Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

APT, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Securite informatique

La Thaïlande saisi un serveur exploité les pirates Nord-Coréens Lazarus

Les pirates informatiques du groupe Lazarus, affichés comme Nord-Coréens, auraient perdu un de leur serveur saisi par les autorités thaïlandaises.

Souvenez-vous ! En 2014, un groupe de pirates informatiques prénommé Lazarus Group (Hidden Cobra) s’attaque à Sony Picture. Motif de cette cyberattaque, punir le producteur du film « L’Interview qui tue ». Gros nanar qui se moque du dirigeant nord-coréen Kim Jong-un. Le groupe Lazarus sera étiqueté « Hackers de la Corée du Nord ». Des films, des données sensibles internes, dont des courriels et fiches de paie, avaient été diffusés par les pirates.

Quatre ans plus tard, le ThaïCert (Groupe d’intervention en cas d’urgence informatique ThaiCERT) annonce qu’il avait pris le contrôle d’un équipement utilisé par le Lazarus Group. Un serveur utilisé dans plusieurs importantes. Étonnant que des pirates étatiques exploitent toujours le même espace numérique, et cela depuis 4 ans !

Selon un rapport de McAfee Advanced Threat Research, une campagne appelée opération GhostSecret visait les infrastructures sensibles. Une cyberattaque lancée de ce serveur basé dans les locaux de l’Université Thammasat de Bangkok.

Le ThaiCERT a déclaré travailler avec McAfee pour analyser le serveur compromis afin de comprendre les menaces en cours et d’aider les victimes potentielles. Le rapport détaille la méthode d’attaque inconnue utilisée. Elle est connectée aux opérations récentes impliquant des serveurs en Inde.

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, loi, ransomware, Securite informatique

RGPD cas d’école : hôpital

Un logiciel malveillant a récemment touché plusieurs sites Web de l’hôpital de Floride. Certaines informations patients concernées.

« L’ampleur de cette exposition a été limitée et il a été confirmé qu’aucun dossier financier n’a été affecté » indique le communiqué de presse de l’hôpital de Floride. Une alerte lancée par l’hôpital de Floride à la suite du piratage de plusieurs de ses sites web : FloridaBariatric.com, FHOrthoInstitute.com et FHExecutiveHealth.com. Les espaces web ont été mis hors ligne le temps de la correction (et de l’enquête). Les informations des patients exposées sur FloridaBariatric.com comprennent les noms, les adresses mails, les numéros de téléphone, les dates de naissance, la taille, le poids, les compagnies d’assurance et les quatre derniers chiffres des numéros de sécurité sociale. Pour les deux autres sites, les informations compromises se limitent au nom, à l’adresse courriel, au numéro de téléphone et à à l’ensemble des commentaires fournis par l’individu. Bref, un ransomware activé après un clic malheureux sur un fichier joint !

Banque, Base de données, Cybersécurité, Entreprise, Fuite de données, Justice, loi, RGPD, Sauvegarde, Securite informatique

RGPD cas d’école banque

RGPD cas d’école banque – La banque du Commonwealth a perdu les antécédents financiers personnels de 12 millions de clients, et a choisi de ne pas révéler la violation aux consommateurs !

RGPD cas d’école banque – L’une des plus grandes violations de la vie privée des services financiers vient de toucher l’Australie et plus précisément la banque du Commonwealth. Cette dernière a perdu les antécédents financiers personnels de 12 millions de clients, et a choisi de ne pas révéler la violation aux consommateurs ! Des informations courant de 2004 à 2014. Le fautif, un sous-traitant qui a perdu plusieurs lecteurs de bandes contenant les informations financières.

Une « perte » qui a eu lieu en 2016.

Angus Sullivan, responsable des services bancaires de la Commonwealth Bank, a déclaré à BuzzFeed News que sa société « prenait la protection des données des clients très au sérieux et les incidents de ce type ne sont pas acceptables.« 

Les relevés bancaires perdus contiennent des renseignements personnels potentiellement sensibles et peuvent brosser un portrait détaillé des affaires financières et personnelles d’une personne. Ils pourraient être détournés par des pirates ou exploités par des sociétés commerciales qui pourraient utiliser les données à des fins illégitimes ou contraires à l’éthique. Pas de mot de passe et autres code PIN dans les bandes perdues.

BuzzFeed News a appris que la violation s’est produite en 2016, lorsque le sous-traitant de la banque, Fuji Xerox, mettait hors service un centre de stockage de données où certaines données de clients de la Banque Commonwealth étaient stockées. Le 25 mai 2018 en France, il faudra alerter la CNIL, les clients… et en cas de faute avérée, risquer une amende pouvant atteindre 4% de son chiffre d’affaire.

Base de données, Chiffrement, Cybersécurité, double authentification, Entreprise, Fuite de données, Justice, loi, RGPD, santé, Securite informatique

RGPD cas d’école santé

RGPD cas d’école – Une infirmière consulte des données de santé sans autorisation. L’hôpital obligé d’alerter plusieurs centaines de patients.

RGPD cas d’école – L’Office régional de la santé de Winnipeg (canada) indique son obligation d’alerter des centaines de patients après qu’une infirmière ait accédé de façon inappropriée à des renseignements médicaux personnels. L’autorité indique dans un communiqué de presse que l’infirmière, qui avait accès au système d’information du service des urgences, a fouillé de façon inappropriée alors qu’elle travaillait à l’extérieur de service d’urgence de l’hôpital de Grace.

Un cas que pourraient vivre des centaines d’hôpitaux Français à partir du 25 mai 2018. « L’accès à notre système d’information sur les urgences est vital pour les infirmières et les employés du service des urgences afin qu’ils puissent avoir accès à des renseignements sur la prestation des soins à n’importe quel moment de leur quart de travail, déclare l’ORSW. La seule fois où l’information peut être utilisée à l’extérieur du service des urgences, cependant, est pour les transferts de patients – ce qui n’a pas eu lieu dans ce cas. » 1 756 patients sont concernés par cette consultation non autorisée. Le 25 mai 2018 en France, il faudra alerter la CNIL, les patients.

Communiqué de presse, Cybersécurité, Entreprise, Sauvegarde, Securite informatique

Sauvegarde en entreprise

Il semble impératif que votre entreprise mette en place une réelle stratégie de sauvegarde de ses données. Faire face à la perte d’une part ou de la totalité de vos informations et fichiers peut avoir des conséquences particulièrement lourdes pour votre société. La sauvegarde des données peut être réalisée grâce à plusieurs solutions. Nous avons suivi des conseils avisés sur appvizer.fr qui nous ont permis de mieux comprendre la nécessité de la sauvegarde en entreprise, mais aussi pour choisir efficacement les logiciels de sauvegarde en ligne. Voici quelques informations pour vous accompagner dans la sélection de la solution de sauvegarde de données qui conviendra le mieux à votre entreprise.

Pour quelles raisons est-il important de sauvegarder les données en entreprise ?

Imaginez devoir faire face à la disparition d’un fichier clients ou de vos données comptables ! La perte des données entraîne de lourdes conséquences sur le fonctionnement de votre entreprise. Il ne faut pas minimiser les risques de disparitions de fichiers. Elles sont liées à des erreurs humaines mais également à des incidents tels qu’un incendie ou une inondation. Il est donc important que vous réalisiez régulièrement la sauvegarde de vos informations afin de faire face à ces imprévus pouvant avoir un effet désastreux sur votre fonctionnement.

La diversité des procédures de back-up

Le back-up ou sauvegarde de données est une action réalisée en vue de protéger vos données en totalité ou par sections. Les solutions de back-up sont nombreuses et vous n’aurez aucune difficulté à trouver la meilleure façon de mettre en sécurité vos informations.

  • Le disque dur externe : Les données sont transférées du disque dur de votre ordinateur vers un disque dur uniquement utilisé pour la sauvegarde en entreprise. Solution peu coûteuse, mais vous vous heurterez rapidement aux limites de ce type de sauvegarde, en particulier si votre entreprise compte un grand nombre de postes informatiques.
  • Les bandes magnétiques : Elles enregistrent de plus grandes quantités de données qu’un simple disque dur externe. Elles sont peu coûteuses mais la restitution des données est parfois plus fastidieuse.
  • Le serveur en entreprise : Ce dernier enregistre le back-up de toutes vos informations depuis tous les postes informatiques. Ce type de sauvegarde est intéressant si vous possédez des employés dédiés à l’informatique. Il faut investir dans un matériel solide et suivre régulièrement l’évolution de ce serveur. Il faut prendre en considération que ce serveur local peut également tomber en panne.
  • Le NAS mutualisé : Un NAS est un Network Attached Storage, autrement dit un système de stockage. Il peut être mutualisé afin de vous faire bénéficier d’un service professionnel pour un coût réduit. Vous pouvez choisir ainsi votre capacité de stockage et adapter le tarif.
  • Les logiciels de serveur en ligne : Grâce à Appvizer, nous avons découvert des logiciels de sauvegarde en ligne sérieux et qui proposent des formules tarifaires variées. Pratique, ce système de sauvegarde doit être sélectionné avec grand soin afin de ne pas subir de désagréments handicapants pour votre entreprise.

Les solutions de sauvegarde en ligne

Les logiciels de sauvegarde en ligne sont un formidable outil pour toutes les entreprises. Peu importe que vous soyez à la tête d’une TPE, d’une PME ou d’une grande entreprise, la sauvegarde en ligne s’adapte à vos besoins.

Il est important de faire attention à certaines caractéristiques de ces logiciels de sauvegarde en ligne :

  • La capacité de stockage : Pas la peine de choisir une formule trop importante si vous n’avez que peu de fichiers à stocker. Adaptez cette capacité en fonction de vos attentes car bien souvent le tarif est adapté à la capacité demandée.
  • La redondance des stockages : La solution logicielle de sauvegarde en ligne propose-t-elle des enregistrements réguliers ? Inutile de vous engager avec un fournisseur de logiciels qui ne réalisera qu’une sauvegarde de temps en temps ! La sauvegarde doit se faire très régulièrement afin de vous assurer une protection de toutes les dernières données enregistrées sur vos postes informatiques.
  • Le tarif : Calculez pour définir si cette solution logicielle est réellement intéressante pour votre entreprise. Elle vous évite de faire appel à un informaticien dédié à l’entretien d’un NAS si vous n’en avez pas besoin.
  • La sécurité des données : Il est très important que vous sélectionniez un fournisseur de solutions logicielles qui a fait ses preuves et qui est apte à vous garantir la plus grande sécurité pour vos données. Les informations de votre entreprise ne doivent pas être éventées ni être piratées.

Comment bien choisir le mode de sauvegarde en entreprise ?

Confrontez vos attentes avec les différentes solutions proposées. Il est inutile de se lancer dans un investissement lourd si vous n’avez que peu de données à sécuriser. Le stockage sur les serveurs locaux engage à un suivi régulier de votre matériel et nécessite un véritable savoir-faire.

L’avantage d’un stockage en ligne est que vous n’aurez pas à gérer cette partie du travail. Le fournisseur de logiciel en ligne vous accompagne dans la protection de vos données, la régularité des enregistrements mais également la restitution des fichiers en cas de défaillance de votre matériel informatique.

Si vous optez pour un stockage manuel sur un disque dur externe ou un serveur local, pensez à réaliser des sauvegardes régulières afin de toujours conserver les dernières versions de votre travail ou de vos informations professionnelles. Le choix d’une sauvegarde en ligne est aussi plus aisé si vous travaillez à plusieurs sur les mêmes fichiers. Ainsi chaque collaborateur a accès à la bonne version d’un fichier, ils peuvent s’y connecter à distance afin de le consulter même en dehors de l’entreprise.

Ne négligez pas la sauvegarde de vos informations professionnelles car une perte de vos fichiers peut avoir un impact fort sur le fonctionnement de votre entreprise, mais aussi sur l’image que vous allez renvoyer à vos clients. N’hésitez pas à comparer les différentes solutions de sauvegarde en entreprise avant de vous lancer et mettez en concurrence les fournisseurs de logiciels afin de sélectionner la solution la plus intéressante et la plus ergonomique pour votre société.

Base de données, Communiqué de presse, Cybersécurité, Fuite de données, RGPD, Securite informatique

Données personnelles : les consommateurs craignent de trop se dévoiler. Ils demandent plus d’informations et de transparence.

Une enquête menée en France, aux États-Unis, au Royaume-Uni et en Allemagne sur le rapport des consommateurs à leur identité numérique révèle qu’ils sont une majorité à s’inquiéter de partager trop d’informations personnelles en ligne. 3 sondés sur 5 connaissent mal leurs droits, voire pas du tout.

L’enquête a été menée par ComRes Global pour le compte de ForgeRock, société experte en gestion d’identité numérique. Elle révèle que 53% des 8 000 sondés (en France, 48%) s’inquiète d’avoir partagé trop d’informations personnelles en ligne. Un tiers des parents (30%) craint d’avoir partagé trop d’informations sur leurs enfants. Un autre enseignement de l’étude est le manque de sensibilisation quant au volume d’informations disponibles en ligne. En France, 48% des sondés affirment ne pas connaître la quantité de données disponibles à leur égard, et beaucoup sous-estiment cette quantité. 76% des adultes sondés utilisent Internet pour acheter des produits et services, mais seulement 49% d’entre eux pensent avoir partagé les données relatives à leur moyen de paiement ; près de la moitié des consommateurs (49%) pense que Facebook détient des informations qui permettent de savoir s’ils ont des enfants ou non ; seuls 22% pensent que Twitter a accès à des informations permettant de déterminer leurs affinités politiques ; seuls 37% des consommateurs croient qu’Instagram a accès aux données de localisation de ses utilisateurs ; 20% des consommateurs estiment même que Facebook n’a accès à aucune donnée personnelle relative à ses utilisateurs.

Un franc rejet des marques qui partagent les données de leurs utilisateurs.

En France comme dans les autres pays, les utilisateurs s’inquiètent de voir leurs données partagées avec des tiers. Seuls 26% sont prêts à partager leurs données personnelles afin de profiter d’offres personnalisées, contre une majorité (50%) qui ne souhaite pas que leurs données soient partagées avec des tiers, et ce quelle que soit la raison. À peine 15% affirment être susceptibles de vendre leurs données personnelles à un tiers. « Ce sondage révèle les craintes des consommateurs, qui ne savent pas à quel point leurs données personnelles sont partagées en ligne, ou comment elles sont utilisées par des tiers, » affirme Eve Maler, Vice-Présidente Innovation & Technologies Emergentes auprès du CTO de ForgeRock. Elle ajoute : « À choisir, la majorité préférerait partager moins d’informations. Cela doit alerter les entreprises, qui sont nombreuses à s’appuyer sur la data client pour piloter leur activité et augmenter leurs revenus. Les organisations doivent prendre en compte ces préoccupations, renforcer la confiance et la loyauté de leurs consommateurs en leur donnant plus de visibilité et de contrôle sur la manière dont leurs données sont collectées, gérées et diffusées. »

Les entreprises profitent de la donnée : elles en sont donc responsables.

Les consommateurs ont l’impression que l’utilisation de leurs données profite davantage aux entreprises qu’à eux-mêmes : 41% des personnes interrogées estiment que leurs données personnelles servent surtout, voire exclusivement, les intérêts de l’entreprise à qui elles les confient. En comparaison, ils ne sont que 17% à estimer que ces données sont utilisées principalement pour le bénéfice des consommateurs. En France, ce constat est à nuancer puisque seuls 29% estiment que leurs données personnelles servent surtout aux entreprises ; et 29% trouvent qu’elles sont utilisées principalement pour le bénéfice des consommateurs.

Mais dans tous les cas, les sondés considèrent que les entreprises sont responsables de la protection des données de leurs clients. En France, pour 9% d’entre eux à peine, ce sont d’abord les individus qui en sont les responsables, contre 50% qui estiment que cette responsabilité incombe à l’entreprise qui stocke les données. Par ailleurs, seuls 17% des sondés seraient prêts à payer pour récupérer des données volées.

Les consommateurs envoient un signal d’alerte aux entreprises qui partageraient leurs données sans leur consentement :

51% des sondés sont prêts à cesser d’utiliser les services de l’entreprise si cette dernière partage leurs données sans leur permission ;
46% retireraient, ou supprimeraient toutes leurs données stockées chez cette société ;
45% recommanderaient à leur famille et amis de ne plus utiliser cette entreprise ;
Un tiers (29%) engagerait une procédure judiciaire ;
30% informeraient la police, et 27% demanderaient une réparation financière.

Si c’est gratuit, alors c’est vous le produit : en matière de données personnelles, les banques plus fiables que les réseaux sociaux.

Les banques et les organismes de cartes de crédit sont désignés comme étant les plus fiables pour détenir des données personnelles. En France, 76% des consommateurs déclarent leur faire confiance pour stocker et utiliser leurs données personnelles de manière responsable. Amazon est également considéré comme fiable, puisque les deux tiers des consommateurs (66%) font confiance au géant du e-commerce pour gérer leurs données personnelles. Les réseaux sociaux sont plus clivants : Facebook et Twitter par exemple, totalisent respectivement 45% et 43% de sondés déclarant leur faire confiance pour gérer leurs données personnelles de manière responsable.

Il existe une forte corrélation entre les entreprises en qui les sondés font confiance, et le sentiment de contrôle qu’elles peuvent leur accorder : les banques et les sociétés émettrices de cartes de crédit (53%), Amazon (49%), ou encore les opérateurs de téléphonie mobile (51%) ont été désignés comme accordant le plus de contrôle aux utilisateurs. Tandis que seuls 39% des sondés déclarent se sentir en contrôle de leurs données sur Facebook et 23% sur Twitter.

Les usagers ne connaissent pas leurs droits.

Bien que les consommateurs soient préoccupés par la façon dont leurs données personnelles sont gérées et partagées, seule une minorité sait comment les protéger. Un tiers seulement des consommateurs (32%) sait comment supprimer les informations personnelles qui ont été partagées en ligne ; 57% affirment ne rien savoir ou presque de leurs droits concernant les données personnelles partagées en ligne ; Moins d’un tiers (26%) sauraient dire qui est responsable en cas de vol ou fuite de leurs données personnelles.

En Europe, le Règlement Général sur la Protection des Données (RGPD) entre en vigueur cette année. Il renforce les droits relatifs au stock et au partage des données personnelles des consommateurs. Malgré cela, deux tiers des français (69%) affirment ne jamais avoir entendu parler de la législation, ou ne rien savoir de cette dernière. Eve Maler : « Notre étude révèle le fort besoin d’information sur la façon dont les données personnelles sont gérées et partagées en ligne. Les nouvelles réglementations, telles que le RGPD, visent à redonner au public le contrôle de leurs données, mais il est très clair que les consommateurs ne sont pas conscients de leurs droits et que beaucoup ne se sentent pas maîtres de leur identité numérique. L’industrie doit se réunir avec les pouvoirs publics pour sensibiliser les consommateurs sur les droits et protections mis en place. Sans cela, le public perdra confiance dans les marques qu’il rencontre en ligne, ce qui nuira au chiffre d’affaires et à la réputation.

Communiqué de presse, Cybersécurité, RGPD, Securite informatique

GDPR : 4 étapes essentielles pour se préparer avant mai 2018

Il ne reste plus que quelques semaines avant l’entrée en vigueur du Règlement général sur la protection des données (GDPR). Évolution majeure de la Loi informatique et libertés de 1978, GRPD renforce les droits individuels pour devenir le nouveau texte de référence dans l’Union Européenne. La réglementation impose aux entreprises d’adopter un comportement responsable en améliorant l’évaluation des risques concernant les données collectées.

Il s’agit également d’harmoniser le paysage juridique à échelle européenne afin de construire un seul et même cadre pour tous les Etats membres.  Qualifiée de « bombe à retardement » ou de « contrainte », GRPD est souvent perçue comme une loi aux impacts négatifs aux yeux des entreprises. Une étude menée par Vanson Bourne révélait en avril dernier que près de la moitié des entreprises dans le monde redoutait de ne pas pouvoir répondre à la réglementation, faute de technologie adaptée. 20% d’entre elles craignaient même de devoir mettre la clé sous la porte à la vue du montant des pénalités (jusqu’à 4% du chiffre d’affaires annuel) en cas de non-conformité. S’il est maintenant de plus en plus évident que les entreprises ne seront pas totalement conformes le 25 mai prochain, elles doivent en revanche pouvoir prouver en cas de contrôle de l’Autorité responsable, qu’elles ont initié les mesures nécessaires pour s’assurer que les données collectées soient bien protégées.

Pour les appuyer dans cette démarche, voici les 4 étapes essentielles à prendre en compte dès aujourd’hui pour bien commencer leur entrée dans la conformité :

Avoir une vision et une gestion des données à 360 degrés

La première étape incontournable pour être en conformité à GDPR est d’adopter une approche holistique de la gestion des données qui va bien au-delà du simple stockage. Avec une réglementations plus stricte que les précédentes, les entreprises doivent s’assurer d’avoir une visibilité complète de leurs données, y compris sur la nature des informations stockées, la manière dont elles sont utilisées, mais aussi qui détient ces données et peut y avoir accès.

Cette approche doit inclure la possibilité de classer automatiquement de gros volumes de données, les numériser et les étiqueter de la manière la plus intelligente et la plus détaillée possible, afin de garantir que les informations sont gérer efficacement et restent à portée de main.

Se doter d’une solution qui permet de localiser et d’identifier rapidement les données personnelles est donc la première des priorités. A long terme, ce type de solution permettra également de déterminer comment exploiter les données et en extraire de la valeur.

 Pouvoir notifier une faille de données dans les 72 heures

Près de la moitié des entreprises qui pensent être conformes (48%) n’ont pas de visibilité totale sur les incidents de pertes de données personnelles. De plus, 61% d’entre-elles admettent qu’il est difficile d’identifier et de signaler une faille de données personnelles dans les 72 heures – une exigence fondamentale de la réglementation GDPR quand il y a un risque pour les individus concernés. Il s’agit de la deuxième priorité, considérée comme l’une des plus importantes de la réglementation. En effet, toute entreprise incapable de signaler la perte ou le vol de données personnelles – telles que les dossiers médicaux, les adresses e-mail et les mots de passe – à l’organe de surveillance dans ce délai est en rupture avec cette exigence clé.

L’exercice du droit à l’oubli

Avec GDPR, les entreprises doivent s’assurer que les données personnelles ne sont utilisées que pour les raisons pour lesquelles elles ont été collectées et doivent être supprimées lorsqu’elles ne sont plus nécessaires. En effet, dans le cadre du « droit à l’oubli », les citoyens européens auront le droit de demander la suppression de toutes leurs données personnelles des bases de données d’une entreprise. Les entreprises qui n’ont pas les capacités de rechercher et d’analyser les données personnelles pour détecter des références explicites ou implicites d’un individu sont encore très nombreuses. Se doter des outils pour visualiser avec précision la localisation des données ainsi qu’identifier les sources de dépôts fait donc partie des priorités essentielles.

Insuffler une culture de la conformité en interne

Si la plupart des entreprises admettent ne pas posséder une bonne culture de gouvernance des données et de conformité en interne, ces dernières sont tout de même conscientes qu’inciter les employés à adopter la bonne attitude vis-à-vis des données est primordial pour impulser de véritables changements culturels au sein de l’entreprise. Nombreuses sont celles qui comptent mettre en place des sessions de formations, instaurer des primes ou encore ajouter le respect obligatoire de mesures concernant GDPR dans les contrats d’embauche.

Initier sa conformité à GDPR et mettre en place les bonnes pratiques passent d’abord par les salariés. Prendre des mesures concrètes pour conduire à un changement culturel en interne fait également partie des priorités. Les salariés peuvent ainsi réaliser leur rôle à jouer concernant la protection des données et pourront voir leurs avantages positivement impactés, puisque ces derniers contribuent à promouvoir une bonne gouvernance des données au sein de l’entreprise.

Les entreprises qui savent créer de nouvelles opportunités business en s’appuyant sur les exigences réglementaires tireront un avantage certain. En étant conformes à GDPR, elles ne réduisent pas seulement le risque d’être exposées à des amendes, mais ont également l’opportunité d’offrir à leur clients une meilleure expérience à travers une bonne gestion des données, ce qui peut avoir un impact favorable sur la fidélité des clients, le chiffre d’affaires et la réputation de la marque. Mais plus encore, GDPR est aussi un réel moyen de redonner confiance aux citoyens dans leurs entreprises ainsi que d’instaurer une meilleure gestion et une diminution non négligeables des risques liés au numérique (cyberattaques, fraudes, etc.) (Par Daniel de Prezzo, Head of Technologies Southern Europe chez Veritas Technologies)

Argent, Base de données, Communiqué de presse, Cybersécurité, Entreprise, Fuite de données, Particuliers, RGPD, Securite informatique

Les cyber attaques contre le secteur financier de la zone EMEA ont diminué de 24% en 2017

FireEye vient de publier son rapport annuel M-Trends, qui révèle que les attaques contre le secteur financier de la zone EMEA ont diminué au cours de l’année écoulée. En 2016, 36% des cyberattaques observées dans la région EMEA ont ciblé le secteur financier. Cependant, en 2017, ce nombre a diminué d’un tiers à 24%. Malgré cette baisse du nombre d’attaques, le secteur financier est toujours victime des attaques les plus importantes, suivi de près par la haute technologie et les soins de santé.

  • Les attaques répétées sont une tendance croissante – Les organisations sont de plus en plus ciblées de nouveau. 49% des clients ayant au moins une découverte hautement prioritaire ont été attaqués de nouveau dans un délai d’un an. 56% des organisations mondiales qui ont reçu un soutien en cas d’incident ont été ciblées à nouveau par le même groupe d’attaque motivé de la même manière.
  • Le temps de séjour des organisations EMEA est de 175 jours – Le temps d’attente médian (la durée d’un acteur de la menace dans l’environnement d’une organisation avant qu’il ne soit détecté) est de 175 jours, soit environ six mois. La durée médiane de séjour est de 101 jours dans le monde entier, ce qui fait que les organisations de l’EMEA ont un délai de réponse inférieur de 2,5 mois à la médiane mondiale.
  • L’activité cyber-menace iranienne était prédominante – Tout au long de 2017, l’Iran est devenu plus capable d’une perspective offensive. Nous avons observé une augmentation significative du nombre de cyberattaques provenant d’acteurs menacés par l’Iran.

En toile de fond, le rapport est basé sur des informations recueillies lors d’enquêtes menées par les analystes de sécurité en 2017 et révèle les nouvelles tendances et tactiques utilisées par les acteurs de la menace pour compromettre les organisations.

Cyber attaques, 49% des victimes sont revisitées par les attaquants après la première détection contre seulement 37% en 2013

Comme tous les ans FireEye publie le rapport MTRENDS. Le rapport 2018 met à jour la collecte d’informations lors des interventions Mandiant et des analyses basées sur le renseignement FireEye Isight de définir les grandes tendances 2017 en termes de cyber-attaques ainsi que les prévisions pour 2018.

Cette édition du rapport, la septième depuis 2011, offre un comparatif détaillé sur des métriques précis lié à la cyber menace. Ainsi nous pouvons observer cette année les éléments suivants :

–          Un abaissement du temps de résidence moyen de l’attaquant sur le réseau de sa victime lors d’une détection interne, avec une moyenne qui passe de 80 jours en 2016 à 57,5 jours en 2018.Néanmoins le temps de détection moyen global lui reste quasi inchangé en passant de 99 jours à 101 jours en 2018

–          Une volonté de réattaque des victimes par leurs attaquants avec 49% des victimes revisitées par les attaquants après la première détection contre seulement 37% en 2013.

–          Des attaquants qui pendant nos investigations en Europe (EMEA) sont restés 54% des fois plus de 121 jours sur le réseau de leur victime.

–          Plus aucun secteur d’activité n’est épargné par les attaquants, de la cyber criminalité au cyber espionnage toutes les industries même les associations caritatives sont aujourd’hui des cibles. Néanmoins le TOP3 des industries visées par de multiples attaques simultanées est : High Tech, Education, Télécommunication

Le rapport permet aussi de mettre en avant des informations sur les grandes tendances 2017 et les risques associés :

–          Les attaquants utilisent de plus en plus le Phishing et les attaques ciblées à travers l’ingénierie sociale.

–          Les entreprises manquent de ressources et de talents pour faire face à l’industrialisation des attaquants et mettre en place des plans de réponses à incidents Adhoc.

–          L’IRAN a été une des sources les plus active en 2017 avec les publications sur les groupes spécifiques comme APT33, 34 et 35

–          La cyber revêt une importance capitale dans le positionnement géopolitique de certains pays, c’est ainsi que l’on voit apparaître de nouveaux pays sur l’échiquier du risque cyber avec à titre d’exemple en 2017, APT32 au Vietnam

–          Les attaquants sont de plus en plus rapides dans l’utilisation de zero days, ils utilisent aussi de manière massives les outils « autorisés » et la « supply chain » pour attaquer leurs victimes.

–          Les groupes chinois continuent leur moisson de patrimoine informationnel en Europe.

Enfin le rapport permet de mettre en avant les tendances à venir sur 2018, avec un contexte géopolitique tendu qui se traduit déjà par une menace cyber de plus en plus forte et une volonté de tous les états du monde à se doter de compétences sur le sujet.

Communiqué de presse, Cybersécurité, Justice, loi, RGPD

Données personnelles : les députés ignorent les sénateurs !

Protection des données personnelles : Les députés de la majorité veulent passer en force et ignorer les apports du Sénat au prix de reculs pour les libertés publiques et les collectivités territoriales.

Protection des données personnelles – Au lendemain de l’échec de la commission mixte paritaire chargée d’examiner le projet renforçant l’efficacité de l’administration pour une relation de confiance avec le public, la commission mixte paritaire (CMP) qui s’est réunie le vendredi 6 avril 2018, à l’Assemblée nationale, pour examiner le projet de loi relatif à la protection des données personnelles n’est pas parvenue, elle non plus, à un accord. Pour rappel, ce projet de loi vise à mettre la loi Informatique et libertés en conformité avec le règlement général sur la protection des données personnelles, qui entrera en vigueur le 25 mai 2018, et avec la directive sectorielle spécifique aux traitements en matière policière et judiciaire, qui doit être transposée avant le 6 mai 2018.

Pour le président de la commission des lois du Sénat, Philippe Bas (Les Républicains – Manche), « ce résultat décevant est entièrement imputable à l’attitude des députés du groupe majoritaire à l’Assemblée nationale qui étaient fermés d’emblée à tout compromis et ont rejeté en bloc les apports du Sénat en faveur des libertés publiques et des collectivités territoriales ».

Pour renforcer la protection des droits et libertés des citoyens, le Sénat avait notamment prévu d’encadrer beaucoup plus strictement l’usage des algorithmes par l’administration pour prendre des décisions individuelles, et de renforcer les garanties de transparence en la matière, par exemple pour les inscriptions dans l’enseignement supérieur (« Parcoursup »).

« Est-il normal que l’administration puisse aussi bien établir une feuille d’impôt qu’interdire une réunion publique ou expulser un étranger sur le seul fondement d’un algorithme, sans examen individualisé ? Est-il légitime que les lycéens sélectionnés par les universités au moyen de traitements automatisés ne puissent savoir quels paramètres leur ont été appliqués ? » s’est interrogée le rapporteur Sophie Joissains (Union Centriste – Bouches-du-Rhône).

Sur ce point, le président Bas a ajouté : « Pourquoi les étudiants n’auraient-ils pas le droit d’accéder aux informations nécessaires pour comprendre les raisons d’un refus d’inscription dans une université de leur choix ? ». Il a déploré que « le manque de respect pour les apports du Sénat se double d’une certaine incohérence : dans leurs discours, les députés du groupe majoritaire à l’Assemblée nationale et le Président de la République lui-même ne cessent d’appeler à l’encadrement et à la transparence des algorithmes. Dans les faits, ils s’apprêtent à voter la suppression de tous les garde-fous ! »

Le Sénat, fidèle à sa vocation particulière d’assemblée protectrice des libertés

  • rétablir l’autorisation préalable des traitements de données portant sur les infractions, condamnations et mesures de sûreté, et préciser les conditions d’extension de la liste des personnes autorisées à mettre en œuvre ces fichiers ;
  • maintenir à 16 ans, conformément au droit commun européen, l’âge minimal à partir duquel un mineur peut consentir seul au traitement de ses données personnelles;
  • encourager le recours aux technologies de chiffrement des données pour assurer leur sécurité ;
  • conserver le droit général à la portabilité des données, personnelles comme non personnelles, pour permettre de faire véritablement jouer la concurrence entre services en ligne ;
  • s’assurer que les utilisateurs de terminaux électroniques aient le choix d’y installer des applications respectueuses de la vie privée.

Quant aux collectivités territoriales, le président Bas a déploré que « l’État leur impose une nouvelle fois de nouvelles obligations sans leur en donner les moyens, et sous la menace de sanctions très lourdes ! »

« N’oublions pas qu’elles sont responsables de nombreux traitements sur lesquels elles n’ont pas prise, car ils découlent d’obligations légales ou de compétences transférées (fichier d’état civil, fichier des cantines scolaires, fichiers d’aide sociale, listes électorales, fiscalité locale, cadastre…) », a ajouté le rapporteur Sophie Joissains.

Pour mieux accompagner les petites structures, TPE-PME et collectivités territoriales, dans la mise en œuvre de leurs nouvelles obligations, le Sénat avait prévu :

  • dégager de nouveaux moyens financiers, en « fléchant» le produit des amendes et astreintes prononcées par la Commission nationale de l’informatique et des libertés (CNIL) à leur intention, et en créant une dotation communale et intercommunale pour la protection des données personnelles ;
  • faciliter la mutualisation des services numériques entre collectivités ;
  • réduire l’aléa financier pesant sur ces dernières en supprimant la faculté pour la CNIL de leur imposer des amendes administratives et en reportant de deux ans l’entrée en vigueur de l’action de groupe en réparation en matière de données personnelles ;
  • d’encourager la diffusion d’informations et l’édiction de normes de droit souple par la CNIL adaptées aux besoins et aux moyens des collectivités comme des TPE-PME.

Après une nouvelle lecture devant chaque chambre (l’examen est prévu en séance à l’Assemblée nationale le jeudi 12 avril, et au Sénat le jeudi 19 avril), le Gouvernement pourra demander à l’Assemblée nationale de statuer sur ce texte en lecture définitive (« dernier mot »).

La promulgation du texte pourra alors intervenir après, le cas échéant, l’examen des éventuels recours déposés devant le Conseil constitutionnel.

Base de données, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Fuite de données, ransomware, Securite informatique

La France toujours sous le feu des ransomware

Une nouvelle étude sur les ransomwares montre que l’impact des attaques est toujours aussi important en France et coûte cher aux entreprises.

Les résultats de la deuxième édition d’une étude mondiale présentant les conséquences des ransomwares sur les entreprises, réalisée en février 2018 par le cabinet Vanson Bourne en France, Allemagne, Royaume Uni, États-Unis a de quoi inquiéter sur le comportement des entreprises face aux Ransomwares. Cette étude, mise en place par SentinelOne, spécialiste des solutions autonomes de protection des terminaux, montre qu’en France, le nombre d’attaques a progressé, passant de 52 % en 2016 à 59 % pour les entreprises qui admettent avoir subi une attaque par ransomware au cours des 12 derniers mois. Les entreprises touchées ont dû faire face à une moyenne de 4 attaques durant cette période. A noter que l’Allemagne a vécu une année particulièrement mouvementée avec 79 % des organisations qui ont été ciblées au moins une fois par un ransomware contre 51 % en 2016.

En France, si dans 53 % des cas, l’attaque la plus réussie a permis aux attaquants de chiffrer des fichiers, cela s’est révélé sans conséquence pour l’entreprise soit parce qu’elle disposait de sauvegardes pour remplacer les données corrompues, soit parce qu’elle a été en mesure de déchiffrer les fichiers. 7 % des victimes n’ont pas trouvé de solution pour récupérer leurs données et 3 % ont préféré payer la rançon pour déchiffrer les données. A titre compartif, aux Etats-Unis, les entreprises ont davantage tendance à payer la rançon (11 % des victimes).

Des conséquences financières et réputationnelles considérables

Le coût direct de l’attaque ainsi que le temps de remédiation ne sont pas négligeables. Ainsi, le coût moyen estimé par les répondants français suite aux attaques par ransomware est de près de 650 000 euros. Le nombre moyen d’heures consacrées au remplacement des données chiffrées par des données de sauvegarde ou à la tentative de déchiffrement des fichiers est estimé à 42 heures (contre 33 heures en 2016).

Les entreprises françaises figurent parmi celles qui ont payé le montant de rançon le plus bas : ceux qui choisissent de payer ont dépensé en moyenne 31 500 euros en rançon, contre une moyenne mondiale de 38 900 euros au cours des douze derniers mois. Ces montants sont en baisse puisqu’en 2016 le montant moyen pour la France était de 85 900 euros et de 51 500 euros au niveau global.

L’ensemble des répondants français s’accordent pour dire que les ransomware ont eu un impact sur leur organisation. La conséquence la plus importante a consisté en une augmentation des dépenses de sécurité informatique (54 %) ainsi qu’un changement de stratégie de sécurité pour se concentrer sur l’atténuation (34 %). En outre, plus d’un répondant sur cinq rapporte que son organisation a connu une publicité négative dans la presse et 34 % que cela à nuit à la réputation de l’entreprise.

« On aurait pu croire qu’après les récentes attaques et l’impact qu’ont eu les ransomware au cours de l’année écoulée les entreprises auraient pris davantage de mesures, or ce n’est pas le cas », déclare Frédéric Benichou, directeur régional Europe du Sud de SentinelOne. « Pourtant, au vu de l’impact que peuvent avoir les ransomware sur l’activité économique et l’image d’une entreprise, c’est un risque qu’il peut être dangereux de prendre. »

Quelles sont les données ciblées ?

En France, les données financières sont particulièrement ciblées (dans 46 % des attaques), suivie des données clients (38 %) et celles relatives aux produits (32 %). Au niveau informatique, les matériels les plus touchés sont avant tout les PC (68 %), les serveurs (56 %) et les terminaux mobiles (31 %).

La sensibilisation des employés reste négligée

Dans 58 % des cas, les professionnels de la sécurité français déclarent que les cybercriminels ont accédé au réseau de leur organisation par le biais d’emails de phishing ou via les réseaux sociaux. 42 % ont indiqué que l’accès avait été obtenu grâce à la technique du drive-by-download déclenché lorsque l’on clique sur un lien menant à un site web compromis, et 39 % ont déclaré que l’attaque est arrivée via un poste de travail faisant partie d’un botnet. La France semble quand même relativement mieux sensibilisée sur le phishing que les autres pays puisque le phishing a permis l’accès dans 69 % des cas en moyenne sur l’ensemble des pays couverts par l’étude.

La sensibilisation reste néanmoins largement perfectible puisque pour 34 % des répondants français, si l’attaque a été couronnée de succès, c’est à cause de la négligence d’un employé. 44 % reconnaissent néanmoins que la faute revient en premier à un antivirus traditionnel inccapable de stopper ce type d’attaque. Il n’en reste pas moins que 39 % des employés français ont quand même décidé de payer la rançon sans intervention ou accord préalable de leur département informatique/sécurité.

« Le problème des ransomware est là pour durer », conclu Frédéric Bénichou. « Il est plus que temps pour les entreprises de prendre les mesures nécessaires pour faire face à ces attaques récurrentes que ce soit au niveau technologique ou humain. Cela implique de mettre en œuvre des solutions de lutte contre les menaces de nouvelles génération et de prêter davantage de considération à la sensibilisation et la formation dispensée aux employés, un point clé trop souvent négligé. »