Archives de catégorie : Chiffrement

Android, Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, ios, loi, Mise à jour, Particuliers, Sécurité, Securite informatique, Smartphone, Téléphonie, Vie privée, Windows phone

Interdit d’interdire ! La Chine bloque de nombreuses applications iPhone

Le Ministère de la Santé Chinoise fait interdire de nombreuses applications après la modification de la législation locale. Skype résiste, mais pour combien de temps ?

La Chine fait interdire la VoIP ! Les utilisateurs Chinois d’iPhone sont de moins en moins à la fête après la modification de la loi Internet voté par le gouvernement. De nombreuses applications permettant de communiquer en mode VoIP ont été censurées. Le ministère de la santé publique a fait retirer plusieurs applications Voice-over-Internet-Protocol (VoIP). La loi ne les autorise plus sur le territoire Chinois.

Les boutiques d’Apple et Google souhaitant continuer à faire du business en Chine, les deux géants américains se plient donc à la censure Chinoise.

Skype fonctionne encore pour le moment, mais il n’est plus possible depuis fin octobre de payer les services Skype via Apple.

Skype est l’un des derniers outils non-chinois à fonctionner. Il y a six mois, Gmail, Twitter, Telegram ou encore Snapchat avaient été interdits. En septembre 2017, WhatsApp a été bloqué.

Des outils qui peuvent revenir batifoler avec le cyberespionnage Chinois à la condition ou le chiffrement des applications soit retiré. La Chine a aussi interdit l’utilisation des VPN. Amende et prison pour ceux qui tenteraient de jouer avec le yaomo, le diable.

Android, Apple, Chiffrement, cryptage, Cybersécurité, Espionnae, ID, Identité numérique, ios, Logiciels, Particuliers, Securite informatique, Smartphone, Téléphonie, Vie privée, Windows phone

Votre smartphone vous suit à la trace ?

Même fermé, sans puce, les smartphones sont-ils capables de vous suivre à la trace ?

Trace or not trace ! Il ne se passe pas une journée ou je ne reçois par un courriel me demandant qu’elles sont les informations que collectent les téléphones portables. S’il fallait décortiquer l’ensemble des cas, vous jetteriez votre smartphone à la poubelle. Il faut savoir que les constructeurs indiquent ce qu’ils font avec nos appareils. Je vais prendre l’exemple de Google et de son système Android. Un OS qui équipe plusieurs centaines de millions d’appareils dans le monde.

Dans son espace Privacy, le géant américain indique que lorsque vous utilisez des services Google, ils sont susceptibles de collecter et traiter des données relatives à votre position exacte. Ils utilisent différentes technologies pour vous localiser : IP, signaux GPS. D’autres capteurs permettent d’identifier les appareils, les points WiFi, les antennes-relais à proximité.

https://twitter.com/fs0c131y/status/932249064208551936

Ce détail est intéressant car, par exemple, vous pouvez activer les services de localisation de Google pour optimiser les applications géo-dépendantes sur votre appareil. Si vous faites appel à ces services, votre appareil communique des informations concernant les points d’accès WiFi (telles que l’adresse MAC et la force du signal) et les antennes-relais qui se trouvent à proximité pour leur permettre de déterminer votre position. Vous pouvez utiliser les paramètres de votre appareil pour activer les services de localisation de Google.

Il s’avère que d’autres « capteurs » permettent de vous tracer avec une précision chirurgicale. Pour preuve, cet « espionnage » que Google orchestre depuis plusieurs mois via son outil Firebase Cloud Messaging. Une collecte d’information pas vraiment explicite de la part de l’américain. Son logiciel, qui ne peut être bloqué, fait une localisation de l’appareil. Une « option » usine qui doit disparaitre dans quelques semaines indique le journal Quartz.

Pour les autres appareils, Apple, Wiko, rassurez-vous, ils collectent aussi vos données, pour, parait-il, votre bien. (QZ)

Base de données, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Sauvegarde, Securite informatique

Près de la moitié des entreprises ont subi une compromission de données en 2016

La forte progression du trafic Internet émanant de bots crée un sérieux angle mort pour la sécurité IT, et 79% des entreprises ne savent toujours pas si leur trafic web provient d’humains ou de bots selon une étude de Radware.

La publication d’une nouvelle étude intitulée Radware Research: Web Application Security in a Digitally Connected World ne laisse rien présagé de bon. Ce rapport, qui examine la façon dont les entreprises protègent leurs applications web, identifie des lacunes de sécurité au sein des actuelles pratiques DevOps, recense les principaux types et vecteurs d’attaques et identifie les principaux risques.

L’étude qui s’intéresse aux secteurs d’industrie les plus ciblés, comme la vente au détail, la santé et les services financiers, souligne la prolifération du trafic web généré par des bots et son impact sur la sécurité applicative des entreprises. En réalité, les bots sont à l’origine de plus de la moitié (52%) de tout le flux du trafic Internet. Pour certaines entreprises, les bots constituent plus de 75% du trafic total. Les résultats soulignent ainsi qu’une entreprise sur trois (33%) ne sait pas distinguer les « bons » bots des « mauvais ».

Le rapport révèle également que près de la moitié (45%) des sondés ont expérimenté une compromission de données l’année passée et que 68% ne sont pas certains de pouvoir préserver la sécurité de leurs informations internes. De plus, les entreprises protègent souvent mal leurs données sensibles. 52% n’inspectent pas le trafic échangé depuis et vers des API. 56% ne sont pas en capacité de suivre les données une fois qu’elles quittent l’entreprise.

Toute entreprise qui collecte les informations de citoyens européens va bientôt devoir se conformer aux réglementations strictes sur la confidentialité des données imposées par le nouveau règlement général sur la protection des données (GRPD) ou GDPR (General Data Protection Regulations).

Ces nouvelles obligations prendront effet en mai 2018. Toutefois, à moins d’un an de l’échéance, 68% des entreprises craignent de ne pas être prêtes à temps.

« Il est alarmant que les dirigeants d’entreprises qui recueillent les données sensibles de millions de consommateurs doutent de la sécurité des informations qu’ils détiennent », déclare Carl Herberger, vice-président des solutions de sécurité chez Radware. « Ils connaissent les risques mais des angles morts, potentiellement vecteurs de menaces, persistent. Tant que les entreprises ignoreront où se situent leurs vulnérabilités et qu’elles n’auront pas pris les bonnes mesures pour se protéger, les attaques d’ampleur et les compromissions de données continueront de faire les gros titres. » Selon le Dr Larry Ponemon, « Ce rapport montre clairement que la pression exercée à fournir des services applicatifs en continu limite la capacité des méthodes DevOps à assurer la sécurité des applications Web aux différentes étapes du cycle de vie des développements logiciels.»

La sécurité applicative est trop souvent négligée. Tout le monde veut bénéficier des avantages de l’automatisation totale et de l’agilité conférées permis par le déploiement continu. La moitié (49%) des sondés utilisent actuellement le déploiement continu des services applicatifs et 21% envisagent de l’adopter au cours des 12 à 24 mois. Toutefois, ce modèle peut aggraver les problématiques de sécurité du développement applicatif : 62% reconnaissent que la surface d’attaque s’en trouve étendue et la moitié environ déclare ne pas intégrer la sécurité au processus.

Les bots prennent le dessus. Les bots sont la dorsale du e-commerce aujourd’hui. Les e-commerçants utilisent les bots pour les sites comparateurs de prix, les programmes de fidélité électroniques, les chatbots, etc. 41% des commerçants ont même déclaré que plus de 75% de leur trafic émane de bots, alors que 40% ne font toujours pas la différence entre les bons et les mauvais bots. Les bots malveillants constituent un risque réel. Certaines attaques de web scrapping volent la propriété intellectuelle des commerçants, cassent les prix et rachètent des stocks de façon à écouler la marchandise via des canaux non autorisés en dégageant une marge. Mais les bots ne sont pas le seul problème des commerçants. Dans le secteur de la santé, où 42% du trafic émane de bots, 20% seulement des responsables de la sécurité IT étaient certains qu’ils pourraient identifier les « mauvais » bots.

La sécurité des API est souvent négligée. Quelque 60% des entreprises partagent et consomment des données via les API, y compris des informations personnelles, des identifiants et mots de passe, des détails de paiements, des dossiers médicaux, etc. Pourtant, 52% n’inspectent pas les données échangées avec leurs API, et 51% n’effectuent aucun audit de sécurité ni n’analysent les failles éventuelles des API en amont de l’intégration.

Les périodes de vacances sont à haut risque pour les commerçants. Les commerçants sont confrontés à deux menaces distinctes mais très dommageables pendant les périodes de vacances : les pannes et les compromissions de données. Des pannes d’Internet lors de la haute saison quand les commerçants dégagent le plus de bénéfices peuvent avoir des conséquences financières désastreuses. Pourtant, plus de la moitié (53%) ne sont pas certains de la disponibilité à 100% de leurs services applicatifs. Les périodes où la demande est forte comme celles du Black Friday et du Cyber Monday, exposent également les données des clients : 30% des détaillants laissent entendre qu’ils peinent à protéger correctement leurs données sensibles au cours de ces périodes.

Les données médicales des patients courent des risques également. 27% seulement des sondés dans le secteur de la santé ont confiance dans leur capacité à protéger les dossiers médicaux de leurs patients, même s’ils sont près de 80% à devoir se conformer aux réglementations d’état. Il est primordial de déployer des correctifs de sécurité pour faire face aux actuelles menaces et mieux pouvoir atténuer leur impact, mais 62% environ des sondés dans le secteur de la santé n’ont peu ou pas confiance dans la capacité de leur établissement à pouvoir adopter rapidement des correctifs de sécurité et déployer les mises à jour, sans compromettre la conduite des opérations. Plus de la moitié (55%) des établissements de santé déclarent n’avoir aucun moyen de suivre les données partagées avec une tierce partie une fois qu’elles ont quitté le réseau interne. Les organisations du secteur de la santé sont les moins enclines à rechercher des données volées sur le Darknet : 37% ont déclaré le faire contre 56% dans le secteur des services financiers et 48% dans le secteur de la vente au détail.

La multiplication des points de contact aggrave le niveau de risque. L’avènement des nouvelles technologies financières (comme celles liées aux paiements mobiles) facilite l’accès des consommateurs et leur degré d’engagement, ce qui a pour effet d’accroître le nombre des points d’accès comportant des vulnérabilités et de majorer le niveau de risque auquel sont confrontés les responsables de la sécurité. Alors que 72% des organisations de services financiers partagent les identifiants et mots de passe et que 58% partagent les détails des paiements réalisés via des API, 51% ne chiffrent pas le trafic, avec le risque d’exposer les données en transit des clients.

BYOD, Chiffrement, Cybersécurité, Entreprise, Fuite de données, IOT, Justice, loi, Patch, Securite informatique

La sécurité des objets connectés dans une motion aux Pays-Bas

Les Pays-Bas viennent d’adopter une motion imposant aux fabricants d’ objets connectés (IoT) des tests de sécurité informatique.

Voilà une loi traitant de la sécurité des objets connectés qui fait tendre l’oreille. Les Pays-Bas viennent de valider une motion qui impose des tests de piratage à l’encontre des objets connectés vendu dans le pays. Bref, l’Internet of Things (IoT) pris au sérieux et d’une maniérè sécuritaire. C’est l’idée du sénateur Maarten Hijink qui demande au gouvernement et aux entreprises d’organiser des « pentests », des tests de sécurité, afin de tester les appareils connectés. Il y a quelques mois, la Chambre des députés avait réclamé au gouvernement d’agir sur ce même thème, la sécurité des objets connectés. Dans cette nouvelle motion, l’état est inviter à des actions proactives, comme le « hack éthique » dont la mission est d’améliorer la sécurité des objets, donc des utilisateurs.

Bitcoin, BYOD, Chiffrement, Cybersécurité, Entreprise, IOT, Mise à jour, Patch, Securite informatique

Quand votre entreprise mine de la crypto-monnaie… pour les pirates

Votre ordinateur consomment-ils de l’énergie pour vos uniques intérêts ? L’extraction de cryptomonnaie présente une nouvelle menace pour les entreprises. Le tout dernier Threat Index de Check Point révèle une augmentation des extractions de cryptomonnaie en octobre, avec CoinHive en sixième place des logiciels les plus utilisés au monde.

Non, CoinHive ou les crypto-monnaies (cryptomonnaie) ne sont pas malveillantes. Leurs utilisations inapropriées par des malveillants transforment ces beaux projets en merdier sans nom. C’est un peu comme dire que la voiture est illégale car des chauffards roulent à 230kms heures et tuent des gens. Que des braqueurs se servent d’une automobile pour attaquer une banque. Toujours est-il que l’ambiance autour des monnaies démateriealisées ne va pas s’arranger dans les semaines à venir.

Suite à la récente étude de Check Point démontrant que les extracteurs de cryptomonnaie peuvent frauduleusement utiliser jusqu’à 65 % des ressources totales en CPU d’un utilisateur final, sans son approbation, la variante CoinHive a fait son apparition dans le Threat Index d’octobre en 6e position. Ce logiciel malveillant est conçu pour extraire la cryptomonnaie Monero lorsqu’un utilisateur consulte une page web, sans l’approbation de l’utilisateur. CoinHive implante du code JavaScript, qui utilise ensuite le CPU de l’utilisateur final, impactant gravement les performances de sa machine.

Comme en septembre, RoughTed et Locky sont les deux menaces les plus répandues. Cependant, le logiciel malveillant Seamless, un redirecteur transparent de trafic, a fait son entrée parmi les trois premiers. Ce logiciel malveillant redirige silencieusement ses victimes vers une page web pirate. Elle infecte à l’aide d’un kit d’exploitation de vulnérabilités. L’infection réussie permet au pirate de télécharger d’autres logiciels malveillants.

Maya Horowitz, Threat Intelligence Group Manager chez Check Point, précise : « L’émergence de Seamless et de CoinHive souligne une fois de plus le besoin en technologies avancées de prévention des menaces pour sécuriser les réseaux contre les cybercriminels. L’extraction de cryptomonnaie est un nouvel acteur silencieux et pourtant significatif dans le paysage des menaces. Elle permet à des pirates de générer d’importants revenus tandis que les postes et les réseaux des victimes souffrent de latence et d’une baisse de performance. »

Top 3 des logiciels malveillants en octobre 2017

RoughTed est un logiciel de publicité malveillante. Contournement les bloqueurs de publicités. RT déclenche une série d’escroqueries, d’exploitations de vulnérabilités et de logiciels malveillants. Il est en mesure d’attaquer n’importe quel type de plate-forme et de système d’exploitation. Il utilise des techniques de prise d’empreintes pour délivrer l’attaque la plus pertinente.

Locky est connu. Un ransomware diffusé en février 2016. Il se propage principalement via des mails et des pièces jointes au format Word ou Zip. Il télécharge et installe un logiciel qui chiffre les fichiers des utilisateurs.

Seamless est un système de répartition de trafic. Il redirige silencieusement ses victimes vers une page web malveillante. Elle infecte les machines à l’aide d’un kit d’exploitation de vulnérabilités. L’infection permet au pirate de télécharger d’autres logiciels malveillants.

La liste des logiciels malveillants les plus couramment utilisés pour attaquer les actifs mobiles des entreprises a connu un changement par rapport à septembre, avec le logiciel rançonneur LeakerLocker pour Android apparaissant en seconde position.

Top 3 des logiciels malveillants mobiles

Triada – Une porte dérobée modulaire pour Android accordant des privilèges super-utilisateur aux logiciels malveillants téléchargés pour mieux les intégrer dans les processus système. Triada charge également de fausses URL dans le navigateur. LeakerLocker – Un logiciel rançonneur sur Android accédant aux données personnelles de l’utilisateur, puis les lui présentant en le menaçant de les divulguer en ligne en cas de non-paiement d’une rançon. Lootor – Outil de piratage ciblant des vulnérabilités du système d’exploitation Android afin d’obtenir des privilèges root sur les appareils mobiles compromis.

L’indice Check Point des menaces et la carte ThreatCloud sont alimentés par des renseignements issus de Check Point ThreatCloud, le plus grand réseau collaboratif de lutte contre la cybercriminalité, qui fournit des données et des tendances sur les menaces et les attaques grâce à un réseau mondial de capteurs. La base de données ThreatCloud comprend plus de 250 millions d’adresses analysées pour découvrir des bots, plus de 11 millions de signatures de logiciels malveillants et plus de 5,5 millions de sites web infectés. Elle identifie des millions de types de logiciels malveillants quotidiennement. La liste complète des 10 principales familles de logiciels malveillants en octobre est disponible sur le Blog Check Point.

Pour la France, le top 5 comprend : Roughted, Locky, Pushdo, Seamless ou encore Conficker. CoinHive s’affiche à la 6ème position.

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, ID, Identité numérique, Particuliers, Securite informatique

Blockchain de la preuve, Ledgerofproof

La preuve irréfutable et gratuite que vos documents vous appartiennent !

Accessible gratuitement, la blockchain Ledgerofproof permet de créer une empreinte datée de tous vos documents. En cas de plagiat, vous disposez alors d’une preuve incontestable de leur antériorité. Articles, enquêtes, ouvrages, dessins, images, photos, contrats… Protéger ses documents n’est pas simple. Avec Ledgerofproof, la blockchain de la gestion des preuves, constituer la preuve de la propriété de ses documents se fait en 3 clics. Unique au monde, cette blockchain permet en effet de prouver très simplement l’existence d’un document à un instant « t ».

Ledgerofproof : comment la preuve devient-elle infalsifiable ?
Lorsque quelqu’un enregistre un document, seule son « empreinte » est conservée. En clair cela signifie que le texte est « haché » grâce à un algorythme et qu’il devient impossible d’en modifier la moindre virgule. En même temps, l’empreinte sauvegardée est horodatée, rendant par la même la date de création pérenne. Son contenu, n’est pas conservé par un seul serveur, mais par des milliers de participants au réseau, qui seront tous avertis en cas de modification. Cette approche permet donc de sécuriser l’empreinte à 100 % et donc de prouver, le cas échéant, qu’un document était en l’état à une date et une heure précise.

Accessible sur la plate-forme Spuro, Ledgerofproof est utilisable gratuitement par tout un chacun. Seuls les Smartcontracts, des applications permettant une utilisation automatique de la blockchain sont commercialisées. Spuro, une plate-forme dédiée aux blockchains Ledgerofproof est l’une des quatre blockchains privées proposées par Spuro, la plateforme développée par Benjamin Faraggi, entrepreneur passionné par ce type de technologies. Spuro propose aujourd’hui 4 blockchains : Ledgerofproof, la 3ème blockchain la plus connue au monde après Bitcoin et Ethereum. Artledger, à destination des graphistes, dessinateurs, peintres, poètes, musiciens. Durasedlex pour les juristes, avocats, huissiers, etc. et Diurnarius pour les journalistes, chroniqueurs, photographes, etc.

Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, IOT, Particuliers, Securite informatique, Vie privée

Les Français plébiscitent les objets connectés sans en mesurer les risques !

A l’occasion de Noël, les objets connectés semblent être le cadeau de cette fin d’année : tendance d’achat, appréhension de la sécurité, prise de mesure, etc. L’étude « Most Hackable Gifts » dévoile la liste des cadeaux de Noël les plus prisés à la fois par les consommateurs, mais aussi par les cybercriminels.

Objets connectés, Noël et les pirates. Ainsi, parmi les cadeaux les plus attendus au pied du sapin figurent les indétrônables tablettes et smartphones (60 %) et autres ordinateurs portables (30 %). Les accessoires domotique de l’habitat connecté (25%) sont également très populaires cette année, aux côtés des jouets connectés (22 %), des casques de réalité virtuelle (19 %) et des Smart TV (17 %).

Une méconnaissance des risques associés aux objets connectés

Une grande majorité de consommateurs Français reconnait la nécessité de sécuriser ordinateurs portables, tablettes et smartphones (64 %). Mais moins 1/3 estiment que les casques réalité virtuelle, les jouets et autres accessoires connectés doivent être sécurisés.

Il faut rappeler qu’ils gèrent également un certain volume d’informations personnelles. 15 % pensent même que les objets connectés n’ont pas besoin d’être sécurisés.

« A Noël, les objets connectés seront cette année encore à l’honneur. Or, on constate que les consommateurs ne mesurent pas tous l’importance de la protection de ces appareils et du risque auquel ils s’exposent lors d’une connexion avec un device non connecté« , précise Lam Son Nguyen expert en sécurité – McAfee.

91 % estime qu’il est important/voir très important que leur identité en ligne et leurs appareils connectés soient sécurisés. La moitié des consommateurs prennent des mesures pour s’assurer que leur nouvel appareil connecté est protégé avant utilisation. 23% ne sont d’ailleurs pas sûrs de savoir prendre les mesures adaptées en matière de sécurité. Les consommateurs sont tout simplement mal informés sur les dangers et la manière dont il faut protéger ces appareils connectés.

Peu conscients des risques ils ne mettent pas en œuvre les mesures nécessaires pour se protéger ce que les cybercriminels pourraient exploiter pour le piratage de leurs objets et le vol de leurs données personnelles.

Ces informations révèlent l’importance pour les consommateurs d’être vigilants quant aux enjeux de sécurité inhérents aux objets connectés qu’ils déposeront au pied du sapin de Noël. Il est important que chacun mesure les risques liés à tout objet connecté et cesse de penser qu’il suffit simplement de s’en remettre aux mesures des fabricants pour éviter le vol de leurs données dans le temps. Il serait bon, aussi, que les fabricants fournissent des informations sur la sécurisation générale, ainsi que de leur produit. L’éducation devrait être imposée dans chaque notice, en plus des obligations légales copiées à longueur de page de certaines notices.

Quelques réflexes simples à adopter en matière de sécurité des objets connectés

D’abord, lisez la notice. Vous pourriez y trouver quelques réponses (mot de passe, …). Ensuite, protéger votre réseau domestique. Plus facile à dire, qu’à faire, mais loin d’être impossible si vous vous y penchez un peu. DataSecurityBreach vous propose par exemple de regarder du côté des adresses MAC de vos materiels et votre box, ou encore du côté de la double authentification. Mettre à jour les logiciels et applications des objets connectés. Voyez si elles peuvent être automatisées. Sécuriser votre appareil avec une solution dédiée : antivirus, firewall, … Privilégiez une connexion Wi-Fi sécurisée. Celle de la maison, mais avec un bonus qu’est le contrôle par l’adresse MAC. Protéger vos objets avec des mots de passe complexes. Même si cela n’est pas gage d’efficacité optimale, un mot de passe fort (lettres, majuscules, chiffres et signes de ponctuations) permet de retarder le malveillant qui ira voir ailleurs. Et au moindre doute, agissez !

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Securite informatique

Fuite de données pour l’enseigne de prêt-à-porter Forever 21

L’enseigne de prêt-à-porter Forever 21 annonce le piratage de plusieurs millions de données bancaires. Des Francophones parmi les victimes.

Un conseil, si vous êtes un client ou une cliente de l’enseigne de prêt-à-porter Forever 21, vérifiez votre compte bancaire et alertez votre conseiller financier. La société américaine vient d’annoncer dans un communiqué de presse avoir été la victime d’un piratage informatique. Elle ne s’en est jamais rendu compte. C’est une source anonyme qui lui a indiqué le piratage. Des pirates se servaient dans les données bancaires de ses clients, depuis plusieurs mois.

Une cyberattaque qui a été déclenchée en mars 2017. Elle a été stoppée en octobre 2017. Huit mois d’une ponction malveillante via des terminaux de paiement ! « Notre enquête se focalise sur des transactions effectuées par cartes bancaires dans des magasins Forever 21 entre mars 2017 et octobre 2017, explique le communiqué de presse, Il est trop tôt pour fournir davantage de détails sur l’enquête. Nous vous conseillons d’examiner de près leurs relevés de comptes bancaires ».

Une nouvelle fuite de données massive. Comme l’explique dans le ZATAZ Web Tv tourné à New York, les fuites sont de plus en plus importantes avec des incidences qui sont cachées aux victimes, comme ce fût le cas pour Yahoo!, Equifax, ….

Forever 21 indique que de nombreux clients ont été impactés. Des boutiques basées en Inde, Israël, Corée du sud, Canada, Australie, Philippines, Mexique, Hong Kong, Brésil, Argentine sont touchées.

Inquiétant ? F21 indique que l’attaque n’a touché que certaines boutiques : « En raison des solutions de chiffrement et de tokenisation implémentées par Forever 21 en 2015, il semble que seuls certains terminaux de vente dans certains magasins Forever 21 ont été affectés lorsque le chiffrement des appareils n’était pas opérationnel.« 

Argent, BYOD, Chiffrement, cryptage, Cybersécurité, Entreprise, Paiement en ligne, Particuliers, RFID, Securite informatique

Des gants, des autocollants et des Pin’s NFC pour les Jeux Olympiques d’hiver

La société Visa a créé des gants, des autocollants et des pin’s NFC sur le thème des Jeux Olympiques. L’idée, effectuer des paiements rapides sur n’importe quel terminal de paiement équipé en sans contact.

Le sans contact dit NFC gagne du terrain. Visa, le fabriquant de cartes bancaires, vient de lancer trois produits NFC, paiement sans contact, pour les Jeux Olympiques d’Hiver. Des JO qui se dérouleront en Corée du Sud. L’entreprise s’est associée à Lotte Card, le pôle financier du géant de la grande distribution Lotte Department Store. Mission, créer de nouveaux accessoires de paiement. Ils sont disponibles depuis le 9 novembre partout en Corée. Parmi les produits, quatre pin’s au prix unitaire de 5 000 KRW (4€). Il faut ajouter un montant prépayé intégré d’une valeur de 30 000 (23€) ou 50 000 (38€) Won coréen (KRW).

Qui dit hiver, dit gant. Visa propose des gants… de paiement. Ils sont équipés d’une puce à double interface munie d’une antenne sans contact permettant d’effectuer des achats sur les sites officiels des Jeux Olympiques et sur les terminaux compatibles partout dans le monde. Les gants seront pré-chargés avec un montant prépayé d’une valeur de 30 000 ou 50 000 Won coréen (KRW).

Pour finir, des autocollants. Ici aussi, une puce et une antenne NFC à double interface. Ces micro-étiquettes peuvent être collées sur n’importe quel support, afin d’effectuer facilement et rapidement des paiements à tout moment. Les autocollants de paiement seront pré-chargés avec des montants prépayés s’élevant à 30 000, 50 000, 100 000 ou 200 000 Won coréen (KRW).

Pour rappel, la société LotteCard avait été victime d’un piratage massif de ses données en décembre 2013. Les données personnelles d’environ 20 millions de clients de Citi Bank Korea, Kookmin Bank, NongHyup Bank, KB Kookmin Card et Lotte Card avaient été touchées par cette fuite massive.

Protection des moyens de paiement sans contact

Pour la première fois, un moyen de protection active proposé sous forme de carte plastique empêche toute utilisation frauduleuse d’une carte de paiement sans contact ou d’un moyen de paiement utilisant le NFC sur un smartphone. C’est la promesse du laboratoire de design dirigé par Tomasz Pomorski, Omnichip et ISRA Cards, un fabricant français de cartes plastiques avec ou sans puce et avec ou sans contact. Les deux entreprises ont réfléchi à la création de cartes intégrant la technologie Active Blocker.

Alors que les systèmes de protection actuels se contentent de proposer un « bouclier » physique censé arrêter les ondes de façon aussi passive qu’imparfaite, Active Blocker va plus loin que la simple perturbation de la communication : il l’empêche en la brouillant. En effet, si un fraudeur tente de se connecter à une carte NFC via un lecteur pirate, ActiveBlocker empêchera toute communication en émettant des signaux qui « couvriront » ceux de la carte NFC. Le procédé de brouillage est vieux comme les ondes mais s’avère compliqué à mettre en œuvre dans une communication en champ proche car son effet perturbateur doit rester circonscrit à des distancent à la fois relativement courtes et suffisamment longues pour être parfaitement efficace.

C’est pourquoi ISRA a réfléchi à la création d’une carte dédiée à la protection des moyens de paiements, mais aussi des documents d’identités utilisant la technologie sans contact tels que les e-passeports. Cette carte se glisse simplement dans le portefeuille ou le porte-carte avec les cartes de paiement et agit immédiatement, sans batterie. Dès que l’utilisateur sort sa carte de sans contact pour effectuer un paiement chez un commerçant, elle quitte le champ d’action d’ActiveBlocker, son signal n’est donc plus brouillé et le paiement peut s’effectuer tout à fait normalement.

ISRA Cards et Omnichip proposeront leur produit commun à tous les acteurs susceptibles d’être confrontés à des problématiques de sécurité liés au NFC tels que banques, sociétés d’assurance ou d’assistance, distributeurs, fabricants ; dans des formes adaptées aux besoins des utilisateurs finaux : carte de protection, carte de fidélité, carte d’authentification, etc.

La rédaction a demandé une version pour test, nous n’avons pas encore reçu de réponse.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Securite informatique

Chiffrement : mais que se passe t-il chez nos voisins anglais ?

Suite aux récentes déclarations de madame Amber Rudd, ministre de l’Intérieur britannique, sur la question du chiffrement, Craig Stewart, VP EMEA chez Venafi, donne quelques enseignements de sécurité au gouvernement.

Le chiffrement est clairement à l’ordre du jour au Royaume Uni. Depuis quelques mois, le Ministre de l’Intérieur, Amber Rudd ne fait aucun secret sur ce qu’elle pense des entreprises technologiques comme WhatsApp, qui ne vont pas assez loin lorsqu’il s’agit d’arrêter des groupes extrémistes qui utilise la technologie à des fins néfastes. Lors d’un entretien assez controversé, Amber Rudd a prétendu qu’elle n’avait pas besoin de comprendre le chiffrement pour le combattre : une déclaration qui a choqué tous les acteurs de la sécurité.

Amber Rudd est sans aucun doute bien intentionnée. En tant que ministre de l’Intérieur, elle est responsable de la sécurité nationale et ce n’est donc pas étonnant, qu’elle agisse en pensant au devoir de préserver la sécurité publique. Cependant, ses récents propos indiquent un manque de compréhension des fondamentaux sur le chiffrement, même les plus élémentaires. Elle montre aussi un mépris inquiétant sur l’importance de la sécurité de notre économie numérique.

Obtenir des informations réalistes

Les citoyens devraient s’inquiéter par la vision d’Amber Rudd, qui semble voir le chiffrement comme une partie du problème, alors qu’il est en fait, l’un des moyens de défense incontournable dont nous disposons collectivement. Quand il est mis en place correctement, il préserve la sécurité de nos données, qu’il s’agisse de données sensibles sur « NHS Trust », où des informations sur l’enregistrement des votes (73% des sites de la police s’appuie là-dessus pour sécuriser les informations vulnérables) .

D’une façon plus générale, il est incontournable pour le succès de l’économie britannique dans le secteur bancaire, le commerce ou le e-commerce. Les logiciels de chiffrement, dans le viseur de Madame Rudd, ne sont que la partie visible de l’iceberg. Elle doit comprendre que le chiffrement ne peut pas s’appliquer ou se supprimer sur un simple coup de tête. Un chiffrement efficace exige que son infiltration soit impossible et que les portes dérobées de n’importe quel gouvernement ne puissent rendre les systèmes numériques accessibles ni aux cybercriminels ni aux gouvernements eux-mêmes. Amber Rudd a suggéré, à tort, qu’il s’agissait d’une théorie mais c’est un fait mathématique.

Etant donné le niveau de chiffrement, sur lequel le secteur public compte, pour préserver ses données publiques sensibles, il serait bon de conseiller à madame Rudd d’examiner de plus près, la fonction des entreprises technologiques, avant de tirer des conclusions trop rapides – particulièrement tant qu’il n’y a pas de preuve que l’affaiblissement du chiffrement par l’utilisation des « Backdoors » augmenterait notre sécurité.

Les citoyens face à l’accessibilité de leurs données personnelles

Dans le cadre d’un article pour The Telepgraph plus tôt dans l’année, Madame Rudd écrivait : « Qui utilise WhatsApp parce qu’il est crypté de bout en bout, plutôt que parce qu’il s’agit de la meilleure manière, la plus conviviale et bon marché, de rester en contact avec sa famille et ses amis ? », elle disait également : « Les entreprises font souvent des compromis entre sécurité et utilisation. C’est sur ce point, que nos experts croient pouvoir trouver des solutions. Les gens préfèrent souvent la facilité d’utilisation et une multitude de fonctions pour améliorer une sécurité inviolable ».

Pourtant, une étude récente la contredit. En se basant, sur les avis de plus de 1 000 citoyens britanniques, l’étude a examiné les initiatives qui accorderaient aux gouvernements plus d’accès aux données personnelles. Elle met en évidence, qu’une très large majorité d’entre eux, n’est pas d’accord sur l’utilisation de portes dérobées cryptées – avec une totale compréhension des menaces que ces portes dérobées présenteraient pour leur vie privée et leurs données personnelles-.

Dans cette étude, moins d’un quart (24%) des consommateurs britanniques croient en réalité que le gouvernement, devrait être capable d’obliger les citoyens, à communiquer leurs données personnelles. Par contre, à peine 1 sur 5 (19%), accepterait que le gouvernement puisse contraindre les entreprises technologiques à partager les données sans consentement préalable des consommateurs. La moitié des répondants, estime qu’elle serait plus en sécurité contre le terrorisme si le gouvernement avait accès aux données cryptées. Le manque total de soutien sur la position du gouvernement en matière de chiffrement, montre que le public estime clairement les avantages du cryptage, plus d’ailleurs que ne le font nos dirigeants.

Il est nécessaire d’avoir une vision globale

Malheureusement, le débat se poursuit. Madame Rudd ne sera pas la dernière à viser WhatsApp et d’autres sociétés technologiques, qui utilisent le chiffrement pour protéger la vie privée des consommateurs. Avec chaque attaque terroriste, la pression de ces sociétés va augmenter tant que nos dirigeants continueront à tirer des conclusions hâtives sans comprendre les faits.

Cela doit s’arrêter. Le chiffrement n’est pas un ennemi et le gouvernement devrait arrêter de l’encadrer comme si c’était le cas. Même si nous devions laisser de côté les priorités publiques sur cette question, la diminution du chiffrement nous rend plus vulnérables, et affaiblit notre économie, qui dépend d’une vaste gamme de transactions numériques sécurisées. Madame Rudd, de son côté, devrait bien apprendre les fondamentaux du chiffrement avant de commenter encore ce sujet.

Chiffrement, Cybersécurité, double authentification, Securite informatique

La mauvaise gestion des comptes et des accès à privilèges

Une étude mondiale auprès de plus de 900 professionnels de la sécurité informatique lève le voile sur une mauvaise gestion à grande échelle des comptes à privilèges. Neuf répondants sur dix reconnaissent des difficultés dans la gestion des comptes à privilèges. Un professionnel de la sécurité informatique sur cinq (18 pourcents) procède encore à une journalisation en format papier pour gérer les comptes à privilèges.

Une nouvelle étude mondiale, éditée par la société de One Identity, met en lumière de mauvaises pratiques généralisées en termes de gestion des comptes à privilèges. Dimensional Research a récemment interrogé 913 professionnels de la sécurité informatique sur les difficultés, les habitudes et les tendances en matière de gestion des accès aux données de l’entreprise. Parmi les conclusions les plus éloquentes, neuf répondants sur dix (88 pourcents) admettent rencontrer des problèmes pour gérer les mots de passe à privilèges, alors qu’un sur cinq (18 pourcents) effectue toujours une journalisation en format papier pour gérer les comptes à privilèges.

Ces conclusions sont significatives dans la mesure où les comptes à privilège octroient un accès littéralement illimité à quasiment tous les composants de l’infrastructure IT d’une entreprise et donnent en substance la clé des systèmes et données de l’entreprise les plus stratégiques et les plus sensibles. Cette étude révèle également trois domaines majeurs sujets à d’inquiétantes pratiques lacunaires pour gérer les comptes à privilèges.

Outils et plateformes d’administration

outre le fait que 18 pourcents des répondants admettent utiliser des journaux en format papier, il est surprenant que 36 pourcents utilisent des tableurs tout aussi inappropriés pour faire le suivi des comptes à privilèges. L’étude a également découvert que deux tiers (67 pourcents) des entreprises s’appuient sur deux outils ou davantage pour gérer ces comptes – ce qui révèle une incohérence généralisée dans la gestion des comptes à privilèges.

Supervision et visibilité : la majorité des professionnels de la sécurité informatique (57 pourcents) admet faire la supervision de certains comptes à privilèges uniquement, voire ne pas du tout superviser les accès à privilèges. Pire, 21 pourcents des répondants avouent être incapables de superviser ou d’enregistrer l’activité associée à des identifiants d’administration, alors que 32 pourcents indiquent qu’ils ne peuvent pas identifier de manière cohérente les personnes à l’origine de ces activités.

Gestion et modification des mots de passe : une impressionnante proportion de 86 pourcents des entreprises ne change pas régulièrement le mot de passe de leurs comptes administrateurs après chaque utilisation. De plus, 40 pourcents des professionnels de la sécurité informatique n’appliquent pas la meilleure pratique fondamentale consistant à modifier le mot de passe administrateur par défaut. En contournant ces meilleures pratiques, les comptes à privilèges deviennent une vulnérabilité et ouvrent la porte à une exfiltration de données ou pire en cas de compromission.

“Quand une entreprise n’applique pas les processus les plus élémentaires de sécurité et de gestion des comptes à privilèges, elle s’expose à un risque considérable. Encore et toujours, les brèches ouvertes par le piratage de comptes à privilèges résultent en coûts de mitigation astronomiques ainsi qu’en vol de données et en marques écornées,” note John Milburn, président et directeur général de One Identity. “Les résultats de cette étude indiquent qu’il existe une vaste et inquiétante proportion d’entreprises n’ayant pas de procédures appropriées en place. Il est capital que les organisations implémentent les meilleures pratiques en matière de comptes à privilèges sans créer de nouvelles entraves à la réalisation du travail.”

Éviter une gestion archaïque

Un récent rapport de Forrester indique que huit brèches sur dix impliquent des identifiants à privilèges et met en lumière combien les pirates ciblent les comptes à privilèges. Les cybercriminels savent qu’obtenir l’accès à des comptes à privilèges est le moyen le plus rapide et le plus simple de mettre la main sur les données et les systèmes sensibles d’une entreprise. C’est pourquoi les organisations ne peuvent plus se contenter de pratiques dépassées, comme des registres en format papier ou une journalisation sous Excel pour gérer ces comptes prioritaires.

Base de données, Chiffrement, Cloud, Communiqué de presse, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Sauvegarde, Securite informatique

La sécurité reste l’un des freins les plus importants à l’adoption du Cloud

Selon une récente enquête, la sécurité informatique reste l’un des freins les plus importants à l’adoption du Cloud pour les entreprises.

Les entreprises de la zone EMEA se tournent de plus en plus vers Office 365 de Microsoft, même si compte tenu de toutes les cyber attaques récentes, les inquiétudes concernant la sécurité restent l’un des freins les plus importants à l’adoption du cloud. Telle est une des principales conclusions d’une enquête internationale conduite auprès de plus de 1.100 organisations par Barracuda Networks, Inc., un éditeur de solutions de sécurité et de protection de données basées sur le cloud.

L’enquête, intitulée “Office 365 Adoption Survey: Drivers, Risks, and Opportunities” avait pour but de mesurer les tendances autour de l’adoption et de l’utilisation de Microsoft Office 365, y compris les facteurs contribuant à la décision pour ou contre la migration vers cette plate-forme. L’étude a également permis de rassembler des informations sur l’utilisation par les entreprises de solutions tierces de sécurité et de protection de données avec Office 365, et leur engagement vis à vis de revendeurs à valeur ajoutée (VARs) et de fournisseurs de services managés.

Commentant ces résultats, Chris Ross, SVP International chez Barracuda Networks, a déclaré : “L’adoption d’Office 365 continuant d’augmenter d’une année sur l’autre en Europe, il est naturel d’assumer que les inquiétudes concernant les cyber menaces vont persister. Mais il est encourageant de constater que les entreprises s’éveillent à l’importance d’une approche de protection multi-couches, ce qui suggère une meilleure compréhension de leurs obligations lors de l’adoption du cloud.”

Un domaine où l’Europe a encore du chemin à faire pour atteindre les niveaux constatés aux États-Unis est l’adoption de solutions tierces pour ajouter une couche supplémentaire de sécurité contre les attaques de spear phishing, d’usurpation d’identité et de ‘social engineering.

Seules 14% des organisations de la zone EMEA ont déjà quelque chose en place, à comparer à 36 pour cent aux États-Unis. Nous pensons que cette situation devrait évoluer au cours de l’année qui vient, et nous incitons les entreprises européennes à y prêter attention.

Nous constatons que les cyber criminels changent de cibles, passant du top management à des employés plus bas dans la hierarchie, et de grandes entreprises à des organisations plus petites disposant de moins de ressources.”

Principales conclusions dans la zone EMEA

* Près des deux tiers (62%) des entreprises de la zone EMEA utilisent désormais Office 365, en augmentation de 50 pour cent par rapport à une enquête similaire réalisée par Barracuda en 2016.

* Parmi celles qui n’utilisent pas aujourd’hui Office 365, un peu moins de 40% indiquent qu’elles prévoient de migrer dans l’avenir – une proportion moindre qu’aux États-Unis, où près de 49% déclarent prévoir cette migration.

* La plus grande inquiétude visant la sécurité pour plus de 90% des entreprises européennes concerne les ransomwares. Près la moitié d’entre elles (48%) avouent avoir déjà été frappée par une infection de ce type, même si seulement 3% d’entre elles ont finalement payé la rançon.

* Pour les entreprises ayant déjà été frappées, le mail a été de loin le principal vecteur d’attaque pour les cyber criminels, près des trois quarts (70%) des attaques par ransomware arrivant via email. Les trafic web (18%) et le trafic réseau (12%) n’ont représenté qu’un nombre relativement faible d’infections.

* La raison la plus couramment invoquée pour ne pas migrer vers Office 365 a changé depuis l’étude de l’année dernière, les entreprises européennes rejoignant les américaines en plaçant en tête les inquiétudes concernant la sécurité (32%). Mais à la différence des États-Unis, les entreprises européennes citent toujours une politique “no cloud” comme une raison significative de ne pas migrer (28%).

* Malgré ces inquiétudes, plus de 85 pour cent des entreprises européennes interrogées ont indiqué ne pas utiliser la fonction Advanced Threat Protection (ATP) de Microsoft Office 365 – s’appuyant plutôt sur des solutions tierces pour accroître la protection de leurs environnements Office 365. Plus de deux cinquièmes d’entre elles (43%) utilisent des solutions tierces de sécurité, d’archivage ou de sauvegarde, ce chiffre étant encore plus important (68%) parmi celles qui prévoient de migrer.

* A côté de cela, 41% des organisations interrogées ont déclaré redouter des attaques de phishing, de spear phishing, d’usurpation d’identité ou de ‘social engineering’. Toutefois, seules 14% des organisations européennes ont indiqué disposer d’une solution tierce pour adresser ces menaces.

“Ces résultats confirment la prise de conscience croissante des besoins de sécurité que nous constatons chez nos clients, et la nécessité d’adopter une approche multi-couches pour progresser,” a ajouté Sanjay Ramnath, Vice President of Security Products and Business Strategy chez Barracuda. “Nos clients et nos partenaires indirects qui déploient Barracuda Sentinel et Barracuda Essentials for Office 365 peuvent migrer certains de leurs processus de gestion stratégiques dans le cloud, tout en étant certains d’être protégés contre les ransomwares, les attaques de spear phishing et d’autres menaces avancées.”

Chiffrement, Communiqué de presse, Cybersécurité, Leak, Mise à jour, Patch, Piratage, Securite informatique

Trafic des Code Signing Certificates

Sur le dark web, le trafic illicite des « Code Signing Certificates » se révèle plus lucratif que le trafic de passeports et d’armes. Une étude révèle le commerce florissant des certificats de signature de code.

Le business des Code Signing Certificates prend de l’ampleur. C’est du moins ce qu’a constaté Venafi, éditeur de solutions axées sur la protection des identités machines. La société annonce les conclusions d’une enquête menée pendant six mois, sur les ventes de certificats numériques de signature de code réalisées sur le darkweb.

Menée par le CSRI (Cyber Security Research Institute), cette enquête a mis en évidence l’abondance de certificats de signature de code sur le darkweb, qui peuvent se négocier jusqu’à 1 200 dollars – rendant ces articles plus onéreux que des passeports contrefaits, des cartes bancaires dérobées et même des armes de poing aux États-Unis.

« Nous savons depuis plusieurs années que les cybercriminels recherchent activement des certificats de signature de code pour diffuser des logiciels malveillants sur ordinateurs », indique Peter Warren, président du CSRI. « La preuve de l’existence d’un marché de la criminalité aussi conséquent pour les certificats remet en question l’ensemble de notre système d’authentification sur Internet et témoigne de l’urgente nécessité de déployer des systèmes technologiques capables de faire obstacle à l’utilisation abusive des certificats numériques. »

Les certificats de signature de code servent à vérifier l’authenticité et l’intégrité des logiciels et applications informatiques, et constituent un élément essentiel de la sécurité sur Internet et en entreprise. Néanmoins, les cybercriminels peuvent mettre à profit des certificats de signature de code compromis pour introduire des malwares sur des réseaux d’entreprise et équipements grand public.

« Notre étude révèle que les certificats de signature de code constituent des cibles lucratives pour les cybercriminels », souligne Kevin Bocek, stratège sécurité chez Venafi.

Les certificats de signature de code dérobés rendent la détection de logiciels malveillants quasiment impossible pour les entreprises. N’importe quel cybercriminel peut s’en servir pour fiabiliser et mener à bien des attaques de malwares, de ransomware et aussi des attaques cinétiques.

De plus, les certificats de signature de code pouvant être revendus plusieurs fois avant que leur valeur ne commence à décroître, ils s’avèrent très profitables aux pirates et aux négociants présents sur le darkweb. Autant de facteurs qui alimentent la demande en leur faveur.

« Bien que notre enquête ait mis au jour un trafic florissant au niveau des certificats de signature de code, nous avons uniquement fait apparaître la partie émergée de l’iceberg. Ironie du sort, nos chercheurs n’ont pu, bien souvent, approfondir leurs investigations, les opérateurs du darkweb se montrant méfiants à leur égard. Nous soupçonnons un négoce de certificats et de clés TLS, VPN et SSH tout aussi prospère, en marge du trafic de certificats de signature de code que nous avons mis au jour », conclut Peter Warren.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde, Securite informatique

Chiffrement : une clé USB sensible trouvée dans la rue

Chiffrement : un homme trouve une clé USB avec les plans de sécurité d’un aéroport Londonien. Des informations qui n’étaient pas chiffrées !

Un Londonien sans emploi a découvert une clé USB dans la rue alors qu’il se dirigeait vers la bibliothèque pour vérifier sur Internet les offres d’emploi. Quand il est arrivé à la bibliothèque, il l’a branché et a découvert que cette dernière était remplie de nombreux détails de sécurité au sujet de l’aéroport international de Londres Heathrow. On pouvait également y trouver les mesures de sécurité et les détails de voyage de la reine Elizabeth II. L’homme a remis immédiatement le disque à un journaliste du Sunday Mirror.

Les informations ainsi disponibles comprenaient l’emplacement de chaque caméra de télévision en circuit fermé (CCTV), les itinéraires et mesures de protection de la sécurité pour la Reine, les ministres du Cabinet et les dignitaires étrangers en visite, mais aussi des cartes des tunnels de l’aéroport.

Une fuite, des fuites !

« Cette histoire est tout ce qui est de plus vraie hélas » indique Romain Cohen-Gonsaud, responsable des ventes et du marketing en Europe pour Origin Storage, il poursuit en indiquant « de tels faits sont très graves et il faut que tout le monde prennent conscience au niveau des entreprises, gouvernements et agences gouvernementales que les données que nous stockons sont ultra sensibles ».

Il existe de nombreux moyens de protéger nos données où qu’elles se trouvent. Si l’on reprend l’exemple de cette clé USB perdue, une telle histoire n’aurait pas vu le jour si le propriétaire des données avait mis en place un système de gestion des périphériques mobiles. En effet avec la solution SafeConsole, il est possible d’administrer à distance un disque dur ou encore une clé USB, changer le mot de passe utilisateur et même effacer la totalité du contenu stocké ! Et ceci à distance sas effort.

A l’heure où nous parlons de plus en plus de la fameuse GRPD, cette loi qui va obliger les entreprises de toute taille à mettre en œuvre des systèmes afin de sécuriser leurs données, il faut bien avouer que cette histoire doit tous nous motiver à prendre les bonnes décisions, plutôt que de les subir, et ce dans l’intérêt de tous.

Chiffrement, Communiqué de presse, cryptage, Justice, loi, RGPD, Securite informatique

RGPD : choisir entre l’anonymisation ou la pseudonymisation des données personnelles

Un commentaire

Anonymisation ou pseudonymisation ? Le Règlement Général sur la Protection des Données (RGPD) entrera en vigueur dans quelques mois, le 25 mai 2018. Avec la digitalisation et l’augmentation accrue du nombre de données, cette nouvelle réglementation européenne demande à toute entreprise manipulant des données personnelles et toute information permettant d’identifier une personne, de mettre en place les moyens techniques adéquats pour assurer la sécurité des données des citoyens européens.

Anonymisation ou pseudonymisation ? Deux grandes techniques très distinctes mises en avant dans la réglementation RGPD / RDPG mais qui sont pourtant souvent confondues dans le monde de la sécurité informatique : l’anonymisation des données et la pseudonymisation des données. Pour être conforme à la RGPD, il est important de pouvoir faire la différence, afin de s’assurer d’être bien préparé et de protéger correctement les données des citoyens.

Data anonymization (anonymisation) ou comment anonymiser l’information

La technique de l’anonymisation des données détruit toute possibilité de pouvoir identifier à quel individu appartiennent les données personnelles. Ce processus consiste à modifier le contenu ou la structure des données en question afin de rendre la « ré-identification » des personnes quasi impossible, même après traitement.

Cette méthode, intéressante au départ, reste pourtant difficile à mettre en œuvre dans la mesure où plus le volume de données croît, plus les risques de ré-identification par recoupement sont importants. En effet, des informations totalement anonymisées peuvent conduire à l’identification d’une personne en fonction du comportement relevé dans les informations, comme les habitudes de navigation sur internet, les historiques d’achats en ligne. Par exemple, si une entreprise garde les données de l’employée Sophie, même en les rendant anonymes (plus de nom, prénom, date de naissance et adresse), l’humain ayant des habitudes, il reste tout de même possible de déterminer un comportement spécifique : L’entreprise saura par exemple que Sophie se rend sur le même site d’information tous les matins, consulte ses mails quatre fois par jours et aime visiblement commander tous les jeudis son déjeuner au restaurant au coin de la rue. Au final, même anonymisées, les habitudes de comportement de Sophie permettent de la ré-identifier.

Or, la CNIL rappelle que « pour qu’une solution d’anonymisation soit efficace, elle doit empêcher toutes les parties d’isoler un individu dans un ensemble de données, de relier entre eux deux enregistrements dans un ensemble de données (ou dans deux ensembles de données séparés) et de déduire des informations de cet ensemble de données. »

Pour de nombreuses entreprises donc, l’anonymisation totale des données personnelles reste difficile à mettre en œuvre. Ces dernières se tournent alors vers une autre technique qui apparait comme un bon compromis : la pseudonymisation.

La pseudonymisation ou l’anonymisation des données

La réglementation RGPD introduit un nouveau concept de protection des données à échelle européenne, la pseudonymisation, un « entre deux » qui ne rend pas les données complètement anonymes ni complètement identifiables non plus. La pseudonymisation consiste à séparer les données de leurs propriétaires respectifs pour que tout lien avec une identité ne soit possible sans une information supplémentaire. En résumé, il s’agit d’une technique d’amélioration de la vie privée où les données d’identification directes sont conservées séparément et en toute sécurité à partir des données traitées, afin de garantir la non-attribution. Ainsi, dans le contexte de la pseudonymisation, les données ne sont pas complètement anonymes sans être identifiables pour autant.

L’unique point faible de la pseudonymisation est qu’elle génère une clé d’identification, une pièce maîtresse qui permet d’établir un lien entre les différentes informations des personnes. Pour assurer la sécurité des données, ces clés d’identification doivent être stockées avec un contrôle d’accès performant. En effet, une clé d’identification mal protégée permet à un attaquant de retrouver les informations originales avant que ces dernières ne soient traitées. L’utilisation du chiffrement des données sensibles fait partie des solutions robustes de protection des informations confidentielles en matière de pseudonymisation. Et il est du devoir de l’entreprise de mettre en place les solutions de sécurité adéquates et raisonnables permettant de limiter les risques de vols de ces précieuses clés par des personnes mal attentionnées.

Les entreprises ont le choix entre les techniques d’anonymisation et de pseudonymisation des données personnelles pour être conformes au RGPD. Leur choix dépendra de leurs besoins mais aussi de la nature des informations collectées. Si l’anonymisation est une technique qui peut être difficile à mettre en place, la pseudonymisation permet de simplifier le processus de protection des données personnelles tout en restant conformes à la nouvelle réglementation européenne. (Jan Smets, pre-sales manager chez Gemaltode)

Chiffrement, Communiqué de presse, Cybersécurité, IOT

La sécurité de l’IoT et de l’OT est une véritable bombe à retardement pour les entreprises

Les décideurs métiers et IT sont anxieux par rapport à la sécurité de l’IoT, notamment en raison des dommages possibles liés à une faille de sécurité.

ForeScout Technologies, Inc., spécialiste de la sécurité de l’Internet of Things (l’IoT), dévoile les résultats de sa dernière étude portant sur l’impact de l’IoT et des technologies opérationnelles (Operation Technology – OT) sur les entreprises. Elle se penche notamment sur les dilemmes de cybersécurité, inhérents à l’IoT et à l’OT, causés au sein des équipes de sécurité et métiers.

L’étude, conduite par le cabinet d’analystes indépendant Forrester Consulting, révèle que ces mêmes équipes sont soumises à de fortes pressions en matière de sécurité de l’IoT et des technologies opérationnelles. Ce stress est notamment dû aux répercussions négatives qu’une faille de sécurité pourrait avoir sur le business de l’entreprise. De plus, la majorité des entreprises (82 %) peinent à identifier l’ensemble des objets connectés à leur réseau. Quant à la désignation d’un responsable de la sécurité de l’IoT, les décideurs IT comme métiers ne peuvent s’accorder sur une réponse précise.

« Les résultats de cette enquête démontrent un changement dynamique dans la manière dont les entreprises abordent la sécurité et les risques liés à l’IoT. Chaque nouvel appareil connecté représente un vecteur supplémentaire d’attaque. Il suffit d’un seul périphérique pour compromettre un réseau entier et perturber les activités de l’entreprise », explique Michael DeCesare, Président et CEO de ForeScout. « La sécurisation de l’IoT n’est pas seulement un enjeu de cybersécurité mais un également un enjeu business. Une personne malveillante exploitera le maillon le plus faible, qui opéré à un niveau de risque même minime, représente déjà un danger. Pour se prémunir, les entreprises ont donc besoin d’une visibilité complète. »

D’après les résultats de l’étude, 77 % des entreprises interrogées reconnaissent que l’utilisation accrue des appareils connectés génère d’importants challenges en matière de sécurité. De plus, 76 % des responsables interrogés ont déclaré que leurs doutes quant à l’IoT les obligeaient à repenser leurs stratégies de sécurité informatique.

Selon Forrester Research, « l’IoT et l’OT apportent des avantages significatifs aux entreprises à travers le monde. Elles vont dans la bonne direction en ce qui concerne les investissements en matière de sécurité de l’IoT. Nous entendons davantage sensibiliser aux défis et aux best pratices à mener en la matière. Car les conclusions de l’enquête révèlent qu’il faut renforcer les actions autour de la sécurité l’IoT. »

Selon l’étude de Forrester Consulting, « Fail to plan, plan to fail », les entreprises voient déjà les avantages d’une nouvelle connexion de périphériques. Mission améliorer les processus/fonctions métier.

Les progrès technologiques ont donné lieu à un déluge de nouveaux types de dispositifs connectés. Des IoT qui, à leur tour, introduisent de nouvelles menaces de sécurité.

Les entreprises sont mal équipées pour les combattre et les reconnaître.

Avec un financement accru et une nouvelle stratégie de sécurité axée sur la visibilité et la conformité, les entreprises peuvent commencer à faire des progrès. In fine, elles réduiront leur anxiété au sujet de l’IoT et regagneront confiance en leur réseau.

L’angoisse autour de la sécurité IoT paralyse l’entreprise

L’IoT engendre un nouveau niveau de complexité et un potentiel impact négatif sur les activités de l’entreprise en cas de défaillance de la sécurité. Plus de la moitié des répondants (54 %) reconnaissent que la sécurité de l’IoT les rend anxieux. Les responsables métiers le sont notamment plus (58 %) que leurs homologues de l’informatique (51 %). En effet, ils comprennent l’ampleur qu’une violation peut avoir sur le fonctionnement de l’entreprise. De plus, ils n’ont parfois pas l’assurance que leurs dispositifs soient totalement sécurisés. Sans compter que ce sentiment de détresse est dû aux coûts supplémentaires et au temps nécessaire pour gérer ces dispositifs, ainsi qu’au manque de compétences en matière de sécurité.

Les obstacles et les complications de la conformité mènent au risque

Pour près de la moitié des informaticiens (45 %) les contraintes budgétaires constituent le principal obstacle à davantage d’investissements dans le domaine de la sécurité IoT. Le scepticisme de la Direction entre également en ligne de compte. Or, sans investissement supplémentaire, 40 % des professionnels de la sécurité continuent de s’appuyer sur une approche de sécurité traditionnelle pour protéger l’IoT et l’OT. Cette stratégie empêche les entreprises de détecter tous les périphériques connectés au réseau. In fine, cela ouvre la porte à un plus grand risque de sécurité ainsi qu’à des complications potentielles de conformité. D’autant plus que 82 % des entreprises reconnaissent ne pas être en mesure d’identifier l’intégralité des appareils connectés à leur réseau, courant ainsi un véritable risque. De plus, 59 % s’avouent même prêtes à tolérer un niveau de risque moyen voir élevé par rapport aux exigences de conformité de la sécurité de l’IoT. Une telle approche est préoccupante quand 90 % des entreprises s’attendent à voir le volume d’appareils connectés augmenter au cours des prochaines années.

Prolifération de l’IoT et de l’OT et les nouveaux challenges inhérents à la responsabilité de leur sécurité

L’étude soutient une déconnexion claire entre les responsables IT et métiers. Elle met en évidence les problèmes potentiels de responsabilité liés à la sécurisation des dispositifs IoT/OT.

Qui est le principal responsable de la sécurisation des appareils IoT/OT sur un réseau d’entreprise ? 44% des responsables IT, contre 36 % des répondants métiers, déclarent qu’elle tient de la responsabilité de professionnels au sein des centres d’opérations de sécurité.

Les responsables métiers sont plus favorables à l’idée qu’un responsable informatique spécialisé métiers puisse en assurer la gestion. Voire un responsable métier directement. Alors que la plupart des entreprises ont tendance à conserver la gestion de la sécurité sous la responsabilité du service informatique, la collaboration entre les gestionnaires d’actifs, les équipes métiers et les équipes réseau, qui adoptent et déploient ces périphériques connectés, devient de plus en plus critique. Ce point est important pour établir une stratégie de sécurité IoT harmonieuse, d’autant plus lors de la gestion des configurations de sécurité par défaut et la visibilité correcte de tous les périphériques.

Relever les défis de sécurité inhérents à l’IoT/OT, savoir prendre les bonnes mesures pour progresser
Un ensemble de mesures émanant de la part de la Direction (usage d’outils de sécurité appropriés et réalisation d’audits) suffit à renforcer la confiance d’appareil sur le réseau.

En effet, pour 48 % des répondants l’amélioration de la prise en compte et de la visibilité des appareils IoT est LA priorité. Ainsi, 82 % des répondants s’attendent à ce que leurs dépenses IoT/OT augmentent au cours des deux prochaines années.

Cependant, pour plus de la moitié d’entre eux (55 %), l’intégration de nouvelles solutions de sécurité IoT avec les existants constitut le critère le plus important.

Méthodologie de l’étude

Cette étude, commanditée par ForeScout, a été réalisé par Forrester en aout 2017 auprès de 603 responsables informatiques et métiers impliqués dans les processus de sécurité réseau. Les participants ont été interrogés sur les défis liés à la sécurité de l’IoT. Sur leur niveau de conscience de la sécurité des dispositifs sur leur réseau. Des entreprises implantées aux États-Unis, au Royaume-Uni, en Allemagne, en France, en Australie et en Nouvelle-Zélande. Toutes comptant 2 500 employés ou plus, ont été interrogées pour cette étude.

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, Justice, loi, Securite informatique, Tor

Le cabinet d’avocats Desmarais en direct dans le Dark Web

Dark Web, deux mots qui font fantasmer… et renvoient souvent aux hackers, crackers et autres pirates informatiques. Un espace qui pourtant n’est pas à négliger. Le cabinet d’avocats Desmarais vient d’y implanter un espace numérique.

Ce Dark Web, appelé officiellement « Internet Clandestin » par la Commission d’Enrichissement de la Langue Française n’est pas une zone de non droit pour Pierre Desmarais du Cabinet Desmarais Avocats. « Le Dark Web est d’abord et avant tout un espace chiffré permettant des échanges et des connexions sécurisées et plus anonymes. Comme sur tout espace public, le droit y a pleinement sa place ».

De l’autre côté du miroir

En amont de l’ouverture du Hackfest de Québec et à l’occasion du lancement de son nouveau site Internet (www.desmarais-avocats.fr), le Cabinet, spécialisé notamment en droit de l’innovation, des données et du numérique, a décidé de se présenter également sur TOR (The Onion Router) via l’adresse pxpalw3plncz4umm.onion (Uniquement via TOR).

« Aujourd’hui, c’est une simple transposition de note site classique. Demain, nous irons plus loin. En effet, les utilisateurs du Dark Web, de TOR, se posent de nombreuses questions sur l’usage crypté / anonymisé permis pour cet espace. C’est pourquoi nous allons rapidement leurs proposer une FAQ sur les points principaux » précise Mr Pierre Desmarais.

De plus, et pour aller encore plus loin, le cabinet Desmarais Avocats envisage déjà de réaliser des webinars dédiés sur TOR. Pour construire ceux-ci et préparer la FAQ, chaque internaute présent sur le Dark Web et s’interrogeant sur une question juridique liée à son usage est invité à transmettre celle-ci via le formulaire de contact présent sur le site.

Dark Web, un nouvel espace de sécurité pour les usagers et les entreprises

À l’heure où la sécurisation des données, leur anonymisation sont au centre de tous les débats, aussi bien dans le monde de la santé, du e-commerce, de la banque-assurance ou de l’information, le Dark Web est de plus en plus porteur de solutions.

OpenBazzar est un exemple révélateur de cette évolution, de ces nouveaux usages issus du Dark Web. Non seulement cette plateforme de e-commerce permet de limiter le prix de biens vendus (absence de commission, chaque utilisateur ou entreprise étant sa propre plateforme de e-commerce) mais elle permet également de rester maître de ses données personnelles, de ses habitudes d’achat qui ne sont transmises à personne.

« Les technologies blockchain, dont on parle de plus en plus et dont les usages commencent à émerger pour sécuriser des transactions financières, des échanges de données…, sont nées du Dark Web » indique Mr Pierre Desmarais avant de poursuivre « Il est nécessaire de s’immerger dans cet espace si l’on souhaite accompagner au mieux les usages. Cela fait partie de l’ADN du cabinet ».

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Mise à jour, Patch, Securite informatique, VPN

Krack ou l’hypocrisie mondiale des maîtres du monde

L’annonce de la faille de sécurité baptisée Krack mettant en suspend toute la confiance du monde sur les réseaux Wifi domestiques et professionnels fait la une de la presse générale. Il s’agit de la fameuse clé WAP2, norme barbare améliorée du protocole de chiffrement Wifi WAP.

On découvre que plus aucun terminal connecté à un réseau Wifi n’est protégé, mieux on en devient tous vulnérable. Une partie de nos échanges chiffrés peuvent être captés par un tiers malveillant – comprenez un hacker – et que désormais, nous ne devrions plus utiliser nos Wifi. Il faut comprendre que si un hacker sait lire une “partie“ de vos fichiers, il sait en vérité tout lire. Il n’y pas de demie mesure sur ce point. Mais ne cédons pas à la panique d’autant que curieusement les agences de sécurité reconnaissent avoir identifié cette faille depuis des semaines et les éditeurs sont déjà en train de proposer des mises à jour de sécurité. Cela avant même la communication sur cette faille qui n’est finalement pas une trouvaille.

La bonne idée c’est que Mathy Vanhoef, chercheur à l’Université de Leuven en Belgique a trouvé un moyen de rejouer la faille par un programme automatisé. En clair, il est capable d’industrialiser l’attaque.

Mais nous savons, parce que c’est notre métier, que jamais aucun réseau Wifi n’est sécurisé. En 2008, les civils Martin Beck et Erik Tews avaient découvert une faille sur le format WAP. Né alors le WAP2 censé corriger l’algorithme du chiffrement, c’est de lui qu’il s’agit aujourd’hui.

L’avez-vous remarqué, je parle des chercheurs comme des civils ? En effet, il est salutaire de noter que sans ces femmes et ces hommes, notre résistance aux attaques cybernétique serait tout bonnement nulle. Et les États alors ? Et bien sachez que tous les États gardent pour eux les failles de sécurités qu’ils détectent par hasard ou non, et ceux pour tous les systèmes quels qu’ils soient. La raison est simple. Elle tend à renforcer les systèmes de défense et d’attaque du pays. L’atout et de savoir ce que l’autre ignore.

L’attaque de masse nommée Wannacry s’appuyait sur une faille Windows de Microsoft que la NSA avait gardé pour elle jusqu’à ce qu’un lanceur d’alerte la publie sur Wikileaks. Les mafias ou états étrangers n’avaient plus qu’à en prendre connaissance pour construire une attaque de masse. Comme quoi, avoir le savoir d’une attaque cybernétique d’ampleur vous met en situation temporaire de Maître du monde.

L’enjeu quand il n’est ni stratégique ni politique et simplement cupide. Et cette attaque extrêmement bien relayée par les médias pourrait changer l’internet de demain. La force du réseau internet est de laisser le maximum d’échange possible en clair. Si cette attaque invite tous les consommateurs d’internet à utiliser un VPN de trafic internet souverain, alors le Ad Marketing est mort entraînant dans sa chute Google en premier, les autres ensuite. Sans captation du trafic, le vôtre en l’occurrence, on ne peut pas savoir qui vous êtes, ce que vous faites et ce que vous consommez.

Criteo et consort disparaissent, Google ne sait plus positionner la pub au bon moment et sur la bonne page ! La rémunération disparaît alors. Fini Google, adieu Gmail, bye bye Facebook (tous gratuit), bref une nouvelle aire et un nouveau business model peut naître.

Peu probable car le consommateur est très attaché à ses habitudes et les changer est le dernier des efforts que l’homme apprécie faire, même si intrinsèquement c’est cette faculté qui lui a permis de construire l’internet et pas les ratons laveurs.

Qu’est-ce qu’un VPN de trafic souverain ? C’est une solution qui chiffre le trafic établi entre votre terminal et la borne Wifi ou 3G/4G et votre connexion à l’internet se fait depuis une adresse IP virtuelle dans un pays asservi par l’éditeur du logiciel. Les Finlandais sont les meilleurs pour cela d’autant que leur constitution politique est très attachée au secret de la vie privé. C’est ce qui rend la solution souveraine. On retrouve ces mêmes constitutions en Suisse, en Islande ou en Norvège. Les États-Unis comme Israël sont très rigides. Il suffit d’ailleurs de lire les Conditions Générale de Google pour comprendre combien vaut votre libre arbitre sur Internet. Avec un peu de recul vous comprendrez vite qu’il vaut une partie du revenu du GAFA.

Le Ad Marketing devra donc revoir le modèle si nous devenions tous consommateurs de ce chiffrement qui limite considérablement notre exposition face aux pirates. Seule l’histoire très prochaine nous donnera la tendance de cette attaque qui porte bien son nom. (par Frans Imbert-Vier PDG d’UBCOM pour DataSecurityBreach.fr)

Chiffrement, cryptage, Cybersécurité, Justice, loi, RGPD, Securite informatique

RGPD : Comment les entreprises réagissent face au cadre réglementaire lié à la protection des données ?

A la lumière des récentes attaques et de l’évolution du paysage réglementaire en matière de protection des données, McAfee publie un nouveau rapport intitulé : ‘Do you know where your data is? Beyond GDPR : Data residency insights from around the world’ qui met en évidence l’approche des entreprises en matière de localisation, de gestion et de protection desdites données.

Comment les entreprises appréhendent-elles, au niveau mondial, la dizaine de réglementations (11) relatives à la sécurité des données, dont fait partie le Règlement Général sur la Protection des Données (RGPD) de l’Union Européenne ? A compter du 25 mai 2018, ce texte renforcera et simplifiera les lois protégeant les données personnelles pour plus de 500 millions d’Européens.

« Aujourd’hui, les entreprises ont pris conscience que des réglementations plus strictes envers la protection des données profitent aussi bien à leurs résultats qu’aux consommateurs. Cependant, plusieurs ont des obstacles à surmonter à court terme pour se conformer à aux prochaines législations en vigueur. C’est notamment le cas pour la réduction du temps nécessaire au signalement d’un vol de données induit par le RGPD, par exemple« , commente Raj Samani, Chief Scientist – McAfee.

Les principaux enseignements du rapport ‘Do you know where your data is? Beyond GDPR : Data residency insights from around the world’ de McAfee portent sur :

La délocalisation du lieu de stockage des données. Près de la moitié (48 %) des entreprises migreront leurs données vers un nouvel emplacement en raison d’un cadre législatif jugé plus contraignant. Pour 70 % des décideurs interrogés, l’implémentation du RGPD permettra à l’Europe de s’affirmer comme un leader en termes de protection des données. Les États-Unis restent toutefois la destination de stockage de données la plus populaire au monde, plébiscitée par près de la moitié des répondants.

En comparaison, la plupart des entreprises sont incertaines de l’endroit où leurs données sont stockées. Seules 47% connaissent, en temps réel, leur emplacement.

Le potentiel commercial offert par la confidentialité. Trois-quarts des décideurs (74 %) estiment que les entreprises qui appliqueront à la lettre ces lois/règlements attireront davantage de nouveaux clients.

Les règlements et les mesures sont un frein à l’acquisition et à l’investissement technologiques. Environ deux tiers des répondants disent que le RGPD (66 %), les politiques américaines (63 %) et le Brexit (63 %) ont déjà ou auront une incidence sur les investissements de leur entreprise en matière d’acquisition technologique. La moitié (51 %) est convaincue que leur société est freinée dans sa modernisation en raison des réglementations externes inhérentes à la protection des données.

L’opinion publique est essentielle à la prise de décision en matière de données. Une grande majorité des entreprises (83 %) prend en compte le sentiment public en matière de confidentialité de la donnée avant de choisir leur emplacement de stockage.

Les entreprises mettent en moyenne 11 jours à signaler une faille de sécurité (vol de données, intrusion, etc.).

Les fournisseurs de services Cloud inspirent confiance. Huit sociétés sur dix prévoient, au moins en partie, de s’appuyer sur leur fournisseur de services Cloud pour les accompagner dans leur mise en conformité en matière de protection des données.

Seulement 2 % des managers comprennent véritablement les lois qui s’appliquent à leur entreprise, bien que la majorité des répondants (54 %) est persuadée que leur Direction a une « compréhension complète » des règles inhérentes à la protection des données.

Le rapport révèle, dans son ensemble, des convictions opposées quant aux réglementations relatives à la protection des données. D’un côté, les événements mondiaux (cyber et généraux) et le renforcement des politiques de protection des données font réfléchir les décideurs au moment d’investir technologiquement. De l’autre, la plupart des entreprises cherchent à stocker ces mêmes données dans les pays ayant les politiques de protection les plus strictes. « De toute évidence, les lois en matière de conformité, aussi contraignantes soient-elles, sont bénéfiques, tant pour les clients que pour la rentabilité d’une entreprise. A l’avenir, une sensibilisation et une compréhension accrues des données devraient conduire à une meilleure utilisation et à une meilleure protection », ajoute Fabien Rech, Directeur Régional McAfee France.

Base de données, Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, loi, Mise à jour, Patch, Piratage, Propriété Industrielle, ransomware, Securite informatique

La cyber-criminalité coûte de plus en plus d’argent aux entreprises

La cyber-criminalité coûte en moyenne 11,7 millions de dollars par an à chaque entreprise américaine, soit une hausse de 62 % en cinq ans, d’après une étude menée par Accenture et Ponemon Institute. Les infections par malware sont les cyber-attaques les plus coûteuses, avec 2,4 millions de dollars par incident en moyenne.

Partout dans le monde, des cyber-attaques sont commises avec un impact financier de plus en plus lourd pour les entreprises. Selon une nouvelle étude publiée par Accenture à l’occasion de l’ouverture des Assises de la sécurité, le coût moyen de la cyber-criminalité a atteint, à l’échelle mondiale, 11,7 millions de dollars par entreprise en 2017, soit une augmentation de 23 % par rapport à 2016 (9,5 millions de dollars) et de 62 % ces cinq dernières années. C’est aux États-Unis que le coût moyen est le plus élevé (21,22 millions de dollars par acte criminel), tandis que l’Allemagne enregistre la plus forte hausse du coût total de la cyber-criminalité (de 7,84 à 11,15 millions de dollars). Cette forte dégradation fait suite aux récentes attaques de grande ampleur telles que WannaCry et Petya, dont les préjudices causés à un certain nombre de grandes entreprises mondiales se chiffrent en centaines de millions de dollars.

Cette étude du coût de la cyber-criminalité (Cost of Cyber Crime Study) a été menée auprès de 2 182 spécialistes de la sécurité IT, issus de 254 organisations à travers le monde. Elle révèle que le nombre de cyber-attaques est en constante augmentation depuis que le Ponemon Institute a débuté ses recherches en 2009. Le rapport fait état d’un certain nombre d’enseignements :

En moyenne, une entreprise subit 130 violations de sécurité par an, soit une hausse de 27,4 % par rapport à 2016, et un quasi-doublement en l’espace de cinq ans. Une violation de sécurité (« breach ») est définie comme une infiltration au sein d’un réseau central ou d’un système d’entreprise.
Les secteurs les plus touchés sont les services financiers et l’énergie, avec respectivement un coût annuel moyen par entreprise de 18,28 et 17,20 millions de dollars.
On note également une augmentation de la durée nécessaire pour corriger les problèmes. Parmi les incidents les plus longs à traiter se trouvent ceux qui viennent de l’intérieur, avec une moyenne de 50 jours, contre un peu plus de 23 jours pour les attaques par ransomware.
Les attaques par malware et celles provenant du Web sont les plus coûteuses, nécessitant une dépense moyenne respective de 2,4 et 2 millions de dollars par entreprise.

« Les conséquences coûteuses et dévastatrices de la cyber-criminalité pour les entreprises soulignent l’importance croissante de la planification stratégique et d’un suivi rigoureux des investissements en matière de sécurité. L’étude donne une moyenne du coût de la cybercriminalité mais pour certaines entreprises les pertes peuvent être bien plus importantes », explique Eric Boulay, Directeur d’Accenture Security en France et au Benelux. « Pour continuer à résister à des attaques de plus en plus sophistiquées et extrêmement motivées, les entreprises doivent adopter une stratégie de sécurité dynamique et agile, permettant de construire la résilience de l’intérieur vers l’extérieur (au lieu de se focaliser exclusivement sur le périmètre pris en charge), avec une approche spécifique à l’activité pour protéger l’ensemble de la chaîne de valeur. »

Améliorer la répartition des dépenses en matière de technologies de sécurité

Sur les neuf technologies de sécurité évaluées, celle qui fait l’objet des dépenses les plus importantes est le contrôle de périmètre avancé. Or on constate que les entreprises qui ont déployé ces solutions de sécurité ont réalisé des économies opérationnelles (liées à l’identification et à la remédiation des cyber-attaques) qui s’élèvent à seulement un million de dollars, ce qui suggère un possible manque d’efficacité dans l’allocation des ressources. Parmi les catégories de dépenses les plus efficaces pour minimiser les pertes causées par les actes de cyber-criminalité se trouvent les systèmes de renseignement (security intelligence), définis comme des outils permettant d’ingérer des informations issues de multiples sources dans le but d’identifier et prioriser les menaces internes ou externes. Ces systèmes permettent de réaliser des économies substantielles (2,8 millions de dollars en moyenne), soit plus que tous les autres types de technologies couverts par l’étude. Les technologies d’automatisation, d’orchestration et d’apprentissage machine ont été déployées dans seulement 28 % des entreprises, (soit le pourcentage le plus faible parmi les technologies considérées), alors qu’elles arrivent en troisième position en termes d’économies opérationnelles liées aux technologies de sécurité, avec un total de 2,2 millions de dollars.

Les conséquences financières des cyber-attaques sont de plus en plus lourdes

Les chercheurs ont exploré quatre impacts principaux sur les organisations victimes d’une cyber-attaque : perturbation de l’activité, perte d’informations, perte de revenus et dommages matériels. Le type de dommages le plus préjudiciables est aujourd’hui la perte d’information, mentionnée par 43 % des personnes interrogées. Le coût de la perturbation de l’activité (défaillance des processus suite à une attaque, par exemple) est en revanche passé de 39 % en 2015 à 33 % cette année.

« Le cœur d’un programme de sécurité solide et efficace consiste à identifier et à « renforcer » les actifs les plus précieux de l’entreprise », explique le Dr Larry Ponemon, Président fondateur du Ponemon Institute. « Bien que des progrès réguliers aient été réalisés dans le domaine de la cyber-défense, les entreprises pourraient bénéficier d’une meilleure compréhension des coûts de la cyber-criminalité ; cela les aiderait à combler l’écart entre leurs vulnérabilités et l’inventivité sans fin (et le nombre croissant) des cyber-criminels. »

Le coût moyen par entreprise varie considérablement selon le pays et le type d’attaque
L’Australie affiche le coût moyen par cyber-attaque le plus faible (5,41 millions de dollars), tandis que le Royaume-Uni enregistre la plus faible évolution par rapport à l’an dernier (de 7,21 à 8,74 millions de dollars). Le Japon enregistre une augmentation des coûts de 22 % (10,45 millions de dollars), soit la troisième plus forte augmentation des pays couverts par l’étude.

Les coûts varient considérablement selon le type d’attaque. Les entreprises américaines sont celles qui consacrent le plus de dépenses de remédiation, tous types de cyber-attaque confondus, en particulier dans les domaines des attaques par malware et des attaques provenant du Web (3,82 et 3,40 millions de dollars par incident, respectivement). En Allemagne et en Australie, 23 % du coût total annuel lié à la cyber-criminalité est imputable à des attaques par malware. En France, 20 % du coût total annuel lié à la cyber-criminalité est imputable aux attaques provenant du Web. Les attaques par déni de service représentent 15 % du coût annuel total en Allemagne et au Royaume-Uni.

Recommandations pour renforcer l’efficacité des efforts de cyber-sécurité

En prenant les trois mesures suivantes, les entreprises peuvent renforcer l’efficacité de leur cyber-sécurité, en prévenant les actes cybercriminels et en minimisant leur impact :

Construire la cyber-sécurité sur des fondations solides – Les entreprises gagneraient à investir dans des éléments de base performants, notamment dans les domaines du renseignement en matière de sécurité et de la gestion avancée des accès, tout en reconnaissant la nécessité d’innover pour rester en avance sur les hackers.
Effectuer des tests de résistance extrêmes – Les entreprises ne doivent pas uniquement chercher à répondre aux impératifs de conformité pour améliorer leur profil sécuritaire : elles doivent également procéder à des tests de résilience extrêmement exigeants afin d’identifier leurs vulnérabilités de manière encore plus rigoureuse que les hackers les plus motivés.
Investir dans des innovations de rupture – Les entreprises doivent consacrer une partie de leur budget aux nouvelles technologies, en particulier aux solutions analytiques et à l’intelligence artificielle, pour améliorer l’efficacité et l’étendue de votre programme.

Méthodologie

L’étude, menée par le Ponemon Institute pour le compte d’Accenture, analyse un certain nombre de coûts associés aux cyber-attaques, dans des domaines tels que l’infrastructure IT, l’espionnage économique, la perturbation de l’activité, l’exfiltration de propriété intellectuelle ou encore la perte de revenus. Les données ont été collectées à partir de 2 182 entretiens conduits sur une période de dix mois, dont les participants étaient issus de 254 organisations dans sept pays (Etats-Unis, Royaume-Uni, Australie, Allemagne, Japon, France et Italie). L’étude permet d’établir le coût de tous les actes de cyber-criminalité subis sur une période d’un an. Cela inclut les coûts liés à la détection, à la récupération, aux investigations et aux réponses apportées aux incidents. Les coûts résultant des activités post-incident, visant à limiter des dépenses supplémentaires liées à la perturbation de l’activité et à la perte de clientèle, sont également pris en compte.

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, ID, Identité numérique, IOT, Particuliers, RGPD, Securite informatique

Smart city et données personnelles : quels enjeux de politiques publiques et de vie privée ?

Le LINC (Laboratoire d’innovation numérique de la CNIL) publie son 5ème cahier Innovation et prospective intitulé : « La plateforme d’une ville – Les données personnelles au cœur de la fabrique de la smart city ».

Ce cahier « Smart City » explore les enjeux politiques et sociaux qui émergent autour de la place croissante des données dans la ville, au-delà de la seule conformité à la loi Informatique et Libertés ou au Règlement Général sur la Protection des Données (RGPD). Ce cahier entend également contribuer aux débats et questionnements en cours sur la smart city, à travers un prisme de lecture et un éclairage propres à la CNIL : l’accompagnement de l’innovation couplé à la protection des données et des libertés individuelles en contexte urbain. Il s’adresse à tous les acteurs qui gravitent autour de ces questions, et notamment aux collectivités locales, qui font face à de nouvelles problématiques.

Il souligne les conséquences de la massification des données sur les politiques publiques urbaines et en particulier sur les équilibres dans les rapports public / privé. Il propose de remettre en perspective la ville au prisme de l’économie des plateformes, et des équilibres de force entre acteurs publics, acteurs privés et citoyens. Après une première partie décrivant les limites de l’expression « smart city », la mise en données de la ville numérique est abordée selon trois angles :

Quand les modèles économiques des plateformes transforment la ville : ou comment l’arrivée des grands acteurs du numérique dans les services urbains (Sidewalk CityLab, Waze Connected Citizen de Alphabet/Google, Uber ou Facebook) pose la question des contreparties réelles demandées aux individus et aux acteurs publics pour des services présentés comme gratuits.

La ville liquide : à qui profitent les flux ? : ou comment la promesse de la ville fluide pose la question de la liberté et des droits des individus qui parfois réduits à une somme d’éléments à optimiser et de problèmes à résoudre par la technologie.

Vers un mode « navigation privée » dans l’espace public ? : ou comment les impératifs de sécurité et la généralisation des dispositifs de captation mettent à mal l’anonymat, pourtant constitutif de la ville.

Dans une dernière partie, quatre scénarios prospectifs de régulation permettant d’engager un rééquilibrage privé/public par les données sont explorés. Ils sont mis en perspective pour répondre aux questions suivantes :

Comment organiser un retour vers l’acteur public de données produites par l’entremise des individus dans le cadre de services portés par des acteurs privés ?
Comment permettre à ces acteurs publics de réutiliser ces données à forte valeur ajoutée pour des finalités d’intérêt général, dans le respect des droits des entreprises en question, ainsi que des droits et libertés des personnes concernées ?

Ces quatre scénarios, présentés dans une matrice à quatre entrées comme autant de leviers actionnables, envisagent notamment des configurations privilégiant le recours à :

un « open data privé obligatoire » ;
des « données d’intérêt général augmentées » ;
des solutions de « plateformes d’accès aux données »,
la « portabilité citoyenne » ;

Sans privilégier l’un ou l’autre de ces scénarios, qui ne sont pas exclusifs, il s’agit de présenter l’économie générale de chacun, de souligner leurs potentialités et de mettre en lumière les enjeux qu’ils soulèvent pour la protection des données personnelles des citoyens.

Ce cahier IP est distribué avec son tiré à part, « Voyage au centre de la ville de demain », qui expose trois scénarios à horizon 2026 conçus dans le cadre d’ateliers de design fiction, organisés et animés par LINC en partenariat avec Five by Five (agence d’innovation) et Usbek & Rica (magazine d’exploration du futur).

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, RGPD, Sauvegarde, Securite informatique, Social engineering

Fuite de données idiotes pour le Casino Graton Resort

Un certain nombre de données sensibles appartenant aux clients de la société Graton Resort and Casino ont été diffusées par erreur par le groupe de casinos !

On ne connait pas le nombre exacte des clients touchés par la fuite de données sensibles qui vient d’impacter l’entreprise Graton Resort and Casino. Ce professionnel de l’hôtellerie vient d’annoncer une boulette. Un courriel envoyé aux clients contenait les informations personnelles, privées et sensibles des autres clients.

Bref, un service makerting (Internet ou partenaires extérieurs) qui utilise un fichier Excel contenant les informations des clients et qui se retrouve en copié collé en lieu et place de la promotion du moment. Identités, adresses et numéro de sécurité sociale (l’identité administrative, NDR) des clients ont été diffusés. La lettre envoyée par Graton Resort and Casino indique que cette erreur a été détectée le 1er septembre 2017.

La fuite a eu lieu … entre février et août 2017. Ils ne sont même pas capable de connaître la véritable date de diffusion. « Il est important de noter que ce n’était pas une violation de données ou un piratage« , a indique le communiqué de presse. « Ce fut une erreur humaine« .

Fait troublant, le 15 septembre, un bug sur le réseau informatique interne d’un casino du groupe a obligé certains joueurs à rester 4 heures devant leur bandit manchot ou les machines vidéo poker. Le réseau permettant de valider les paiement automatiques était tombé en panne !

A noter que si cette fuite était apparue après le 25 mai 2018, date de la mise en fonction du Nouveau Règlement liée aux données privées des Européens, le casino Américain aurait été dans l’obligation d’alerter les CNIL des pays liés aux clients de la zone Europe impactés.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde, Securite informatique

Piratage pour Forrester Research : des rapports clients volés

Le site Internet de la société Forrester Research, Forrester.com, a été infiltré. Une vulnérabilité qui a donné accès à un pirate à des informations commercialisées par FR.

Une faille de sécurité dans le site web de Forrester Research a permis à un pirate informatique d’avoir accès à des informations sensibles commercialisées par la société spécialisée dans les audits et analyses économiques.

Le pirate a trouvé un accès à l’espace permettant d’accéder aux rapports produits par FR et mis à disposition, pour les clients, sur le site Forrester.com. Les attaquants ont été détectés après l’intrusion. Les comptes créés pour l’occasion par les malveillants ont effacé du système. Le cabinet de conseil, l’un des plus influents du monde, a indiqué qu’aucunes données clients n’avaient été impactées. Les pirates ont infiltré l’infrastructure hébergeant le site Forrester.com. Un espace qui permet également aux clients de télécharger des études de marché. Des accès en fonction de leurs contrats avec Forrester Research. Autant dire une manne d’information stratégique pour qui sait s’en servir.

Les sociétés d’audits et autres études de marché sont des cibles VIP+ pour les espions du numérique. A l’image des agences de presse spécialisée dans l’économie, porteuses de communiqués de presse non encore diffusés ou mis sous embargo.

En 2015, cinq personnes étaient arrêtées aux États-Unis pour s’être fait une spécialité boursière pas comme les autres. Ils pirataient des agences de presse spécialisées. Le but, de mettre la main sur des données encore publiées concernant des sociétés cotées en bourse. Les pirates mettaient en vente les informations volées auprès d’acheteurs initiés aux arnaques financières. Les malveillants proposaient aussi d’accéder aux serveurs compromis, soit ils offraient la possibilité de consulter des listes « d’achats » et de « souhaits » à partir d’informations qui devaient être diffusées par les agences. Une infiltration qui va durer 5 ans !

Un procédé qui ressemble comme deux gouttes d’eau à l’action pirate menée contre Forrester Research.

Chiffrement, cryptage, Cybersécurité, Entreprise, Justice, loi, RGPD, Securite informatique

Les RSSI craignent les failles de sécurité dans le cloud public

Selon une récente étude, les RSSI craignent les failles de sécurité dans le cloud public, mais seule une entreprise sur six chiffre toutes ses données.

Selon une récente étude publiée par la société Bitdefender, neuf professionnels de l’informatique sur dix se disent inquiets de la sécurité dans le cloud public, et près de 20 % d’entre eux n’ont pas déployé de système de sécurité pour les données sensibles stockées hors de l’infrastructure de l’entreprise. La moitié des personnes interrogées admet que la migration vers le cloud a significativement élargi le nombre de points qu’ils ont à défendre, tandis que seule une sur six chiffre les données déjà migrées. Cette enquête a été menée auprès de 1 051 professionnels en informatique de grandes entreprises comptant plus de 1 000 PC et des datacenters ; aux États-Unis, au Royaume-Uni, en France, en Italie, en Suède, au Danemark et en Allemagne.

Parmi les nouvelles exigences, l’obligation de protéger correctement les données, et en cas de violation, l’obligation pour les entreprises d’avoir en place des systèmes de notification conformes aux critères de la RGPD. L’adoption grandissante du cloud hybride – un mélange de services de cloud public et de datacenters privés, déjà en place dans 70 % des entreprises dans le monde – donne naissance à de nouveaux défis en matière de sécurité et oblige les RSSI à adopter diverses technologies pour contrer les exploits de type Zero-day, les menaces persistantes avancées et autres types de cybercrimes dévastateurs.

Qui dit cloud hybride dit problèmes hybrides
Près de 81 % des RSSI estiment que les logiciels de sécurité sont le dispositif de sécurité le plus efficace pour protéger les données stockées dans le cloud public, suivi de près par le chiffrement (mentionné par 77 % des répondants) et les sauvegardes (jugées fiables par près de la moitié des personnes interrogées).

Selon cette enquête, un grand nombre d’entreprises françaises – quatre sur dix – protègent de 31 à 60 % des données stockées dans le cloud public, tandis que seules 17 % d’entre elles chiffrent l’intégralité de celles-ci. Autre sujet d’inquiétude : 19 % des RSSI ne déploient pas de sécurité dans le cloud public, et le même pourcentage ne chiffre pas les données en transit entre leur propre datacenter et les datacenters externes.

Les spécialistes en cybersécurité de Bitdefender recommandent que tous les transferts de données entre le client et le prestataire de services cloud soient chiffrés pour éviter les attaques de type man-in-the-middle susceptibles d’intercepter et de déchiffrer toutes les données transmises. En outre, toutes les données stockées en local ou dans le cloud doivent être chiffrées pour empêcher les cybercriminels de les lire en cas de violation de données ou d’accès non autorisé.

Pour se conformer à la RGPD, les entreprises doivent identifier les données qui relèvent du règlement – « toute information se rapportant à une personne physique identifiée ou identifiable » –, consigner la manière dont ces données sont protégées et définir des plans d’intervention en cas d’incident.

L’enquête montre également que 73 % des responsables informatiques utilisent une solution de sécurité pour endpoint afin de protéger les infrastructures physiques et virtuelles, mais que 24 % ont mis en place d’autres outils. Parmi ceux-ci, 77 % l’ont fait pour protéger des clients sensibles et des données de clients, 70 % citent la conformité aux exigences internes et réglementaires, et 45 % veulent empêcher les interruptions de service suite à une attaque.

Une sécurité sur mesure face aux cyberarmes les plus élaborées
Les spécialistes Bitdefender conseillent fortement aux RSSI d’utiliser une infrastructure de sécurité centralisée, à la fois pour les environnements physiques et virtuels, mais étant capable de s’adapter à l’environnement sur lequel elle est déployée, et ce pour éviter trois inconvénients majeurs :

– L’augmentation des coûts généraux : l’installation d’une solution pour endpoint sur plusieurs machines virtuelles hébergées sur le même serveur impacte les ressources en exécutant en permanence des applications redondantes telles que les agents de sécurité.

– La réduction significative des performances : celle-ci sera inévitable si des outils de sécurité pour environnements virtualisés ne sont pas déployés. En effet ceux-ci utilisent des agents optimisés intégrés à des appliances virtuelles de sécurité sur le ou les serveurs, pour que les fichiers déjà analysés ne soient pas réanalysés à chaque fois qu’un utilisateur en a besoin.

– L’absence de protection lors du démarrage : les environnements virtuels ont souvent à faire face à des cyberarmes plus sophistiquées que celles observées pour les environnements physiques, telles que les menaces persistantes avancées ou les attaques ciblées, qui visent aussi bien les entreprises que les entités gouvernementales (exemple APT-28, et plus récemment Netrepser). En la matière, une sécurité adaptée aux environnements virtuels est de loin la solution la plus efficace pour détecter et combattre ces menaces complexes.

Ce qui est stocké dans le cloud public ne doit pas être rendu public

Les entreprises françaises sauvegardent principalement dans le cloud public des informations relatives à leurs produits (52 %), à leurs clients (44 %) et à leurs finances (45 %) et évitent de sauvegarder hors site ce qu’elles considèrent comme des données plus sensibles, telles que les recherches sur de nouveaux produits ou la concurrence (respectivement 40 % et 32 %) ou ce qui touche à la propriété intellectuelle (17 %). Elles chiffrent donc plus souvent des informations et caractéristiques de produits (36 %), des informations sur leurs clients (29 %), des informations financières (35 %) que leurs sauvegardes (17 %), leurs recherches sur la concurrence (17 %) et les informations relatives à la propriété intellectuelle (12 %).

« Le risque de ne pas être conforme à la RGPD implique non seulement une mauvaise publicité et une atteinte à la réputation des entreprises, comme c’est déjà le cas, mais également des pénalités qui peuvent atteindre 4 % du chiffre d’affaires annuel d’une entreprise », explique Bogdan Botezatu, Analyste senior des e-menaces chez Bitdefender. « 2017 ayant déjà établi de nouveaux records en termes de magnitude des cyberattaques, les comités de direction doivent réaliser que leur entreprise connaitra sans doute, sous peu, une violation de données, car la plupart d’entre elles ne sont pas correctement protégées. »

Lors de la sélection d’une solution de cloud hybride, les spécialistes Bitdefender recommandent aux entreprises d’analyser le type de données qu’elles traitent et d’en évaluer le caractère sensible – aussi bien pour l’entreprise que pour ses clients. Les données critiques, personnelles et privées touchant à la propriété intellectuelle doivent être enregistrées sur site, et n’être accessibles qu’au personnel autorisé.

Les entreprises qui traitent des données sensibles ou confidentielles, ou des données relatives à la propriété intellectuelle, doivent veiller à ce que leur infrastructure de cloud privé reste privée. Aucune personne hors du réseau local ne devrait être en mesure d’accéder à ces données et seul le personnel autorisé doit avoir les accès nécessaires pour les traiter. Le cloud privé doit être complètement isolé de l’Internet public pour empêcher les pirates d’accéder à distance, aux données via des vulnérabilités.

En ce qui concerne les défis à relever, 32 % des RSSI français considèrent le cloud public comme leur principale priorité, un pourcentage quasiment identique au pourcentage de RSSI préoccupés par le cloud privé (34 %). 16% déclarent accorder une même importance aux deux, et 15 % estiment que le cloud hybride est leur principale source d’inquiétude.

La moitié des entreprises interrogées considère le manque de prédictibilité, le manque de visibilité sur les menaces, ainsi que le manque de plateformes de sécurité multi-environnements, comme étant les principaux défis de sécurité en ce qui concerne l’adoption du cloud.

Chiffrement, cryptage, Cybersécurité, Entreprise, Sauvegarde

Le coffre-fort numérique MemoCloud se charge de votre héritage numérique

La Toussaint est souvent un moment difficile pour ceux qui ont perdu un proche. Comment accéder aux informations de la personne décédée ? Le coffre-fort numérique MemoCloud se charge de cet héritage numérique.

Un proche décède et les implications difficiles administratives rentrent en jeu. Les difficultés lors d’une succession par manque d’informations données par le défunt se font rapidement sentir. Selon un sondage, 37% des Français confient ne pas trouver d’oreille « suffisamment attentive » pour parler de la mort, notamment après celle d’un proche. Cela a, en général, pour conséquence il devient de plus en plus évident qu’il faille réfléchir à ce qui va se passer, après sa mort. À l’ère du numérique, nous effectuons toutes nos démarches en utilisant Internet, que ce soit pour nos factures, nos impôts, nos contrats, nos informations bancaires et même de plus en plus pour notre patrimoine. Nos documents importants se retrouvent alors éparpillés sur des sites divers et variés et sur notre ordinateur sans que quiconque puisse en être informé s’ils nous arrivent quelque chose (incapacité ou décès).

Il est utile de savoir qu’avec 54 millions de contrats, 37 millions de bénéficiaires et un encours de 1 632 milliards d’euros, l’assurance-vie est le premier placement financier des Français et le soutien de premier plan pour le financement des entreprises françaises (Sondage FFA Ipsos Mars 2017). Par contre chaque année, des milliards d’euros ne sont pas reversés par lesdites assurances vies faute d’avoir retrouvé le bénéficiaire ou d’avoir été réclamées. De plus, près de 9 successions sur 10 n’ont pas établi de testament ou de dernières volontés, il est alors difficile de savoir ce que l’être cher veut ou voulait réellement.

Veut-il que l’on s’acharne thérapeutiquement sur lui ? Refuse-t-il le don d’organes ? Qui héritera de la maison qu’il avait achetée ? Quels sont les contrats qu’il a souscrits ? A-t-il une assurance vie ? Veut-il être incinéré ou enterré ? Tant de questions que les personnes confrontées à ce genre d’événements ne peuvent malheureusement pas répondre faute d’informations ou d’en avoir parlé en temps et en heures. Un Français de 67 ans, Robert Bentz, vient de lancer une idée, celle d’ouvrir un cloud dédié à cette problématique. Baptisé MemoCloud, cette idée regroupe un coffre-fort numérique chiffré en ligne qui doit permettre de protéger vos documents confidentiels et d’en organiser la ventilation en cas de décès ou d’incapacité. Seuls les bénéficiaires désignés auront accès au dossier choisi au moment opportun.

Deux solutions sont proposées, un gratuite et un espace de stockage de 100M ; et une payante (40€ l’année). Cette version assure la transmission des données aux bénéficiaires choisis par le souscripteur.

La question est de savoir maintenant comment les bénéficiaires connaitront l’existence de MemoCloud. Autre point, vous avez 20/30/40 ans aujourd’hui, et que dans 40 ans vous décédez, Memocloud existera-t-il encore ?

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, RGPD, Securite informatique

Données personnelles : L’Europe et les États-Unis dans des directions opposées

Depuis l’élection de Donald Trump à la tête des États-Unis, la confidentialité des données personnelles est au cœur des préoccupations des deux côtés de l’Atlantique. Et il semble que les États-Unis et l’Union Européenne aient des idées divergentes sur la direction à suivre.

Nous utilisons tous des outils numériques au quotidien. Souvent, sans même nous en rendre compte, nous échangeons nos données personnelles contre la gratuité des services. En effet, l’ensemble de nos activités sur le web et même l’utilisation d’objets connectés génèrent des données que collectent et monétisent de grandes entreprises. Lorsqu’il s’agit de simples recherches sur le Web ou de la visite de sites et réseaux sociaux, il est rare de se soucier des traces que nous laissons. Mais qu’en est-il lorsqu’il est question de dossiers médicaux, juridiques, ou financiers ? Ceux-ci relèvent non seulement de la vie privée mais plus encore, de l’intimité des individus. Le problème est que la frontière entre ce qui est public et ce qui doit rester privé est relativement flou.

Alors les dispositions mises en place favorisent-elles trop souvent les entreprises ? Les citoyens doivent-ils reprendre la main sur l’exploitation de leurs données ? Jusqu’où les entreprises peuvent-elles utiliser nos données ? Autant de question à soulever et que l’on retrouve en Europe comme aux USA. C’est l’UE qui a choisi de légiférer afin de protéger ses citoyens avec l’entrée en vigueur en mai prochain du Règlement Général sur la Protection des Données (RGPD), mais pas seulement. Un autre règlement de l’UE destiné à protéger les données personnelles lors de communications électroniques va s’appliquer.

Ce projet de loi est à l’opposé de l’ordonnance du président américain qui vient supprimer la nouvelle loi de protection des données privées qui devait s’appliquer d’ici la fin de l’année. Promulguée sous le mandat Obama, elle aurait obligé les fournisseurs d’accès à Internet (FAI) à recueillir clairement le consentement des utilisateurs pour partager des données personnelles. Cela concernait les informations telles que la géolocalisation, les informations financières, de santé, sur les enfants, les numéros de sécurité sociale, l’historique de navigation Web, de l’utilisation d’une application et le contenu des communications. En outre, les FAI se seraient vu contraints de permettre à leurs clients de refuser le partage d’informations moins sensibles, comme une adresse électronique par exemple.

Mais les conflits entre les États-Unis et l’UE portant sur la protection des données, ne reposent pas seulement sur cette ordonnance. Les actualités récentes autour de l’immigration ont quelque peu masqué une autre législation qui remet en cause l’avenir du Privacy Shield. Remplaçant de l’accord « Safe Harbor », Privacy Shields a été imaginé avec le RGPD à l’esprit, ce qui signifie que l’application de l’un sans l’autre rend illégal le traitement de données issues d’entreprises européennes par des entreprises américaines… avec par conséquent un impact important sur les services cloud.

Pour le Royaume-Uni, la situation se compliquera aussi en 2019 car, en quittant l’Union Européenne, il quittera également le Privacy Shield.

La protection de la vie privée est donc intrinsèquement liée aux données et les prestataires doivent pouvoir offrir des garanties à leurs clients. Le Privacy Shield par exemple, permet de chiffrer facilement et de déplacer les données et les charges de travail entre les fournisseurs de cloud. Cela donne une assurance face aux incertitudes actuelles qui touchent les entreprises de l’UE et des États-Unis. Dans le même temps, des acteurs comme Microsoft ou Amazon renforcent leurs capacités de stockage de données en Europe, pour faire face aux demandes éventuelles d’entreprises européennes à déplacer leurs données sur le Vieux Continent au cas où les choses resteraient floues ou empireraient.

Les informations personnelles font partie intégrante de l’activité moderne et l’on ne peut pas ignorer ce fait. LE RGPD va être le nouveau point de référence pour leur protection et le conflit entre ceux qui voudront protéger les données privées et les autres souhaitant les exploiter est bien parti pour durer ! (Par Philippe Decherat, Directeur Technique chez Commvault)

Chiffrement, Cloud, Communiqué de presse, cryptage, Cybersécurité, Entreprise, Sauvegarde, Securite informatique

Vidéosurveillance et Stockage : quel disque choisir ?

Lorsque se produit un événement de grande ampleur, les journalistes du monde entier se mettent en quête d’images de vidéosurveillance de l’incident, aussi isolé puisse-t-il paraître. Avec en moyenne une caméra pour vingt-neuf Terriens, il n’est donc guère surprenant qu’avec un peu de persévérance, un journaliste, un enquêteur, voire un simple particulier, finisse souvent par découvrir ces images. Selon une estimation, ce chiffre atteindrait même une caméra pour onze habitants sur des marchés développés tels que les États-Unis ou le Royaume-Uni. Un nombre aussi élevé de systèmes de vidéosurveillance actifs en permanence, génère une quantité gigantesque de données (brutes). Selon une étude de HIS Inc., en 2015, ce sont quelques 566 pétaoctets de données qui ont été produits en à peine une journée par toutes les caméras de surveillance nouvellement installées à travers le monde.

Avec l’accroissement de la demande de systèmes de vidéosurveillance, les clients rechercheront toujours les « meilleures » caractéristiques qui leur sont familières, à savoir les caméras et les logiciels de surveillance. Mais ils passeront peut-être à côté de l’aspect moins tangible – mais tout aussi important – du stockage des données collectées. De fait, bien que conçus pour l’enregistrement en continu de vidéo HD ou Full HD par des caméras multiples, de nombreux systèmes emploient encore des disques qui n’ont pas été spécifiquement testés pour les besoins particuliers des installations modernes de vidéosurveillance. Un disque optimisé pour des systèmes de vidéosurveillance doit pouvoir supporter la charge liée à ces systèmes afin de limiter les risques d’erreurs et de perte d’images. Un disque optimisé doit consommer un minimum d’énergie, donc dégager moins de chaleur et être moins sujet aux pannes. Une surchauffe pénalise les opérations de lecture-écriture dans un système de vidéosurveillance et réduit par ailleurs la durée de vie du disque. Si le coût d’un disque conçu pour des systèmes de vidéosurveillance peut s’avérer plus élevé au départ, celui-ci sera compensé par des gains de performances et une fiabilité accrue.

Un disque bureautique consomme en moyenne de 6 à 8 W tandis qu’un disque de vidéosurveillance, à l’instar du modèle WD Purple Surveillance, se contente de 3 à 5 W. La solution idéale de stockage pour ce type d’application doit tout à la fois offrir des niveaux élevés de performance, d’efficacité et de capacité pour des environnements difficiles. Mais comment faire la différence ?

Plusieurs critères spécifiques sont à examiner au moment de déterminer si un disque a été conçu dans l’optique de la vidéosurveillance :

* Fonctionnement en continu : un système de vidéosurveillance fonctionne souvent 24 heures sur 24, 7 jours sur 7. Le disque doit donc être conçu et testé pour des cycles d’écriture intensifs. En comparaison, un disque bureautique est typiquement prévu pour n’être actif que 8 heures sur 24 les jours ouvrés.

 Fiabilité des performances : certains disques, tels ceux de la gamme WD Purple Surveillance, intègrent une technologie spéciale (en l’occurrence AllFrame 4K™) qui contribue à améliorer les performances en lecture ainsi qu’à réduire les erreurs et les pertes d’images.  Capacité RAID : pour plus de sérénité, il est aussi préférable de rechercher un disque offrant une capacité RAID. Un système de ce type peut combiner deux disques durs ou plus pour assurer la redondance en cas de défaillance de l’un d’entre eux, de sorte que l’enregistrement puisse se poursuivre. Cela réduit les interruptions et les risques de perte de données.

* Faible consommation : si ce critère n’apparaît pas dans la liste des priorités concernant le choix d’un disque dur, la nécessité d’un fonctionnement en continu le rend crucial. Certains disques sont conçus dans un souci de basse consommation, ce qui est synonyme de plus grande fiabilité et d’économies.

* Prise en charge d’un grand nombre de caméras : un système NVR est conçu pour prendre en charge un nombre élevé de caméras IP et aura probablement besoin d’une plus grande capacité de stockage. La vidéo 4K consomme beaucoup plus d’espace disque que la définition standard, ce qui accroît considérablement la charge de travail et le volume d’écriture de données par seconde. Les disques de vidéosurveillance sont disponibles dans des capacités allant jusqu’à 10 téraoctets pour permettre une plus longue durée de conservation et un travail plus intensif.

* Prise en charge d’un grand nombre de baies système : à mesure que des disques durs sont ajoutés dans un système, les vibrations augmentent dans le châssis, ce qui est inévitable en raison de la rotation des plateaux. Un disque adapté doit intégrer une technologie destinée à compenser les vibrations afin de contribuer à en préserver les performances.

* Compatibilité étendue avec différents systèmes : des différences dans la conception interne du châssis et du logiciel peuvent créer des problèmes d’installation physique du disque dans une baie ou encore de reconnaissance de sa capacité complète. Il faut donc rechercher des disques compatibles avec son fabricant de systèmes DVR et NVR.

Compte tenu de l’importance du stockage dans les systèmes de vidéosurveillance, il peut aussi être utile de faire appel à un calculateur de capacité pour aider à déterminer le disque et la capacité les mieux adaptés à ses besoins.

A mesure que le nombre de caméras de vidéosurveillance continuera d’augmenter, il en ira de même pour la complexité des systèmes associés. Les installateurs doivent veiller à bien connaître les différentes options disponibles et à fournir les meilleurs conseils à leurs clients afin que ceux-ci bénéficient du niveau de fiabilité, de coût et de performances qu’ils attendent.

(Jermaine Campbell, Sales Manager North Europe, Western Digital, est spécialisé dans la gestion du marketing, la planification commerciale, les ventes, la gestion de la relation client (CRM) et la stratégie Go-to-Market.)

Chiffrement, Communiqué de presse, Cybersécurité, Justice, loi, Securite informatique

Admission Post-bac (APB) : mise en demeure pour plusieurs manquements

Un commentaire

La Présidente de la CNIL met en demeure le ministère de l’Enseignement Supérieur, de la Recherche et de l’Innovation de cesser de prendre des décisions concernant des personnes sur le seul fondement d’un algorithme et de faire preuve de plus de transparence dans son utilisation.

Mise en demeure ! En 2016, la CNIL a été saisie d’une plainte à l’encontre du traitement « Admission Post-Bac » (APB) dont l’objet est le recueil et le traitement des vœux des candidats à une admission en première année d’une formation post-baccalauréat.

La Présidente de la CNIL a décidé en mars 2017 de diligenter des contrôles afin de s’assurer de la conformité de ce dispositif à la loi « Informatique et Libertés ». Les investigations menées ont révélé plusieurs manquements aux règles gouvernant la protection des données personnelles.

  • S’agissant des formations non sélectives, seul l’algorithme détermine automatiquement, sans intervention humaine, les propositions d’affectation faites aux candidats, à partir des trois critères issus de l’article L. 612-3 du code de l’éducation : le domicile du candidat, sa situation de famille et l’ordre de préférence des vœux qu’il a formulés. Or, l’article 10 de la loi Informatique et Libertés précise qu’aucune « décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité ».
  • L’information des candidats sur le portail APB est insuffisante, au regard des exigences de l’article 32 de la loi Informatique et Libertés, s’agissant notamment de l’identité du responsable de traitement, de la finalité du traitement et des droits des personnes.
  • La procédure de droit d’accès ne permet pas aux personnes d’obtenir des informations précises relatives à l’algorithme et à son fonctionnement, notamment la logique qui sous-tend le traitement APB ou le score obtenu par le candidat. En effet, l’article 39 de la loi Informatique et Libertés stipule que les personnes qui exercent leur droit d’accès doivent pouvoir obtenir « Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l’égard de l’intéressé ».

La CNIL ne remet pas en cause le principe même de l’utilisation des algorithmes dans la prise de décision, notamment par les administrations. Cependant, compte tenu des enjeux éthiques qu’ils soulèvent, le législateur a prévu que l’utilisation des algorithmes ne pouvait exclure toute intervention humaine et devait s’accompagner d’une information transparente des personnes.

En conséquence, la Présidente de la CNIL a décidé de mettre en demeure le ministère de l’enseignement supérieur, de la recherche et de l’innovation de se mettre en conformité avec la loi  dans un délai de trois mois. La réforme récemment annoncée du dispositif APB devra donc s’inscrire dans l’objectif d’un strict respect, conformément à cette mise en demeure, de la loi Informatique et Libertés.

Il a été décidé par ailleurs de rendre publique cette mise en demeure compte tenu du nombre important de personnes concernées par ce traitement (853 262 élèves de terminale et étudiants ont formulé au moins un vœu d’orientation sur le site Web APB en 2017 selon le ministère) et de l’impact de celui-ci sur leurs parcours.

Elle rappelle en outre que cette mise en demeure n’est pas une sanction. Aucune suite ne sera donnée à cette procédure si le ministère se conforme à la loi dans le délai imparti. Dans ce cas, la clôture de la procédure fera également l’objet d’une publicité.

Si le ministère ne se conforme pas à cette mise en demeure dans le délai imparti, la Présidente pourra désigner un rapporteur qui, le cas échéant, pourra établir un rapport proposant à la formation restreinte de la CNIL, chargée de sanctionner les manquements à la loi Informatique et Libertés, de prononcer une sanction.

Base de données, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, RGPD, Sauvegarde, Securite informatique

Seconde fuite de données pour Verizon

Découverte d’une nouvelle fuite de données concernant la société Verizon. Encore des données confidentielles et sensibles non protégées.

On prend les mêmes et on recommence pour Verizon et ses données ! Des experts du centre de recherche sur la sécurité de l’entreprise Kromtech/MacKeeper ont découvert une nouvelle fuite de données concernant l’opérateur américain Verizon. Une fois encore, des données confidentielles et sensibles sans protection.

Les données divulguées incluaient 100Mo de journaux de serveurs et d’informations d’identification pour les systèmes internes. Une fois encore, un cloud Amazon AWS S3 protégé avec les pieds ! La sauvegarde mal protégée contenait des informations sur les systèmes internes de Verizon Wireless [Distributed Vision Services].

La découverte date du 20 septembre. Pas de données clients, mais ce n’est pas pour autant rassurant pour les utilisateurs de cette entreprise. Certains documents découverts affichaient des avertissements de type « matériaux confidentiels et exclusifs » [confidential and proprietary materials]. Ils proposaient des informations détaillées sur l’infrastructure interne, y compris les adresses IP du serveur et les hôtes routeurs globaux de Verizon !

Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch, Securite informatique

Le casseur de codes de l’application Gorillaz décroche un poste

Un commentaire

Jaguar Land Rover compte sa première recrue de la nouvelle génération d’ingénieurs électroniciens et informaticiens à la suite du récent défi de recrutement consistant à décrypter un code au sein de l’application Gorillaz.

Gorillaz m’a recruté ! Daniel Dunkley, âgé de 23 ans et originaire de Gloucester (Royaume-Uni), est le premier à rejoindre Jaguar Land Rover après être parvenu à déchiffrer le code. Après avoir quitté l’école à 16 ans, Daniel a travaillé en tant que controls engineer dans une carrière locale. Manifestant très tôt de l’intérêt pour les jeux vidéo chez lui avec son frère aîné, c’est en parfait autodidacte qu’il a acquis des compétences en codage et en logiciels. Le 2 octobre, il prendra ses fonctions de software engineer chez Jaguar Land Rover à Gaydon (Warwickshire).

Les fans intéressés par un emploi chez Jaguar Land Rover peuvent visiter un garage éphémère de Gorillaz et s’essayer à une énigme qui teste les capacités techniques, la réflexion logique et la mémoire. Envie de voir si vous êtes de taille ? Résolvez le casse-tête et vous sauterez la première épreuve de sélection du processus de recrutement de Jaguar Land Rover.

Si vous ne pouvez pas vous rendre au Tech Fest, relevez le défi de décryptage sur l’application de Gorillaz et rendez-vous directement à l’entretien. L’épreuve de décodage teste les aptitudes pratiques et concrètes exigées de la nouvelle génération de talents en logiciels et en ingénierie. Le challenge reste ouvert à l’échelle mondiale.

Noodle, guitariste du groupe virtuel et ambassadrice de Jaguar Land Rover, lance le défi : « Voir les choses en grand et faire mieux, c’est ma devise. Cessez d’utiliser tous ces filtres pour sublimer vos photos de nourriture et téléchargez dès maintenant cette application. Nous comptons notre première recrue, alors participez et décrochez la victoire ! »

Daniel Dunkley a déclaré : « Je n’en reviens pas de tout ce qui s’est passé ces deux derniers mois. J’ai appris sur BBC News que Jaguar Land Rover et Gorillaz lançaient le défi de décryptage et j’ai décidé de tenter ma chance. J’ai passé l’entretien via Google Chat, puis j’ai été convié à Gaydon pour discuter de mon nouvel emploi. J’ai été médusé de ne devoir remplir aucun formulaire de candidature. »

« J’étais aux anges quand on m’a proposé un poste ! Mon père roule en Land Rover Defender, j’ai donc toujours été fan. Je n’arrive pas à croire que j’ai maintenant peut-être la chance de travailler sur la nouvelle génération de Defender ! »

Jusqu’à présent, près de 400 000 personnes ont téléchargé l’application de Gorillaz. Sur les 41 000 qui ont relevé le défi, près de 500 ont décrypté le code.

Alex Heslop, directeur de l’ingénierie électrique chez Jaguar Land Rover, a déclaré : « Daniel correspond exactement au profil de personne dont nous avons besoin. Les entreprises technologiques comme Jaguar Land Rover offrent une opportunité passionnante pour les plus brillants et les meilleurs. Nous souhaitons attirer les meilleurs talents dans les domaines de la programmation, des cyber-systèmes, du développement d’applications et du graphisme. »

« À ce jour, nous avons fait passé plus de 50 entretiens parmi les 500 candidats qui ont décrypté le code et nous avons recruté 13 personnes jusqu’à présent. Nous continuons de faire passer des entretiens à ceux qui cassent le code et qui souhaitent travailler chez Jaguar Land Rover. La quête mondiale pour dénicher les meilleurs talents se poursuit. »

Dans l’esprit d’innovation collaborative, Jaguar Land Rover a invité une pléiade d’intervenants à participer à une série de débats et de conférences tout au long du Tech Fest, sous les yeux d’un public composé de personnes d’influence mondiale et de journalistes issus de quatre continents. L’avenir du diesel, l’électrification, les femmes dans l’industrie et la robotique feront partie des thèmes abordés par un éventail de spécialistes du monde entier en industrie mondiale et en consommation.

La recherche de jeunes talents se poursuit. Les candidats intéressés peuvent télécharger dès maintenant l’app de Gorillaz sur l’iTunes Store  ou Google Play.

Pour plus d’informations sur le recrutement de Jaguar Land Rover, cliquez ici : http://www.jaguarlandrovercareers.com. La procédure classique de dépôt de candidature avec CV reste en vigueur, mais Jaguar Land Rover invite les candidats potentiels à télécharger l’application afin de décrypter les codes et résoudre les problèmes pour accélérer leur recrutement.