Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, loi, Mise à jour

Règlement 2016/679 : 5 questions sur le Règlement Européen de Protection des Données Personnelles

Le règlement 2016/679 du 27 avril 2016 sur la protection des données personnelles sera applicable à partir du 25 mai 2018 dans tous les pays de l’Union européenne. Pour les entreprises, le compte à rebours a commencé. Il convient d’être en mesure de faire face au nouveau cadre juridique européen avant sa date d’application. Qu’est-ce que cela implique pour les entreprises ?

Règlement 2016/679 – Quels sont les règles d’application territoriale ? Ce nouveau règlement européen sera d’application directe dans les 28 pays membres de l’UE. Il n’y aura pas de loi nationale de transposition. Ce Règlement s’appliquera à l’identique en « écrasant » les différentes législations nationales existantes en la matière.

Concrètement, que prévoit ce Règlement ?
Si les personnes dont les données personnelles sont collectées résident sur le territoire de l’UE (quelle que soit la localisation de celui qui collecte) : le Règlement 2016/679 s’appliquera obligatoirement à cette collecte et à tout traitement ultérieur des données ainsi collectées. Si le prestataire qui collecte ou traite des données personnelles est situé sur le territoire de l’UE : le Règlement 2016/679 s’appliquera également obligatoirement, même pour des données collectées hors UE. Cela devrait permettre à des non-résidents de l’UE d’obtenir une protection là ou leur propre pays de résidence n’en propose pas forcément.

Quels sont les droits et obligations des entreprises qui collectent et traitent des donnÉes personnelles sur le territoire de l’UE ? L’idée de fond de cette règlementation est d’imposer une transparence lors de la collecte et de tout autre « traitement » des données personnelles. Chaque  “maitre de fichiers” sera dans l’obligation de tenir un registre des traitements opérés et de prendre des mesures « effectives » de sécurisation technique des traitements. Un régime nouveau d’information obligatoire sera mis en place pour contrer toute violation des traitements. Le régime des sanctions est substantiellement “boosté” pour envisager des amendes pouvant aller jusqu’à 4% du chiffre d’affaires mondial des récalcitrants.

Existe-t-il un régime particulier applicable aux “sous-traitants” ?
Les prestataires de service en mode SaaS et les hébergeurs seront tous “sous-traitants” au sens de la nouvelle réglementation européenne. Et c’est à leur niveau que se situent les plus grands changements avec l’arrivée de cette législation. Lorsqu’une entreprise qui collecte des données personnelles fera appel à un prestataire de service en mode SaaS, elle devra veiller à ce que son « sous-traitant » respecte ses directives ainsi que les obligations spécifiques qui s’imposeront aussi à ses sous-traitants. Sous la directive 95/46 (dont l’abrogation est fixée au 25 mai 2018) il suffisait que le prestataire (sous-traitant) s’engage par contrat à ne traiter les données du “maitre du fichier” que sur instructions écrites de ce dernier. Le prestataire sous-traitant devait simplement sécuriser techniquement les traitements auxquels il procédait. A l’avenir, les choses vont devoir être formalisées pour plus de transparence dans les relations entre le “maitre du fichier” et son prestataire SaaS. L’hypothèse de la sous-sous–traitance, extrêmement courante aujourd’hui dans l’industrie du logiciel en mode SaaS, est également directement impactée par cette règlementation. Car on ne trouve aujourd’hui plus guère de service SaaS sans un contrat d’hébergement avec un tiers au contrat SaaS. Ce tiers, c’est l’hébergeur qui est sous-traitant d’un service au profit des prestataires SaaS. Et Bruxelles n’a pas oublié ces professionnels dont le rôle est déterminant dans le traitement et le stockage des données personnelles.

Quels sont les droits des “personnes concernées” ?
Les personnes physiques dont les données sont collectées doivent d’abord pouvoir s’assurer qu’elles ont donné leur consentement à la collecte et au traitement ultérieur de leurs données. Le Règlement 2016/679 définit sans ambiguïté la notion de consentement : « toute manifestation de volonté, libre, spécifique, informée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif explicite, que des données [personnelles] la concernant fassent l’objet d’un traitement ». Déjà, à ce stade, il faut noter que le consentement ne pourra plus être présumé (principe de l’opt-out) mais bien exigé de manière positive et au préalable (principe de l’opt-in).

Le Règlement pose ensuite une série de critères que doivent respecter tous les traitements de données personnelles : les données doivent être traitées de manière « licite, loyale et transparente » pour la personne concernée. Ce critère de transparence est la grande nouveauté de ce texte. Ce texte précise en plus que les données personnelles ne peuvent être collectées et traitées « pour des finalités déterminées, explicites et légitimes, et ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités ».

Pour ce qui est des droits accordés aux personnes dont les données personnelles sont traitées, le nouveau Règlement confirme l’existence du droit d’accès, du droit à la rectification et du droit à s’opposer à un traitement. Sont nouveaux le droit à l’effacement (droit à l’oubli), le droit à la limitation du traitement et le droit à la portabilité des données. Enfin, le Règlement consacre de nouvelles dispositions sur le « profilage » des personnes dont les données sont traitées et encadre à ce titre de manière originale les « décisions individuelles automatisées » comprenant un « profilage ».

Y a-t-il un durcissement des obligations de sécurité ?
Tout à fait ! Et c’est une des grandes nouveautés du Règlement 2016/679.  En parallèle de l’obligation de tenue d’un « registre des activités de traitement » de données personnelles, les professionnels qui collectent des données personnelles ont une obligation de sécurisation des traitements auxquels ils procèdent. A ce titre, chaque responsable du traitement et chaque sous-traitant doit mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ».

Ces mesures techniques peuvent prendre plusieurs formes :

Ø    la pseudonymisation et le chiffrement des données ;
Ø    des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et des services de traitement ;
Ø    des moyens permettant de rétablir la disponibilité des données en cas d’incident physique ou technique ;
Ø    une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles destinées à assurer la sécurité du traitement.

Le renforcement des obligations de sécurité passe également par la transparence de la communication sur les atteintes aux données. C’est pourquoi le Règlement impose aux responsables de traitement une obligation d’information des autorités de contrôle en cas d’atteinte à la sécurité du traitement, qui entraîne une destruction, une perte, une altération, une divulgation ou un accès non autorisé aux données.

Cette obligation d’information en cas d’atteinte aux conditions normales de stockage et d’accès aux données s’impose à l’identique à tout sous-traitant (on pense aux prestataires de service en mode SaaS ou aux hébergeurs) qui a l’obligation d’informer le responsable du traitement de toute atteinte à la sécurité, à charge pour le responsable d’en informer à son tour son autorité de contrôle. (Marc-Antoine Ledieu avocat et Frans Imbert-Vier, Président Directeur Général d’Ubcom.)

Base de données, Cloud, Cybersécurité, Entreprise, Fuite de données, Justice, loi

Protéger votre organisation en appliquant la nouvelle réglementation sur la protection des données

La bataille de la confidentialité sur les données personnelles a franchi un nouveau cap avec l’accord de l’Union européenne sur la nouvelle réglementation sur la protection des données. Cette loi modifie profondément l’approche des entreprises en matière de protection des données clients.

Non seulement elle donne aux citoyens européens un meilleur contrôle sur le moment où les informations personnelles seront recueillies, mais également sur la manière dont elles seront utilisées. Elle prévoit par ailleurs de lourdes pénalités financières en cas d’échec des entreprises à protéger correctement les données collectées. Ces pénalités pouvant représenter jusqu’à 4 % du chiffre d’affaires annuel d’une entreprise, elles serviront ainsi de piqûres de rappel aux équipes dirigeantes.

Bien qu’elle ne s’applique qu’aux données des citoyens européens, cette réglementation s’adresse à toutes les entreprises qui disposent d’une localisation en Europe, ce qui lui confère un véritable rayonnement à l’international. Cette nouvelle loi entraînera des modifications matérielles par rapport aux nouveaux usages et procédés de stockage des données clients, et surtout sur la façon dont les entreprises prévoient de donner l’accès à ces données à leurs employés, à leurs sous-traitants et à leurs partenaires commerciaux.

Cette nouvelle réglementation impose aux entreprises de signaler toute violation de données de ses comptes clients dans les 72 heures, ce qui les poussera à faire évoluer leur système de sécurité de la simple prévention sur le réseau à la détection des intrusions et leur correction en temps réel.

La mise en œuvre du règlement sur la protection des données se traduit par d’importantes implications pour les programmes de gouvernance des identités des entreprises. C’est l’occasion de mettre de l’ordre dans la gestion des identités avant que l’application des pénalités prévues par cette loi n’entre en vigueur. Par anticipation, les entreprises peuvent prendre des mesures significatives, en se reconcentrant sur les priorités de la gouvernance des identités :

·         En premier lieu, répertorier les différents lieux de stockage au sein de l’entreprise dans lesquels figurent les données clients à protéger selon la réglementation sur la protection des données. Elles peuvent se trouver dans des systèmes structurés, tels que les applications ou les bases de données, ou dans des fichiers situés dans des des portails de collaboration (comme SharePoint) ou même dans des systèmes de stockage dans le cloud (comme Box ou GoogleDrive).

·         Ensuite, il convient d’identifier qui doit avoir accès aux données clients et regrouper avec ceux qui y ont déjà accès. Cette démarche doit faire l’objet d’une interrogation permanente, il ne s’agit pas d’un événement ponctuel. Il est important de s’assurer de bien prendre en compte toutes les applications et les plateformes de stockage de fichiers où sont stockées les données clients.

·         Enfin, prévoir des contrôles de gouvernance des identités pour protéger l’accès aux données en accord avec la réglementation sur la protection des données, à mesure que les utilisateurs rejoignent, changent de fonctions ou quittent l’entreprise.

Il n’est pas impossible de se sentir au début un peu dépassé par les exigences de cette nouvelle réglementation sur la protection des données, en particulier concernant les pénalités financières applicables en cas de non-conformité. Toutefois, le fait de placer la gouvernance des identités au cœur de la stratégie de sécurité, dans l’optique de protéger l’accès aux données clients, peut contribuer de manière significative à atténuer le risque d’une potentielle violation des données et d’éviter les pénalités qui en découleraient. (Par Juliette Rizkallah, chief marketing officer, SailPoint)

Contrefaçon, Cybersécurité, Entreprise, Social engineering

Le PDG du géant du e-commerce Alibaba défend la contrefaçon

Alors que le volume de produits contrefaits ne cesse de croître, Jack Ma, PDG du géant du     e-commerce Alibaba, a affirmé lors d’une réunion avec des investisseurs à Hangzhou le 14 juin dernier que « les faux produits présentent aujourd’hui une meilleure qualité et un meilleur prix que les vrais produits » avant d’ajouter que ces produits sont fabriqués dans les mêmes usines avec les mêmes matériaux que les originaux mais n’utilisent simplement pas le même nom.

Ces propos rapportés par le Wall Street Journal ont évidemment provoqué de vives réactions dans le monde de l’industrie du luxe, un des secteurs les plus atteints par la contrefaçon, et posent à nouveau la question du rôle des plateformes de e-commerce dans la lutte contre la contrefaçon.

Alibaba accusé de faciliter la contrefaçon
Fin janvier, l’administration d’état du commerce et de l’industrie chinoise faisait déjà publiquement état d’une prolifération de faux, de vendeurs non-agréés et de pratiques illégales sur les plateformes de vente d’Alibaba, et principalement sur Taobao. Était notamment concernée la maroquinerie de luxe.
En mai dernier, le groupe de luxe français Kering avait d’ailleurs porté plainte aux États-Unis contre Alibaba, pour la second fois, en considérant que le groupe encourageait la commercialisation de produits contrefaits, notamment par la vente de mots clefs et les suggestions de son moteur de recherche, et en tirait profit en toute connaissance de cause.

L’insuffisante implication d’Alibaba dans la lutte contre la contrefaçon
Les méfiances à l’égard du géant chinois sont tangibles. L’adhésion du géant de l’e-commerce à la coalition anti-contrefaçon (Anti-Counterfeiting Coalition Internationale) avait d’ailleurs été suspendue en raison du retrait de certaines maisons de luxe préoccupées par la vente de produits contrefaits sur ses plateformes. Alors que groupe chinois avait pourtant amorcé une opération de communication assurant qu’il se mobilisait activement pour la lutte contre la contrefaçon sur ses sites, le récent discours tenu par son PDG, qu’il justifie par le nouveau business model inhérent à Internet, suscite des doutes quant à la politique réellement poursuivie par le groupe.

Des propos « consternants »
Guillaume de Seynes, président du Comité Colbert et directeur de la maison Hermès, a alors déclaré qu’il trouvait ces propos « consternants » et qu’ils constituaient une atteinte directe aux droits de propriété intellectuelle. Il avait alors souligné que la lutte contre la contrefaçon était particulièrement difficile à mener dans la mesure où un certain nombre de plateformes digitales ne procèdent à aucun contrôle des produits mis en ligne.

Simples intermédiaires techniques, ces plateformes bénéficient d’un régime de responsabilité allégé. Elles ne sont en aucun cas soumises à une obligation générale de surveillance et ne sont tenues que du retrait des contenus illicites qui leur seraient notifiés. Toutefois, elles pourraient être tenues pour responsables de la mise en ligne de produits contrefaisants dès lors qu’elles jouent un rôle actif si elles fournissent des conseils précis pour chaque vendeur et ont une connaissance effective des annonces. En revanche, la seule mise en place d’un système de filtrage automatisé des contenus ne suffira pas à qualifier la plateforme d’éditeur de contenus et à les priver du régime de responsabilité atténué.

Pour autant, depuis son entrée en Bourse, le groupe Alibaba fait face à une importante crise de crédibilité en allant à l’encontre d’une coopération efficace pour assainir le marché. (Par Maitre Antoine Chéron, avocat spécialisé en propriété intellectuelle et NTIC, fondateur du cabinet ACBM (http://www.acbm-avocats.com)

Biométrie, Chiffrement, cryptage, Cybersécurité, Entreprise

Empreintes biométriques : l’authentification par les veines

Empreintes biométriques – I-TRACING, entreprise française de conseil et d’ingénierie en sécurité des systèmes d’information et sécurité Internet, participe à un important projet de mise au point de la technologie d’identification biométrique basée sur le dessin des veines du poignet. Une vision d’avenir qui permet de supprimer les mots de passe si souvent piratés.

C’est reconnu, le mot de passe, s’il reste aujourd’hui encore le mode d’identification et d’authentification le plus utilisé dans le monde pour accéder aux outils et aux services informatiques, présente d’énormes risques. Les entreprises sont victimes de vols de mots de passe qui permettent aux hackers de s’introduire dans leur système d’information. Pour y remédier, les empreintes biométriques représentent une alternative d’avenir, permettant d’identifier et d’authentifier une personne par ses caractéristiques physiques.

Le dessin des veines, une technologie d’authentification pratique et fiable
BIOWATCH, spécialiste en biométrie a mis au point cette technique de reconnaissance et d’identification. Son concept est basé sur le chemin que font les veines sur le poignet. Le dessin des veines du poignet de chaque individu est unique et l’identification s’opère grâce à un algorithme de reconnaissance embarqué. L’objectif étant de supprimer les mots de passe quotidiennement utilisés pour accéder au système d’information. La solution proposée prend la forme d’un lecteur biométrique placé dans un bracelet montre, authentifiant son porteur par l’analyse du dessin des veines de son poignet.

« La technologie BioWatch prouve que vous êtes celui que vous prétendez être. Notre solution de reconnaissance permet de vérifier l’identité d’une personne par simple détection du dessin – unique – que forment les veines du poignet « Très fiable, la reconnaissance biométrique par les veines s’applique particulièrement bien à l’authentification des personnes », déclare Matthias Vanoni, co-fondateur et CEO de BIOWATCH. La reconnaissance biométrique BIOWATCH est un moyen moderne, rapide, fiable et performant de gestion des accès au système d’information, aux réseaux et aux applications d’entreprise.

« Dans cette phase de R&D de son partenariat avec la start-up suisse BIOWATCH, I-TRACING apporte à travers ses ingénieurs, l’expertise en sécurité applicative, en design d’architecture et en ingénierie de solutions de sécurité » précise Laurent Charvériat, CTO et Directeur Général d’I-TRACING. « L’identification biométrique par les veines représente un marché potentiel important. A ce stade de développement du produit, I-TRACING apporte également la vision du monde des entreprises, un condensé des besoins, souhaits, contraintes techniques et usages des grandes entreprises, clients potentiels de la solution BIOWATCH qui est une solution simple, ergonomique et plus sûre, tout en supprimant les points d’entrée vulnérables que sont les mots de passe », souligne Théodore-Michel Vrangos, cofondateur et Président d’I-TRACING.

Chiffrement, cryptage, Cybersécurité, ransomware

Face aux ransomwares : quels recours pour les entreprises ?

Ces derniers mois ont été le théâtre d’attaques plus ou moins médiatisées de logiciels de rançon ou « ransomwares ». Jusqu’à l’année dernière, ce type d’attaque informatique touchait principalement les particuliers mais 2015 a marqué un tournant en matière de cibles visées. Les entreprises sont de plus en plus victimes de ces attaques que ce soit en raison de leurs ressources financières, ou du type de données qu’elles gèrent comme les bases clientes par exemple. A quoi ressemblent les attaques dont elles font l’objet ? Comment, peuvent-elles s’en prémunir ?

Un logiciel de rançon est un programme informatique rendant inaccessibles les fichiers situés sur l’ordinateur de l’utilisateur mais également sur le réseau de l’entreprise[1]. Il se présente sous la forme d’un add-on dont l’utilisateur a besoin pour lire un fichier (texte, tableur ou vidéo), une fois qu’il est téléchargé, il chiffre les données et supprime les originaux. Un message de rançon est ensuite envoyé à l’utilisateur pour demander un paiement (en argent ou bitcoins) en échange de la clé de chiffrement. Les ransomwares ciblent indistinctement tous les systèmes d’exploitation informatiques (Linux, Windows, Mac OS) et mobiles (Android, iOS). Ceci permet aux groupes malveillants de maximiser leur force de frappe et ce, avec efficacité.

Les attaques de ransomwares subies par les entreprises peuvent être classées en deux grandes catégories. La première regroupe les attaques dont elles sont la cible directe, cela a été le cas de l’hôpital presbytérien de Hollywood en février dernier lorsque la totalité de son système informatique a été paralysé. Face à cela, l’administration n’a pas eu d’autre choix que de transférer une partie de ses patients vers d’autres hôpitaux et payer une rançon de 40 bitcoins (environ 14 400 euros) afin de pouvoir débloquer son système. Au delà des dommages financiers subis par l’hôpital, c’est l’image du centre médical et la confiance des patients quant à la sécurité de leurs données qui ont été endommagées.

La deuxième catégorie d’attaques concerne les attaques visant les clients ou les employés, les entreprises sont alors des victimes collatérales. Prenons l’exemple de Free dont les clients ont été victimes du ransomware Locky. Ici, l’infection se présente sous la forme d’une pièce jointe à un mail d’apparence officielle (facture téléphonique). Une fois que l’utilisateur ouvre la pièce jointe et répare ce fichier « mal codé », le ransomware s’installe et bloque son ordinateur. S’ils n’ont pas d’assistance informatique extérieure, ils n’ont pas d’autre choix que de payer leur rançon pour récupérer l’accès à leur appareil. Seulement, si cette pièce jointe est téléchargée sur leur ordinateur professionnel, ce n’est pas leurs fichiers mais potentiellement tout le réseau de l’entreprise qui est menacé.

Quelle protection pour les entreprises ?

Le ransomware est une menace qui se propage très rapidement sur les réseaux et sa spécificité est le chiffrement. C’est pourquoi l’analyse et la régulation des certificats SSL doivent faire partie de la stratégie sécuritaire de l’entreprise. Aujourd’hui, 25% du trafic internet utilise le protocole SSL et la plupart des entreprises ont confiance en ce protocole de sécurité et préfèrent allouer leurs ressources à l’analyse du trafic non chiffré. Cela équivaut à fermer sa maison avec une porte blindée mais laisser la fenêtre du salon ouverte. Et c’est justement dans cette brèche que s’engouffrent les hackers. De plus en plus, ils utilisent des certificats SSL légitimes pour acheminer leurs ransomwares, Trojans et autres logiciels malveillants au cœur de l’entreprise. Selon les statistiques récupérées par Zscaler, 31% des logiciels malveillants bloqués en entreprises étaient transférés via HTTPS – donc chiffrés avec SSL. Au delà de l’implémentation d’une solution d’inspection du trafic SSL, des mesures telles que la création d’une liste de trafic SSL « certifiée » régulièrement mise à jour contribuent à la sécurisation du réseau de l’entreprise.

Par ailleurs, selon EY[2], 44 % du risque informatique en entreprise provient d’employés négligents ou imprudents. Ce dernier point soulève le problème de la gestion du « Shadow IT ». Par cette expression, il est fait référence aux applications déployées au sein d’une infrastructure sans avoir suivi les processus élaborés pour vérifier leur fonctionnalité, sécurité et capacité à prendre en charge plusieurs utilisateurs. Cela englobe l’usage de solutions telles que Skype, Facebook et dans une certaine mesure le Bring Your Own Device (BYOD). Le rôle du DSI est alors de fournir des applications validées par l’entreprise mais aussi de passer d’une approche « blocage/autorisation » à « gérer et surveiller ». Pour y arriver, le dialogue avec les employés est incontournable, il faut les éduquer aux dangers d’internet tout en surveillant l’émergence des applications qu’ils utilisent afin de ne pas exposer l’entreprise à de nouvelles menaces. Concrètement, cela peut se faire en les impliquant dans le processus de validation des applications autorisées en entreprise ou l’émission de recommandations quant au téléchargement de fichiers à installer autant sur leur ordinateur que leurs terminaux mobiles connectés au réseau de l’entreprise.

Il faut, enfin, s’assurer que la solution de sécurité mise en place en entreprise est capable de détecter les ransomwares et de les éliminer.

Le ransomware est une réalité à laquelle les entreprises ne pourront échapper dans les mois et années à venir. Le principal défi qu’elles devront relever est la surveillance des multiples points d’entrée que le ransomware utilise pour se propager. Pour cela, elles doivent accepter que la menace est réelle et repenser leur sécurité afin qu’elle couvre la totalité de leur réseau. Sans oublier de prendre en compte le facteur humain qui est indissociable de cette menace. (Par Didier Guyomarc’h, Directeur EMEA Sud, Zscaler)

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Mise à jour, santé

Big Data et Santé : les données médicales relèvent d’une législation particulière

Les données de santé occupent une place particulière dans le Big Data. Personnelles, sensibles mais aussi confidentielles, les données médicales relèvent d’une législation particulière. Qu’il s’agisse de la gestion d’un établissement de soin ou de la dématérialisation d’un dossier patient, leur nombre ne cesse d’augmenter. Est-il possible d’assurer la protection des données médicales, tout en permettant aux établissements et professionnels de santé de pouvoir les gérer facilement au quotidien ?

Les données de santé, de par leur confidentialité, sont régies par le Code de la santé publique et plus particulièrement par l’article L. 1110-4. Celui-ci définit les conditions de cette protection juridique en autorisant l’échange de données de santé entre l’équipe de soin du même établissement ou des professionnels de santé d’entités différentes mais prenant en charge le même patient, sous réserve que celui-ci bénéficie du droit d’opposition. Par ailleurs, le patient peut accéder à ses données médicales, les faire rectifier, les mettre à jour ou les supprimer s’il le souhaite.

Outre la protection juridique des données, des exigences techniques ont également été mises en place. Il s’agit ici des obligations de protection physique des données pour les professionnels de santé. Ils sont tenus de protéger les informations en les manipulant mais aussi en les stockant dans un environnement sécurisé. Pour cela, ils peuvent les conserver en interne ou faire appel à un hébergeur agréé pour les stocker.

Hébergeur Agrée de Données de Santé

L’agrément « Hébergeur Agrée de Données de Santé » (HADS), a été créé afin de garantir la confidentialité, l’intégrité, la disponibilité et la traçabilité des informations sensibles que constituent les données médicales. Le respect de nombreuses exigences est ici impliqué comme l’authentification forte, le chiffrement des données, la traçabilité des accès etc.

Un cadre légal strict ne veut pas dire la fin de la collaboration au sein des établissements de santé
Aujourd’hui, l’essentiel des informations liées au patient est dématérialisé. Il peut s’agir d’une prescription médicale, de résultat d’analyse, d’un dossier d’hospitalisation ou de tout autre information dont un professionnel de santé peut avoir connaissance. Par ailleurs, les médecins et les hôpitaux ne sont pas les seuls à manipuler des données de santé et à être soumis à cette législation particulière. Par exemple, toute application mobile qui traiterait des données à caractère médical est aussi obligée de passer par un tiers hébergeur agréé. Ce cadre légal concerne donc un volume immensément important de données, d’autant plus que le marché de l’e-santé est en forte croissance.

Ce cadre légal ne doit pas être un frein pour les établissements et professionnels

S’il doit permettre de sécuriser les informations médicales des patients, ce cadre légal ne doit pas être un frein pour les établissements et professionnels de santé dans leur travail quotidien. En effet, ces données regroupent toutes les informations concernant un individu. Si l’on prend l’exemple d’un hôpital, il est important que l’ensemble de l’équipe soignante puisse accéder facilement et rapidement aux informations d’un patient.

Aussi la loi autorise à ce qu’une application puisse se superposer à la couche d’hébergement agrée dans la mesure où celle-ci est compatible avec les prérequis de l’agrément. Ainsi, l’établissement ou le professionnel de santé peut se doter d’une solution de gestion et de partage de fichiers sécurisée compatible avec un hébergeur agrée, et allier à la fois conformité à la loi et collaboration. (Lydie Balfet, NetExplorer)

Cybersécurité, DDoS, Entreprise, Piratage, ransomware

Les serveurs de Pokemon GO sous les attaques DDoS

Il fallait bien se douter que les pirates informatiques allaient se jeter sur Pokemon GO. Plusieurs attaques DDoS ont tenté de saturer les serveurs de Nintendo.

Ce qui est bien avec les pirates informatiques, du moins ceux en mal de reconnaissance, est qu’ils sont aussi prévisibles qu’un glaçon dans un four. Alors que la France ou encore le Japon se préparent à un assaut de masse sur l’application Pokemon Go [lire l’avertissement sur les dangers des applications non officielles concernant Pokémon GO], les joueurs à l’international s’inquiètent de l’arrivée de nouveaux utilisateurs sur des serveurs déjà largement sous pression. Comme le rappel Kaspersky, les discussions sur les réseaux sociaux concernant le niveau de saturation des serveurs et les bugs à répétition qui en découlent sont légion, obligeant même Niantic à réagir. Mais l’incroyable popularité de l’application n’est pas seule en cause. Les serveurs de Pokemon Go ont été la cible de plusieurs attaques DDoS, revendiquées par différents groupes de pirates.

Du DDoS pour emmerder le monde… et pour de l’argent

Bien qu’un certain nombre de groupes de pirates ait revendiqué des attaques DDoS, il est difficile de vérifier la véracité de leurs affirmations. Et ce n’est pas le cœur du problème. Ce qui compte vraiment pour Nintendo et pour les joueurs de Pokemon Go est de protéger les serveurs et les données des joueurs, de maintenir la continuité de service et de préserver sa réputation et celle des entreprises derrière Pokémon Go. Mais ce n’est pas une tâche aisée, car les attaques DDoS sont perpétrées par plusieurs groupes au motifs variés : nuire à la réputation de l’entreprise, attirer l’attention sur des revendications politiques ou sociales, faire connaitre son outil « stresser » pour vendre du DDoS, ou des protections contre les DDoS, et bien sûr la perspective de possibles gains financiers

Black blocs 2.0

Le volume d’attaques DDoS a augmenté au cours des dernières années car le coût pour réaliser ces attaques a chuté. J’ai pu vous le montrer dans des articles expliquant qu’avec quelques euros il est possible de faire tomber n’importe quel serveur. « En parallèle, les attaques DDoS sont devenues plus sophistiquées et plus difficiles à contrer. Les cybers criminels enquêtent sur leur cible et choisissent les modes d’attaques qui ont le plus de chances de succès, indique David Emm, chercheur en sécurité chez Kaspersky Lab. Ils agissent en temps réel, de façon à pouvoir ajuster leurs tactiques et utiliser des outils différents dans le but de faire le plus de dégâts« .

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Mise à jour

European Cyber Week : J’entends le loup, le renard et le hacker

Du 21 au 25 novembre, la Bretagne va accueillir l’ European Cyber Week. Cinq jours dédiés à la sécurité informatique.

La ville de Rennes, en Bretagne, va accueillir, du 21 au 25 novembre 2016, l’ European Cyber Week. Derrière ce titre, le Pôle d’excellence cyber [Créé en 2014, on y retrouve dans son conseil d’administration le Vice Amiral Arnaud Coustillière et Madame Marie-Noëlle Sclafer représentants le Ministère de la Défense, NDR]. Ce rendez-vous va proposer 7 rendez-vous dédiés à la sécurité informatique. Une première à Rennes.

Au programme de l’ European Cyber Week : état des avancées technologiques en matière de cyberdéfense et de cybersécurité (C&ESAR) ; l’Internet des objets ; le lien entre recherche et entreprises de la cybersécurité ; Peer learning entre régions européennes sur le développement de la cybersécurité en tant qu’activité économique ; un colloque sur l’état de l’art de la recherche en matière de sécurité des réseaux électriques intelligents et un challenge de hacking éthique.

L’ European Cyber Week est financé et épaulé par le Conseil régional de Bretagne, le ministère de la Défense, DGA Maîtrise de l’information, BDI, EIT Digital, Images & Réseaux, Rennes Atalante, INRIA, Université de Rennes 1, Telecom Bretagne, Meito et avec le soutien de l’Union européenne.

La Bretagne dispose d’un peu plus de 120 entreprises spécialisées dans la cybersécurité. En 2014, la Région avait lancé un appel à projets baptisé « solutions nouvelles de cybersécurité« . Une enveloppe de 593 000€ avaient été partagées entre 13 sélectionnés : Prescom, Med E Com, Frogi Secure, Interface Concept, AriadNext, DareBoost, Opale Security, Amossys [présent dans le conseil d’administration du Pôle d’excellence cyber], First Wan Delivery Network, Tevalis, Celtpharm. En juin 2016, 800 000€ étaient proposés dans un nouvel appel à projet. Un appel qui se cloture dans quelques semaines. (7Seizh)

Android, Chiffrement, cryptage, Cybersécurité, Entreprise, Espionnae, Fuite de données, ID, Identité numérique, ios, Particuliers, Sécurité, Smartphone, Téléphonie, VPN

Wifi gratuit, protégez votre connexion

Alors que la mairie de Paris a annoncé du wifi « haut débit » gratuit sur les Champs-Élysées, cette explosion récente des connexions wifi gratuites et publiques représente une véritable aubaine pour les utilisateurs. Il est tellement pratique de se connecter gratuitement à un réseau Wi-Fi dans un café, dans un parc ou dans un aéroport que cela en devient un réflexe, dès lors que notre appareil nous le suggère. Mais est-ce totalement sûr ? Quels sont les risques ? Comment se connecter à un réseau public en toute sécurité ?

Wifi gratuit ? Votre meilleur ennemi ! En général, les réseaux Wi-Fi que l’on trouve dans les lieux publics ne sont pas bien protégés. Ils se basent souvent sur des protocoles de chiffrement trop simples ou parfois pas chiffrés du tout. Les pirates peuvent ainsi accéder à chacune des informations que vous envoyez sur Internet : e-mails importants, données de carte bancaire, voire données d’identification permettant d’accéder à votre réseau d’entreprise. Une fois que les pirates disposent de ces renseignements, ils peuvent accéder à vos systèmes en votre nom, diffuser des programmes malveillants, ou facilement installer des logiciels infectés sur votre ordinateur si le partage de fichiers a été activé.

Quelques bons gestes à respecter face à un Wifi gratuit

D’abord, utilisez un réseau privé virtuel (VPN). Un VPN est indispensable lorsque vous accédez à une connexion non sécurisée, comme un point d’accès wifi. Même si un pirate réussit à se placer en plein milieu de votre connexion, les données qui s’y trouvent seront chiffrées, donc illisibles. Mails, mots de passe, ou simplement ce que vous visitez ne seront pas lisibles. J’utilise moi même plusieurs dizaines de VPN différents. Je peux vous proposer de tester Hide My Ass, ou encore VyprVPN. Un test de VPN disponibles pour votre ordinateur, tablette ou encore smartphone dans cet article. Dernier conseil, même si vous ne vous êtes pas activement connecté à un réseau, le matériel wifi équipant votre ordinateur, votre téléphone portable, votre tablette continuent de transmettre des informations. Bref, désactivez la fonctionnalité wifi si vous ne l’utilisez pas.

Activez l’option « Toujours utiliser HTTPS » sur les sites Web que vous visitez fréquemment ou qui nécessitent de saisir des données d’identification. Les pirates ne savent que trop bien que les utilisateurs utilisent les mêmes identifiants et mots de passe pour les forums, leur banque ou leur réseau d’entreprise.

Pour finir, lorsque vous vous connectez à Internet dans un lieu public, via un Wifi gratuit il est peu probable que vous souhaitiez partager quoi que ce soit. Dans ce cas, vous pouvez désactiver les options de partage dans les préférences système. (Kaspersky)

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Sauvegarde, VPN

Data Loss Prevention

Prévention des pertes de données des collaborateurs mobiles. Quand la mobilité oblige à la Data Loss Prevention.

Data Loss Prevention  – La mobilité est à la fois un besoin et un défi pour les entreprises qui se battent pour créer une force de travail réellement fluide et entièrement digitale. Aujourd’hui, presque tous les collaborateurs travaillent avec un ou plusieurs périphériques mobiles contenant des informations d’entreprise, qu’il s’agisse d’un téléphone mobile, d’un ordinateur portable ou d’une tablette. L’un des premiers défis qui en découlent pour la direction informatique tient au fait que l’accès à distance aux données et aux e-mails se fait, par nature, « hors » du périmètre de l’entreprise, et qu’il est par conséquent très difficile de s’en protéger. La multitude des périphériques utilisés, en elle-même, complique la surveillance et le suivi des données d’entreprise consultées, partagées ou utilisées.

Data Loss Prevention : se concentrer sur les données

L’une des approches, choisie dans certaines entreprises, consiste à intégrer ces périphériques à une stratégie d’environnement de travail en BYOD. Les utilisateurs peuvent choisir le périphérique, le système d’exploitation et la version de leur choix, puisqu’il s’agit de leur propre périphérique. Malheureusement, cette approche peut en réalité créer des problèmes supplémentaires de sécurité et de DLP (prévention des pertes de données). En effet, de nombreux utilisateurs n’apprécient pas (voire interdisent) que leur employeur gère et/ou contrôle leur périphérique, pire encore, d’y installer des logiciels professionnels comme les programmes d’antivirus et de VPN.

Par conséquent, pour réussir, la stratégie de protection des données doit se concentrer sur la sécurisation des données uniquement, quel que soit le périphérique ou le mode d’utilisation. Dans un environnement d’entreprise, une grande majorité des données sensibles transitent dans les e-mails et leurs pièces jointes. Ainsi, une stratégie de protection des données réussie doit chercher à gérer et contrôler la passerelle par laquelle transitent les données, à savoir, ici, le compte d’e-mail d’entreprise.

Autre option : implémenter une suite d’outils de gestion de la sécurité mobile, ce qui permet de placer des mécanismes de sécurité sur la passerelle d’e-mail, et d’autoriser la création de règles de sécurité pour surveiller et contrôler la façon dont les informations d’entreprise sont traitées sur chaque périphérique.

Data Loss Prevention : Stratégie DLP tridimensionnelle

Une stratégie « DLP tridimensionnelle », surveille et contrôle le contenu transféré via un périphérique sur la base de critères précis. Par exemple, on peut limiter l’accès au contenu ou aux fichiers depuis le compte e-mail d’entreprise en fonction du pays, puisque les utilisateurs qui voyagent avec leur périphérique sont susceptibles d’accéder aux données et aux systèmes sur des réseaux Wi-Fi non sécurisés. Il est également possible de contrôler le contenu sur la base des mots clés qui figurent dans les e-mails (comme des numéros de sécurité sociale ou des numéros de contrat), afin d’interdire les pièces jointes ou le contenu incluant ce type d’information sur les périphériques mobiles. Comme les pièces jointes d’e-mail contiennent la majorité des informations sensibles transmises d’un périphérique à un autre, ce point est crucial lorsqu’il s’agit de protéger l’utilisation des périphériques dans l’environnement de travail. La troisième dimension est la surveillance du contexte, qui permet d’identifier et d’interdire le contenu pour des expéditeurs/destinataires spécifiques.

Ce type de considération permet de limiter les risques liés aux pertes de données et aux problèmes de sécurité pour cette partie des activités professionnelles Bien que cette approche ne suffise pas à contrôler et à sécuriser entièrement les banques de données d’une entreprise, la sécurité mobile va jouer un rôle de plus en plus vital pour la réussite des stratégies complètes de protection des données, au fur et à mesure que davantage de périphériques s’intègrent à nos habitudes de travail. (Par Eran Livne, Product Manager LANDESK)