Archives de catégorie : Vie privée

Arnaque, escroquerie, Facebook, Identité numérique, Particuliers, Vie privée

Arnaque aux couleurs d’Ikea

L’enseigne de meubles suédoises vient d’alerter ses clients francophones d’une arnaque en ligne à ses couleurs. Prudence !

« Cher client, souligne la marque Ikea sur son compte officiel Facebook, Nous tenions à vous avertir que des offres illégitimes circulent via Facebook. IKEA n’est pas l’auteur de ces offres vous proposant des chèques-cadeau à gagner; il s’agit probablement d’une collecte de données personnelles. » Le ton est donné pou l’enseigne IKEA, il faut dire aussi que depuis quelques jours, plusieurs fausses pages annoncent des bons cadeaux. Pour cela, il faut devenir amis et légitimer cette page en lui offrant un « j’aime » qui officialise l’honneté, aux yeux de vos ami(e)s, de ce soit disant jeux de Noël.

Attention, ne le faites pas. D’ailleurs, ce genre de pages tournent aussi pour « gagner des iPhones » ; « réduction sur votre console de jeux nouvelles générations. » …

Pour protéger vos données, nous vous recommandons vivement de ne pas donner suite à ces offres, et de ne pas les partager.

Argent, Arnaque, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, escroquerie, Fuite de données, Identité numérique, Particuliers, Vie privée

Chantage Internet : Rex Mundi diffuse des données d’internautes belges

3 commentaires

Identités, adresses, numéros de registre national des travailleurs belges, le groupe de pirates informatiques Rex Mundi diffuse des données sensibles. Il souhaitait toucher 50.000 euros dans un chantage raté.

Le 15 novembre dernier, le groupe de pirates informatiques Rex Mundi, très actif sur le territoire Belge, refaisait parler de lui sur la toile. Après avoir diffusé un extrait de la base de données de Domino’s Pizza, après avoir attaqué Thomas Cook Belgium, Finalease Cars, c’est au tour de l’entreprise Mensura de faire les frais de ces maîtres chanteurs.

Les e.voleurs ont d’abord tenté de toucher 50.000 euros de ce spécialise du contrôle médical. Leur idée, toujours la même, faire chanter l’entreprise piratée. Vous donnez tant, et nous ne diffusons rien. Bilan, Menura n’a pas payé, Rex Mundi a diffusé les informations collectées, dont les fameux NATIONAAL RIJKSREGISTER.

Un millier de belges sont concernés. Mensura a déposé plainte auprès de la FCCU, la Federal Computer Crime Unit qui a une piéce compléte de dossiers sur le thème de Rex Mundi ! De son côté, Rex Mundi a indiqué que Mensura voulait payer, mais que l’avocat de l’entreprise a déconseillé cette alternative. Alternative que déconseille aussi les cyber policiers belges. Le compte Twitter de Rex Mundi a été suspendu. Il reviendra, très certainement, comme les 13 autres fois !

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Mise à jour, Particuliers, Patch, Vie privée

Objets connectés : Le mot de passe reste la meilleure sécurité, si on s’en sert !

Un pirate a récemment mis en ligne sur un site russe des liens qui permettent de regarder en direct les vidéos de milliers webcams de particuliers et d’entreprises, dans plus de 250 pays. En se connectant au site, on peut voir en direct ce qui se passe dans une chambre d’enfants à Birmingham ou dans un magasin de vêtements à Aix En Provence. Comment cela est-il possible ? Une grande partie de ces utilisateurs auraient tout simplement oublié de changer le mot de passe par défaut permettant d’accéder au flux vidéo de leur webcam.

Ce nouveau piratage illustre les nouveaux défis de sécurité qui sont induits par le développement des objets connectés. Ces derniers, souvent regroupés sous l’appellation « Internet des objets » connaissent une croissance fulgurante. Le Gartner prévoit ainsi qu’en 2015 4,9 Milliards d’objets connectés seront en circulation. Qu’il s’agisse de votre maison (domotique), de votre corps (capteur d’activité, montres connectées, appareils médicaux), de votre voiture ou de vos vêtements, de nouveaux objets et services connectés sont inventés tous les jours. Ils collectent des données de votre quotidien, les interprètent via des logiciels en ligne et vous aident à améliorer différents aspects de votre vie : confort, santé, dépenses, performance, productivité…

Ces données qui partent dans le Cloud
Pour pouvoir vous aider au mieux et pour stocker toutes ces données collectées sur votre quotidien, ces objets communiquent généralement avec des logiciels hébergés sur des serveurs sur Internet, « dans le Cloud », accessibles via des identifiants et mots de passe, comme n’importe quel site web. Mais cela n’est pas sans danger car si les français digitalisent leur vie quotidienne, ils n’adoptent pas pour autant les comportements de sécurité en ligne qu’ils ont dans la vie réelle. L’étude IFOP réalisée pour Dashlane en 2012 l’avait montré : Alors que 100% des français mettent leur ceinture de sécurité en voiture, 42% utilisent encore le même mot de passe sur plusieurs sites. Et pourtant, c’est une règle de base que d’utiliser un mot de passe différent par site web…

Et alors ?
Beaucoup minimisent sans doute le risque : on pense que lorsque l’on se fait pirater son compte email ou sa carte bancaire,  il y a toujours un moyen de réinitialiser son compte ou d’annuler les transactions frauduleuses réalisées avec la carte. Il n’y a pas « mort d’homme ». Maintenant imaginez-vous ce que peut être un piratage à l’heure de l’Internet des objets : une webcam pour surveiller vos enfants qui s’éteint toute seule, une voiture automatisée qui ne s’arrête plus, des données médicales modifiées qui conduisent à un traitement inapproprié, un pacemaker ou une pompe à insuline qui se mettent à fonctionner anormalement… Ce ne sont plus uniquement nos comptes en banque ou notre vie privée qui sont menacés, c’est notre intégrité physique et celle de nos proches.

Certains prennent ces menaces très au sérieux. Par exemple l’ancien Vice-Président américain Dick Cheney est en effet allé jusqu’à se faire opérer pour retirer les possibilités de connexion sans fil de son Pacemaker, par crainte d’un piratage potentiellement mortel. Solution radicale mais qui a le mérite d’être efficace. La sécurité en ligne n’est plus uniquement une question d’argent ou de confidentialité. Avec l’explosion des objets connectés c’est maintenant une question qui va concerner nos proches, notre intimité, notre santé, notre vie quotidienne dans toutes nos activités.

La nature du risque a changé. Il y a encore quelques années, pour les consommateurs, les risques associés au monde digital étaient limités à cet objet encombrant posé sur leur bureau, l’ordinateur. On se protégeait de ces risques à l’aide d’antivirus, d’anti spam, de firewall….Aujourd’hui, le risque s’est déplacé vers le Cloud : nos données personnelles y sont stockées et c’est aussi par-là que des hackers peuvent prendre le contrôle des objets connectés. Le seul rempart qui protège nos données et nos objets dans le Cloud, ce sont nos mots de passe. Ne l’oublions pas ! (Par Emmanuel Schalit, CEO de Dashlane)

Argent, Arnaque, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Particuliers, Phishing, Piratage, spam, Vie privée

Phishing : quand le chiffrement s’invite dans les liens

Le phishing est une menace majeure, qui accroît de manière importante la méfiance d’un nombre croissant d’internautes dans leur utilisation d’Internet, notamment dans le cadre d’opérations sensibles telles que les opérations bancaires et le commerce électronique. Cette méfiance freine grandement le développement d’Internet en tant qu’espace de confiance et de sécurité. En réponse à ce problème, des efforts importants sont menés au quotidien par les principaux acteurs de l’écosystème numérique : généralisation des moyens de protection tant au niveau des messageries électroniques que des navigateurs, information et éducation des utilisateurs – menées en particulier par les marques dont la réputation est ternie par le phishing. Toutefois, en dépit de tous ces efforts, on constate une pérennisation – ainsi qu’une évolution – de cette menace.

En effet, d’une part, le spectre des marques concernées par le phishing s’est considérablement élargi. Il y a quelques années, un nombre relativement limité de marques était confronté à cette menace, au premier rang desquels on pourra citer PayPal, Apple ainsi que les grandes banques et les principaux services de messagerie. Dorénavant, tous les acteurs de l’écosystème numérique sont concernés : la totalité des banques – et même des banques de dimension régionale – les sites de commerce électronique, les services publics, les réseaux sociaux… Cet élargissement du spectre pose un nouveau défi, car d’une part cela rend la tâche de protection de l’utilisateur plus complexe, et d’autre part cela crée un climat d’insécurité numérique permanent.

D’autre part, on constate que les phishers utilisent des techniques de plus en plus sophistiquées pour contourner les mécanismes de filtrage mis en place pour protéger l’utilisateur. L’une de ces techniques consiste à encoder ou à chiffrer le contenu de la page, pour rendre son analyse par des systèmes automatisés plus complexe et plus coûteuse.

Par exemple, une proportion importante de pages de phishing ont leur contenu encodé en percent encoding : le contenu de la page est alors décodé à la volée en javascript par le navigateur du client par l’intermédiaire de la fonction unescape, ce qui n’affecte en rien l’expérience utilisateur. Le phishing est une menace particulièrement pernicieuse et par conséquent difficile à combattre, qui nécessite une vigilance de tous les instants. A ce titre, il est particulièrement important de continuer à informer et à éduquer les utilisateurs, car la réponse à cette menace ne peut pas être que technologique. En particulier, l’application de quelques règles simples permet de réduire considérablement les risques : l’utilisateur doit d’une part, toujours vérifier l’identité d’un site web dès lors que des informations critiques sont échangées, et d’autre part, s’assurer qu’une communication chiffrée est utilisée.

A noter que les acteurs du monde numérique collaborent pour lutter contre cette menace, avec des projets tels que APWG, Phishing Initiative ou encore isitphishing.org. Ce dernier permet d’ailleurs à l’utilisateur de s’assurer de l’innocuité d’une URL. (par Sébastien Goutal, Responsable du Laboratoire R&D de Vade Retro)

Android, Chiffrement, cryptage, Cybersécurité, Facebook, Identité numérique, Logiciels, Particuliers, Smartphone, Vie privée

Facebook sécurise WhatsApp à coup de chiffrement

Un commentaire

L’outil de conversation WhatsApp chiffre dorénavant les messages diffusés par ses utilisateurs. Voilà une nouvelle qui a de quoi étonner. Non pas que Facebook soit considéré comme un pirate, mais plutôt comme un aspirateur de données.

WhatsApp, la messagerie rachetée par Facebook se lance dans la grande aventure du chiffrement qui transitent par ses bits. Facebook vient d’annoncer un chiffrement de bout-en-bout, comprenez que même Facebook ne possède pas les clés de lecture. Whisper Systems, développeur de TextSecure, considéré comme étant l’application de messagerie la plus sécurisée du moment, a aidé à la mise en place de cette protection qui doit permettre aux internautes de chiffrer leurs messages. Bilan, la derniére mise à jour de WhatsApp pour Android transporte cette sécurité. Les 600 millions d’utilisateurs de WhatsApp vont donc apprécier cette attention. Attention, elle ne chiffre que les messages textes.

TextSecure est une application de messagerie qui vous permet de vous réapproprier votre vie privée tout en communiquant facilement avec vos amis. Avec TextSecure, vous pouvez communiquer instantanément tout en évitant les frais de SMS, créer des groupes pour discuter en temps réel avec tous vos amis à la fois, et partager des pièces jointes, photos ou autres en toute confidentialité. Le serveur n’a jamais accès à vos communications et n’enregistre aucune donnée vous concernant. (The Verge)

 

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering, Vie privée

Le paradoxe de la sécurité

Les salariés adoptent des pratiques à risques, alors qu’ils s’estiment sensibilisés sur la sécurisation des données.

Près de 3/4 des actifs interrogés se considèrent bien sensibilisés à la protection des données professionnelles, pourtant une majorité d’entre eux ont toujours des pratiques risquées. Les techniques de protection sophistiquées (changement de mot de passe régulier, système de cryptage des données) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble de ces appareils fournis par leur entreprise. Le partage de fichiers en ligne via un service de cloud n’est pas jugé dangereux par la majorité des répondants (54%). Bien que les mots de passe soient imposés dans la majorité des entreprises (9/10), on observe de grandes disparités quant à leur élaboration et leur mise à jour, 63% laissent leur ordinateur allumé lorsqu’ils quittent le bureau en fin de journée ou ne le verrouillent pas en quittant leur poste.

De nombreuses études confirment l’influence des appareils mobiles sur le rétrécissement des frontières entre les sphères professionnelles et personnelles. Mais qu’en est-il de leur impact sur la sécurité des données des entreprises ? Les salariés sont-ils suffisamment sensibilisés sur les risques inhérents à ces nouveaux usages et mettent-ils en pratique les règles de sécurité ? Hiscox, en collaboration avec l’institut IFOP, s’est penché sur le sujet et les résultats de cette étude illustrent un important décalage entre le sentiment de connaître les consignes de sécurité et des pratiques à risques largement répandues dans les entreprises.

Des pratiques jugées sans risque par les salariés, mais qui exposent la sécurité de l’entreprise
72% des actifs interrogés se considèrent bien sensibilisés quant à la nécessité de protéger les données professionnelles. Ces actifs sont pourtant les mêmes à adopter des pratiques qui peuvent s’avérer dangereuses pour les données de l’entreprise. Les salariés équipés d’au moins un appareil mobile professionnel sont les plus concernés par ces pratiques risquées puisqu’ils sont 77% à déclarer transporter des fichiers professionnels sur une clé USB ou un disque dur externe (contre 63% pour l’ensemble du panel) et la moitié (53%) partage des fichiers en ligne via un service de cloud (contre 39% pour l’ensemble du panel).

Ces usages ne sont pourtant pas jugés risqués par les répondants : en effet, 54% estiment que le partage de fichiers via le cloud n’a pas d’incidence sur la sécurité et 57% ne voient aucun danger à transporter des données professionnelles sur une clé USB. De même, 63% des actifs laissent leur ordinateur allumé lorsqu’ils quittent le bureau ou ne le verrouillent pas en quittant leur poste. Moins de la moitié seulement perçoit cette pratique comme potentiellement imprudente.

Les petites entreprises plus vulnérables… Et friandes de solutions mobiles
Les salariés des petites entreprises (0 à 49 employés) font partie des publics qui identifient le moins ces pratiques comme pouvant mettre en péril la sécurité des données des entreprises. Des attitudes pourtant risquées quand on sait que les travailleurs « mobiles » et les salariés des très petites entreprises (moins de 10 salariés) sont également ceux disposant de la plus grande latitude en termes d’achats et d’opérations bancaires impliquant l’entreprise. 65% des employés travaillant dans des structures de moins de 10 salariés sont en effet amenés à effectuer des achats en ligne à titre professionnel contre 46% pour l’ensemble des actifs interrogés.

L’utilisation des appareils professionnels dans la sphère personnelle est un autre vecteur de menace pour la sécurité des données des entreprises. Les salariés des petites structures (moins de 10 employés) sont les mieux équipés en appareils mobiles. Ils font aussi partie de ceux  qui utilisent le plus leur matériel professionnel à titre personnel. 82% des salariés de ces entreprises se connectent à Internet au moins une fois par semaine pour des raisons personnelles à partir de leur appareil professionnel (contre 72% de l’ensemble des actifs).

Des usages qui pèsent d’autant plus sur la sécurité de ces entreprises qu’elles ne disposent pas de services informatiques ou de services généraux pour assurer le contrôle et la gestion des appareils mobiles.

Des disparités dans la mise en place des techniques de sécurisation
Pour se prémunir des risques auxquels elles sont exposées et assurer la protection de leurs ordinateurs fixes, 9 entreprises sur 10 s’appuient sur la mise en place d’un mot de passe. Cependant, la fréquence de mise à jour exigée n’est pas la même partout. Seuls 18% des actifs doivent changer leur mot de passe tous les mois quand 34% déclarent devoir le changer moins de 2 fois par an. Une disparité également observée dans son élaboration : 62% des entreprises imposent un nombre minimum de caractères, 56% demandent à leurs salariés de choisir un mot de passe incluant des chiffres et des caractères spéciaux et 57% interdisent de réutiliser un ancien mot de passe. De manière globale, 70% des entreprises imposent au moins une règle à leurs salariés pour le choix du mot de passe mais cette proportion chute à 51% dans les structures de moins de 10 salariés.

Parmi les autres techniques, 35% des actifs interrogés déclarent disposer d’outils de cryptage des données mais 22% ne savent pas s’ils peuvent bénéficier de cette technique dans leur entreprise. De même, si les accès au réseau sont contrôlés dans 61% des entreprises, 16% des actifs ne connaissent pas la politique utilisée par leur entreprise dans ce domaine.

Sur les appareils mobiles, le mot de passe est également le mode de protection le plus répandu. Il concerne en effet 81% des actifs disposant d’appareils mobiles. Les techniques plus sophistiquées (changement de mot de passe tous les 3 mois, système de contrôle d’accès renforcé de type Token, données cryptées non accessibles) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble des appareils que leur fournit leur entreprise.

Au delà de revoir leur méthode de sensibilisation des salariés aux risques informatiques, les entreprises doivent également faire évoluer leurs dispositifs techniques de sécurité pour les adapter aux nouveaux usages.

« L’explosion des appareils et solutions mobiles dans les entreprises soulève plus que jamais des problématiques de sécurité importantes. La mesure préventive la moins onéreuse consiste à sensibiliser le personnel à l’importance de la sécurité des données. Les connaissances en la matière sont souvent limitées, surtout dans les petites entreprises, et le recours à un expert pour en expliquer les bases peut représenter l’un des meilleurs investissements d’une entreprise » conseille François Brisson, Responsable marché Technologie-Média-Télécom chez Hiscox. « Néanmoins en cas de problème, les sociétés doivent disposer d’un plan de réaction rapide afin de limiter les dommages et de prouver qu’elles prennent toutes les mesures nécessaires. Dans ce cadre, elles sontparfois amenées à faire appel à des spécialistes en gestion de crise, voire à des conseillers en relations publiques. Notre assurance Data Risks permet de couvrir ces coûts et de réduire les conséquences d’une violation de données ».

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Vie privée

Configurer efficacement la double identification de son Dropbox

Un commentaire

Le 13 octobre 2014, un pirate informatique annonçait avoir mis la main sur plusieurs millions de comptes utilisateurs Dropbox.Voici comment protéger, au mieux, votre espace privé de sauvegarde.

Plusieurs listes ont été diffusées sur la toile, certaines étaient fausses. Pour éviter que vos données soient interceptées, via votre mot de passe intercepté par un pirate via de multiples possibilités (phishing, logiciel espion, fuite interne à l’entreprise, …) il est conseillé d’installer la double authentification. L’idée, recevoir un code de sécurité en supplément de votre mot de passe. Sans ce dernier, point de possibilité, même pour vous, d’accéder à vos informations. Voici la méthode pour installer efficacement la double authentification de votre dropbox. Nous vous proposons le même pas-à-pas pour Google, Youtube, gMail, ainsi que pour Facebook.

1 – Le site DropBox
D’abord se rentre sur la page dédiée double authentification de Dropbox. Comme le rappel Dropbox, la validation en deux étapes est une fonctionnalité facultative mais vivement recommandée. Elle ajoute un niveau supplémentaire de protection à votre compte Dropbox. Lorsqu’elle est activée, Dropbox exige un code de sécurité à six chiffres en plus de votre mot de passe dès que vous vous connectez à Dropbox ou que vous associez un nouvel ordinateur, téléphone ou tablette.

2 – Activation
Connectez-vous d’abord au site Web Dropbox. Attention, une seule et unique adresse (https://www.dropbox.com/login). Cliquez sur votre nom dans la partie supérieure droite de n’importe quelle page pour ouvrir le menu Compte. Dans ce menu, vous cliquez sur « Paramètres » et vous sélectionnez l’onglet « Sécurité« . Direction le lien « Validation en deux étapes » et vous l’activez. Il vous faudra votre mot de passe de connexion à DropBox pour valider la modification. Il vous suffit ensuite de suivre le pas-à-pas pour installer sur votre tablette/smarpthone l’outil de création de code de sécurité. Après avoir activé cette fonctionnalité, pensez à ajouter un numéro de téléphone secondaire doté d’une fonction de réception des SMS. Si vous perdez votre téléphone principal, DropBox vous communique un code de sécurité sur ce numéro de téléphone de secours.

3 – Sécurité dropbox
Une fois le système installé, il vous suffira de choisir le mode de réception de ce code de sécurité. Soit par SMS, soit une application tiers. Vous pouvez utiliser, par facilité et regroupement de vos autres doubles authentification, le logiciel gratuit proposé par Google, le Google Authenticator.

Identité numérique, Particuliers, Vie privée

Infidélité virtuelle : attention à vos emails

Infidèle par emails ? Oui, c’est possible. Une décision de la Cour de cassation a attiré l’attention en mai 2014. La Cour a en effet estimé que la fréquentation, par l’épouse, d’un site de rencontre, avec échanges d’emails et de photos intimes, était une « violation grave et renouvelée des obligations du mariage ». Et ce n’est pas la première fois que les tribunaux choisissent cette voie…

Inscriptions sur des sites de rencontres, échanges de mails tendancieux, conversations osées sur un tchat, envois de photos intimes… Les écarts de conduite sur Internet sont sanctionnés par les juges. Ce type de comportements, même si chacun reste derrière son écran, est considéré comme une faute entrainant un divorce aux torts exclusifs de l’époux internaute.

La dernière décision, datant du 9 mai 2014, semble avoir particulièrement marqué les esprits. Sans doute parce que les notions d’infidélité et de tromperie sont forcément rattachées à un rapport sexuel. Mais aussi parce qu’Internet, perçu comme un espace de liberté sans limite, voire déconnecté de la vie réelle, a été atteint par la logique jurisprudentielle.

Pourtant cette décision n’est pas la première et ne crée pas de révolution d’un point de vue juridique. Les tribunaux ont de nombreuses fois considéré comme une faute le batifolage sur Internet. Une inscription isolée sur un site de rencontre ne suffit pas à qualifier une faute. Mais la recherche manifeste de partenaires pour des échanges de fantasmes ou autre relation virtuelle constitue une faute. Certaines juridictions vont même plus loin : la Cour d’appel de Limoges a considéré, le 22 mars 2012, que la recherche d’un « réconfort intellectuel » sur des sites web est un comportement « injurieux » de l’époux.

Mais alors jusqu’où va l’infidélité ?
La notion est large et la jurisprudence exigeante envers les époux. Le devoir de fidélité est non seulement charnel, mais aussi moral et affectif. Prouver qu’il y a eu des relations sexuelles n’est pas toujours nécessaire dans un divorce pour faute. Un comportement équivoque, provoquant ou immoral peut suffire à constituer une infidélité. Plus encore, une relation platonique mais trop intime ou trop forte peut être une infidélité intellectuelle, et donc une faute. Et si l’infidélité n’est pas prouvée, ces comportements seront toujours qualifiés d’injurieux, violant le devoir de respect à son époux. Il ne faut pas seulement surveiller les mains baladeuses mais également les sentiments.

Internet facilite l’accès à la preuve
L’infidélité dématérialisée n’est donc une nouveauté que par l’aspect récent d’Internet. Ses ancêtres ont tout autant été limités : les recherches de partenaires dans des petites annonces, sur le minitel rose ou dans des clubs de rencontre ont aussi été sanctionnées. Internet ne sera donc pas le lieu de liberté des conjoints adultérins, malgré le business qui se développe pour cibler les époux en quête de relations extra-conjugales. Reste alors la question de la preuve : dans la procédure de divorce, comme dans toutes les procédures civiles, la preuve est libre. En d’autres termes, les tribunaux acceptent tout ce que l’époux lésé pourrait fournir : emails, contenus issus des réseaux sociaux, tchats ou SMS… Et ces échanges sur Internet créent une multitude de preuves écrites ! Pour se protéger de fouilles frénétiques sur son ordinateur, mieux vaut donc penser à effacer ses historiques de navigation. (Maître Romain Omer, Avocat du Barreau de Paris, pour DataSecurityBreach.fr)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Propriété Industrielle, Vie privée

Comportements en matière de protection des données en Europe

77% des personnes interrogées doutent que leur entreprise respecte les lois relatives à la protection des données.

Sophos, l’éditeur spécialiste de la cybersécurité, a publié les résultats de sa toute dernière étude révélant les comportements des utilisateurs en matière de sécurité et de protection des données en Europe. Selon cette étude réalisée par Vanson Bourne, 84% des sondés pensent que l’Europe doit renforcer les lois relatives à la protection des données. Cependant, 77% doutent que leur entreprise soit conforme aux lois actuellement en vigueur. Il suffit d’ailleurs de lire les nombreuses révélations liées aux fuites de données, ici ou encore là, pour se dire que la victoire n’est pas pour demain.

Sur les 1500 professionnels interrogés en France, en Allemagne et au Royaume-Uni, une majorité a confirmé être inquiète pour ses données personnelles (79%) ainsi que pour les données de son entreprise (65%). Cependant, alors que 91% déclarent avoir installé un logiciel de protection de leurs données personnelles, seuls 59% sont équipés d’un antivirus. Par ailleurs, presque la moitié (49%) d’entre eux ont déclaré que leur entreprise n’avait pas mis en place de politique de protection des données, ou alors qu’on ne leur avait pas expliquée en détails.

Cette étude, dont le but premier était d’évaluer la compréhension et la connaissance des utilisateurs en matière de protection des données, dans le cadre du projet de nouveau règlement européen à venir, a permis de montrer que sur seuls 23% des personnes interrogées étaient convaincus que leur entreprise observait les règles actuellement en vigueur.

50% d’entre eux ont avoué ne pas savoir ce qu’est le chiffrement  (27%), ignorer si leur entreprise a mis en place des politiques de chiffrement (23%), ou que leur entreprise n’a rien mis en place dans ce domaine (20%). Seuls 23% ont confirmé que leur entreprise procédait au chiffrement des données des employés et des clients.

Sécurité des appareils mobiles
L’étude se penche également sur les comportements des utilisateurs en termes de sécurité des appareils mobiles. 98% des sondés, soit presque la totalité d’entre eux, sont d’accord sur le fait que les données stockées sont presque plus importantes que l’appareil mobile en tant que tel. Et pourtant, malgré cela, un quart de ces personnes ont avoué stocker des données d’entreprise sur leur ordinateur ou leur téléphone personnel ; quasiment 1 personne sur 5 (soit 19%) expliquant qu’elle avait déjà perdu un appareil mobile ou personnel par le passé.

Toujours en ce qui concerne la sécurité des appareils mobiles, alors que la majorité des entreprises des sondés (64%) avait mis en place des mots de passe pour protéger les mobiles, seules 31% des personnes équipées de téléphones d’entreprise savaient si ceux-ci étaient également chiffrés. Mis en comparaison avec les 51% possédant un portable d’entreprise et capables d’affirmer que celui-ci est bel et bien chiffré, ceci démontre bien que les mobiles sont désormais perçus comme vecteur de risque.

Le partage de données
La plupart des sondés pense que l’information est ce qu’il y a de plus important : 95% d’entre eux explique que, pour travailler correctement, ils ont besoin de partager, d’envoyer et d’accéder aux données de leur entreprise à partir de n’importe quel endroit ou système. Cette étude démontre également que 66% des sondés ne vérifient pas toujours s’il est prudent de partager ces données ou non. Par ailleurs, pour partager ces données plus facilement, 2/3 d’entre eux (soit 64%) sont prêts à passer par des services informatiques ou en Cloud « non autorisés » pour contourner les limites et les politiques de sécurité mises en place par leur entreprise.

On remarque également des attitudes différentes quant au stockage dans le Cloud, d’un pays à l’autre. Tous pays confondus, 31% des sondés déclarent que l’usage de solutions de stockage dans le Cloud, type Dropbox, est autorisé par l’entreprise. Cependant, ce pourcentage atteint 44% au Royaume-Uni, mais seulement 27% en France et 23% en Allemagne. En revanche, 11% déclarent ne pas être autorisés à utiliser des solutions de stockage dans le Cloud, mais le font quand même. De la même façon, ce sont bien les Britanniques qui partagent le plus de données dans le Cloud : ils sont 52% à le faire, alors que la France en compte 40% et l’Allemagne 34%.

Perception des lois relatives à la protection des données en Europe
61% des sondés déclarent qu’il est important de renforcer les lois autour de la protection des données et ce dans tous les pays européens. Ce pourcentage est ainsi réparti par pays : 68% pour les Français, 62% pour les Allemands et 54% pour les Britanniques. On note également des divergences d’opinion d’un pays à l’autre en ce qui concerne la sécurité des données personnelles : avec 86%, la France apparaît plus inquiète que le Royaume-Uni (78%) ou même l’Allemagne (74%). L’Allemagne apparaît particulièrement peu préoccupée par d’éventuels cybercriminels mettant la main sur des données (29%). En France, ils sont 49% à s’inquiéter de ce phénomène et 45% au Royaume-Uni. De la même façon, la France s’inquiète davantage de la protection des données d’entreprise (76%) contre 62% au Royaume-Uni et 59% en Allemagne.

Il est intéressant de noter que 60% des employés du Royaume-Uni déclarent que leur entreprise a mis en place des politiques de protection des données et que celles-ci leur ont clairement été expliquées, contre 43% en France et 50% en Allemagne. On note également que plus l’entreprise est importante en taille, mieux les employés sont renseignés sur les politiques de protection des données.

Gerhard Eschelbeck, directeur technique de Sophos explique à DataSecuritybreach.fr que « la cybercriminalité étant désormais partout, les grandes entreprises doivent s’assurer de la bonne mise en place de politiques de sécurisation des données, et ce pour mettre à l’abri les données d’entreprise, mais également celles de leurs employés. Cette étude montre clairement que même si la majorité des utilisateurs comprennent que l’information est stratégique et qu’il l’est tout autant de la protéger, ceux-ci sont malgré tout prêts à ignorer ces risques pour se faciliter la vie. Si les entreprises souhaitent lutter contre la cybercriminalité, elles doivent s’assurer de la pertinence et de la bonne mise en place des politiques de sécurité. Il ne s’agit pas uniquement de protéger les informations essentielles à l’entreprise, mais également de répondre aux besoins de ses employés. »

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Vie privée

Le Cloud en confiance : oui, c’est possible !

Volontaires, de plus en plus, pour adopter des solutions dans le cloud, de nombreuses entreprises restent freinées par l’absence de clarté autour de la sécurité de leurs données, en particulier les plus sensibles. Pourtant, la souplesse et la simplicité peuvent parfaitement cohabiter avec la sécurité dans le cloud.

Certains le qualifiaient de « buzzword ». Il faut dire qu’une déferlante sans précédent s’est abattue sur la presse spécialisée – et même un peu plus – autour du cloud. Mais force est de constater qu’au-delà de l’effet de mode, le cloud s’est bel et bien installé durablement sur le marché de l’IT en général, et dans les systèmes d’information des entreprises en particulier.

Il faut dire que le cloud tient ses promesses. Comparativement à une infrastructure en propre gérée par l’entreprise, le cloud est moins cher, plus souple et beaucoup plus simple : externalisée, l’infrastructure est louée et totalement administrée par le fournisseur de services cloud. Et s’adapte précisément aux besoins de l’entreprise, sans nécessiter d’investissements lourds au départ.

Seulement voilà, le cloud rencontre encore, dans de nombreux cas, un obstacle de taille : le manque de confiance. A tort ou à raison, les entreprises sont encore frileuses à l’idée de stocker et gérer leurs données, notamment les plus sensibles, à l’extérieur du périmètre de leur système d’information. Considérant à ce titre que leur propre système d’information est parfaitement sécurisé, ce qui est loin d’être toujours le cas.

Sensibles ou non : la gestion kafkaïenne des données
Les médias en font leurs choux gras : de nombreuses affaires de vols de données, d’intrusions sur les comptes d’autrui, etc., éclaboussent régulièrement des géants du Web. Apple et les photos de stars volées a été la dernière victime de cet acharnement médiatique. Résultat : les inquiétudes et le manque de confiance persistent. Car outre la protection des données, c’est aussi l’usage qui prime. Et les systèmes de sécurité peuvent être si contraignants qu’ils retardent ou restreignent l’adoption des solutions.

Pour éliminer ce risque, nombreuses sont les entreprises à avoir fait le choix d’un système d’information à deux vitesses. Et ventilé leurs solutions en deux catégories distinctes : celles qui hébergent des données sensibles et qui doivent nécessairement rester sur site d’une part ; et celles dont les données, moins sensibles, peuvent être externalisées vers le cloud d’autre part.

Mais cette gestion dichotomique des données ne va pas sans poser problème. Tout d’abord sur la qualification de la sensibilité des données : en tant que telles, les données d’une entreprise sont toutes plus ou moins sensibles. Et celles qui ne le sont pas pour un département de l’entreprise, peuvent l’être pour un autre.

Ensuite, parce que le système d’information des entreprises est nécessairement poreux, ne serait-ce qu’au travers des échanges avec leur environnement immédiat : clients, partenaires, fournisseurs, etc. Un cloisonnement strict des deux types de données est donc,  complexe et nécessite une classification précise des données.

Un référentiel pour gagner la confiance des entreprises
Conscients de ces questionnements quant à la confiance dans le cloud des entreprises, autant que des enjeux économiques que représente le cloud, des acteurs du secteur se sont réunis autour d’une table pour construire les outils de la confiance dans le cloud. Composé d’éditeurs et d’auditeurs spécialisés, et à l’initiative de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), représentant les pouvoirs publics, le consortium ainsi réuni a récemment publié un référentiel de « qualification de prestataires de services sécurisés d’informatique en nuage ».

L’objectif est clair : proposer un cadre à ces prestataires, et surtout une certification selon les critères de ce référentiel. En particulier autour des questions de sécurité : disponibilité, intégrité et confidentialité des données, mais également traçabilité des données et des actions entreprises.

Une certification qui permet dès lors aux entreprises d’être en pleine confiance auprès d’un prestataire de services cloud certifié : plus aucun besoin de s’interroger sur la sensibilité ou non des données. Si l’entreprise estime qu’une solution cloud est la réponse à son besoin, elle peut l’intégrer à son système d’information en toute confiance. Quels que soient les données, les départements de l’entreprise ou les processus (métiers, commerciaux, administratifs, financiers…) concernés. (Frédéric Fouyet, Directeur de l’Innovation et des produits et RSSI chez Oodrive)