais de réseaux organisés à l’échelle mondiale, à l’affût de la moindre faille de sécurité.

Base de données, Cybersécurité, Entreprise, Espionnae, Facebook, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Securite informatique, Social engineering

Facebook collecte-t-il des données étatiques ?

Pour récupérer un compte Facebook, un espace Instagram piraté, le géant de l’Internet réclame une photo de votre visage et une copie de votre carte d’identité. Facebook collecte-t-il des données étatiques sous couvert de cybersécurité ?

Facebook serait-il en train de se constituer une base de données contenant des informations étatiques sous le couvert de ses opérations de cybersécurité ? Voilà la question qui est posée. De nombreux lecteurs de Data Security Breach ont reçu un message de Facebook après le blocage de leur compte sur le réseau social. un piratage, un message douteux, … Facebook exige la photographie du propriétaire et sa pièce d’identité. Un scan de la carte d’identité. Facebook explique qu’il s’agit de s’assurer que le propriétaire légitime pourra récupérer son espace. Cela démontre surtout que les algorithmes biométriques sont efficaces. Facebook compare avec les photos présentes sur le compte. Mais n’est-ce-pas aussi et surtout un moyen de fichier plus efficacement encore les utilisateurs.

Cette « récupération » de données (carte d’identité) permet de prouver aux actionnaires que les comptes sont bien associés à des personnes physiques.

Des majeures et solvables si possible.

Bref, voilà le questionnement sur cette « demande » d’informations. Facebook affirme ne rien sauvegarder sur ses serveurs : « Merci d’envoyer une photo de vous montrant clairement votre visage. Nous la vérifierons puis la supprimerons définitivement de nos serveurs ».

Valider son compte Facebook avec sa carte d’identité

Facebook a annoncé il y a peu vouloir utiliser cette méthode pour valider un nouveau compte ouvert sur sa plateforme. Le nouvel abonné, explique Wired, aura l’obligation de se prendre en photo pour ouvrir un profil. Facebook indique que ce projet de sécurisation sera opérationnel sous peu. Le système est testé depuis avril 2017. Facebook parle d’un système de sécurité. Système qui doit permettre de « détecter les activités suspectes » lors d’une demande d’ami ou pour créer une publicité.

Des algorithmes Facebook qui ne sont pas tous à mettre dans la case « espionnage » (quoique) ! A l’image de son détecteur de suicide. Un code qui apprend par lui même et qui serait capable d’alerter en cas de messages considérés comme « annonçant » un passage à l’acte suicidaire en cours. Un système de détection qui ne sera pas mis en place en Europe en raison des règles en matière de respect de la vie privée (RGPD). Une technologie testée depuis mars 2017.

Pour détecter ce genre de cri de détresse, Facebook a introduit en mars 2017 une technologie apprenant par elle-même.

Un algorithme autodidacte. Il a appris à identifier des modèles dans des données existantes : messages, photos … Il peut être utilisé pour détecter ces modèles dans de nouvelles données. Ces données peuvent être des messages inquiétants, des réactions soucieuses à ceux-ci, voire des appels à l’aide sous la forme de vidéos en direct. Plus l’algorithme de détection s’appliquera, plus il deviendra intelligent. « L’intelligence artificielle nous aidera à reconnaître également les nuances linguistiques plus subtiles et à identifier les tendances suicidaires, le harcèlement« , indique Mark Zuckerberg.

Base de données, Chiffrement, Cloud, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde, Securite informatique

Les 4 piliers pour maîtriser l’environnement multi-Cloud

Il existe quelques fondamentaux à respecter pour gagner en liberté et en sécurité et permettre à l’entreprise de tirer le meilleur parti de ses applications.

Le Cloud, qu’il soit public, privé ou hybride, ne cesse de gagner du terrain. Il offre aux entreprises une formidable opportunité de se développer rapidement et de fournir des services à valeur ajoutée pour répondre à la demande croissante des clients. Selon un récent rapport d’IDC, 86 % des entreprises adopteront une stratégie multi-Cloud d’ici deux ans. Cette évolution exerce de fortes pressions sur les départements informatiques, qui se voient contraints de réduire les coûts, d’assurer la protection des données et de sécuriser les applications critiques. Pour maîtriser l’univers multi-Cloud, l’accent doit être mis sur quatre piliers fondamentaux : stratégie, marché, opérations et valeur.

Stratégie du multi-cloud

Un plan de migration stratégique vers le Cloud aide les entreprises à aller de l’avant grâce à une architecture efficace qui sécurise les applications critiques, optimise le potentiel de l’entreprise, garantit la conformité des données et préserve l’expérience utilisateur. La question que doivent se poser les responsables est de savoir si la stratégie de migration vers le Cloud fournit le socle nécessaire à l’innovation, la croissance de l’activité et l’apport de valeur ajoutée aux clients. Les entreprises ont besoin de résultats tangibles qui ont un impact positif sur l’activité. La sécurité est une composante centrale de tout projet de migration, en particulier lorsque ce dernier intègre des services Cloud natifs s’appuyant sur des règles incompatibles avec les services déployés sur site. Parallèlement, investir dans des outils avancés et du personnel qualifié renforce la maîtrise technologique et l’alignement de la stratégie globale.

Marché

Une compréhension du marché des fournisseurs de services Cloud est fondamentale pour créer de la valeur et optimiser les performances. D’après le rapport State of Applications Delivery 2017 publié par F5, une entreprise sur cinq prévoit d’héberger plus de 50 % de ses applications dans le Cloud, ce qui ne fera qu’amplifier le problème de la sécurité des applications.

D’où l’importance de choisir une solution Cloud et un fournisseur de sécurité appropriés. Il est par exemple possible de combiner services sur site, services de Cloud public/privé et services SaaS (Software-as-a-Service). Le marché offre de nombreuses possibilités. Que l’entreprise opte pour le transfert des applications existantes vers le Cloud (migration de type « lift and shift ») ou pour des applications Cloud natives, il est important d’éviter toute dépendance vis-à-vis de fournisseurs de services Cloud spécifiques. Déployer la bonne combinaison de solutions dans le ou les bons environnements accélère la mise sur le marché, atténue les menaces et assure la cohérence, quel que soit le scénario opérationnel.

Opérations

Un modèle multi-Cloud transforme le département informatique en courtier de services, aidant ainsi les entreprises à renforcer la sécurité des applications tout en optimisant le rendement de l’infrastructure existante via la normalisation. Les entreprises prospères adoptent une approche intégrée du Cloud et évitent les silos départementaux. La sécurité des applications dépend de l’ensemble de l’architecture applicative, y compris de l’infrastructure réseau. Tout l’écosystème doit protéger pleinement les données et services vitaux en constante évolution. La sécurité ne doit pas être l’affaire d’un seul individu ni d’une seule fonction de l’entreprise. Pour une transition en douceur, toutes les parties prenantes doivent se synchroniser entre elles et parfaitement saisir les objectifs commerciaux. Une collaboration plus étroite entre les équipes DevOps et NetOps est attendue. De leur côté, les architectes des nouvelles solutions et nouveaux services applicatifs doivent mieux sensibiliser les dirigeants. Avantages de la migration vers le Cloud et aux aspects à normaliser.

Valeur

Il est indispensable de mettre en place des dispositifs de mesure, de surveillance et de gestion. Un écosystème de solutions de sécurité intégrées est requis. Il doit protéger les applications vitales contre des risques majeurs, où qu’elles résident.

Recourir à des outils robustes. Appréhender le paysage des menaces. Mettre à la disposition des spécialistes de la sécurité tous les moyens nécessaires aide les entreprises à protéger les données sensibles. Il doit faciliter le contrôle des accès en vue d’une meilleure expérience client.

Une mesure et une surveillance étroites des performances d’un projet Cloud permettent d’identifier les menaces. Connatre leur impact sur le bilan de l’entreprise.

L’adoption de technologies Cloud doit également être un moyen pour les entreprises de lancer de nouveaux services et d’innover. Croissance de l’activité, accélération de la mise sur le marché, flexibilité/efficacité opérationnelles et optimisation des performances applicatives sont des facteurs essentiels. Au final, le Cloud doit être une source de fierté pour l’entreprise et renforcer la réputation de la marque.

Conclusion : maîtriser ou subir son multi-cloud

De plus en plus d’entreprises adoptent un modèle multi-Cloud. Si elles ne veulent pas être laissées pour compte dans un monde numérique en rapide mutation, elles doivent agir. Ce sont la réputation de leur marque et la confiance des clients qui sont en jeu. En l’absence de vision et de stratégie, elles se laisseront dépasser par la complexité. Elles finiront par rejoindre les rangs des victimes de la cybercriminalité. Il est temps pour elles de devenir maîtres de leur destin. (Par Laurent Pétroque, expert sécurité chez F5 Networks)