Rendez-vous au FIC 2014

fic 2014Bien installé dans le paysage des événements liés à la cybersécurité, le 6ème Forum International sur la Cybersécurité aura lieu les 21 et 22 janvier prochains à Lille Grand Palais.

Pour vous inscrire: http://www.forum-fic.com/

La thématique générale de cette année est "Identité numérique et confiance", mais vous trouverez dans le programme de nombreux thèmes qui vous intéresseront, notamment ceux qui sont au cœur de la lutte contre la cybercriminalité. Cet événement se veut ouvert et tourné vers les entreprises, les collectivités locales, les administrations et le citoyen. C’est pour cela que cette année encore l’entrée est gratuite. En y participant, vous pourrez échanger dans les couloirs et au moment des pauses, poser des questions lors des débats, des ateliers et des conférences.

Cette année plusieurs nouveautés importantes:

  • l’organisation d’un challenge forensique à destination des étudiants et des débutants dans l’investigation numérique (les inscriptions sont closes depuis le 31 décembre);
  • de nombreux ateliers seront en anglais ou traduits en anglais pour une meilleure ouverture vers nos visiteurs étrangers;
  • l’attribution d’un prix de la PME innovante.

Pour ma part je participerai à deux occasions:

  • Une conférence de 45 minutes sur la lutte contre la cybercriminalité
  • Un atelier que j’animerai avec Guillaume Arcas (Sekoia) sur la réponse aux incidents dans les entreprises. La réponse aux incidents comporte notamment les techniques qui sont mises en oeuvre pour comprendre l’origine et l’importance d’un incident de sécurité informatique, collecter éventuellement des preuves (en vue d’un dépôt de plainte) et aider aux processus de reprise d’activité. Cet atelier se déroulera en trois temps, avec une introduction concrète sur ce qu’est la réponse aux incidents, une démonstration des méthodes utilisées puis une table ronde pour discuter avec la salle des enjeux et difficultés de la réponse aux incidents avec plusieurs intervenants.

Rendez-vous à Lille !

Sondage sur la gestion des mises à jour

logotype_botnets160x113Dans le cadre de ma thèse  (pour rappel, le Wiki de ma thèse), je souhaite diffuser un sondage pour mieux connaître les pratiques en matière de gestion des mises à jour. Le sondage est évidemment anonyme. N’hésitez pas à le rediffuser auprès de vos contacts. Enfin, n’hésitez pas à en parler aussi ici, si le sujet vous amène des réflexions complémentaires !

Si vous êtes RSSI ou DSI dans votre entreprise ou organisation, vous pouvez répondre à ce sondage ici. La réponse à ce sondage ne devrait pas prendre plus de dix minutes.

Si vous connaissez personnellement votre RSSI ou votre DSI, faites lui gentiment passer l’adresse de cet article ! Merci de votre aide.

De la cyberdéfense

Cette semaine à Paris a connu deux événements qu’il est intéressant d’observer en parallèle:

Comment est définie la cyberdéfense ?

Comme souvent, lorsque l’on parle de défense nationale, il faut se rappeler qu’elle ne touche pas qu’aux missions militaires, mais bien à l’ensemble des mesures permettant de défendre l’intégrité physique autant qu’économique ou sociale de la nation. La cyberdéfense était définie dans un papier très attendu publié par l’ANSSI en février 2011:

Ensemble des mesures techniques et non techniques permettant à un État de défendre dans le cyberespace les systèmes d’information jugés essentiels.

et cela vise le cyberespace:

Espace de communication constitué par  l’interconnexion mondiale d’équipements de traitement automatisé de données numériques.

qui correspond très largement à l’Internet tel qu’on l’entend généralement, mais aussi à tous les réseaux qui y sont connectés.

… et vient s’inclure dans la notion plus globale de cybersécurité:

État recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles.

La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense.

Dans le rapport piloté par Jean-Marie Bockel La cyberdéfense: un enjeu mondial, une priorité nationale, son auteur s’était proposé de

se concentrer sur les attaques informatiques susceptibles de porter atteinte aux intérêts fondamentaux de la Nation et les moyens de s’en protéger.

En réalité, et on le voit dans les nombreuses affaires qui ont dû être traitées au cours des derniers mois, il y a une grande partie de la politique de cyberdéfense qui se doit d’utiliser les outils juridiques de la lutte contre la cybercriminalité, puisqu’on s’est souvent retrouvés dans une situation d’abord délictuelle – souvent vraisemblablement liée à des actions d’espionnage. A contrario, toutes les mesures de la cyberdéfense ne relèvent pas uniquement de la sécurité des systèmes d’information, parce que partie prenante de la politique de défense du pays et donc disposant d’autres modes d’action complémentaires (comme la diplomatie, la négociation de traités, l’action militaire éventuelle – notamment offensive).

Les composantes de la cybersécurité

Les composantes de la cybersécurité

Il faut donc comprendre la cyberdéfense comme une posture spécifique et renforcée de sécurisation (mesures de protection, détection des incidents et réaction) de systèmes d’information jugés essentiels et notamment ceux qui touchent aux intérêts fondamentaux de la nation. En pratique, cela concerne donc les systèmes d’information de l’Etat – et notamment ceux liés à la Défense nationale, des collectivités locales et autres acteurs qui traitent des systèmes d’information sensibles au profit de l’Etat, ainsi que les opérateurs d’importance vitale (ou OIV, définis à l’article R1332-1 du code de la défense).

L’article R. 1332-1 du code de la défense précise que les opérateurs d’importance vitale sont désignés parmi les opérateurs publics ou privés mentionnés à l’article L. 1332-1 du même code, ou parmi les gestionnaires d’établissements mentionnés à l’article L. 1332-2.

Un opérateur d’importance vitale :
- exerce des activités mentionnées à l’article R. 1332-2 et comprises dans un secteur d’activités d’importance vitale ;
- gère ou utilise au titre de cette activité un ou des établissements ou ouvrages, une ou des installations dont le dommage ou l’indisponibilité ou la destruction par suite d’un acte de malveillance, de sabotage ou de terrorisme risquerait, directement ou indirectement d’obérer gravement le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation ou de mettre gravement en cause la santé ou la vie de la population.

Cela va donc des fonctions techniques et d’infrastructure (opérateurs, composantes essentielles des réseaux comme les plateformes d’échange de trafic, les serveurs DNS, etc.) à tous les systèmes d’information sensibles des secteurs clés (énergie, transport, alimentation, santé, etc.).

Cette posture particulière se traduit notamment en France par la désignation d’entités spécifiques au sein de l’administration chargées prioritairement de cette mission: l’Agence nationale de la sécurité des systèmes d’information et la chaîne de commandement Cyber du Ministère de la défense. Bien entendu, ces entités disposent de nombreux partenaires agissant à différents titres: citons police, gendarmerie et justice dans les domaines judiciaires, ou encore la direction générale de l’armement dans la dimension technico-opérationnelle.

Que retenir du colloque organisé au Sénat ?

Le colloque avait d’abord pour objet de prendre acte des progrès accomplis depuis la publication du livre blanc de la défense de 2008. La cyberdéfense n’était alors pas encore affichée sous cette terminologie:

(Extrait de la synthèse) La guerre informatique est une préoccupation majeure du Livre blanc qui développe deux axes stratégiques : d’une part, une conception nouvelle de la défense informatique, organisée « en profondeur » et coordonnée par une agence de la sécurité des systèmes d’information placée sous la tutelle du secrétaire général de la défense et de la sécurité nationale; d’autre part, la constitution de capacités de lutte informatique offensive qui seront développées, pour les armées, sous l’égide de l’état-major des armées, et en outre par des services spécialisés.

Entre autres, l’agence nationale de la sécurité des systèmes d’information, successeure de la direction centrale de la sécurité des systèmes d’information aux missions élargies, a bien été créée et a recruté assez largement. De même, le ministère de la défense a renforcé ses structures dédiées à la cyberdéfense, couronnées par la nomination d’un "officier général cyber" au sein de l’Etat major des armées.

Dans le Livre blanc 2013 de la défense et de la sécurité nationale, l’ambition est réaffirmée, ce à plusieurs reprises:

(page 90) Nos armées remplissent d’abord des missions permanentes. La dissuasion continuera de se fonder sur la posture permanente des deux composantes, océanique et aéroportée. Dans le cadre de la fonction stratégique de protection, les postures permanentes de sûreté terrestre, aérienne et maritime seront tenues dans les mêmes conditions qu’aujourd’hui. L’engagement des armées en renfort des forces de sécurité intérieure et de sécurité civile en cas de crise majeure pourra impliquer jusqu’à 10 000 hommes des forces terrestres, ainsi que les moyens adaptés des forces navales et aériennes. Pour remplir ces différentes missions de protection, il sera fait appel, lorsque c’est nécessaire, à des moyens prélevés ponctuellement sur nos forces d’intervention. Cette posture sera complétée par le dispositif de cyberdéfense, qui est appelé à s’amplifier dans les années qui viennent.

(page 94) Le développement de capacités de cyberdéfense militaire fera l’objet d’un effort marqué, en relation étroite avec le domaine du renseignement. La France développera sa posture sur la base d’une organisation de cyberdéfense étroitement intégrée aux forces, disposant de capacités défensives et offensives pour préparer ou accompagner les opérations militaires. L’organisation opérationnelle des armées intégrera ainsi une chaîne opérationnelle de cyberdéfense, cohérente avec l’organisation et la structure opérationnelles de nos armées, et adaptée aux caractéristiques propres à cet espace de confrontation : unifiée pour tenir compte de l’affaiblissement de la notion de frontière dans cet espace ; centralisée à partir du centre de planification et de conduite des opérations de l’état-major des armées, pour garantir une vision globale d’entrée et une mobilisation rapide des moyens nécessaires ; et spécialisée car demandant des compétences et des comportements adaptés. La composante technique confiée à la direction générale de l’armement aura pour mission de connaître et anticiper la menace, de développer la recherche amont, et d’apporter son expertise en cas de crise informatique touchant le ministère de la Défense.

(page 105) La lutte contre la cybermenace

Les suites données aux analyses et aux recommandations du Livre blanc de 2008 dans le domaine de la cyberdéfense ont permis à la France de franchir une étape décisive dans la prise en considération de cette menace et dans la mise en œuvre des réponses qu’elle requiert. Toutefois, la croissance continue de la menace, l’importance sans cesse accrue des systèmes d’information dans la vie de nos sociétés et l’évolution très rapide des technologies imposent de franchir une étape supplémentaire pour conserver des capacités de protection et de défense adaptées à ces évolutions. Elles nous imposent aujourd’hui d’augmenter de manière très substantielle le niveau de sécurité et les moyens de défense de nos systèmes d’information, tant pour le maintien de notre souveraineté que pour la défense de notre économie et de l’emploi en France. Les moyens humains qui y sont consacrés seront donc sensiblement renforcés à la hauteur des efforts consentis par nos partenaires britannique et allemand.

La capacité de se protéger contre les attaques informatiques, de les détecter et d’en identifier les auteurs est devenue un des éléments de la souveraineté nationale. Pour y parvenir, l’État doit soutenir des compétences scientifiques et technologiques performantes.

La capacité de produire en toute autonomie nos dispositifs de sécurité, notamment en matière de cryptologie et de détection d’attaque, est à cet égard une composante essentielle de la souveraineté nationale. Un effort budgétaire annuel en faveur de l’investissement permettra la conception et le développement de produits de sécurité maîtrisés. Une attention particulière sera portée à la sécurité des réseaux de communication électroniques et aux équipements qui les composent. Le maintien d’une industrie nationale et européenne performante en la matière est un objectif essentiel.

Un renforcement de la sécurité des systèmes d’information de l’État est nécessaire. Une politique de sécurité ambitieuse sera mise en œuvre. Elle s’appuiera notamment sur le maintien de réseaux de haute sécurité irriguant les autorités de l’État, sur une politique appropriée d’achat public et sur une gestion adaptée des équipements de communications mobiles. Elle sera complétée par une politique de sensibilisation en direction des administrations déconcentrées de l’État, des collectivités territoriales, de leurs établissements publics et des principaux utilisateurs du cyberespace. La cybersécurité de l’État
dépend aussi de celle de ses fournisseurs de produits et de services, qui doit être renforcée. Des clauses seront insérées dans les marchés afin de garantir le niveau de sécurité attendu.

S’agissant des activités d’importance vitale pour le fonctionnement normal de la Nation, l’État fixera, par un dispositif législatif et réglementaire approprié, les standards de sécurité à respecter à l’égard de la menace informatique et veillera à ce que les opérateurs prennent les mesures nécessaires pour détecter et traiter tout incident informatique touchant leurs systèmes sensibles. Ce dispositif précisera les droits et les devoirs des acteurs publics et privés, notamment en matière d’audits, de cartographie de leurs systèmes d’information, de notification des incidents et de capacité pour l’agence nationale de la sécurité des systèmes d’information (ANSSI), et, le cas échéant, d’autres services de l’État, d’intervenir en cas de crise grave.

La doctrine nationale de réponse aux agressions informatiques majeures repose sur le principe d’une approche globale fondée sur deux volets complémentaires :

  • la mise en place d’une posture robuste et résiliente de protection des systèmes d’information de l’État, des opérateurs d’importance vitale et des industries stratégiques, couplée à une organisation opérationnelle de défense de ces systèmes, coordonnée sous l’autorité du Premier ministre, et reposant sur une coopération étroite des services de l’État, afin d’identifier et de caractériser au plus tôt les menaces pesant sur notre pays ;
  • une capacité de réponse gouvernementale globale et ajustée face à des agressions de nature et d’ampleur variées faisant en premier lieu appel à l’ensemble des moyens diplomatiques, juridiques ou policiers, sans s’interdire l’emploi gradué de moyens relevant du ministère de la Défense, si les intérêts stratégiques nationaux étaient menacés.

Au sein de cette doctrine nationale, la capacité informatique offensive, associée à une capacité de renseignement, concourt de façon significative à la posture de cybersécurité. Elle contribue à la caractérisation de la menace et à l’identification de son origine. Elle permet en outre d’anticiper certaines attaques et de configurer les moyens de défense en conséquence. La capacité informatique offensive enrichit la palette des options possibles à la disposition de l’État. Elle comporte différents stades, plus ou moins réversibles et plus ou moins discrets, proportionnés à l’ampleur et à la gravité des attaques.

De manière plus générale, la sécurité de l’ensemble de la société de l’information nécessite que chacun soit sensibilisé aux risques et aux menaces et adapte en conséquence ses comportements et ses pratiques. Il importe également d’accroître le volume d’experts formés en France et de veiller à ce que la sécurité informatique soit intégrée à toutes les formations supérieures en informatique.

Toute politique ambitieuse de cyberdéfense passe par le développement de relations étroites entre partenaires internationaux de confiance. Les relations seront approfondies avec nos partenaires privilégiés, au premier rang desquels se placent le Royaume-Uni et l’Allemagne. Au niveau européen, la France soutient la mise en place d’une politique européenne de renforcement de la protection contre le risque cyber des infrastructures vitales et des réseaux de communications électroniques.

(page 120) Il faudra en outre organiser la montée en puissance de nouvelles composantes de la réserve opérationnelle, spécialisées dans des domaines dans lesquelles les forces de défense et de sécurité sont déficitaires. C’est notamment le cas de la cyberdéfense, qui fera l’objet d’une composante dédiée au sein la réserve opérationnelle. Celle-ci constituera un atout au service de la résilience de la Nation et sera prévue et organisée spécifiquement pour permettre au ministère de la Défense de disposer d’une capacité de cyberdéfense démultipliée en cas d’attaque informatique majeure.

[...] Compte tenu des enjeux multiples et croissants dans ce domaine, une réserve citoyenne sera particulièrement organisée et développée pour la cyberdéfense, mobilisant en particulier les jeunes techniciens et informaticiens intéressés par les enjeux de sécurité.

Les présentations de la première partie de la journée ont donc développé autour des idées détaillées dans le livre blanc. Je résumerais en trois points les idées principales que j’en retiens:

  • Un acquis important tant sur le plan organisationnel que des moyens mis à disposition;
  • Une véritable prise de conscience politique de l’enjeu de la cybersécurité et plus particulièrement de la nécessité de renforcer notre cyberdéfense – dans le précédent livre blanc, le sujet était bien présent, mais diffus ;
  • Une ambition réaffirmée, qui même si elle n’est pas chiffrée précisément, se positionne à la hauteur de ce qui est pratiqué par nos partenaires les plus proches – Royaume-Uni et Allemagne (l’Allemagne a annoncé un programme de financement de la recherche en cybersécurité à hauteur de 30 M€).

L’après-midi a été consacrée au rôle des industries spécialisées françaises, qui nous ont expliqué – et l’évolution de leur organisation et de leurs offres le démontre – qu’elles sont en ordre de bataille pour répondre aux enjeux proposés par le livre blanc ou le rapport Bockel. Le sujet des petites et moyennes entreprises œuvrant dans ce domaine a été abordé, notamment au travers de l’intervention de Jérôme Notin, l’un des responsables du projet d’antivirus français DAVFI. Et on touche là à un sujet essentiel et ce pour plusieurs raisons:

  • l’innovation se développe très souvent dans de petites structures (VUPEN est souvent cité comme acteur majeur de la connaissance des menaces, mais beaucoup d’autres sont à l’oeuvre comme PicViz, ArxSys, Quarkslab, Lexfo, Tetrane, Amossys, 6cure ou certains des membres du pôle Systematic, puis dans les toutes petites Agarrin’hésitez pas à me signaler d’autres petites entreprises en pointe);
  • l’offre de sécurité à taille humaine, c’est-à-dire à la taille des PME ou des collectivités locales doit se développer, elle existe en France de façon encore insuffisante (l’offre peine à atteindre ou à convaincre tout le public qu’il faudrait toucher) et fragile (les difficultés financières d’HSC annoncées récemment en sont une illustration criante).

Enfin, la recherche et la formation sont deux composantes essentielles de la politique à développer. Tous partagent le constat qu’un gros effort reste à réaliser dans le domaine de la formation, qu’il s’agisse de sensibilisation de tous les français, des responsables d’entreprises, d’initiation à la sécurité des informaticiens, de formation de spécialistes en sécurité des systèmes d’information et plus spécifiquement en cyberdéfense ou de la formation continue des acteurs complémentaires (comme les magistrats, gendarmes ou policiers par exemple). Les besoins sont clairement détaillés dans le rapport Bockel.

Vous retrouverez des extraits en vidéo de la journée sur le site du Sénat. Pour ceux qui seraient intéressés enfin, une fiche sur la réserve citoyenne cyberdéfense.

Autres articles sur ce colloque:

Sujet très complémentaire de nos préoccupations en matière de cybercriminalité !…

Les conférences en sécurité

Revenons sur le deuxième événement de cette semaine avec NoSuchCon. Les conférences de sécurité informatique se multiplient en France et dans les pays voisins et c’est une bonne chose. Rien qu’entre mai et juin on peut citer:

… puis à l’automne:

Autant d’occasions pour rencontrer non seulement des français qui travaillent sur des questions de sécurité, mais des spécialistes venus du monde entier. Témoignage d’une vivacité grandissante de cette communauté en France. NoSuchCon était l’occasion, à l’image de Hackito Ergo Sum quelques jours plus tôt, d’assister à des présentations qui auparavant ne parvenaient pas jusque chez nous.

Pour finir, quelques articles en ligne sur la NoSuchCon pour vous en faire votre propre idée:

J’ai eu un faible pour la toute dernière présentation, par deux français, Robinson Delaugerre & Adrien Chevalier, Killing RATs, the Arsenic Framework, qui ont pour ambition de mettre à disposition une plateforme d’analyse de certains types d’attaques en profondeur. A suivre donc !

Botconf 2013

anglais English version of this post.

ImageLes 5 et 6 décembre prochains se tiendra à Nantes (France) Botconf 2013, la première conférence dédiée à la lutte contre les botnets.

L’appel à présentations ou articles scientifiques est en ligne sur le site Web de la conférence https://www.botconf.eu/. La date limite pour soumettre des papiers est le 30 juin 2013.

La conférence est ouverte aux chercheurs académiques, industriels et aux services de police. Les étudiants dont les papiers seront sélectionnés recevront une aide pour assister à la conférence (aide financière pour le transport et le logement).

Le comité d’organisation est composé de volontaires de la communauté botnets.fr et le comité scientifique indépendant est composé de spécialistes en sécurité de tous secteurs et de toutes les régions du monde. La conférence se tiendra en langue anglaise.

Les menaces se propagent silencieusement malgré les mises à jours (de Java)

Dans un article sur mon blog en langue anglaise, je reviens sur des événements très récents dans la diffusion de l’information de sécurité et leur utilisation par les délinquants numériques. En résumé:

  • Une mise à jour de Java est publiée le 16 avril
  • Le 17 avril des articles de sécurité publient certaines méthodes d’exploitation des vulnérabilités corrigées
  • Dès le 21 avril on voit dans la nature des plateformes d’exploit (voir l’article de ce blog sur la diffusion des virus) qui utilisent ces vulnérabilités de façon massive
  • Une méthode de contournement du message d’avertissement qu’affiche normalement Java avant d’exécuter une application est utilisée. Il en résulte ces derniers jours un doublement du taux de machines ciblées pour lesquelles l’attaque fonctionne (atteignant des taux de 20%).

Message d'avertissement de Java qui est contourné par certaines attaques de plateformes d'exploit actuellement.

Message d’avertissement de Java qui est contourné par certaines attaques de plateformes d’exploit actuellement.

Conclusion:

  • Vérifiez que votre installation de Java est à jour, et si vous n’en avez pas besoin désactivez Java dans votre navigateur (article de Slate vous guidant pour cette désactivation). L’ANSSI publiait il y a quelques jours un guide sur la sécurité des environnements d’exécution Java sur les postes de travail, plutôt destiné à un public professionnel.
  • Il est grand temps que la communauté de la sécurité réfléchisse un peu plus avant à la diffusion de l’information sur les vulnérabilités et sa coordination avec l’information du public sur les risques.
  • A quand un service de "météo" de la sécurité des ordinateurs personnels?

L’article en anglais contient quelques détails supplémentaires.

Forum du Rhin Supérieur sur les Cybermenaces 2012

Le Forum du Rhin Supérieur sur les Cybermenaces se tient l’après-midi du 6 novembre 2012 à Strasbourg, dans les locaux de l’Ecole nationale d’administration. Il est organisé par la région de gendarmerie d’Alsace et les officiers de la réserve citoyenne de la gendarmerie. Le thème cette année: «Assurer la confiance malgré les menaces». En 2011, le FRC présentait les résultats d’une étude prospective sur la cybercriminalité de 2011 à 2020 (en pièce jointe, la version anglaise de cette étude ainsi que la version originale en français). Le programme est disponible ici en téléchargement.

Le général d’armée (2S) Marc Watin-Augouard introduit la conférence sur les enjeux de la confiance et de la cybercriminalité.

Trois tables rondes au programme, précédées de deux discours introductifs. Parmi les points clés soulignés par le Général d’armée (2S) Marc Watin-Augouard: la création d’une juridiction spécialisée au niveau national, formation des policiers et gendarmes dès leur formation initiale à la prise en compte du numérique dans leurs missions. Daniel Guinier, quant à lui, développe les enjeux de la dématérialisation: ses différentes composantes (et notamment son application dans les marchés publics qui est de plus en plus souvent obligatoire), sa sécurisation (il fait référence au référentiel général de sécurité).

Les menaces de vol et de détournement d’informations

Dominique Schoenher (Ecole des officiers de la gendarmerie nationale) introduit cette table ronde en soulignant la sensibilité et la vulnérabilité de l’information des entreprises.

Jean-Marc Kolb (CCI Alsace, directeur pour l’économie numérique) revient sur la dématérialisation des procédures: reste à franchir le pas de la délivrance de certificats à des personnes morales et de passer à l’échelle européenne, la faible visibilité sur la pérennité des technologies, la durée de conservation, les risques dans le cycle de vie du document et dans sa transmission; il évoque la tendance forte qui consiste à faire appel à des tiers d’archivage.

Dominique Schoenher revient sur le hameçonnage, notamment quand il cible les entreprises (par atteinte de la marque, ou en la ciblant plus particulièrement par l’abus de l’image de ses partenaires de confiance) et ses formes les plus nouvelles (vishing, smishing, whaling) – rappel: pour faire un signalement de sites de hameçonnage, vous pouvez vous connecter sur http://www.phishing-initiative.com.

Enfin, l’intervention de Maître Cécile Doutriaux porte sur l’exfiltration d’informations de l’entreprise, en particulier par une source interne, et commence par une vidéo démontrant l’utilisation de la stéganographie utilisée par un employé malveillant. L’ordinateur a pour elle peut-être rendu encore plus simple le partage frauduleux d’informations confidentielles; elle revient sur la réglementation et la jurisprudence encadrant les actions que peut réaliser l’employeur pour contrôler l’action de ses salariés (voir l’article de PC Inpact à ce sujet, les recommandations de la CNIL et encore). Pour prévenir ces risques, elle recommande les outils classiques: charte informatique (signée par l’employé ou rendue publique de façon convenable – voir à ce sujet l’arrêt de la chambre sociale de la Cour de Cassation du 15 décembre 2010) et mesures contractuelles (clauses de confidentialité et de non-concurrence, ces dernières devant être limitées dans le temps et dans l’espace). La surveillance technique des flux entrants et sortants doit être déclarée auprès de la CNIL. Judiciairement, le vol peut rarement être retenu, en revanche l’abus de confiance ou la violation du secret de fabrique sont des solutions opérationnelles, ainsi que bien entendu l’obtention de réparations au civil. Me Doutriaux rappelle l’existence d’une proposition de loi sur la violation du secret des affaires.

Les menaces au vu de l’organisation du travail

Daniel Guinier est chargé de l’introduction de cette seconde table ronde et cite quelques chiffres : en 2012, 70% des utilisateurs reconnaissent enfreindre la sécurité au motif de faciliter leurs tâches; en 2013 25% des téléphones mobiles seront des smartphones; en 2015 nous aurons 15 milliards de terminaux mobiles dans le monde… Et un tour des risques: les systèmes d’information de l’entreprise sont utilisés dans l’entreprise, à domicile, en nomadisme ou en télétravail; toutes sortes de supports sont utilisés pour traiter ou stocker l’information (de l’ordinateur personnel au cloud computing en passant par les terminaux mobiles); les outils bureautiques sont autant de sources de problèmes (du papier à la photocopieuse).

Jean-Luc Lang (DSI Wolfberger, Président du Club informatique de l’Est), revient sur les enjeux du fameux "BYOD" (sécuritaires et juridiques).

Bruno Barge (RSI Lohr Industrie, Clusir Est) intervient sur les menaces liées au nomadisme. Il partage quelques questions et constats: comment conserver la sécurité des informations dans un contexte où les activités personnelles et professionnelles se mélangent? le comportement des usagers est au cœur de la sécurité; les digital natives mettent au service de l’entreprise leurs réseaux, une nouvelle richesse. Dans l’installation de l’entreprise à l’étranger leur expérience est la suivante: les coûts de l’itinérance par les réseaux de téléphonie mobile ne sont pas négligeables; l’accès Internet est nécessaire et peut conditionner aujourd’hui une implantation à l’étranger; les différences culturelles doivent être prises en compte, mais il faut savoir imposer ses standards de sécurisation: il faut formaliser les règles, former les gens, ne pas hésiter à déplacer un familier de l’entreprise, conserver certains pouvoirs à l’échelon central, cloisonner les réseaux et garder la maîtrise de la mise à disposition des données. Il préconise le chiffrement des disques durs et des supports amovibles.

Laurent Schmerber (Président Schmerber et 3MA Group) Dresse un panorama des risques liés aux imprimantes et aux photocopieurs. Sa présentation est introduite par une vidéo de sensibilisation sur les risques des copieurs, qui contiennent effectivement des disques durs et sont souvent connectés au réseau.

Les sources de menaces à l’encontre des organismes

Après une introduction par Gilbert Gozlan (Directeur territorial sûreté Nord-Est la Poste), cette table ronde avait trois invités:

Votre serviteurje suis intervenu sur les botnets et les risques qu’ils peuvent présenter aujourd’hui pour les entreprises, notamment par leur variété (voir le Wiki Botnets.fr que j’anime pour ma thèse) et par les modes de contamination (voir l’article que je publiais voilà quelques semaines et notamment les contaminations via des plateformes d’exploit ou par la réception de courriers électroniques piégés) et de communication (souvent par le le protocole HTTP utilisé par le Web et donc souvent accessible depuis le réseau des entreprises) qui rendent leur présence dans les réseaux des entreprises plus facile. En outre, par beaucoup d’aspects, ils peuvent cibler plus sévèrement encore les entreprises, par exemple pour y dérober des informations confidentielles, des connexions vers des banques en ligne, etc.

Philippe Rosa (Directeur associé Eurostratèges) ensuite est intervenu sur le sujet des réseaux sociaux et des risques qu’ils peuvent présenter pour les entreprises s’ils ne sont pas maîtrisés, qu’il s’agisse de messages publiés involontairement ou non par les employés et qui peuvent nuire à l’image de l’entreprise ou révéler des informations confidentielles, par des concurrents qui souhaiteraient nuire à votre image ou encore la publication de faux avis sur des produits ou des services (un sujet particulièrement veillé par les services de la répression des fraudes). Pour prendre en compte ces sujets dans les organisations, il est indispensable de fixer des règles, d’informer ses collaborateurs, par exemple en publiant un guide (le ministère de la défense a diffusé récemment un guide très réussi sur ce sujet), en réalisant des formations. Enfin, il souligne l’importance d’une veille sur ces médias, qui ne demande pas forcément énormément de ressources (commencez par cet article sur Presse-Citron) et la nécessité de disposer de gestionnaires de communauté en ligne qui soient bien formés et en même temps qui ne soient pas livrés à eux-mêmes lorsqu’il faut répondre au public sur des sujets précis voire techniques.

La dernière intervenante était Maître Denise Gross, avocate au barreau de la Plata (Argentine) et doctorante à l’université de Strasbourg. Son intervention établissait un portrait de l’ingénierie sociale, des techniques qu’elle met en œuvre et des parades qui peuvent être employées, la plus importante selon elle étant de former ses personnels à détecter et réagir aux tentatives d’ingénierie sociale (notamment grâce à des jeux de rôle) et d’intégrer dans les équipes d’analyse et de réaction aux incidents la mission de prendre en compte ce type d’alertes, tout en admettant la possibilité que des employés se trompent et en les incitant à rapidement informer la hiérarchie lorsqu’ils surviennent.

Au final donc une après-midi très intéressante avec près de 150 participants de toute l’Alsace, en espérant qu’elle aura apporté aux entreprises et administrations présentes de nombreuses informations utiles pour prévenir de futurs risques cybersécuritaires et cybercriminels.

 

Signaler le spam

Il n’est pas besoin de préciser ce qu’est le spam, en général tout internaute même débutant y a déjà été confronté, c’est une des plaies principales de la vie sur Internet.

Plusieurs sources permettent d’avoir une idée de l’ampleur du problème. Ainsi, Trustwave publie une page de statistiques tenue automatiquement à jour, avec des informations intéressantes sur le volume de spam (73% des courriers traités par leurs plateformes) ou encore leur source (essentiellement des botnets, comme Lethic, Cutwail, Grum, Kelihos,…) ou leur sujet (médicaments, propagation de virus informatiques, contrefaçons, etc…). Un autre prestataire de solutions antispam, Cisco Ironport, annonce des taux identifiés autour de 85%; Barracuda Networks relève près de 80% dans ses mesures. Le M3AAWG enfin relève un taux assez constant de l’ordre de 88 à 90% de messages jugés "abusifs".

Les catégories de spam selon le rapport de Kaspersky Lab en août 2012 (cliquer sur l’image)

Pour beaucoup d’internautes, une solution antispam est mise en place par leur opérateur, qu’il s’agisse de solutions commerciales comme celles que nous venons d’évoquer ou de solutions basées sur des logiciels opensource comme SpamAssassin, ASSP ou DSPAM. Ainsi, l’essentiel des spams ne parviennent jamais dans votre boîte aux lettres. Certains dont la destinée est incertaine parviennent automatiquement dans une boîte intitulée "Spam" par votre prestataire de messagerie, vous permettant d’y récupérer éventuellement des faux positifs. Enfin, quelques-uns parviennent tout de même à passer les barrières et arrivent jusque dans votre boîte aux lettres principale.

Finalement, en plus des messages légitimes de ses correspondants, on reçoit dans sa boîte aux lettres quelques messages malveillants, qui ont réussi à passer les solutions de sécurité existantes, ainsi que des messages à caractère commercial dont certains nous intéressent mais pour d’autres on ne sait pas toujours pourquoi on en est rendus destinataires ou s’il est possible de ne plus les recevoir.

Nous avons ainsi plusieurs catégories de messages dans les boîtes des usagers:

  • des courriers légitimes de la part des contacts des internautes;
  • des courriers à caractère commercial que l’usager souhaite recevoir (factures et états de commande, information commerciale souhaitée comme des promotions) – la prospection commerciale n’est pas en soi illégale, c’est contre les abus, les mauvaises pratiques, voire les pratiques illégales qu’il faut lutter;
  • des courriers totalement illégaux (hameçonnage, vente de produits illégaux, diffusion de virus informatiques);
  • des courriers à caractère commercial que l’usager ne souhaite pas recevoir (prospection commerciale non souhaitée ou plus souhaitée); dans cette catégorie, on retrouve plusieurs cas, selon que la prospection est réalisée à partir d’informations personnelles collectées:
    • directement auprès du destinataire avec son consentement (et il a le droit de s’y opposer ultérieurement);
    • par des tiers auprès du destinataire et fournies à l’annonceur de façon transparente et légale (même commentaire);
    • par des tiers auprès du destinataire et fournies à l’annonceur sans l’autorisation de la personne (et il s’agit au moins d’un dysfonctionnement, voire d’une action illégale);
    • illégalement (sans le consentement éclairé et librement exprimé par la personne), par exemple en collectant les adresses publiées sur des forums.

Pour les messages qui arrivent finalement dans sa boîte de courrier électronique et qu’il ne souhaiterait pas recevoir, il n’y a que l’internaute qui puisse agir. C’est pour traiter le problème de ces messages non filtrés par les plateformes automatisées qu’est né le projet Signal-Spam en 2003, sous l’impulsion de la direction du développement des médias. D’abord il s’agissait d’un groupe de contact contre le spam, qui est devenu une association loi 1901 en 2005. En 2007 l’association lançait son outil de signalement, une extension pour les logiciels de messagerie Thunderbird et Outlook. Enfin, il était possible d’avoir accès aux messages qui sont réellement problématiques pour les internautes.

Très concrètement, les messages qui sont signalés par les internautes font tous l’objet d’une intégration dans la base de données et sont triés en fonction de leur origine. Ainsi, des messages d’alerte peuvent être adressés sous forme de boucle de rétroaction, vers les personnes qui ont émis ces messages, soit qu’il s’agisse de membres de l’association, soit qu’ils fassent l’objet d’une convention spécifique. Chaque destinataire d’une boucle de rétroaction ne reçoit que les données strictement nécessaires pour lui permettre d’identifier les messages problématiques et ce uniquement pour des messages qu’il a pu émettre ou faire transiter.

Suivant l’association de loin en loin, parce que le sujet du spam fait partie de nos préoccupations professionnelles, j’ai accepté en juin 2011 de prendre à titre personnel une participation plus active dans cette association en étant élu vice-président (conformément aux statuts de l’association cette tâche m’est confiée à titre personnel et non en tant que personnel de la gendarmerie et les membres du bureau ne reçoivent aucune rémunération pour leurs fonctions). En effet, nous partagions tous le constat que le fait que l’association existe était positif, mais qu’il y avait de gros progrès à faire sur ses moyens d’action, c’était donc logique de m’investir un peu plus. Mon engagement a donc comporté deux volets: le développement de l’association – et notamment accompagner ses progrès dans la prise de conscience collective de la nécessité de combattre contre le spam, et la construction d’une démarche déontologique, garante des moyens d’action de l’association.

Mettre tous les acteurs autour de la table

Dans La cybercriminalité en mouvement (Ed. Hermès-Science Lavoisier, 09/2012), j’ai consacré tout le chapitre 11 (Le partage comme arme) à la conviction que j’ai construite avec les années qu’il est indispensable d’échanger et d’agir collectivement avec toutes les parties prenantes pour traiter les problèmes liés à la cybercriminalité. Ça semble évident, mais encore faut-il le réaliser concrètement.

Ainsi, la France s’est dotée par la loi en 2001 d’un Observatoire de la sécurité des cartes de paiement, plaçant autour de la table, dans un cadre institutionnel, des élus, les administrations, les banques, les consommateurs, les commerçants, les schémas de paiement par carte bancaire et des experts choisis pour leurs compétences. Autre expérience intéressante, le Forum des droits de l’Internet a permis pendant presque dix ans de faire vivre le débat sur de nombreux sujets touchant aussi à la cybercriminalité, par exemple en matière de protection des enfants sur Internet. A l’étranger, on voit des initiatives du même ordre, tels des forums sur la fraude bancaire (Electronic crimes task force des Pays-Bas lancée en 2011), le projet Infragard du FBI aux Etats-Unis, ou l’association e-crime Wales au Pays de Galles. Toutes ces structures ont des formats et des objectifs différents, mais participent du même objectif de partage et de l’action collective.

Pour Signal-Spam, il était important d’avoir autour de la table non seulement ceux qui peuvent agir contre le spam reçu par leurs clients, mais aussi ceux dont le métier est l’envoi de courriers électroniques, qu’il s’agisse des annonceurs ou encore des professionnels auxquels ils font appel pour fabriquer leurs messages, identifier éventuellement les destinataires intéressés ou encore les relayer. D’abord pour bien comprendre comment tout cela fonctionne, établir le dialogue entre tous les professionnels, ensuite pour être en mesure de transmettre efficacement à ces acteurs l’information sur les plaintes qui remontent des usagers.

Ainsi, les fournisseurs d’accès reçoivent à destination de leurs usagers des messages illégitimes ou abusifs, mais ils peuvent aussi émettre à leur insu de tels courriers électroniques, par exemple lorsque certains de leurs clients sont contaminés par un virus informatique lié à un botnet émettant du spam. Les annonceurs et les professionnels de la messagerie ont aussi leur place. C’est une critique qui est souvent faite à Signal Spam que d’avoir parmi ses membres des entreprises qui sont parfois négativement perçues par le public, et c’est pourtant ce qui fait son point fort, car elle est en mesure ainsi d’agir directement sur leurs pratiques et de leur faire parvenir efficacement les plaintes des internautes. Pour ceux dont le métier est de faire de la prospection commerciale, ils ont tout intérêt à ce que leur message soit bien perçu par leurs destinataires. Enfin, on retrouve des sociétés spécialisées dans la sécurisation du courrier électronique et les organismes publics concernés par ces questions. La CNIL est concernée très directement par le travail de l’association dont les informations contribuent à orienter ses contrôles (ces contrôles peuvent d’ailleurs porter indifféremment sur des entreprises sans rapport avec Signal Spam ou si c’était nécessaire membres de l’association, voir le site de la CNIL). Les internautes participent directement par leurs signalements, on peut imaginer que dans un avenir proche des associations qui les représentent viennent compléter le tour de table.

Charte de déontologie

C’était un point clé de mon engagement l’an dernier, et nous avons mené ce projet collectif en quelques mois, en dotant l’association d’une charte de déontologie; elle a été adoptée par l’assemblée générale de juin dernier. Son contenu tient en quelques idées maîtresses:

  • afficher clairement les engagements concrets de ses membres dans la lutte contre les courriers non sollicités, chacun selon son rôle;
  • disposer d’un outil concret pour dialoguer avec les futurs membres sur les mesures qu’ils doivent implémenter avant de rejoindre l’association et avec les membres actuels pour mesurer avec eux leur action;
  • de spécifier les engagements des destinataires de boucles de rétroaction qui ne sont pas membres de l’association;
  • et garantir l’indépendance de l’association et des organismes publics associés par rapport à ses membres pour leur permettre de jouer un rôle de médiateur.

Ainsi, il s’agit tout autant de permettre aux internautes, dans le respect des règlements en place, de pouvoir facilement faire cesser tout message qu’ils considéreraient comme abusifs de la part d’un membre, directement auprès de ceux-ci parce qu’ils ont des fonctions transparentes et claires d’information et de désinscription ou encore de gestion des abus, que de permettre aux membres entre eux d’établir un dialogue pour la bonne circulation des courriers électroniques légitimes. Enfin, il s’agit évidemment de permettre à ce que l’action collective de Signal Spam soit réalisée sous les meilleurs auspices en traitant le plus efficacement possible les signalements reçus des internautes.

Dans les mois qui viennent, tous les membres de l’association auront ainsi informé leurs usagers de la façon dont ils ont implémenté la charte, le règlement intérieur va être adapté pour inclure très rapidement (dès ce mois d’octobre 2012 en pratique) la charte dans les procédures d’acceptation de nouveaux membres ou de destinataires de boucles de rétroaction. Enfin, il s’agit d’un document évolutif et des améliorations sont attendues sur le texte d’ici l’année prochaine sur la base des débats qui ont repris.

Pour l’avenir

La charte déontologique fait donc clairement partie des actions pour l’avenir, car il faudra faire le bilan de son application, mais d’autres chantiers sont entrepris. Le premier a été celui de la communication et un nouveau site Web a pu être enfin lancé au début de l’année 2012. Beaucoup plus dynamique, il va permettre de publier plus régulièrement de l’information et par exemple des efforts seront entrepris dès 2013 pour diffuser plus d’informations vers les internautes sur l’action concrète de l’association, notamment des informations statistiques.

De nouvelles extensions pour des logiciels de messagerie devraient voir le jour et d’autres modes de signalements proposés aux internautes, mais je laisse le soin à l’association de faire les annonces le moment venu, mon petit doigt me disant que les quelques semaines qui viennent devraient avoir leur lot de bonnes nouvelles.

Ensuite, une refonte complète du moteur qui traite l’ensemble des signalements au cœur de Signal Spam est en cours de réalisation et une plateforme de traitement plus performante devrait voir le jour en 2013.

Enfin, de nouveaux membres rejoindront nous l’espérons l’aventure et des partenariats seront développés avec des structures similaires dans d’autres pays pour échanger des informations qui nous concernent réciproquement, par exemple lorsque des adresses IP d’un autre pays sont à l’origine des messages signalés (ainsi, Signal Spam et son alter ego OPTA aux Pays-Bas ont déjà signé un partenariat).

Pour envisager d’autres pistes de notre travail, il faut se rappeler que le spam n’est pas présent que sur le courrier électronique, mais aussi sur des messageries instantanées, les réseaux sociaux – et on a déjà parlé ici de l’action du 33700 en matière de lutte contre le spam par téléphone. Ces autres plateformes sur Internet sont certainement un des axes de travail pour le futur de l’association.

Signalez, participez

Pour que cela fonctionne, il est indispensable que les internautes participent, par leurs signalements à cette lutte contre les messages non sollicités.

La mise en place du nouveau site Web a entraîné des difficultés concrètes pour la réalisation des signalements et de nombreux internautes nous ont patiemment aidé à résoudre ces problèmes en contactant l’association. Aujourd’hui, des difficultés beaucoup moins nombreuses, mais réelles sont parfois rencontrées au moment des pics de trafic. C’est une des raisons pour lesquelles nous allons faire évoluer l’infrastructure. Toutefois, en attendant cette migration majeure, des évolutions plus discrètes sont régulièrement réalisées pour améliorer nos capacités dans l’architecture actuelle. Le chargé de mission de l’association s’efforce d’apporter des réponses à chaque internaute qui fait part de difficultés, mais des efforts seront encore entrepris en 2013 pour mieux informer les utilisateurs sur les incidents techniques.

Aussi n’hésitez pas à participer en vous inscrivant, en signalant les courriers électroniques qui vous posent problème, et si nécessaire en nous faisant part des difficultés techniques quand vous en rencontrez.

Je suis bien conscient qu’il y a encore énormément de chemin à parcourir et que le problème du spam est loin d’être réglé en France. Il est possible donc qu’il y ait des commentaires négatifs suite à ce billet sur la qualité des résultats de Signal Spam. Je m’efforcerai de répondre à tous les messages du moment qu’ils sont, comme c’est la règle sur ce blog, écrits de façon conforme à la netiquette et constructifs.

Assises de la sécurité – Jour 3

Nota: de nombreux ateliers ont lieu en parallèle, il n’est pas possible d’assister à tous, ce compte-rendu de ces trois jours ne représente que ma sélection personnelle, n’hésitez pas à en lire d’autres: Le Monde informatique a déjà publié quelques articles (ainsi que sur l’intervention de l’ANSSI) et certainement d’autres articles publiés dans les jours qui viennent.

Vendredi est donc le dernier jour de ces Assises 2012 pour moi, certains ne repartant que demain matin.

Une journée marquée pour moi par encore de nouvelles rencontres et échanges. J’ai pu assister à la présentation par Renaud Lifchitz de BT France sur ses recherches, précédemment exposées aux GS Days ou à la conference Hackito Ergo Sum de Paris cette année, sur la sécurité des interfaces sans contact NFC des cartes bancaires, une démonstration de Picviz Labs (l’entreprise qui a remporté le Prix de l’innovation 2012) sur sa technologie et enfin à une conférence de clôture avec les discours du Sénateur Jean-Marie Bockel (auteur du rapport parlementaire sur la cyberdéfense) et du directeur général de Cassidian Cybersecurity, Hervé Guillou.

Le message principal de ces deux orateurs est qu’il est impératif de mobiliser les décideurs politiques et les dirigeants des entreprises sur les questions de cybersécurité, qu’elles ne doivent plus être uniquement le sujet des informaticiens. J’ajouterais pour ma part qu’il faut aussi mobiliser les citoyens, les individus qui doivent tous s’accaparer les aspects éthiques, politiques, sociaux ou encore de vie privée liés à la cybersécurité.

Rendez-vous donc l’an prochain pour une autre édition qui sera sûrement tout aussie réussie.

Autres compte-rendus:

Assises de la sécurité – Jour 2

Cette deuxième journée des Assises est traditionnellement la plus active, avec pour tous plusieurs ateliers, tables rondes et rendez-vous à honorer, plus de nombreuses discussions impromptues. Pour quelqu’un qui a mon profil il s’agit à la fois de rencontrer des entreprises qui offrent des solutions qui peuvent être utile directement pour mon métier, mais aussi qui peuvent être utiles pour les victimes auxquelles nous avons affaire ou dont elles utilisent les produits et ainsi mieux adapter notre action d’investigation judiciaire aux environnements professionnels.

Quelques moments de ma journée (et il y a énormément d’autres choses intéressantes aux mêmes moments, il ne s’agit pas pour moi de vous recommander ici telle ou telle solution présentée mais bien de partager ces quelques échanges):

  • une présentation de la société Sourcefire qui a une approche intéressante sur le traitement dynamique des attaques en profondeur (note: Sourcefire soutient et utilise deux projets opensource, Snort et Clamav);
  • Zscaler nous a offert un panorama des menaces liées aux sites Web (certaines dont je parlais dans un article récent sur les contaminations virales informatiques) – le site de la recherche chez Zscaler est ici;
  • et Cassidian sur les attaques en profondeur encore et la façon dont ils proposent de s’y préparer et de réagir.
  • l’un des stands sur lesquels j’ai fait un passage m’a convaincu qu’il existe des solutions pour lutter contre les attaques en déni de service (Corero). D’autres prestataires proposent des solutions aux mêmes objectifs (comme Arbor Networks), leurs approches sont certainement complémentaires.

En fin de journée, deux présentations et la remise du prix de l’innovation. David DeWalt (dirigeant dans plusieurs entreprises du domaine de la sécurité comme FireEye ou Mandiant) nous a présenté sa vision des enjeux technologiques et des menaces d’aujourd’hui. Je ne peux pas m’empêcher de constater que son observation de la situation rejoint beaucoup l’analyse que je propose dans le livre La cybercriminalité en mouvement (http://www.lcem.fr/), d’un environnement qui bouge très rapidement sur le plan technologique mais aussi sur le plan de ceux qui cherchent à en abuser.

Ensuite Jean-Christophe Rufin a partagé avec cette salle de spécialistes en sécurité des systèmes d’information sa vision des instabilités et des conflits dans le Monde, vision nécessairement complémentaire du regard habituel sur la "menace" telle qu’elle est perçue par les RSSI.

Enfin, le prix de l’innovation revient cette année à Picviz Labs, société créée il y a quelques années seulement par un fondu de mathématique (Philippe Saadé) et un passionné de sécurité informatique (Sébastien Tricaud). La solution qu’ils ont construit avec leur équipe permet de visualiser des masses de données importantes (des semaines entières de journaux informatiques par exemple) sur un grand nombre de dimensions (dix ou même beaucoup plus de paramètres), avec une interface graphique rapide et de naviguer rapidement dans ces données et identifier la petite bête (une version opensource de leur produit permet d’en tester les capacités).

 

La suite demain !

Assises de la sécurité 2012 – Jour 1

Les Assises de la sécurité sont un des événements importants qui jalonnent l’année des professionnels de la sécurité des systèmes d’information en France où se rencontrent la communauté des RSSI (responsables en sécurité des systèmes d’information) et ceux qui leur apportent des solutions. Elles se déroulent sur trois jours alternant conférences invitées, ateliers de partage d’expérience et salon professionnel.

L’allocution d’ouverture donne cette année la tonalité avec une présentation remarquée de Patrick Pailloux, directeur général de l’ANSSI (agence nationale de la sécurité des systèmes d’information). Il propose trois points clés pour l’action des mois à venir:

  • Poursuivre les efforts en matière d’hygiène élémentaire de sécurité, sujet qu’il avait promu lors de son intervention en fin des Assises l’an dernier. L’ANSSI publie ainsi aujourd’hui une première version d’un document contenant 40 règles permettant de concrétiser cette hygiène élémentaire dans les entreprises. Il est plutôt destiné aux organisations de taille moyenne à grande, même si l’essentiel des règles sont transposables dans les petites structures. L’ANSSI souhaite recevoir rapidement les premières réactions et propositions constructives pour améliorer ce document.
  • Savoir dire non. De la même façon qu’il existe des règles contraignantes pour emprunter les routes, il est important que les règles édictées pour la sécurité des systèmes d’information soient prises en compte sérieusement et contrôlées au sein des organisations. Elles sont nécessaires pour protéger les données et applications sensibles de l’entreprise. Il faut que les responsables et leurs hiérarchies soient en mesure de ne pas céder à toutes les modes, tout en apportant des solutions aux besoins premiers des organisations dans l’environnement concurrentiel ou en tous cas moderne dans lequel elles évoluent. Patrick Pailloux citait ainsi tout autant l’exemple des règles élémentaires autour de l’utilisation des contrôles d’accès aux applications (fermer l’accès quand on quitte son bureau) que la sécurité des accès nomades ou l’arrivée des objets communicants personnels dans les organisations.
  • Enfin, le directeur général de l’ANSSI a mis en avant la préoccupation principale de l’agence aujourd’hui: la sécurité des systèmes industriels et il a réaffirmé avec conviction la nécessité de déconnecter ce type de systèmes de l’Internet et d’explorer d’autres modes d’interaction entre les systèmes de production et les systèmes de communication classiques.

Ces Assises commencent donc avec un message placé sous le signe de l’ambition et de l’appel à l’action.

Suivre

Recevez les nouvelles publications par mail.

Joignez-vous à 116 followers

%d bloggers like this: