Archives de catégorie : Entreprise

Actualités liées à la sécurité informatique des entreprises, PME, PMI, TPE, association, communes.

Base de données, Chiffrement, Cybersécurité, Entreprise, Fuite de données, Justice, loi, Mise à jour, Sauvegarde

Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

La directive européenne de protection des données personnelles est morte ! Vive le règlement général sur la protection des données (GDPR). Fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

En 1995, l’Europe s’équipait de la directive européenne de protection des données personnelles. Mission, protéger les informations des utilisateurs d’informatique. 21 ans plus tard, voici venir le règlement général sur la protection des données (GDPR). La Commission européenne avait proposé en 2012 un nouveau règlement portant sur un ensemble de règles unique pour toutes les données collectées en ligne afin de garantir qu’elles soient conservées de manière sûre et de fournir aux entreprises un cadre clair sur la façon dont les traiter.

Mercredi 13 avril 2016, le paquet législatif a été formellement approuvé par le Parlement dans son ensemble. Le GDPR impose aux entreprises (petites ou grandes) détenant des données à caractère personnel d’alerter les personnes touchées par une fuite, une perte, un piratage de la dire informations privée. Grand groupe, PME, TPE doivent informer les autorités de contrôle nationales (CNIL) en cas de violation importante de ces données. Comme je pouvais déjà vous en parler en 2014, il faut alerter les autorités dans les 72 heures après avoir découvert le problème. Les entreprises risquent une grosse amende en cas de non respect : jusqu’à 4% de son chiffre d’affaire. Les informations que nous fournissons doivent être protégées par défaut (Art. 19). A noter que cette régle est déjà applicable en France, il suffit de lire le règlement de la CNIL à ce sujet. Faut-il maintenant que tout cela soit véritablement appliqué.

Fuite, perte, piratage de données

Parmi les autres articles, le « 7 » indique que les entreprises ont l’obligation de demander l’accord « clair et explicite » avant tout traitement de données personnelles. Adieu la case par défaut imposée, en bas de page. De l’opt-in (consentement préalable clair et précis) uniquement. Plus compliqué à mettre en place, l’article 8. Je le vois dans les ateliers que je mets en place pour les écoles primaires et collèges. Les parents devront donner leur autorisation pour toutes inscriptions et collectes de données. Comme indiqué plus haut, les informations que nous allons fournir devront être protégées par défaut (Art. 19). Intéressant à suivre aussi, l’article 20. Comme pour sa ligne téléphonique, le numéro peut dorénavant vous suivre si vous changez d’opérateur, cet article annonce un droit à la portabilité des données. Bilan, si vous changez de Fournisseur d’Accès à Internet par exemple, mails et contacts doivent pouvoir vous suivre. L’histoire ne dit pas si on va pouvoir, du coup, garder son adresse mail. 92829@orange.fr fonctionnera-t-il si je passe chez Free ?

La limitation du profilage par algorithmes n’a pas été oublié. En gros, votre box TV Canal +, Orange ou Netflix (pour ne citer que le plus simple) utilisent des algorithmes pour vous fournir ce qu’ils considèrent comme les films, séries, émissions qui vous conviennent le mieux. L’article 21 annonce que l’algorithme seul ne sera plus toléré, surtout si l’utilisation n’a pas donné son accord. Enfin, notre vie numérique est prise en compte. Les articles 33 et 34 s’annoncent comme les défenseurs de notre identité numérique, mais aussi notre réputation numérique. L’affaire Ashley Madisson est un des exemples. Votre identité numérique est volée. L’entreprise ne le dit pas. Votre identité numérique est diffusée sur Internet. Vous ne la maîtrisez plus.

Bref, 33 et 34 annonce clairement que les internautes ont le droit d’être informé en cas de piratage des données. La CNIL sera le récipiendaire des alertes communiquées par les entreprises piratées. Bref, fuite, perte, piratage de données ? Entreprise, il va falloir communiquer !

Les entreprises ont jusqu’au 1er janvier 2018 pour se mettre en conformité. Les 28 pays membres doivent maintenant harmoniser leurs lois sur le sujet. Je me tiens à la disposition des entreprises, associations, particuliers qui souhaiteraient réfléchir à leur hygiène informatique.

Police : nouvelles règles sur les transferts de données

Le paquet sur la protection des données inclut par ailleurs une directive relative aux transferts de données à des fins policières et judiciaires. La directive s’appliquera aux transferts de données à travers les frontières de l’UE et fixera, pour la première fois, des normes minimales pour le traitement des données à des fins policières au sein de chaque État membre.

Les nouvelles règles ont pour but de protéger les individus, qu’il s’agisse de la victime, du criminel ou du témoin, en prévoyant des droits et limites clairs en matière de transferts de données à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales – incluant des garanties et des mesures de prévention contre les menaces à la sécurité publique, tout en facilitant une coopération plus aisée et plus efficace entre les autorités répressives.

« Le principal problème concernant les attentats terroristes et d’autres crimes transnationaux est que les autorités répressives des États membres sont réticentes à échanger des informations précieuses », a affirmé Marju Lauristin (S&D, ET), députée responsable du dossier au Parlement. « En fixant des normes européennes sur l’échange d’informations entre les autorités répressives, la directive sur la protection des données deviendra un instrument puissant et utile pour aider les autorités à transférer facilement et efficacement des données à caractère personnel tout en respectant le droit fondamental à la vie privée« , a-t-elle conclu.

Cybersécurité, Emploi, Entreprise, Mise à jour

L’agence de renseignement du Danemark lance une académie de hacking

Académie de hacking – Décidément, le temps ou il fallait cacher son intérêt pour le hacking est bien révolu. Après la France, les USA, la Suisse, voici venir le Danemark. L’agence de renseignement Danoise vient de créer une académie dédiée au hacking.

Les services de renseignement Danois viennent de se lancer dans un recrutement qui a le mérite d’attirer l’œil. La DDIS (Danish Center for Cyber Security), le service de cyber renseignement danois lance une académie pour former des hackers. Mission, former des pirates informatiques éthiques capables de fissurer des systèmes de sécurité cybernétique compliqués. Une création en réponse aux nombreuses attaques vécues par le pays ces derniers mois. Le Danemark a dû repousser plusieurs cyber-attaques dont une contre le ministère des affaires étrangères (via un phishing) qui aura permis un espionnage de 7 mois. En décembre 2015, un DDoS a cloué les serveurs du Parlement danois.

King of Phantom : académie de hacking

Les admissions débuteront le 1er août 2016. Le service de renseignement ne va pas par quatre chemins et parle de recruter « de talentueux blackhats« . Pour rappel, un black hat n’est pas un hacker « sympathique« , mais plutôt du genre « casse tout ».

Les principales tâches du DDiS sont de collecter, traiter et diffuser des informations sur les situations qui touchent le Danemark, à l’étranger. Une partie du service se compose d’une unité spéciale dont la tâche est d’avoir accès à l’Internet fermé, aux  systèmes informatiques et aux ordinateurs. « Notre dispositif n’est pas fait pour tout le monde, et il préconise des compétences particulières et une certaine personnalité« .

Trois modules dans cette formation : un module de base où vous apprendrez les réseaux, l’infrastructure informatique et la sécurité avancée. Un module de défense où vous apprendrez comment se défendre face aux pirates. Un module offensive où vous apprendrez à pirater. L’annonce indique que la DDiS encourage tout le monde à participer « peu importe les antécédents personnels« .

Cybersécurité, Propriété Industrielle, santé

In-Q-Tel : Un fabricant de cosmétique attire la CIA pour prélever l’ADN

Étonnante révélation concernant le fabriquant de cosmétique Skincenial Sciences. La CIA, via sa société de capital-risque In-Q-Tel, s’est rapprochée du vendeur de créme qui adoucit la peau… pour collecter l’ADN.

La société américaine Skincential sciences est une petite PME proposant des crèmes pour la peau suffisamment efficace pour attirer les regards des professionnels de la mode, des blogueuses et de stars de la TV US. La créateur de crème qui adoucit la peau a aussi attiré un autre partenaire étonnant, la CIA. La Centrale Intelligence Agency, via sa société de capital-risque In-Q-Tel, s’est penchée sur Skincential sciences pour financer des recherches sur la collecte de l’ADN. Cette relation contre nature a été révélée par des documents diffusés par The Intercept. L’entreprise de cosmétique a créé un produit étonnant qui intéresse la CIA. Finesse de l’invention, être capable de retirer une mince couche externe de la peau, révélant des biomarqueurs uniques qui peuvent être utilisés pour une variété de tests, y compris la collecte d’ADN.

In-Q-Tel est un investisseur fondé en 1999 par l’ex-directeur de la CIA, George Tenet. Sa mission, identifier une technologie de pointe qui permettra à la CIA, et aux autres agences américaines, de peaufiner et moderniser leurs missions. In-Q-Tel assure le financement des recherches afin de faire croître les entreprises de haute technologie qui développent les solutions qui attirent la CIA. Pour l’agence, la peau humaine est une source peu exploitée.

Argent, Banque, Chiffrement, cryptage, Cybersécurité, Emploi, ID, Identité numérique, Paiement en ligne, Particuliers, Vie privée

Le Japon va tester la biométrie pour payer ses achats

Biométrie – Pour préparer les Jeux Olympiques de 2020, attirer les touristes et contrer le cyber crime, le japon va tester, cet été 2016, le contrôle biométrique pour le paiement et la  réservation d’une chambre d’Hôtel.

Cet été, si vous avez la chance de vous rendre au Japon, préparez-vous à sortir vos doigts. Le pays va lancer une grande opération biométrique dédiée au contrôle d’identité et à la sécurisation des paiements.

Le gouvernement Japonais espère ainsi augmenter le nombre de touristes étrangers en utilisant ce système pour soulager les utilisateurs de la nécessité de transporter des espèces ou cartes de crédit. Le Japon veut tester son système afin que ce dernier soit opérationnel pour les Jeux olympiques et paralympiques de Tokyo 2020.

L’expérience permettra aux touristes volontaires, foulant le sol Nippon, d’enregistrer leurs empreintes digitales, identités et données de carte de crédit. Pour inciter les visiteurs à participer, pas de taxe sur les produits. Il suffira de placer deux doigts sur les dispositifs spéciaux installés dans 300 magasins et hôtels du pays. La biométrie permettra aussi d’éviter aux touristes de voir leur passeport copiés dans les hôtels. L’authentification par empreintes digitales suffira.

En 2020, Tokyo attend 40 millions de touristes. Les premiers tests ont eu lieu, depuis octobre 2015, dans le parc à thème du Huis Ten Bosch de Sasebo.

Entreprise, Fuite de données, Mise à jour, Patch, Social engineering, Téléphonie

43 heures de communications pirates pour la Ville de Solignac

La commune de Solignac se fait pirater son standard téléphonique. Aucun employé ne s’était rendu compte du problème. L’opérateur va réagir après avoir découvert 43 heures de communications pirates durant le week-end de Pâques.

Que dire ? Les petites et moyennes communes ne prennent pas leur sécurité informatique au sérieux. Le silence est d’or, l’excuse du droit de réserve a bon dos… Le dos de l’argent et des données des contribuables s’envolant à coups de piratages, fuites de données, ransomwares, phreaking…

C’est d’ailleurs du phreaking, piratage dans la téléphonie, qui vient de toucher une commune de la région de Limoges. La Direction Générale de la mairie de Solignac a été alertée par l’opérateur Orange d’un étrange comportement de sa ligne téléphonique. Le pirate est un malin, 43 heures d’appels téléphoniques illicites sur le dos des finances de la ville, entre le samedi après-midi et la nuit du lundi au mardi du week-end de Pâques.

Les phreakers sont particulièrement bien organisés. Je peux en croiser, dans certains blackmarkets,  proposant ce type de service. Durant ces trois jours, 283 appels à destination de l’Azerbaïdjan, le Pakistan, le Liberia, la Somalie,  les Iles Falkland, les Maldives et Haïti. Bref, plusieurs dizaines de milliers d’euros envolés.

Du piratage de standard téléphonique qui n’est pourtant pas une nouveauté. Malheureusement, je croise trop de chefs de service aux égos surdimensionnés, aux titres ronflants et à l’incapacité de gérer l’informatique, la sécurité, ou simplement la communication sur ce type de méfait. Je ne parle même pas des budgets qui se réduisent comme peau de chagrin et des employés territoriaux devenus responsables informatiques par l’effet du Saint-Esprit (comprenez le piston). Je ne généralise pas, mais mes constatations me font dire que cela ne s’arrange pas. En novembre 2015, 43 000 € de détournement téléphonique au Conseil Départemental des Deux-Sévres ; 15 000 à la commune de Pessac, 15 000 pour la commune de Licques… et ici, je ne parle que des cas connus.

Communications pirates : ce que dit la loi

Pour les pirates, la loi est claire : piratage, escroquerie, … entre 5 et 7 ans de prison et jusqu’à 350000 euros d’amende. Pour l’entreprise impactée, il est dorénavant possible de se retourner contre le prestataire de service, l’entreprise qui a pris en charge l’installation du standard. Une jurisprudence condamne les intégrateurs dans la mesure où ces derniers n’ont pas informé et formé leurs clients.

Argent, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Piratage, Sauvegarde, Social engineering

Porn Account : 270000 amateurs de pornos piratés

Un internaute a tenté de revendre les données de 270 000 amateurs de sites pornographiques dans le blackmarket. Le business du Porn Account pour les nuls !

Vous avez peut-être entendu à la radio et lu dans la presse généraliste ce piratage de données ayant visé 270 000 amateurs de sites pornographiques. Un piratage qui a débuté via l’attaque par injection SQL de plusieurs sites pour adultes appartenant au groupe Paper Street Media.

Le pirate a expliqué avoir contacté l’entreprise pour « discuter ». Soyons clair, il a tenté de leur soutirer de l’argent en proposant la faille qui lui a permis d’extraire les informations des clients (IP, mail, mots de passe…).

Paper Street Media n’a pas répondu dans le sens de l’internaute. Bilan, l’adolescent a mis en vente, dans le blackmarket, la base de données volée pour 360 euros. Pourquoi revendre les données dans le BM ? Tout simplement pour que les professionnels du porn account puissent sauter sur l’occasion.

Dans cette même boutique qui aurait servi au pirate à revendre cette base de données [je n’ai pas retrouvé le vendeur], d’autres « commerçants » proposent des accès « piratés » aux sites interdit au – de 18 ans de Paper Street Media pour 9 $. Je vous laisse faire l’addition. Nous sommes très très loin des 360 euros réclamés ! « Je peux me faire entre 300 et 500 dollars par semaine » m’indique un de ces vendeurs de Porn Account croisé dans une boutique spécialisée.

Un pirate russe revend des milliers de comptes du site Naughty America.

A noter que j’ai pu consulter [ci-dessus] un document diffusé par un autre pirate informatique. Ce dernier, il est russe, a mis la main sur 150 000 comptes clients du site pornographique Naughty America. Un injection SQL, une backdoor (shell) dans le serveur et les comptes clients ont fini dans les mains du pirate.

Pendant ce temps…

… le groupe hôtelier Trump est de nouveau piraté. Des logiciels d’espionnage ont été retrouvés dans les ordinateurs des hôtels Trump situés à New York, Toronto et Honolulu. Même type d’attaque vécue en juillet 2015. Cela donne une idée de la gestion de la sécurité informatique de ce groupe. Les pirates visaient les identités et les données bancaires.

En ce qui concerne les numéros de CB, pas besoin d’être intelligent pour comprendre l’intérêt. Achats de produits dématérialisés qui seront revendus moitié prix [blanchir l’argent détourné]… En ce qui concerne les informations dédiées aux identités : fraude bancaire [ouverture de compte], usurpation d’identité, …

Base de données, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, ransomware, Sauvegarde

Récupération des données en cas de ransomware : 6 règles à respecter

Récupération des données en cas de ransomware ! Catastrophes naturelles, pannes de courant ou d’équipements, piratage informatique, erreurs de manipulation, virus… La liste des menaces potentielles planant sur les données et les activités d’une entreprise est sans fin. La grande mode des ransomwares permet, malheureusement, de rappeler que la sauvegarde informatique n’est pas un gadget.

Les meilleurs outils pour se protéger d’un ransomware existent-ils ? Efficace à 100 %, non. La sauvegarde est le principal secours [le meilleur outil étant de ne pas cliquer sur le fichier joint envoyé par un inconnu]. En suivant des stratégies éprouvées de récupération des données en cas de sinistre, les professionnels de l’informatique peuvent protéger efficacement les données de l’entreprise et garantir que cette dernière reste opérationnelle en cas de désastre d’origine naturelle ou humaine, et même en cas de cyberattaque. Plusieurs étapes existent pour protéger son entreprise et réduire l’impact d’un sinistre.

Planifier et se documenter – Se préparer à un sinistre éventuel consiste tout d’abord à accepter pleinement le fait qu’un désastre peut se produire. Il faut pour cela visualiser les désastres potentiels, qu’il s’agisse d’un incendie détruisant le centre de traitement des données ou d’une panne d’un serveur hébergeant des données critiques. La première étape est donc de préparer des plans de restauration des données spécifiques pour chaque scénario, et de documenter chaque étape nécessaire. Cela représente un investissement de temps, mais le temps passé à planifier maintenant peut sauver l’entreprise de la faillite plus tard.

Répliquer les applications – La protection des données de l’entreprise est essentielle en cas de désastre. Mais pour assurer la continuité des activités, il est également important que les applications de l’entreprise restent fonctionnelles et accessibles aux employés, clients et partenaires, car toute interruption des opérations à la suite d’un désastre peut causer d’importants dommages. Les professionnels de l’informatique doivent sauvegarder les applications comme Active Directory, SQL, les serveurs de courrier électronique, ERP, CRM… ainsi que toutes les applications requises pour permettre aux utilisateurs d’accéder aux données et aux services.

Utiliser une protection sur site et hors site – La sauvegarde et la restauration des données et applications représente une étape cruciale pour la préparation à un désastre éventuel. Mais si le serveur stockant les données de sauvegarde est dans la même pièce – ou sur le même lieu – que le serveur de stockage des données originales, les deux peuvent être endommagés simultanément, notamment en cas d’inondation ou d’incendie. Pour se prémunir de ce type de risque, les entreprises peuvent sauvegarder et répliquer les données et les systèmes sur un équipement basé sur site et dans le Cloud. En cas de panne, la récupération à partir de la sauvegarde Cloud est rapide et l’entreprise peut redémarrer localement ou dans le Cloud. Cette approche hybride, basée sur le Cloud, protège les données dupliquées contre une destruction éventuelle.

Récupération des données en cas de ransomware

Automatiser – Les désastres ne s’invitent que rarement au moment opportun, et même les professionnels les plus avertis peuvent avoir une réaction conflictuelle. En effet, les membres de l’équipe informatique peuvent avoir des préoccupations personnelles en tête, plus ou moins importantes selon la nature du désastre. La disponibilité, ou l’indisponibilité des techniciens IT en cas de désastre, peut donc impacter la durée d’arrêt de l’activité pour l’entreprise. L’automatisation d’un maximum de procédures permet de réduire considérablement le facteur humain dans une équation déjà très complexe. Prudence, cependant à une automatisation sans contrôle. La récupération des données en cas de ransomware doit se faire avec réflexion. Des cas de chiffrements de fichiers, à la suite d’un ransomware, se sont retrouvés dans les backups… automatisés.

Effectuer des tests réguliers – L’élaboration d’une stratégie et le déploiement d’une technologie de récupération des données constitue un bon départ. Elle pourra vous sauver en cas de besoin de récupération de données en cas de ransomware, incident… Mais il faut aller plus loin pour véritablement se protéger. Pour s’assurer que la stratégie de récupération en cas de désastre fonctionne avec les outils choisis, il faut procéder régulièrement à des essais pour vérifier le plan de sauvegarde. Les tests permettent de s’assurer que le plan fonctionne toujours parfaitement, même en cas d’ajout de nouveaux éléments au sein du réseau ou du centre de données.

Déléguer pour plus d’efficacité – Pour la plupart des entreprises, un sinistre n’arrive heureusement pas tous les jours. C’est pourquoi même les professionnels de l’informatique les plus aguerris peuvent profiter d’un coup de main pour la récupération des données après un désastre. Lorsque de l’élaboration du plan et du choix de la solution, il est important de travailler avec un partenaire spécialisé dans ce domaine, bénéficiant d’une expérience et d’une expertise pour garantir une récupération réussie. Ces 6 étapes permet de s’assurer que le sinistre, quelque soit sa taille et sa nature, n’entraine pas une grande période d’interruption de services et une perte de données. (Par Serguei Beloussov, CEO d’Acronis)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Sauvegarde, Téléphonie

L’accès mobile est-il vraiment sûr ?

L’accès mobile est-il vraiment sûr ? À l’heure actuelle, les salariés disposent de plus en plus de smartphones ou d’accessoires connectés dont ils ne se séparent jamais. En fait, d’après de récentes prévisions de Gartner, les ventes mondiales de mobiles pourraient franchir la barre des 2,5 milliards d’unités d’ici 2016. Face à la progression d’intérêt manifesté pour les solutions en mode cloud et les plates-formes axées sur la mobilité, de plus en plus de responsables de la sécurité réfléchissent aux possibilités que peut offrir un système d’accès mobile en termes de sécurité physique.

Rarement égaré et constamment à portée de main, l’appareil mobile est devenu la plus précieuse des technologies en notre possession. Toutefois, comme l’a mis en évidence IFSEC Global dans un récent rapport, près de 80 % des responsables de sécurité interrogés redoutent que l’intégration de solutions d’accès mobile dans leur architecture de contrôle des accès physiques n’accentue la vulnérabilité du système.

Quelles sont donc les principales craintes des responsables de sécurité ? Ces derniers doivent tenir compte de plusieurs paramètres. Un authentifiant numérique est-il aussi sûr qu’un badge physique ? Peut-il être copié facilement, ou bien un collaborateur pourrait-il manipuler ces données sur son téléphone personnel dans le cadre d’une stratégie BYOD ? La transmission radio des clés est-elle vraiment fiable ? La voie de communication entre un mobile et un lecteur peut-elle être détournée à des fins malhonnêtes ? Si les responsables de sécurité se posent légitimement ces questions, c’est parce qu’ils souhaiteraient faire toute la lumière sur le degré de protection dont bénéficieraient leurs locaux et installations sur site s’ils optaient pour un accès mobile. La question cruciale étant de savoir si, en agissant de la sorte, ils sacrifieraient la sécurité sur l’autel de la commodité.

Les authentifiants mobiles reposent sur les dernières évolutions technologiques en date
Il est primordial que les techniques de cryptage remplissent les critères de sécurité les plus stricts. Un système d’accès mobile sécurisé reposera, en règle générale, sur des protocoles de sécurité certifiés par des organismes indépendants crédibles ? suite B d’algorithmes cryptographiques, algorithmes de chiffrement AES (Advanced Encryption Standards), à savoir AES-128 et SHA (Secure Hash Algorithm) du NIST (National Institute of Science and Technology). Un système d’accès mobile normalisé respectant ces protocoles de sécurité draconiens avec sécurisation des messages, couplé à une authentification forte, procurera aux responsables de sécurité une réelle tranquillité d’esprit quant à la confidentialité des données de leurs collaborateurs.

L’accès mobile est-il vraiment sûr ? Toute manipulation d’identifiants mobiles est exclue

Les identités mobiles doivent être signées et cryptées afin de prévenir leur manipulation. S’agissant des identifiants mobiles, ils sont stockés dans le sandbox du système d’exploitation applicatif, périmètre réservé sur l’appareil au stockage des informations confidentielles. Les données qui y figurent étant cryptées, elles ne peuvent être dupliquées ni dérobées via un accès non autorisé au téléphone. Les identifiants mobiles ne sont pas transférables, mais propres à l’appareil pour lequel ils ont été créés. Les clés cryptographiques étant diversifiées, aucune clé maître n’est stockée sur l’appareil. Chaque identifiant mobile est spécifique à l’appareil.

L’accès mobile est-il vraiment sûr ? Transmission entre un appareil mobile et le lecteur de contrôle d’accès

À partir du moment où un accès est octroyé à un collaborateur pour pénétrer dans un local ou une installation sur site, la transaction entre l’application installée sur l’appareil mobile et le lecteur de contrôle d’accès est indépendante du protocole de communication utilisé. La transmission radio via NFC ou Bluetooth Smart pour l’émission de la clé est protégée par la dernière technologie en date, et tout vol est impossible lors de la délivrance de l’autorisation d’accès par ondes radio. L’appareil et le lecteur utilisent tous deux des techniques de communication cryptographique ultra-sécurisées. En outre, aucun appairage Bluetooth n’est requis entre le lecteur et l’appareil, puisque des interactions ne sont possibles qu’entre des équipements éligibles. Chacun des connecteurs du module est protégé par une clé d’authentification et aucun d’eux n’a recours à la technologie NFC ou Bluetooth Smart. En fait, l’application d’accès mobile peut être configurée de manière à rendre l’identifiant mobile uniquement actif une fois l’écran déverrouillé afin de prévenir les attaques par relais.

Les systèmes de contrôle d’accès mobile créent également une culture de la sécurité, même si vos collaborateurs n’en sont pas conscients. Dans le cadre d’un accès par carte ou jeton aux locaux et installations sur site, ces derniers sont effectivement contraints de se munir en permanence d’un élément dont ils ne s’encombreraient pas en temps normal. De ce fait, si leur carte est perdue ou dérobée, ils sont moins susceptibles de le remarquer et le signalent donc assez tardivement. Voilà qui rend votre infrastructure physique vulnérable, puisqu’une carte valide peut virtuellement tomber entre de mauvaises mains. Le collaborateur est, en revanche, davantage « attaché » à ses équipements mobiles : la perte comme le vol d’un téléphone sont signalés immédiatement, et l’identifiant mobile peut être révoqué dans la foulée afin d’empêcher tout accès non autorisé.

L’accès mobile est-il vraiment sûr ? Les technologies d’accès mobile appliquées à l’architecture de contrôle des accès physiques ont de beaux jours devant elles. Les équipements mobiles présentent, entre autres avantages, celui d’une actualisation dynamique du logiciel de sécurité tandis que l’actualisation des données sur carte prend davantage de temps et induit des coûts supplémentaires. L’environnement mobile permet, par conséquent, de résoudre rapidement les problématiques de sécurité.

Par ailleurs, les fabricants de téléphones mobiles intégrant toujours plus de technologies évoluées en matière de sécurité comme la biométrie ? reconnaissance digitale, faciale et même vocale ? la sécurisation des appareils mobiles s’avère plus robuste. Un téléphone volé n’est donc d’aucune utilité pour tenter d’obtenir un accès non autorisé : l’application étant protégée par logiciel sur le téléphone, ce dernier est encore mieux sécurisé qu’un authentifiant physique.

L’accès mobile est-il vraiment sûr ? S’il est légitime que les responsables de la sécurité s’interrogent sur la fiabilité des systèmes d’accès mobile, il s’avère que cette technologie est parfaitement capable de conjurer les menaces pesant sur la sécurité des bâtiments. Par ses multiples niveaux de sécurité, l’accès mobile représente un choix sûr pour le système de contrôle d’accès aux locaux de toute entreprise. (Par Yves Ackermann, Directeur Segments Stratégiques Europe, HID Global)

Cybersécurité, Entreprise, Mise à jour, Patch, Propriété Industrielle

Bug Bounty : quand les entreprises peuvent faire appel aux hackers

Chercher des failles, corriger son système informatique pour contrer les pirates, voilà l’idée proposée depuis trois mois par la Bounty Factory. Cette start-up française propose aux entreprises de regarder en direction du Bug Bounty.

Il y a trois mois était lancé sur la toile Européenne une petite révolution dans le monde de la sécurité informatique. Sous le nom de la Bounty Factory, une start-up normande propose aux entreprises de réfléchir à leur sécurité informatique via une nouvelle option loin d’être négligeable, le Bug Bounty. Comme l’explique ZATAZ.COM, la Bounty Factory propose aux responsables de sécurité informatique des sociétés Françaises et Européennes de rencontrer des talents et des passionnés informatiques pour sécuriser leurs systèmes.

Lancée en janvier 2016, la Bounty Factory a vu 300 personnes s’inscrire à sa bêta fermée, et cela en deux semaines. Preuve de l’intérêt de ce sujet. « Plusieurs sociétés nous ont contacté » indiquent les fondateurs. La version publique de bountyfactory.io arrive. Autant dire que les amateurs de Bug Bounty sauront où se diriger.

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Sauvegarde, Téléphonie

Sécurité des terminaux mobiles, talon d’Achille des entreprises

Sécurité des terminaux mobiles – Gérer de la meilleure façon les terminaux mobiles des collaborateurs en entreprise.
Tandis que l’on utilise chaque jour davantage l’Internet sur mobile, les risques aussi augmentent et les menaces s’y multiplient. Et comme l’entreprise a massivement adopté le mobile comme plateforme professionnelle, les logiciels malveillants et attaques réseau sont de plus en plus nombreux à tirer parti de ses failles. Il faut alors admettre que l’ampleur des attaques ne peut que croître sur nos terminaux encore mal protégés.

Au cours de notre enquête trimestrielle sur la sécurité mobile entre octobre et décembre 2015, il s’est avéré que la majorité des entreprises comptait au moins un terminal non conforme sur cette période. Ce chiffre s’explique directement par la désactivation de la protection par code PIN, la perte d’un terminal, l’absence de règles à jour, etc. Des terminaux défaillants sont des cibles plus vulnérables pour les logiciels malveillants, les codes exploitant les failles et le vol de données. Face à ces risques croissants, on insistera sur l’importance d’utiliser les règles de sécurité et de conformité disponibles pour mettre en quarantaine ces terminaux.

Les entreprises confient encore trop souvent leur sécurité mobile à des systèmes dépassées par la  nouvelle génération de menaces. La sécurité des terminaux mobiles n’est pas une option. La sécurité des terminaux mobiles est encore moins un gadget. D’ailleurs, les entreprises gèrent les risques de pertes de leurs données stockées dans le cloud selon ces mêmes méthodes obsolètes. Celles-ci essaient de limiter les risques en plaçant sur liste noire une ou plusieurs applications cloud de synchronisation et de partage de fichiers dans l’entreprise. Le recours aux listes noires revient à étouffer les problèmes. Au vu de la multitude d’applications et de services de synchronisation et de partage disponibles, une règle de liste noire n’est en pas suffisamment efficace et exhaustive pour tous les repérer. Les utilisateurs n’auront alors plus qu’à trouver une autre application pour stocker leurs données professionnelles dans le cloud. En outre, les logiciels mobiles malveillants et les risques liés aux applications n’ont cessé d’augmenter en 2015. Ainsi, de nouvelles versions de logiciels malveillants, tels que YiSpecter et XcodeGhost qui ciblent iOS d’Apple, n’ont plus besoin que le terminal soit jailbreaké. Pourtant, l’adoption de solutions contre les logiciels malveillants sur les mobiles reste très limitée en dépit de la protection accrue qu’elles confèrent contre les risques liés au mobile.

En matière de sécurité mobile, de sécurité des terminaux mobiles, beaucoup d’entreprises sont encore en phase d’affinage de leur stratégie. Les statistiques s’appuyant sur la prévalence des failles identifiables en matière de terminaux mobiles, d’applications, de réseaux et de comportement des utilisateurs sont essentielles pour élaborer des approches plus astucieuses et des outils plus performants afin de réduire l’incidence de ces failles. Les entreprises dans lesquelles une solution EMM est déjà déployée disposent généralement de la plupart des outils dont elles ont besoin. Il leur suffit alors de les mettre en pratique.
Sécurité des terminaux mobiles

Quelques conseils peuvent cependant se révéler utiles aux entreprises qui n’auraient pas encore de politique sécuritaire pour leurs terminaux mobiles :

Appliquez les règles de conformité et mettez en quarantaine les terminaux qui ne sont plus conformes. Sécurité des terminaux mobiles doit mettre en gras, au bureau, que le fait d’un terminal qui ne répond pas aux normes étant une cible de choix pour une attaque malveillante à l’encontre de l’entreprise, il est fortement recommandé d’utiliser systématiquement les règles strictes de conformité proposées avec les solutions EMM afin de mettre en quarantaine les terminaux à risque. Une solution EMM peut détecter si un utilisateur a désactivé son code PIN, a un terminal piraté, applique une règle obsolète et bien plus encore. Les fonctions de mise en quarantaine peuvent servir à bloquer l’accès au réseau et/ou à supprimer de façon sélective les données d’entreprise stockées sur le terminal. Elles contribuent à limiter la perte de données et à respecter les exigences réglementaires en matière de conformité, ce qui évite à l’entreprise de faire les gros titres à la rubrique « Victimes de cybercriminalité ».

Cessez de mettre sur liste noire les applications de stockage dans le cloud personnel et privilégiez plutôt les fonctionnalités de gestion ou de conteneurisation des applications fournies avec les solutions EMM pour permettre à vos employés de stocker leurs données dans un cloud d’entreprise sécurisé. L’approche EMM, qui consiste à éviter la dissémination des données d’entreprise plutôt que de bloquer un nombre toujours plus important d’applications cloud, offre l’avantage non négligeable de séparer les données d’entreprise des données personnelles.

Ajoutez un service de réputation des applications ou de prévention des menaces sur les terminaux mobiles qui s’intègre à votre solution EMM. Ces services détectent les applications dangereuses, les logiciels malveillants, les risques liés aux applications, les attaques réseau et bien plus encore. Ils s’appuient sur la solution EMM pour prendre des mesures et mettre en quarantaine un terminal si une menace est détectée.

Appliquez les correctifs sur vos terminaux gérés. Il vous suffit de passer par le biais de la console EMM pour mettre en œuvre une version minimale du système d’exploitation. Si cette opération est simple sous iOS, elle peut s’avérer plus complexe avec Android en raison de la fragmentation expliquée plus haut. En revanche, les services de réputation des applications ou de prévention des menaces précédemment mentionnés peuvent identifier les risques liés aux terminaux Android en mettant des failles connues en corrélation avec le système d’exploitation. Ils peuvent ensuite informer la solution EMM qu’un terminal vulnérable a été détecté afin de le mettre en quarantaine.

Par Michael Raggo, directeur du MobileIron Security Labs