Archives de catégorie : BYOD

BYOD, Chiffrement, cryptage, Entreprise, Fuite de données, Propriété Industrielle, Sauvegarde

L’assurance contre les cyber-risques d’Allianz ne peut être qu’un « filet de sécurité » pour les entreprises

Le spécialiste de l’assurance Allianz Global Corporate & Specialty (AGCS) vient d’annoncer une nouvelle gamme de produits destinée à protéger les entreprises contre les problèmes qui peuvent découler d’une cyber-attaque grave ou d’une violation de données. Cette annonce fait suite à de récentes études qui indiquent que les cyber-attaques sont susceptibles de faire perdre plusieurs millions d’euros aux entreprises, dans un contexte où elles sont visées par des cyber-attaques de plus en plus sophistiquées.

Nigel Pearson, responsable de la  cybernétique chez Allianz, déclare à ce sujet que les entreprises ne réalisent pas l’ampleur du risque actuel alors que « de nombreux cybercriminels sont déjà en mesure de pirater les systèmes de petites et moyennes structures, et qu’ils peuvent ainsi trouver un moyen d’accéder aux systèmes des grandes entreprises avec lesquelles ces PME sont partenaires ».

Jean-Pierre Carlin, directeur commercial Europe du Sud chez LogRhythm, a fait les commentaires suivants : « La cybercriminalité et l’espionnage industriel sont devenus tellement banals que les récents incidents n’ont pas réussi à susciter l’intérêt requis des entreprises au moment où ils ont été rapportés. Le fait que la cybercriminalité ait coûté plus de 2,5 milliard d’euros en 2012 aurait dû servir de détonateur et envoyer un message fort et clair aux organisations. Malheureusement, vu les nombreuses attaques médiatisées auxquelles nous avons pu assister jusqu’ici cette année, le chemin est encore long et certains iront même jusqu’à dire que nous sommes déjà en train de perdre la bataille.« 

Ce qui est intéressant ici, cependant, c’est que les assureurs commencent à reconnaître à la fois la nouvelle source de revenus, et les nouvelles opportunités commerciales offertes par cette nouvelle catégorie de risque. Comme les attaques des cybercriminels deviennent plus sophistiqués, et que nous nous rendons compte du caractère inéluctabilité de la crise, il semble logique que les entreprises souhaitent bénéficier du plus haut niveau de protection.

Il est également judicieux pour les assureurs de commencer à reconnaître ce risque lié à l’ère du temps – comme ils l’avaient fait avec le détournement des avions et à la cendre volcanique. Pour les entreprises, les conséquences d’une faille grave pourraient être comparées aux dommages d’un incendie ou d’un cambriolage important – si ce n’est pire… Il ne serait donc pas surprenant de voir d’autres assureurs suivre l’exemple d’Allianz très prochainement.

« Cependant, cette nouvelle prise en compte du risque par l’assurance doit être considérée comme un filet de sécurité, et ne pas donner un prétexte aux entreprises pour entretenir un faux sentiment de sécurité. Il est impératif que les bonnes pratiques en matière de sécurité soient maintenues afin de préserver l’étanchéité des réseaux de l’entreprise. La protection des renseignements personnels devrait être primordiale, par exemple, plutôt que de simplement couvrir les frais d’une violation. Le contrôle de la protection devrait être la norme dans toutes les organisations car il offre une vue étendue de toutes les activités du réseau de façon à ce que si quelque chose de suspect est identifié, il peut être arrêté avant que le mal ne soit fait. Cette protection devrait être élargie aux fournisseurs tiers, comme les petites entreprises qui desservent les grandes, et qui sont de plus en plus perçues comme maillon faible par les pirates qui veulent contourner la sécurité des grandes multinationales« .

BYOD, Chiffrement, cryptage, Cybersécurité, Fuite de données

Les meilleures pratiques de sécurité pour les PME

Un commentaire

La cybercriminalité augmente dans des proportions alarmantes. Les petites et moyennes entreprises sont devenues des cibles privilégiées pour les cybercriminels. Le Wall Street Journal a récemment déclaré que les petites entreprises se remettent rarement d’une cyberattaque, mais quelques étapes très simples vous permettent cependant de protéger votre entreprise. DataSecurityBreach.fr vous proposait, il y a quelques jours, des méthodes à mettre en place lors de vos voyages, avec votre ordinateur portable.

Quels sont les mots de passe que les cybercriminels tentent d’abord d’utiliser ? Comment sensibilisez-vous vos employés à la politique de sécurité ? Vos employés ont-ils conscience des risques liés aux réseaux sociaux ? Check Point répond notamment à ces questions pour vous aider à améliorer votre sécurité dès aujourd’hui. Cet article décrit les 10 meilleures pratiques de sécurité que les petites entreprises doivent prendre en compte pour protéger leur réseau.

1. Les mots de passe communs sont de mauvais mots de passe

                    Les mots de passe sont votre première ligne de défense en matière de sécurité. Les cybercriminels qui tentent de s’introduire dans votre réseau débutent leur attaque en essayant les mots de passe les plus courants. Une étude de SplashData a déterminé les 25 mots de passe les plus communément utilisés dans les pays anglophones. Vous n’en croirez pas vos yeux… Assurez-vous que vos utilisateurs utilisent des mots de passe longs (plus de 8 caractères) et complexes (comprenant des minuscules, des majuscules, des chiffres et des caractères non alphanumériques).

1 password

2 123456

3 12345678

4 abc123

5 qwerty

6 monkey

7 letmein

8 dragon

9 111111

10 baseball

11 iloveyou

12 trustno1

13 1234567

14 sunshine

15 master

16 123123

17 welcome

18 shadow

19 ashley

20 football

21 jesus

22 michael

23 ninja

24 mustang

25 password1

2. Verrouillez chaque entrée

Il suffit d’une seule porte ouverte pour permettre à un cybercriminel de pénétrer dans votre réseau. Tout comme vous protégez votre domicile en verrouillant la porte d’entrée, la porte du jardin et les fenêtres, pensez à protéger votre réseau de la même façon. Réfléchissez à toutes les manières dont quelqu’un pourrait s’introduire dans votre réseau, puis assurez-vous que seuls les utilisateurs autorisés peuvent le faire.

·       Utilisez des mots de passe renforcés sur les ordinateurs portables, les smartphones, les tablettes et les points d’accès Wifi. ·       Utilisez un pare-feu intégrant un système de prévention des menaces pour protéger l’accès à votre réseau (tel que l’Appliance Check Point 600)

·       Protégez vos postes (ordinateurs portables et ordinateurs de bureau) par des logiciels antivirus, antispam et antiphishing ·       Prémunissez-vous contre l’une des méthodes d’attaque les plus courantes en demandant aux employés de ne pas connecter de périphérique USB inconnu

3. Segmentez votre réseau

Une manière de protéger votre réseau consiste à le découper en zones et protéger chaque zone de manière appropriée. Une zone peut être réservée uniquement au travail important, tandis qu’une autre peut être réservée aux invités, dans laquelle les clients peuvent surfer sur Internet sans être en mesure d’accéder à la zone de travail. Segmentez votre réseau et imposez des exigences de sécurité plus strictes là où c’est nécessaire.

·       Les serveurs web destinés au public ne devraient pas être autorisés à accéder à votre réseau interne ·       Vous pouvez autoriser l’accès invité, mais ne permettez pas à des invités d’accéder à votre réseau interne ·       Découpez éventuellement votre réseau selon les différentes fonctions de l’entreprise (service clientèle, finance, reste des employés)

4. Définissez et appliquez une politique de sécurité, et sensibilisez vos utilisateurs

Définissez une politique de sécurité (de nombreuses petites entreprises n’en ont pas) et utilisez votre système de prévention des menaces à sa pleine capacité. Prenez le temps de déterminer les applications que vous souhaitez autoriser sur votre réseau et celles que vous n’autorisez pas. Formez vos employés à l’utilisation conforme du réseau de l’entreprise. Officialisez la politique de sécurité, puis appliquez-la où vous le pouvez. Notez tous les manquements à la politique et toute utilisation excessive de la bande passante.

·       Mettez en place une politique d’utilisation appropriée pour les applications et les sites web autorisés/non autorisés ·       N’autorisez pas l’utilisation d’applications à risque, telles que Bit Torrent et autres applications de partage de fichiers en P2P, qui sont une des méthodes courantes de diffusion de logiciels malveillants

·       Bloquez TOR et tout autre anonymiseur dont l’objectif est de masquer les comportements et contourner la sécurité

·       Pensez aux réseaux sociaux durant la définition de la politique

5. Prenez conscience des risques liés aux réseaux sociaux

Les réseaux sociaux sont une mine d’or pour les cybercriminels qui cherchent à obtenir des informations sur des individus pour améliorer les chances de succès de leurs attaques. Les attaques de phishing, de spearphish et d’ingénierie sociale, débutent toutes par la collecte de données personnelles sur des individus.

·       Sensibilisez vos employés en les invitant à faire preuve de prudence lorsqu’ils communiquent sur les réseaux sociaux, même lorsqu’il s’agit de leur compte personnel

·       Faites savoir à vos utilisateurs que les cybercriminels constituent des profils sur les salariés pour augmenter la réussite de leurs attaques de phishing et d’ingénierie sociale

·       Formez vos employés sur les paramètres de confidentialité des réseaux sociaux afin de protéger leurs données personnelles

·       Les utilisateurs devraient faire attention aux informations qu’ils partagent car les cybercriminels pourraient deviner les réponses de sécurité (telles que le prénom des enfants) pour réinitialiser des mots de passe et ainsi réussir à accéder à leur compte

6. Chiffrez tout

Une seule fuite de données peut être dévastatrice pour votre entreprise et sa réputation. Protégez vos données en chiffrant celles qui sont confidentielles, et facilitez ce processus pour vos employés.

Intégrez le chiffrement à votre politique de sécurité.

·       Installez des mécanismes de chiffrement avant le démarrage sur les ordinateurs portables de l’entreprise pour les protéger en cas de perte ou de vol

·       Achetez des disques durs et des clés USB avec chiffrement intégré

·       Renforcez le chiffrement de votre réseau Wifi (en utilisant notamment la norme WPA2 avec chiffrement AES)

·       Protégez vos données des écoutes clandestines en chiffrant les communications Wifi via VPN (réseau privé virtuel)

7. Maintenez votre réseau au top de ses performances

Votre réseau et l’ensemble des composantes qui y sont connectés, devraient fonctionner comme une machine bien huilée. Une maintenance régulière permet de garantir des performances optimales et d’éviter tout ralentissement.

·       Vérifiez que les systèmes d’exploitation des ordinateurs portables et des serveurs sont à jour (Windows Update est activé sur tous les systèmes)

·       Désinstallez tout logiciel qui n’est pas nécessaire à votre activité pour éviter d’avoir à le mettre à jour régulièrement (Java, par exemple)

·       Mettez à jour les navigateurs et les applications Flash, Adobe et autres, sur vos serveurs et ordinateurs portables

·       Activez les mises à jour automatiques le cas échéant pour Windows, Chrome, Firefox, Adobe

·       Utilisez un système de prévention des intrusions (IPS) tel que l’Appliance Check Point 600 pour stopper les attaques sur les ordinateurs portables qui ne sont pas à jour

8. Faites preuve de prudence envers le Cloud

Le stockage et les applications dans le Cloud sont à la mode, mais comme vous le rappelle souvent datasecuritybreach.fr, soyez prudent. Tout contenu déplacé vers le Cloud échappe à votre contrôle. Les cybercriminels profitent des faiblesses de sécurité de certains fournisseurs de service.

·       Lorsque vous utilisez le Cloud, vous devez considérer que les contenus que vous y envoyez ne sont plus privés

·       Chiffrez les contenus avant de les envoyer (y compris les sauvegardes système)

·       Vérifiez la sécurité de votre fournisseur de service

·       N’utilisez pas le même mot de passe partout, en particulier ceux que vous utilisez pour le Cloud

9. Ne laissez pas l’administration aux soins de tous

Les ordinateurs portables sont accessibles via des comptes utilisateur et des comptes administrateur. L’accès administrateur donne plus de liberté aux utilisateurs et de contrôle sur leur ordinateur portable, mais ce contrôle est transféré aux cybercriminels lorsque le compte administrateur est piraté.

·       Ne laissez pas les employés utiliser Windows avec des privilèges administrateur dans le cadre de leur activité quotidienne.

·       L’utilisation d’un compte avec des droits utilisateur réduit la capacité des logiciels malveillants à provoquer des dégâts, comme ils pourraient le faire avec des privilèges administrateur.

·       Prenez l’habitude de changer les mots de passe par défaut sur tous les appareils, y compris les ordinateurs portables, les serveurs, les routeurs, les passerelles et les imprimantes réseau.

10. Maîtrisez l’utilisation des appareils personnels

Commencez par définir une politique d’utilisation des appareils personnels (BYOD). De nombreuses entreprises évitent le sujet, alors que datasecuritybreach.fr vous l’indique très souvent, c’est une tendance qui continue de se développer

. Ne faites par l’erreur d’ignorer ce sujet ! Sensibilisez plutôt vos utilisateurs.

·       Autorisez uniquement l’accès invité (Internet seulement) aux appareils appartenant aux employés

·       Verrouillez les appareils appartenant aux utilisateurs par mot de passe

·       Accédez aux données confidentielles uniquement à travers un VPN chiffré. Datasecuritybreach.fr vous conseille l’excellent VYPRVPN.

·       N’autorisez pas le stockage de données confidentielles sur des périphériques personnels (données des clients et de cartes de paiement notamment)

·       Prévoyez un plan d’action en cas de perte ou de vol d’un appareil personnel

BYOD, Cloud, Cybersécurité, Fuite de données, Leak

Perturbations et intrusions : les utilisateurs de plus en plus inquiets face à l’utilisation de multiples appareils connectés

L’augmentation des appareils technologiques et leur utilisation qui se développent progressivement, perturbent les utilisateurs et les exposent à de plus en plus d’atteintes à la vie privée. Tels sont les résultats révélés par l’étude qu’a consulté DataSecurityBreach.fr. Une étude signée par AVG Technologies N.V., fournisseur de solutions de sécurité, de protection de données et d’optimisation mobiles et internet pour plus de 155 millions d’utilisateurs actifs. L’étude se base sur un panel de 5000 consommateurs dans huit pays et démontre que malgré l’explosion des offres, des possibilités et des opportunités de connexion internet, des craintes se développent du côté des consommateurs quant à la gestion de plusieurs appareils et la multiplication des atteintes à la vie privée.

Suite à la publication récente d’articles hautement médiatisés révélant les agissements d’entreprises et d’organisations gouvernementales qui auraient recueilli via Internet, de grandes quantités de données personnelles à partir des appareils des utilisateurs, près de la moitié des personnes interrogées (46 %) ont admis être de plus en plus préoccupées quant à la protection de leur vie privée. Elles ont également exprimé une plus grande méfiance vis-à-vis des entreprises et de leur capacité à protéger les données personnelles. Judith Bitterli, Vice-Présidente en charge du marketing chez AVG Technologies, constate : « Nos recherches ont montré que si 7 personnes sur 10 (72 %) pensent que la technologie deviendra encore plus utile dans les cinq prochaines années, elles sont presque autant (69 %) à croire qu’elle va également devenir de plus en plus intrusive. C’est un décalage frappant avec la vision des créateurs d’Internet. Par ailleurs, quant aux préoccupations liées au partage de données, combien de temps les consommateurs vont encore  tolérer ce statu quo » ?

88 % des personnes interrogées rechignent à communiquer des renseignements personnels pour accéder à des services. En effet, la plupart d’entre elles acceptent la situation, à défaut d’une autre alternative (38 %), ou limitent la quantité des données qu’elles sont prêtes à fournir (36 %). De plus, près de 8 personnes sur 10 (79 %) ont déjà interrompu le téléchargement d’une application ou d’un programme demandant  l’accès à des informations, ce qui révèle un fort malaise concernant la quantité de données personnelles dont la communication est demandée aux consommateurs.

Conjuguée aux préoccupations sur la préservation de la vie privée, le développement de la connectivité ajoute un poids supplémentaire aux inquiétudes des consommateurs dans leur vie numérique. La plupart des personnes interrogées (59 %) ont admis avoir utilisé plus de trois appareils personnels et de multiples systèmes d’exploitation à la maison, et seuls 44 % prennent des mesures visant à simplifier la gestion de leurs différents appareils en les synchronisant les uns aux autres.  Il en résulte une multiplication des tâches répétitives et des problèmes techniques.

BYOD, Cloud, Cybersécurité, Fuite de données, Sauvegarde

Inclure le contrôle des utilisateurs à privilèges

Ces dernières années, cyberdéfense et cybersécurité ont pris une place considérable dans la vie des entreprises et des particuliers. Les jours passent et les attaques s’amplifient. Elles sont toujours plus ciblées, diversifiées et étendues, et la cybercriminalité fait partie intégrante de notre vie quotidienne. Historiquement, les éditeurs d’antivirus et de pare-feu ont pris le leadership du marché. Paradoxalement, ils ne traitent qu’une partie des problèmes ce qui se traduit par une augmentation du nombre d’incidents et de leur ampleur, malgré la croissance des budgets de sécurité informatique. En effet, un pan entier de la sécurité informatique reste méconnu : la gestion des utilisateurs à privilèges, qui répond au nom encore mal connu en France, d’Insider Threat ou gestion de la menace interne. Pour l’éditeur français, WALLIX, spécialiste de la traçabilité des utilisateurs à privilèges, une stratégie de sécurité complète et cohérente doit, certes, prévoir de se protéger contre les menaces provenant de l’extérieur mais également des risques qu’impliquent la liberté absolue dont jouissent les utilisateurs à privilèges. Explication de Jean-Noël de Galzain, PDG de WALLIX, pour DataSecurityBreach.fr

Un utilisateur à privilège, qu’est-ce que c’est ?

Un utilisateur à privilège, est, par définition, une personne dont les droits ont été élevés ou étendus sur le réseau informatique : droits d’accès, gestion des autorisations, administration des équipements et applications, modification, suppression ou transfert de fichiers, etc. L’utilisateur à privilèges peut être interne ou externe à une société. Ses droits lui sont délégués par le représentant légal de la société qui souvent n’est même pas au courant de ce risque. Par nature, l’utilisateur à privilèges a donc accès à des données sensibles et stratégiques pour l’entreprise aux secrets de l’entreprise et de ses salariés. Il a un droit de vie et de mort sur l’informatique de l’entreprise.

L’utilisateur à privilèges fait-il toujours partie d’une société ?

Lorsqu’une société externalise la gestion d’une partie ou de l’ensemble de son informatique ou de ses équipements, les prestataires qui prennent la main à distance ou interviennent sur le réseau interne pour mener à bien des opérations de support ou de maintenance deviennent des utilisateurs à privilèges, et ce, bien qu’ils ne fassent pas partie des effectifs de la société. Savez-vous par exemple quelles sont les autorisations d‘accès d’un technicien qui vient réparer la photocopieuse IP ou la connexion réseau ?

En d’autres termes, externaliser revient, pour une entreprise et son dirigeant, à confier « les clés de la maison » à une personne inconnue, qui aurait accès à l’ensemble des pièces et du contenu des placards, avec la capacité de les fouiller, d’y prendre et remettre ce qu’il y trouve, en gérant lui-même les autorisations d’accès. Si quelque chose est endommagée, disparaît ou est simplement dérobé après son passage, que faire ? Comment savoir ce qui a été fait ? Où y a-t-il eu un problème ? Quand ? De quelle manière ? Qui va payer les dégâts ? Comment vais-je pouvoir justifier l’incident ou le vol vis-à-vis des assurances ?

Pour le Clusif et son panorama 2012 des menaces informatiques, près de la moitié des entreprises de plus de 200 salariés en France, et des collectivités territoriales externalisent la gestion de leur Système d’information, 50% ne collectent pas les logs (pas de preuve), 20% ne changent jamais les mots de passe y compris lorsqu’un départ ou un changement de prestataire survient.

Quels sont les risques liés aux utilisateurs à privilèges ?

De par leur statut, les utilisateurs à privilèges, au même titre que les utilisateurs « lambda » font peser des risques sur le réseau d’entreprises. On peut les classer en plusieurs catégories :

– Les risques liés à l’erreur humaine : comme n’importe quel utilisateur, l’utilisateur à privilèges reste un être humain, susceptible pour quelque raison que ce soit de commettre des erreurs sur un réseau ; seulement ces erreurs peuvent avoir des conséquences considérables sur la productivité, la réputation et le chiffre d’affaires de l’entreprise affectée.

Imaginons, par exemple, qu’après une erreur de manipulation lors d’une opération de télémaintenance, un prestataire externe provoque une panne sur le serveur d’un e-commerçant. Pour ce dernier, ce sont des pertes de chiffre d’affaires pendant toute la durée de la panne qu’il est nécessaire de réparer, mais avant cela d’en retrouver l’origine. Ceci peut prendre un temps considérable, multiplier les dégâts mais également entacher sérieusement la réputation de l’e-commerçant définitivement.  Entretemps, les clients iront se servir ailleurs.

Désormais, avec les nouvelles réglementations, il sera nécessaire de communiquer sur un incident, avec un risque d’amende liée à la perte d’informations clients (données clients, numéros de carte bleue, ou encore, données de santé).

Dans un autre cas récent, des centaines de dossiers patients se sont retrouvés publiés sur Internet. C’est en tapant son nom par hasard dans un moteur de recherche qu’une personne a retrouvé l’intégralité de son dossier médical en libre consultation. Ce type de fuite de données peut provenir d’une erreur humaine (un prestataire externe commet une faute dans les process et laisse s’échapper ces données) ou d’un acte de malveillance qui illustre les risques liés aux utilisateurs à privilèges.

– Les risques liés à la malveillance : l’utilisateur à privilèges reste un être humain. Ainsi, lorsqu’une collaboration professionnelle se finit en mauvais termes, il peut être tentant d’utiliser ses droits pour nuire à l’entreprise ou voler des informations stratégiques (fichiers clients, CB, secrets, …).

En 2012, c’est un sous-traitant de la société Toyota qui, après avoir été licencié, avait dérobé des informations relatives aux brevets industriels du constructeur japonais. Combien de bases clients dérobées, de messages divulgués ou d’informations recueillies grâce à des fichiers informatiques indûment téléchargés ? Là encore, se pose la problématique de l’origine de la fuite. Qui a fait cela ? Quand et comment ? Pourquoi cette personne a-t-elle eu accès à ces données en particulier ? Peut-on empêcher un tel acte ou en garder la trace et comment ? Comment gérer cela en interne et avec les prestataires externes ?

Selon une étude Forrester, 50 % des utilisateurs à privilèges partent de leur entreprise ou sortent d’une mission d’infogérance avec des données sensibles. Comment peut-on donc évaluer ou mieux encore parler de gestion des risques sans traiter ce sujet ?  Quand les hautes autorités de sécurité nationale mettront elles en garde contre ces risques béants ?

Heureusement, de plus en plus de DSI et de RSSI, pour répondre au contrôle interne ou à leurs directions générales, prévoient l’usage d’une solution qui réponde au problème de la gestion de la menace interne et des prestataires externes. Aussi ont-ils prévu l’intégration d’une solution de gestion des utilisateurs à privilèges dans leurs politiques de sécurité.

Le marché français du PUM (Privileged User Management) n’en est qu’à ses balbutiements malgré l’urgence.

WALLIX, éditeur pionnier dans la gestion des utilisateurs à privilèges grâce à sa solution Wallix AdminBastion, le WAB, préconise, bien entendu la protection contre les menaces provenant de l’extérieur du réseau. Elles sont connues et désormais très bien circonscrites grâce à des solutions comme l’anti-virus, le firewall, l’IPS, l’IDS etc. Cependant, l’éditeur français insiste sur la nécessité et l’urgence de compléter ces dispositifs par des solutions internes de contrôle des utilisateurs à privilèges.

Cependant, ces solutions souffrent d’une mauvaise réputation : trop souvent, celles-ci sont perçues comme des produits visant purement et simplement à surveiller les utilisateurs à privilèges. Contre toute attente, elles permettent surtout de dédouaner les utilisateurs en apportant une preuve tangible et concrète de l’origine de l’incident.

Pour Jean-Noël de Galzain, fondateur de WALLIX, l’éditeur pionnier de solution de gestion des utilisateurs à privilèges, le WAB : « une stratégie de sécurité cohérente de bout-en-bout ne peut plus se passer de solutions de contrôle des utilisateurs à privilèges. Chaque jour, des utilisateurs à privilèges accèdent à des données essentielles et stratégiques pour la survie et la rentabilité de l’entreprise. Même si, bien entendu, la malveillance n’est  généralement pas la première cause de perte de données, les erreurs humaines sur un réseau, sont, elles, bien réelles et peuvent prendre des proportions catastrophiques à l’échelle de l’Internet. Nous alertons vivement les DSI, RSSI et les plus hautes instances de sécurité informatiques quant aux risques qui pèsent en termes de productivité, de réputation et de conformité sur les entreprises publiques et privées. La gestion des risques internes est aussi prioritaire que la gestion des menaces périmétriques. Le risque le plus grave serait de l’ignorer !  »

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données

Intercepter les données du dossier public de DropBox… facile

6 commentaires

Le dossier Public de DropBox, un peu trop libre pour les personnes non autorisées à le consulter. Dropbox est une société bien connue spécialisée dans les solutions de cloud computing. La société annonce des centaines de millions d’utilisateurs, avec des pétaoctets de données stockées. Aujourd’hui, beaucoup utilisent Dropbox pour partager quoi que ce soit en famille ou entre amis. Cet usage semble parfaitement raisonnable si les données partagées ne sont pas sensibles, mais Dropbox est aujourd’hui aussi largement utilisé par les entreprises. DropBox remplace même parfois le service de Backup ou autres moyens de partager des fichiers entre collègues. Il parait que cela permet d’économiser de l’espace disque, du temps. Mais côté confidentialité, il faudra repasser, surtout si vous utilisez le dossier « Public ».

Notre ami Jean-Pierre Lesueur (DarkCoderSc) vient de nous montrer comment les fichiers DropBox dans le dossier « Public », normalement sécurisés et non accessibles aux personnes non autorisées, sont en fait parfaitement libres d’être consultés par des personnes extérieures. Pour cela, rien de plus simple. Il faut posséder un compte DropBox valide, une petite application python du nom de wfuzz et … c’est tout.

L’outil va égrener les noms de fichiers qui peuvent se trouver dans le dossier Public d’un compte DropBox ciblé. Bref, arrêtez de penser que le dossier « Public » n’est pas accessible aux personnes non autorisées. Démonstration en vidéo, ci-dessous.

BYOD, Cloud, Sauvegarde

Sauvegarder ses fichiers avec Toutbox.fr

Vous souhaitez sauvegarder vos images, vidéos, … et pouvoir y accéder partout, que se soit au bureau, à la maison, en week-end ou en déplacement professionnel ? Le service proposé gratuitement par Toutbox.fr devrait vous plaire. Toutbox.fr est un système moderne de disque dur virtuel, un site exclusivement français,

entièrement gratuit et illimité. Toutbox.fr vous permet d’envoyer et de partager des fichiers avec la communauté de Toutbox.fr. Les fichiers peuvent être publics ou privés. Dans ce dernier cas, les documents sont protégés par un mot de passe. Toutbox.fr se démarque de ses concurrents par son aspect illimité et gratuit mais aussi par les fonctionnalités offertes par le site (streaming, preview de fichiers …). Un logiciel, baptisé Box, permet de gérer son compte depuis son bureau d’ordinateur.

 

 

Toutbox.fr, le cloud social
Chaque utilisateur dispose de sa propre page ToutBox. Il peut modifier à volonté cette espace afin de mettre en avant les fichiers qu’il souhaite partager. Une page qui deviendra rapidement la vitrine pour son propre site ou tout simplement se présenter pour les autres utilisateurs. Le contenu est libre et les autres utilisateurs peuvent laisser des messages sur le « mur » de tous les utilisateurs pour communiquer et échanger entre eux. Un moteur de recherche permet de retrouver ses fichiers en cherchant parmi les noms, la description, la date d’ajout ou encore son poids. Il est aussi possible de rechercher parmi les fichiers des utilisateurs qui autorisent cette fonction.

Streaming, preview et vie privée
Toutbox.fr propose du streaming. Vous avez ainsi la possibilité d’écouter la musique présente sur votre compte ou celle d’autres utilisateurs, là aussi en illimité et sans avoir à télécharger le fichier sur votre ordinateur ! Vous voulez voir un extrait du document que vous voulez télécharger ? Faites une preview du fichier pour voir si le fichier est bien le bon ! La preview de fichiers marche pour la plupart des extensions connues, même pour les vidéos. Pour finir, la vie privée n’est pas un vain mot.

Toutbox.fr est un service gratuit et illimité qui voit le partage sous un autre angle : social et avec des fonctionnalités pratiques, que ce soit pour le simple utilisateur qui veut sauvegarder ses fichiers, l’utilisateur qui souhaite partager ses fichiers au plus grand nombre ou à l’éditeur qui recherche un moyen simple et sécurisé pour diffuser son contenu.


BYOD, Chiffrement, cryptage, Entreprise, Fuite de données, RFID, Téléphonie, VPN

Vous voyagez avec vos appareils connectés ? N’oubliez pas de penser à leur/et votre sécurité.

Un commentaire

Vous partez en vacances ? Une enquête reçue à la rédaction de DataSecurityBreach.fr, menée par F-Secure, met le doigt sur les moments de vos vies digitales qui nécessitent une attention particulière lors de vos déplacements.

Lorsque l’on voyage, il est pratique d’utiliser les réseaux Wifi public des aéroports ou encore des restaurants. Pourtant, 52% des sondés sont inquiets de la sécurité et la confidentialité de ces réseaux, et avec raison. Sean Sullivan, Security Advisor chez F-Secure Labs, affirme qu’il ne faut pas oublier que ces réseaux  Wifi portent bien leurs noms : ils sont publics. Vous partagez ces réseaux avec des inconnus, et il y a toujours le risque qu’ils puissent utiliser un logiciel pour regarder ce que vous faites en ligne.

Selon Sean Sullivan, « Il est naturel de penser qu’il y a de la confidentialité parce que nous utilisons un appareil personnel… mais en réalité ce n’est pas du tout le cas ». Il conseille de ne pas faire ce que l’on souhaite laisser à l’abri des regards indiscrets, comme des connections à des comptes protégés par des mots de passe. Il ajoute : « J’utilise les réseaux de Wifi public pour des choses dont je parlerais avec un ami dans le métro. Les opérations bancaires, je les fais chez moi ».

Le même raisonnement vaut pour l’utilisation des ordinateurs publics dans les bibliothèques ou les cybercafés. Sean Sullivan conseille une utilisation réfléchie et limitée (par exemple, lire les actualités), parce que des logiciels espions pourraient être installés sur l’ordinateur… et voler vos mots de passe.

Si vous devez utiliser des réseaux publics pour communiquer avec vos proches, M. Sullivan recommande la création d’une adresse mail que vous n’utiliseriez que lorsque vous êtes en vacances, et qui n’a rien à voir avec votre adresse mail habituelle. « De cette façon, si quelqu’un pirate votre adresse mail de vacances, il ne pourra que voir des mails de votre mère ou de la gardienne de votre chat, mais ils n’auront pas accès aux données sensibles qui seraient en mémoire dans votre compte de messagerie principal », dit-il.

Une opération bancaire à faire ? Les précautions à prendre lorsque vous êtes loin de chez vous. 85% des gens disent qu’ils se connectent à leur banque via leurs ordinateurs, et 24% à partir de leurs smartphones. Comment procéder si vous deviez absolument faire une transaction lorsque vous êtes en vacances ? Il est probablement préférable d’utiliser votre forfait data mobile avec l’application mobile de votre banque, même si cela signifie faire du roaming. Cela peut coûter un peu cher, mais c’est toujours moins onéreux que de se faire vider votre compte. Les banques utilisent des connections HTTPS. Sont-elles pour autant sécurisées quand vous y accédez via les réseaux Wifi publics ? 39% des gens utilisent très peu de mots de passe différents pour leurs différents comptes. Et si vous utilisez le même mot de passe sur un site non sécurisé et sur un site sécurisé (comme celui de votre banque), cela signifie qu’un « fouineur » pourrait facilement accéder à votre compte bancaire. Les « fouineurs » utilisent parfois des méthodes plus rudimentaires : jeter discrètement un coup d’œil par-dessus votre épaule quand vous entrez votre mot de passe peut leur suffire pour vous le dérober !

Gardez votre contenu en toute sécurité lorsque vous êtes sur la route des vacances 67% des sondés accordent plus de valeur aux contenus d’un appareil plutôt qu’à l’appareil lui-même, d’un point de vue matériel. Cela illustre l’importance des sauvegardes avant le départ en vacances. Par exemple, en utilisant un service de synchronisation de contenu comme Content Anywhere de F-Secure. Fourni par les opérateurs, il permet aux utilisateurs d’avoir accès aux contenus de l’appareil automatiquement synchronisés sur leur cloud personnel. Grâce à ces services, nous ne somme plus obligés de voyager avec des périphériques de stockage encombrants (comme des disques durs), et il est facile de partager nos photos de vacances, en toute confidentialité et en toute sécurité. Les données que vous mettez dans le « Content Cloud » de F-Secure sont entièrement chiffrées pendant le transfert et le stockage.

La localisation d’un appareil perdu ou volé Perdre ou se faire voler un téléphone portable peut gâcher les vacances. DataSecurityBreach.fr a pu lire qu’avec 61% des personnes qui ont une double utilisation pro/perso de leurs appareils, il y a de bonnes raisons d’être prudent. Un téléphone perdu pourrait avoir un impact non seulement sur vos propres données, mais aussi sur celles de votre entreprise. L’application gratuite Anti-Theft de F-Secure pour smartphones et tablettes vous permet de verrouiller à distance et de localiser votre appareil, et si nécessaire, en effacer toutes les données. Autre recommandation : assurez-vous que le mot de passe de votre téléphone portable verrouillant votre écran se mette en place après un court laps de temps, comme une minute.

D’autres conseils si vous utilisez les Wifi public:

·         Ne laissez pas votre appareil se connecter automatiquement à des réseaux publics.

·         Effacez les points d’accès Wifi que vous avez utilisé lorsque vous rentrez chez vous.

·         Ne soyez pas connecté aux applications dont vous n’avez pas besoin lorsque vous vous déplacez.

·         Vérifiez auprès de l’établissement que le réseau Wifi auquel vous vous connectez est vraiment le leur, et non pas celui qu’un « fouineur » aurait mis en place pour vous tromper.

·         Soyez conscient de votre environnement et de toute personne qui pourrait être en train de jeter un regard par – dessus votre épaule.

·         Utilisez un mot de passe différent pour chaque compte.

·         Pour les ordinateurs portables, désactiver le partage de fichiers, activez le pare-feu et configurer le de sorte qu’il bloque les connexions entrantes.

·         Si possible, utilisez un réseau privé virtuel (Virtual Private Network en anglais, abrégé en VPN) qui sécurise votre connexion même sur le Wifi public.

·         Utilisez un routeur de voyage avec une carte SIM prépayée pour créer votre propre réseau Wifi.

·         A minima, vérifiez la présence du cadenas et du « https » dans la barre d’adresse pour n’importe quel site contenant vos informations personnelles. S’ils ne sont pas là, il est préférable d’éviter le site.

·         En règle générale : considérez que tout ce que vous faites sur un réseau Wifi public est comme une conversation publique.

BYOD, Entreprise, Fuite de données, Sauvegarde, Vie privée

Messages personnels dans un ordi pro ne sont plus personnels

3 commentaires

Le site juridique Legalis.net revient sur une décision de la cour de cassation concernant les emails envoyés depuis l’ordinateur personnel d’un salarié, avec son adresse personnelle, puis transférés sur son ordinateur professionnel, sans qu’ils soient identifiés comme « personnels ». Bilan, la justice française a décidé que ces courriers étaient présumés professionnels. Telle est la conclusion qui ressort de l’arrêt de la Cour de cassation du 19 juin 2013. La Cour de cassation a affiné sa jurisprudence qui figure dans le premier attendu : « les dossiers et fichiers créés par un salarié grâce à l’outil informatique mis à sa disposition par son employeur pour l’exécution de son travail sont présumés, sauf si le salarié les identifie comme étant personnels, avoir un caractère professionnel de sorte que l’employeur peut y avoir accès hors sa présence ». Bref, cette décision pourrait très bien être prise en compte lors de la visite de votre Facebook, via un ordinateur du bureau.

Android, BYOD, Chiffrement, Cybersécurité, Fuite de données, ios, Sauvegarde, Sécurité, Téléphonie

Configurer efficacement la double identification Google

8 commentaires

 « L’attaque est le secret de la défense, la défense permet de planifier une attaque. », voilà un adage qui plait à l’oreille de l’équipe de DataSecurityBreach.fr. Il colle parfaitement à l’ambiance numérique. Comme celle concernant la sécurité de son compte Google. Dire que la double identification pour un compte webmail, Twitter, Facebook ou tout autres services web devient indispensable est un doux euphémisme. Et ce n’est pas ce pauvre banquier de Dubaï qui dira le contraire. Un pirate informatique a réussi à se faire transférer 15.000 $ sur un compte bancaire basé en Nouvelle-Zélande en communiquant avec le banquier via un compte gMail piraté. Bref, n’attendez pas le passage d’un pirate. Mettez en action la double identification Google, qui, en regardant de plus prêt est en faite une quadruple identification.

Configurer les numéros de téléphones de secours

DataSecurityBreach.fr vous conseille un numéro portable et un numéro fixe. Dans le premier cas, pour recevoir par SMS le code de secours. Dans le second cas, recevoir le précieux secours via un téléphone fixe et une voix humaine.

Codes de secours à imprimer

Il vous permet de disposer de 10 codes si vos téléphones ne sont pas disponibles. 10 séries de 8 chiffres qui vous permettront de vous connecter à votre compte. Mots de passe spécifiques aux applications.

Google Authentificator

Avec les téléphones portables, data security breach vous en parle souvent, les accès malveillants se multiplient. Google propose « Google Autentificator« . Une application pour iOS, Android, … qui donne accès à un code d’identification unique. Code valide durant 1 minutes à rentrer, en plus de votre mot de passe habituel. Bref, voilà une sécurité digne de ce nom qui prend quelques minutes à configurer mais permet de ne pas passer des heures, quand ce ne sont pas des jours à sauver les meubles après le passage d’un pirate informatique.

Android, Biométrie, BYOD, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, ios, Leak, Sécurité

Connection VPN, entre 2 clés USB, en 60 secondes

Dans la nouvelle émission de ZATAZWeb.tv, numéro estival, il est proposé plusieurs sujets qui devraient vous intéresser. En plus de découvrir un jouet chinois qui permet de hacker certaines cartes RFID, l’émission ZATAZ Web TV revient aussi sur les livres à emmener avec soit à la plage, dont le dernier du moment des Editions ENI, Malware.

Particulièrement intéressant, les clés USB iTwin. L’émission a testé la version professionnelle de ces clés USB qui permettent de créer un accès VPN, entre deux portables.  iTwin est composé de deux parties. La première clé est insérée dans l’ordinateur de bureau, et le second – à la maison, par exemple. La connexion, en quelques secondes, est automatiquement établie sous la forme d’une connexion VPN sécurisée entre les deux machines.

A noter que l’émission profite des beaux jours pour lancer le grand jeu de l’été. A gagner : deux Playstation 4 de Sony ; des tee-shirts Nuit du hack et ZATAZ.COM et des livres. Lancement de notre grand jeu de l’été, lundi 22 juillet. Les premiers indices se trouvent déjà dans l’émission.

BYOD, Espionnae, Particuliers, Sécurité

IP-tracking: une député Européenne saisit le nouveau Commissaire croate

En guise de bienvenue, l’eurodéputée Françoise Castex a enjoint le nouveau Commissaire à la protection des consommateurs, Neven Mimica, de se saisir du dossier IP-tracking. Alors que la CNIL a confirmé sur son site, vendredi 28 juin, le lancement d’une enquête conjointe avec la DGCCRF sur le développement, sur certains sites de vente de billets de transport en ligne, d’une pratique dénommée « IP Tracking », Françoise Castex a saisi l’occasion de la prise de fonction du Commissaire croate Neven Mimica pour le sensibiliser à cette pratique qui « contrevient d’une part aux dispositions européennes relatives à la protection des données personnelles, dont l’adresse IP fait partie, et d’autre part, génère une concurrence déloyale, avec un prix à la tête du client« .

Dans une lettre adressée au nouveau Commissaire croate, l’eurodéputée socialiste invite la Commission européenne à « enquêter sur la fréquence de cette pratique et protéger les consommateurs en conséquence. » Pour la Vice-présidente de la Commission des Affaires juridiques: « la création de ce nouveau portefeuille dédié à la protection des consommateurs doit amener la Commission européenne à se saisir enfin du dossier!« , estime à zataz.com et Data Security Breach, Françoise Castex.

Avant de conclure: « Alors que les vacances commencent, et que 53% des Européens réservent leurs vacances en ligne, il existe une forte attente des citoyens en la matière. La Commission enverrait un signal fort en ouvrant dès maintenant une enquête à l’échelle européenne« .

BYOD, Cloud, Entreprise, Fuite de données, Sauvegarde, Sécurité

Mon terminal mobile sur le lieu de travail

Un commentaire

Les salariés qui utilisent leur propre terminal mobile au bureau sont inquiets à l’idée que leur employeur puisse accéder à leurs informations personnelles. C’est ce qu’a pu constater Data Security Breach dans le rapport reçu d’Aruba Networks, leader de l’accès réseau pour l’entreprise mobile. En France, cette méfiance se traduit en faits concrets. DataSecurityBreach.fr a pu constater que 24% des salariés français déclarent que leur employeur ne sait pas qu’ils utilisent un terminal personnel au travail ; 57% d’entre eux ne déclareraient pas à leur employeur le nouveau terminal qu’ils envisagent d’utiliser au travail ; 65% déclarent que leur employeur n’installe pas de logiciel de sécurité supplémentaire sur leur terminal ; 48%  ne signaleraient pas immédiatement une fuite de données professionnelles.

Le rapport de l’étude « Employees tell the truth about your company’s data », menée auprès de plus de 3 000 salariés dans le monde, révèle que près de la moitié des salariés européens (45 %) redoutent la perte de données personnelles, une crainte que partagent 40 % des personnes interrogées au Moyen-Orient et 66 % aux Etats-Unis. Par ailleurs, ils sont 34 % en Europe, 35 % au Moyen-Orient et 51 % aux Etats-Unis à déclarer que leur service informatique ne prend aucune mesure pour assurer la protection des dossiers et applications professionnels se trouvant sur leurs terminaux personnels.

Ces inquiétudes font que de nombreux salariés rechignent à mettre leur terminal personnel entre les mains du service informatique, mettant ainsi en danger les données de leur entreprise. Près d’un salarié européen sur six (soit 15 %) déclare n’avoir même pas prévenu son employeur qu’il utilise un terminal personnel au travail. Ils sont 17 % dans ce cas au Moyen-Orient et en Amérique.

Encore plus inquiétant pour les entreprises : 13 % des salariés européens, 26 % au Moyen-Orient et 11 % aux Etats-Unis avouent qu’ils n’informeraient pas leur employeur si leur terminal était corrompu, même si cela entraînait une fuite de données professionnelles. Ils sont par ailleurs 40 % en Europe, 41 % au Moyen-Orient et 36 % en Asie à affirmer qu’ils ne signaleraient pas immédiatement une fuite de données.

Cette réticence s’explique par la perception négative que les salariés ont du service informatique de leur entreprise. Ils s’inquiètent plus particulièrement de ce que le personnel informatique pourrait faire de leur terminal et des données qu’il contient. 25 % des salariés européens interrogés, 31 % au Moyen-Orient et 45 % aux Etats-Unis sont inquiets à l’idée que le personnel informatique accède à leurs données personnelles, et ils sont 18 % en Europe et 26 % au Moyen-Orient à craindre que leur service informatique ne fouille dans leurs données privées s’ils lui confiaient leur terminal.

Lorsqu’on leur demande comment elles réagiraient si le personnel informatique de l’entreprise accédait à leurs données personnelles, près de la moitié des personnes interrogées en Europe et au Moyen-Orient répondent qu’elles seraient en colère, tandis qu’elles seraient 41 % en Europe, 47 % au Moyen-Orient et 46 % aux Etats-Unis à percevoir cela comme une violation.

Ben Gibson, directeur marketing chez Aruba Networks, a déclaré à datasecuritybreach.fr : « L’étude menée des deux côtés de l’Atlantique montre que les employés et les services informatiques jouent avec la sécurité des données, mais cela n’est pas uniquement le fait du hasard. Pour résumer : autant les salariés acceptent mal le pouvoir que les employeurs exercent aujourd’hui sur leurs données personnelles, autant ils sont indifférents à la sécurité des données de l’entreprise. »

« L’utilisation de terminaux électroniques personnels pour un usage professionnel (BYOD) est devenue aujourd’hui une réalité face à laquelle les entreprises doivent adopter des solutions pour, d’un côté, garantir le caractère privé des données des employés et, de l’autre, exercer un contrôle plus étroit sur le réseau afin de s’assurer qu’aucune information sensible ne puisse être divulguée, le tout sans perturber l’expérience de l’utilisateur », a-t-il conclu à Data Security Breach.

Il existe clairement un fossé entre ce que les employés veulent et ce dont les services informatiques des entreprises ont besoin. Créer une véritable séparation entre données personnelles et données de l’entreprise contribuerait fortement à résoudre ces problèmes et à tranquilliser les salariés.

A noter que l’éditeur de solutions de sécurité informatique AVG a mis en ligne, dans le Google Play, un outil qui permet de désinstaller, efficacement, toutes les applications que l’on souhaite détruire.

Banque, BYOD, Chiffrement, Cloud, Cyber-attaque, Entreprise, Fuite de données, Leak, Sauvegarde, Sécurité

48% des entreprises n’utilisent pas d’outils de gestion centralisée de leur sécurité informatique

DataSecurityBreach.fr a appris que 48% des entreprises n’utilisent pas d’outils de gestion centralisée de leur sécurité informatique. Bien que ces outils facilitent grandement la gestion des paramètres de sécurité informatique,  près de la moitié des entreprises interrogées n’y ont pas recours selon une enquête européenne réalisée par Kaspersky Lab en collaboration avec B2B International en novembre 2012.

Les entreprises en général – et particulièrement les plus petites organisations – trouvent souvent que le déploiement et le contrôle des postes de travail et la protection des appareils mobiles n’est pas une tâche aisée. Des outils de gestion centralisés ont été mis en place pour faire face à cette problématique, cependant à peine la moitié des entreprises sont conscientes de leur potentiel. Selon les résultats de l’enquête, seulement 52% des entreprises dans le monde utilisent des solutions permettant une gestion centralisée de leur infrastructure informatique.

Une entreprise qui souhaite mettre en place une sécurité minimale doit configurer un large éventail d’outils de sécurité spécifiques à l’infrastructure informatique d’une entreprise, tels que les postes de travail et les appareils mobiles. En outre, chacune de ces interfaces doit être configurée pour répondre aux besoins spécifiques de l’entreprise, notamment aux politiques de sécurité interne. Les outils de gestion centralisés peuvent avoir un rôle prépondérant pour aider à réaliser cela. Mais, selon B2B International, ces outils sont utilisés par seulement la moitié des entreprises interrogées dans le monde entier. Alors que seulement 30% des entreprises ont pleinement mis en œuvre des outils de gestion clients, 29% des personnes interrogées se limitent à l’installation partielle d’une console de gestion centralisée.

Or, ces solutions augmentent le niveau de sécurité de l’infrastructure, tout en réduisant considérablement la charge de travail informatique de l’entreprise, en éliminant la nécessité de configuration de la protection informatique et de surveillance l’état de chaque poste de travail individuellement.

BYOD, Fuite de données, Logiciels, Sauvegarde

Comment rester conforme lorsque tout change ?

Par Thierry Karsenti, Directeur Technique Europe Check Point pour DatasecurityBreach.fr.

Nous voulons tous croire que nos réseaux sont entièrement protégés, que nos procédures et politiques sont totalement conformes avec les législations qui gouvernent nos secteurs. Malheureusement, croire en quelque chose ne signifie pas toujours que c’est réel. En réalité, le paysage de la sécurité évolue trop rapidement pour que les entreprises puissent rester protégées en permanence contre toutes les menaces. Nous avons réalisé en 2012 des audits de sécurité approfondis auprès de 900 entreprises à travers le monde, et avons constaté que 63% d’entre-elles étaient infectées à leur insu par des bots. Ces bots communiquent avec leurs centres de contrôle externes au moins une fois toutes les 2 heures et siphonnent activement les données des entreprises infectées.

Toutes ces entreprises sont équipées de multiples technologies de protection, telles que pare-feux, antivirus, etc., mais sont pourtant infectées, parce que leurs solutions de sécurité ne sont pas mises à jour régulièrement, ou bien parce que des changements intervenus dans leur réseau ont introduit des vulnérabilités. Dans de nombreux cas, ces infections sont la conséquence de messages de phishing ou de pièces jointes infectées ciblant les employés.

Les mails ne sont pas tous vos amis De plus, les problèmes de sécurité ne sont pas uniquement limités aux réseaux. 54% des entreprises ont subi des pertes de données suite à l’envoi d’emails à des destinataires externes par erreur ou à la publication d’informations en ligne par erreur. Il n’est donc pas surprenant qu’en mars dernier, l’Agence européenne pour la sécurité informatique et la sécurité des réseaux (ENISA) ait appelé à des actions urgentes pour lutter contre les nouvelles tendances des cyberattaques. L’ENISA est également allée plus loin en recommandant aux gouvernements et aux entreprises d’étudier des alternatives au courrier électronique, offrant une meilleure protection aux utilisateurs, ce qui confirme bien que la tâche de protéger la messagerie d’entreprise et la maintenir conforme devient insurmontable pour de nombreuses entreprises.

Ajoutez à cela la récente législation édictée par la Commission européenne sur la cybersécurité, qui élargit considérablement l’obligation de signaler les fuites de données. En conséquence, les entreprises sont confrontées à des défis croissants en matière de sécurité et de conformité.

Tout change Le défi de conformité est double. Comme nous l’avons évoqué plus tôt, la gestion courante d’un réseau introduit des changements quotidiens au niveau des équipements et des topologies. Chaque changement effectué, peu importe son ampleur, peut affecter la conformité de l’entreprise. Pour les entreprises possédant plusieurs sites en particulier, il peut être difficile pour les équipes informatiques de savoir précisément ce qui se passe sur chaque site.

Deuxièmement, la conformité n’est pas uniquement une question informatique. Il s’agit également des actions et des comportements humains, qui sont enclin à changer aussi souvent que le réseau, même si les employés reçoivent régulièrement des formations sur l’utilisation appropriée des ressources. Comme les entreprises ont de plus en plus besoin de se conformer à plusieurs réglementations (des études montrent que les entreprises de la liste Fortune 1000 doivent obéir à plus de 30 réglementations différentes), la mise en œuvre des contrôles et des politiques de sécurité pour répondre à ces exigences est devenue un sérieux défi.

Ce n’est cependant que la première étape. Les systèmes doivent également être supervisés et contrôlés régulièrement pour assurer leur conformité permanente, et il est nécessaire de présenter une analyse de la conformité en vue de rapports et d’audits. Comment les équipes informatiques des entreprises peuvent-elles répondre à ces demandes complexes et changeantes, lorsqu’elles n’ont ni les ressources ni la main-d’œuvre pour éplucher continuellement les journaux d’événements système ?

L’automatisation est la solution Pour suivre le rythme de ces demandes, il est nécessaire de pouvoir superviser automatiquement et en temps réel le réseau, les règles de sécurité et la configuration des produits de sécurité, et pouvoir mesurer l’impact des changements sur la sécurité et la conformité de l’entreprise. Une visibilité sur l’état du réseau via un tableau de bord unifié permet aux équipes informatiques de traquer et identifier les problèmes potentiels de connectivité et de trafic, et mettre en évidence les zones à risque en matière de sécurité – telles que la manière dont les différents pare-feux du réseau sont configurés, et quelles règles de sécurité sont actives sur ces équipements.

L’automatisation peut apporter aux équipes informatiques la visibilité et la réactivité dont elles ont besoin pour traiter rapidement les problèmes réseau avant qu’ils ne se transforment en risques graves. Comment les équipes informatiques peuvent-elles exactement connaître l’état de leur conformité à tout moment, au niveau des réglementations qui touchent leur secteur ? C’est à ce niveau que des outils de conformité appropriés peuvent faire une réelle différence.

En plus de permettre un management avancé du réseau et de la sécurité, un outil efficace de conformité doit être en mesure de comparer l’état de conformité des passerelles et autres équipements de sécurité avec une vaste bibliothèque de bonnes pratiques, de réglementations et de directives de sécurité. La solution doit alors superviser automatiquement les changements apportés aux règles et aux configurations, alerter les équipes informatiques de l’impact de ces changements, et suggérer des corrections pour maintenir le niveau de sécurité et de conformité. Il est également presque aussi important de pouvoir repérer et résoudre les problèmes, et documenter l’état de la sécurité de l’entreprise – pour démontrer la conformité à la direction et à des auditeurs externes.

L’automatisation aide les entreprises à regagner le contrôle de leur conformité. La solution appropriée doit aider les équipes informatiques à traquer les problèmes potentiels, à mettre en évidence les zones à risque, à comparer l’état actuel de la conformité avec les meilleures pratiques et les réglementations en vigueur, et faire des recommandations adéquates pour maintenir le niveau de sécurité et de conformité. Même si des changements sont inévitables, leur impact sur la conformité et la sécurité d’une entreprise peut être minimisés.

BYOD, Entreprise, Fuite de données, Sauvegarde

Fuites de données : 263 millions d’euros perdus en France

Les cyber-attaques sur les infrastructures de confiance exposent les entreprises françaises à des pertes de l’ordre de 263 millions d’euros, selon une étude de Ponemon et Venafi. La mauvaise gestion de millions de clés cryptographiques et de certificats numériques menace la sécurité et les opérations des entreprises françaises. Continuer la lecture de Fuites de données : 263 millions d’euros perdus en France →

BYOD, Entreprise, Fuite de données

Les données stockées dans son réseaux

Les entreprises sont souvent impuissantes face à la protection de leur bien le plus précieux : les données stockées dans leurs réseaux. Alors que les services concernés ont souvent une bonne vue d’ensemble des données conservées au sein de la société et peuvent très facilement évaluer les dommages éventuels, une nouvelle étude commanditée par Kaspersky Lab, que datasecuritybreach.fr a pu consulter, révèle que la plupart des entreprises ont une idée peu précise des données de l’entreprise que les employés stockent sur leurs propres terminaux mobiles. Ceux-ci étant de plus en plus nombreux à utiliser des équipements personnels à des fins professionnelles, une telle méconnaissance pose des problèmes inédits.

Cette enquête, menée par TNS Infratest, révèle que, parmi les sondés en France, : seuls 33% des responsables informatique ont mis en place des règles suffisamment strictes pour disposer d’une vision complète et précise des informations stockées sur ces terminaux mobiles. 45% indiquent ne pas savoir où se trouvent toutes les données, mais avoir un aperçu raisonnable de la situation. 17% reconnaissent n’en avoir aucune idée.

Globalement, il ressort que ce sont les entreprises britanniques et espagnoles qui ont mis en place les règles les plus complètes en matière de protection des données. Ainsi : 57% des responsables interrogés au Royaume-Uni et 54% en Espagne déclarent avoir une vision complète de l’emplacement de leurs données. En Suède; ce chiffre descend à 19%. L’Espagne est également le pays présentant le plus faible nombre de responsables informatiques admettant n’avoir aucune idée à ce sujet (5%). Les entreprises scandinaves, à titre de comparaison, sont, soit très honnêtes, soit font implicitement confiance à leurs employés. En Suède (26%) et au Danemark (22%), soit un nombre exceptionnellement élevé de responsables informatiques reconnaissent ne pas avoir une idée claire des données présentes sur les terminaux mobiles.

« En cas de perte ou de vol d’un appareil mobile d’un employé, il est crucial de savoir ce qu’il contenait en termes de données et surtout de pouvoir mettre en œuvre rapidement les mesures nécessaires pour réagir efficacement », commente à datasecuritybreach.fr Tanguy de Coatpont, directeur général de Kaspersky Lab France. « Si, pour une raison ou pour une autre, il n’est pas possible de savoir où se trouvent les informations de l’entreprise, il convient au moins de pouvoir les crypter afin de les rendre inaccessibles à toute personne malveillante. »

BYOD, Chiffrement, cryptage, Entreprise, Fuite de données, Sauvegarde, Sécurité

L’encadrement juridique de l’utilisation de leurs équipements personnels par les salariés

Le BYOD (« Bring your own device »), ou l’utilisation par les employés de leurs équipements personnels (smartphone, pc portable, tablette tactile…) dans un contexte professionnel, est aujourd’hui une pratique courante en entreprise, qui demeure pourtant peu encadrée juridiquement. Donatienne Blin, avocat au sein du département Informatique & Réseaux du cabinet Courtois Lebel, passe en revue, pour Data Security Breach,  les points de vigilance. L’accès immédiat et en toutes circonstances au système d’information de l’entreprise grâce aux BYOD améliore la réactivité et la productivité des employés.

Pourtant cette pratique souvent tolérée par les entreprises présente, en l’absence d’encadrement spécifique, des risques substantiels pesant sur la sécurité du système d’information, précisément sur la confidentialité et l’intégrité des données de l’entreprise : négligence de l’utilisateur (prêt ou perte du terminal), applications malveillantes téléchargées, virus ou failles de sécurité de l’OS (operating system) rendent possibles les accès frauduleux au système d’information par des tiers non autorisés. Chaque type de BYOD présente des risques particuliers qui devront être traités différemment.

L’utilisation des équipements personnels et l’anticipation des risques est donc une problématique majeure au sein de l’entreprise et précisément des directions juridiques et des directions des systèmes d’information. Toute perte ou altération des données personnelles peut provoquer des dommages économiques à l’entreprise, mais peut également engager sa responsabilité : l’article 34 de la loi n°78-17 Informatique, fichiers et libertés du 6 janvier 1978 impose au responsable de traitement de données personnelles de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement pour « préserver la sécurité des données et notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Ainsi, dans le prolongement de la politique de sécurité mise en œuvre par les DSI (directions des systèmes d’information), les entreprises doivent encadrer l’utilisation des BYOD et garder en toutes circonstances le contrôle de l’accès au réseau et des données y étant accessibles. Cet encadrement devra se matérialiser par la mise en place d’une charte informatique, ou la mise à jour de celle-ci dès lors qu’elle serait existante, en vue d’y inclure les mesures propres à leur utilisation, applicables à l’ensemble des salariés.

Les problématiques suivantes devront y être abordées :

L’accès au système d’information de l’entreprise Compte tenu des risques (introduction de virus, fuite, perte, altération de données personnelles ou sensibles et confidentielles…) pesant notamment sur les données de l’entreprise, des règles d’accès au système d’information de l’entreprise via un équipement personnel devront être adaptées. On pourra prévoir que le salarié utilisant un équipement personnel soit obligé, préalablement à la connexion de son terminal au réseau de l’entreprise, d’avertir le DSI et de faire contrôler son équipement afin de s’assurer de sa conformité en termes de sécurité. De même, le salarié devra toujours disposer d’un équipement en état de fonctionnement, et systématiquement, télécharger les mises à jour proposées par les éditeurs (du système d’exploitation, des logiciels et des applications utilisés).

Il pourra également être imposé au salarié de protéger son équipement par mot de passe afin d’en interdire l’accès aux tiers. L’obligation de faire l’acquisition d’outils permettant de limiter les risques de sécurité pourra également être imposée au salarié : logiciel antivirus, de cryptage des données, ou encore dispositif permettant de supprimer les données à distance dès lors que les données seraient directement stockées sur l’équipement personnel du salarié. Afin d’éviter la perte définitive des données (les applications cloud le permettent, ndlr Datasecuritybreach.fr), il peut également être imposé au salarié d’installer des outils de sauvegardes journalières ou de synchronisation des données avec un autre appareil. En cas de vol, perte, ou constat quelconque d’intrusion frauduleuse sur l’équipement personnel, le salarié devra immédiatement prévenir le DSI afin qu’il prenne toutes mesures nécessaires pour protéger le système d’information de l’entreprise et les données y étant stockées.

La propriété et le contrôle des données accessibles via l’équipement personnel Il devra être précisé que toutes données professionnelles stockées ou accessibles via un équipement personnel demeureront la propriété exclusive de l’employeur. Les cas d’accès et de contrôle aux données stockées sur l’équipement personnel du salarié par l’employeur devront être précisément définis dans la charte.

Pour rappel, Data Security Breach vous énumère les règles à retenir : le salarié utilisant un équipement professionnel doit expressément identifier les éléments personnels comme tels ; à défaut d’identification explicite contraire, le contenu est considéré comme ayant un caractère professionnel et son employeur peut dès lors y accéder.

L’employeur ne peut accéder aux fichiers personnels expressément identifiés comme tels par son salarié hors la présence de ce dernier, et ce sauf risque ou évènement particulier. Il devra être imposé au salarié, en cas de départ de l’entreprise, de transférer à son supérieur hiérarchique l’ensemble des données professionnelles éventuellement stockées sur son équipement personnel. En cas d’application cloud, l’accès doit être coupé au jour du départ.

La problématique du coût ou la participation de l’entreprise aux frais payés par les salariés Dans le cas des BYOD, le coût des équipements personnels utilisés à des fins professionnelles et les éventuels frais annexes (assurance, maintenance, anti-virus, forfait téléphone/internet, logiciels indispensables à l’activité, tel que le Pack Office de Microsoft) sont de fait déportés chez les salariés. Certains coûts pourraient être partiellement pris en charge par les entreprises, dès lors qu’il est raisonnable de considérer que le salarié n’aurait pas fait l’acquisition de ces différents outils, imposés par l’entreprise, dans le cadre d’une utilisation strictement personnelle. Ces règles liées à la prise en charge totale ou partielle des coûts devront être définies et portées à la connaissance des employés. Cette problématique rejoint celle de la discrimination entre les salariés : certains salariés pourront se procurer eux-mêmes leur propre équipement tandis que d’autres ne le pourront pas pour des raisons exclusivement financières.

La durée légale du travail En utilisant son équipement personnel, notamment pour recevoir ses mails professionnels, le salarié reste connecté en permanence avec le réseau de son entreprise.Cela a pour conséquence d’augmenter la durée du travail. Or les entreprises doivent respecter la durée légale du temps de travail sous peine de sanction. La charte devra donc tenir compte du fait que l’utilisation de l’équipement personnel ne doit en aucun cas porter atteinte à la durée légale du travail applicable à chaque salarié concerné. Au même titre, aucune sanction ne devrait découler d’une absence de réactivité d’un salarié en dehors de ses horaires de travail.

Les accès aux applications ou plus généralement au réseau de l’entreprise en dehors des horaires de travail peuvent être directement bloqués à distance par la direction des systèmes d’information. Ce système impose de créer des groupes d’utilisateurs autorisés, en fonction des horaires de travail qui leur sont applicables, du poste ou encore du rang hiérarchique occupé.

La responsabilité en cas de vol ou de dommages matériels causés à l’équipement personnel La question des éventuels dommages causés à l’équipement personnel de l’employé sur le lieu de travail sans aucune faute de sa part devra être tranchée dans la charte. Par exemple un virus pourrait être transmis sur l’équipement personnel du salarié qui se serait connecté au réseau de l’entreprise. Dès lors que l’équipement du salarié serait endommagé par la faute ou la négligence de l’entreprise, celle-ci devrait, dans ces conditions, être responsable des réparations.Les conditions de responsabilité et de réparation totale ou partielle en cas de dommages matériels doivent donc être précisément définies, dans le respect des règles du code du travail applicables.

La redéfinition des règles d’utilisation prohibées Il conviendra d’élargir les règles d’utilisation prohibées des ressources de l’entreprise aux ressources personnelles, dès lors que le réseau internet de l’entreprise devient accessible via un équipement personnel. Ainsi, il faudra rappeler au salarié que les règles d’utilisation prohibées des ressources de l’entreprise s’étendent à son équipement personnel (faits d’atteinte à la vie privée ou à l’image d’un tiers, diffamation, injure, discrimination, dénigrement de l’entreprise, l’atteinte à l’image de marque, à sa réputation ou à ses droits). De même, devront être prohibés les téléchargements de contenus portant atteinte au droit de la propriété intellectuelle qui seraient effectués par le salarié via le réseau de l’entreprise avec son équipement personnel. Enfin, il devra être interdit au salarié de se connecter via des réseaux wifi non sécurisés mais également de télécharger des applications ou logiciels non sécurisés sur son équipement personnel. La DSI pourrait préalablement établir une liste d’applications ou d’éditeurs interdits car présentant des risques en termes de sécurité, et mettre à jour cette liste.

L’opposabilité des règles L’opposabilité de ces règles devra être assurée afin de pouvoir engager la responsabilité disciplinaire ou judiciaire du salarié qui ne les aurait pas respectées et qui aurait été responsable du dommage causé à l’entreprise par sa faute. Ces règles peuvent donc figurer dans la charte informatique de l’entreprise, laquelle sera elle-même annexée au règlement intérieur. Les instances  représentatives du personnel devront être consultées.

Pour finir, DataSecurityBreach.fr vous rappelle que dans son arrêt du 12 février 2013, la Cour de cassation a jugé qu’un employeur pouvait contrôler une clé USB d’un employé connectée à son ordinateur professionnel alors même que celle-ci était personnelle et sans la présence de l’employé. En l’espèce, les fichiers contenus n’étaient pas identifiés comme personnels, pas plus que la clé en question. Malheureusement pour l’employé, la clé contenait des informations confidentielles, ce qui a justifié son licenciement. (par Courtois Lebel, pour DataSecurityBreach.fr – PL est membre de deux réseaux de cabinets d’avocats : AEL, réseau européen, et ALFA.)