L'intelligence économique et la protection des données de l entreprisel

Dimension: px
Commencer à balayer dès la page:

Download "L'intelligence économique et la protection des données de l entreprisel"

Transcription

1 Trinôme Académique Enseignement de la Défense D et parcours citoyen A l'attention des professeurs stagiaires et professeurs d éd économie-gestion, des chefs de travaux A l'erea Illkirch-Graffenstaden 28 mai 2014 de 9h à 17h Conférence & débat d L'intelligence économique et la protection des données de l entreprisel par Daniel GUINIER Dr ès Sciences, Certifications CISSP, ISSMP, ISSAP, MBCI Expert près la Cour Pénale Internationale de La Haye Expert judiciaire honoraire près la Cour d'appel de Colmar Lieutenant-colonel (RC) de la gendarmerie nationale 1

2 Introduction 2

3 Place de la sécurité dans l'ie Performance (3765) Entreprises (2169) Formation (799) Espionnage (161) Intelligence (3590) Economique (3643) Informations (3371) Sécurité (441) Investigations (85) Connaissance (365) Veille (1605) Stratégique (778) Management (567) Outils (565) Technologies (547) Guinier D. (2007) L'intelligence économique Etat des lieux et prospective. Expertises, n 319, Nov., pp Mise en évidence de relations transdisciplinaires de l'ie sur la base des pages indexées par le moteur Google. 3

4 L'entreprise et ses forces influentes Acteurs Environnement Facteurs D. Guinier Etats et organisations Autorités de tutelle Associations professionnelles Médias Concurrents et fournisseurs Clients Ethique, lois et règlements Standards et normes Articles, annonces, émissions Changements politiques Technologies et méthodes Produits, services, marchés L'entreprise est un système dynamique où cohabitent divers acteurs avec des missions, des finalités, des valeurs, des expériences et des cadres de référence différents. Au-delà, il y a la nécessité de Culture d'ie et veille stratégique Politique de sécurité des SI Normes sécuritaires, et autres Contrôles internes et externes DIRECTION GENERALE Politiques Stratégies Principes Plans Règles Charte Code de pratique INFORMATICIENS SI Procédures Consignes Vulnérabilités Dissonances Menaces internes Entreprise RESPONSABLES FONCTIONNELS Notes UTILISATEURS Menaces externes Obligations Pressions internes Forces Opportunités Pressions Influences Forces Dans un tel contexte changeant, les forces et la complexité peuvent former des propensions inhérentes propices à des situations de crises. un écosystème numérique et humain complexe avec des acteurs et des facteurs d'influence sur les choix, dans son environnement Daniel Guinier 4

5 Quand l'information vaut plus que l'or! Les informations stratégiques Les informations stratégiques relèvent relèvent de de données données sensibles sensibles - - par par elles-mêmes elles-mêmes vitales - par leur nécessité vitales - par leur nécessité milliards milliards de de GO GO de de données données ont été créées et répliquées en 2011 ont été créées et répliquées en 2011 Tous les deux ans, ces données Tous les deux ans, ces données mondiales vont plus que doubler mondiales vont plus que doubler (EMC (2011) Extracting value from chaos) (EMC (2011) Extracting value from chaos) 1, ,8 21 Toutes les informations Toutes les informations n'ont n'ont pas pas la la même même valeur valeur intrinsèque intrinsèque ou ou de de nécessité nécessité ne ne nécessitent nécessitent donc donc pas pas le le même même niveau niveau d'attention d'attention Croissance Croissance QUALITATIVE QUALITATIVE dans dans l'aide l'aide aux aux processus processus décisionnels décisionnels la la génération génération de de nouveaux nouveaux revenus, revenus, etc. etc. Croissance Croissance QUANTITATIVE QUANTITATIVE dans dans le le stockage stockage et et la la dispersion dispersion des des données données les les transactions transactions et et flux flux de de données, données, etc. etc. La perte ou la compromission d'informations stratégiques signifie la disparition ou la faillite dans la majorité des cas. Connaître leur valeur est une nécessité des organismes pour protéger l'essentiel. 5

6 Les entreprises sont visées En entreprises dont 40 en Alsace, avec des atteintes diverses en hausse L'Alsace exposée par ses activités sensibles Les cibles les laboratoires de recherche, et TPE les entreprises de tous secteurs médical agroalimentaire armement BTP industriel, etc. Faire preuve de vigilance pour que la sécurité économique fasse partie intégrante de la culture d'entreprise. 6

7 Les particuliers sont aussi visés Pertes directes estimées de la cybercriminalité Dans le monde 87,5 milliards d euros 556 millions de victimes perte moyenne de plus de 150 Euros En France 2,5 milliards d euros 10 millions de victimes perte moyenne de près de 250 Euros Dans le monde, chaque seconde, 18 internautes sont victimes d actes malveillants, soit plus de 1,5 million de personnes par jour. Source Symantec - Norton Cybercrime Report 7

8 Des statistiques délicates d à établir Absence de détection des pertes Les organismes n'ont pas détecté de pertes ou leur importance n'est pas connue ou sous-estimée Absence de critères d'évaluation Concernant pertes directes et indirectes et les corrections Absence de signalement des pertes Les organismes victimes désirent préserver leur image Biais des réponses aux études Ceux qui n'ont pas détecté des pertes répondent facilement Ceux dont les pertes sont publiquement connues répondent Ceux qui ont détecté des pertes acceptables ne répondent pas Ainsi, l'étude la plus récente de Symantec indiquait 110 millions de dollars de pertes annuelles mondiales et McAfee 1 milliard Source Hyman P. (2013) Cybercrime It's serious, But Exactly How Serious? CACM, Vol. 56, n 3, mars 2013, pp

9 Les systèmes d'information évoluent 9

10 Quelques chiffres significatifs 25% Données "en nuages" 70% des utilisateurs reconnaissent enfreindre la sécurité au motif de faciliter les tâches % des organismes vont autoriser les terminaux personnels pour exécuter des fonctions professionnelles % des nouveaux téléphones mobiles seront des "smartphones" Cibles 15 milliards de terminaux mobiles dans le monde Pirates et outils Les systèmes mobiles et notamment les "smartphones" seront plus visés du fait de leur grand nombre, de vulnérabilités systèmes et applications, servant aussi d'intermédiaires pour d'autres attaques. 10

11 Schémas traditionnel et "en nuages" Schéma "en nuages" avec les Schéma "en nuages" avec les ressources as a Service ressources as a Service Méga-centre en "nuages" Poste fixe ou mobile Avant Après Applications Simple navigateur Utilisateurs hors sur ou du hors lieu du lieu de travail de travail Schéma traditionnel avec les Schéma traditionnel avec les ressources de l'entreprise ressources de l'entreprise Réseaux et serveurs Utilisateurs sur le le lieu de travail WiFi Données en transit Internet Organes de raccordement WiFi Données Périmètre de confiance Migration en "nuages" Migration en "nuages" Retour en arrière? Retour en arrière? Données Périmètre de confiance Applications Logiciels applicatifs Applications Plateforme Environnements-interfaces Logiciels applicatifs de déploiement & développement Plateforme Infrastructures Environnements-interfaces Logiciels infra. & virtualisation, de déploiement données, & développement communications Infrastructures Noyau logiciel de Logiciels base infra. & Système virtualisation, d'exploitation données, et autres communications Noyau Ressources logiciel physiques de base Système Serveurs d'exploitation et autres matériels et autres Ressources Installations physiques Bâtiments Serveurs et équipements et autres électriques, matériels thermiques, etc. Installations Bâtiments et équipements électriques, thermiques, etc. Management et gouvernance Management Sécurité, audit et gouvernance & contrôle, tests, etc. Sécurité, audit & contrôle, tests, etc. Services Périmètre étendu Périmètre étendu 2010 Daniel Guinier Applications, systèmes et environnements Applications, Infrastructures, systèmes matériels et environnements Infrastructures, et installations matériels et installations Direction et organisation Ressources Direction Sécurité, et audit organisation & contrôle, tests, etc. et et fonctions de Sécurité, audit & contrôle, tests, etc. l'entreprise 11

12 Services de base et quelques offres SaaS Software as a Service les applications sont délivrées via un navigateur PaaS Platform as a Service les applications sont déployées via une interface IaaS Infrastructure as a Service les ressources fondamentales sont louées Modèle "SPI" SaaS PaaS IaaS en tant que service Application logicielle fournie en tant que service et délivrée en configuration fixe Plateforme de déploiement fournie en tant que service pour déploiement "en nuages" Infrastructure fournie louée en tant que service serveur, stockage, réseau, etc. Quelques offres Google Apps (Wave, Docs), IBM (Lotus Live), ClusterSeven, Salesforce, Success Metrics, Net Suite, etc. Google (AppEngine, BigTable), Amazon SQS, Microsoft (Biz Talk, Azure), IBM (Tivoli CMC, Blue Cloud), Citrix (Xen Cloud Platform), etc. Amazon (S3, EBS, EC2), Nirvanix, Open Nebula, Mosso Cloud, AppNexus, Eucalyptus, Elestra, etc. Le partage des ressources, la virtualité et la territorialité imposent des garanties à contractualiser, notamment en matière de standards, de migration et de sécurité. 12

13 Modèle général g des services étendus Guinier D. (2010) L'informatique dématérialisée en nuages - Ontologie et sécurité du "cloud computing". Expertises, n 351, oct., pp Domaines transversaux SECaaS - Sécurité SECaaS - Sécurité Services horizontaux 6. SaaS - Applications 6. SaaS - Applications Domaines hiérarchisés Services verticaux Management et gouvernance Management et gouvernance Sécurité, audit & contrôle, tests, etc. Sécurité, audit & contrôle, tests, etc. 5. PaaS - Environnement 5. PaaS - Environnement 4. Infrastructures 4. Infrastructures IaaS IaaS DaaS DaaS 3. KaaS - Noyau logiciel de base 3. KaaS - Noyau logiciel de base 2. HaaS - Ressources physiques 2. HaaS - Ressources physiques CaaS CaaS Services indépendants de degré d'abstraction équivalent Logiciels applicatifs Logiciels applicatifs Log. plateforme & config. Log. plateforme & config. Log.infra.& virtualisation Log.infra.& virtualisation Log.infra. données Log.infra. données Log.infra. communications Log.infra. communications Logiciels système & autres Logiciels système & autres Matériel & "firmware" Matériel & "firmware" 1. FaaS - Installations 1. FaaS - Installations Bâtiments & équipements Bâtiments & équipements 2009 Daniel Guinier Domaines transversaux et couches complémentaires au modèle SPI. 13

14 mais également les risques à leur encontre 14

15 Caractéristiques ristiques du risque Menace - Cybermenace liée aux TIC Action visant l'information ou le système d'information (SI) Conséquences possibles sur l'organisme entier Vulnérabilité Point de faiblesse ou faille de la sécurité Contexte (ex. déficit de sécurité, période de crise) Cible Sensibilité - liée à la confidentialité Vitalité - liée à la disponibilité Valeur - liée au coût de remplacement Risque Caractérisation du risque [Menace Vulnérabilité Cible] Exposition au risque [Possibilité de réalisation Impact] 15

16 Vulnérabilités s liées aux lieux Utilisateurs potentiels membres de la famille et autres Hors du lieu de travail usuel se posent des problèmes de sécurité du fait de facteurs plus ou moins maîtrisés, voire pas du tout, alors qu'il existe le désir d'accéder aux ressources en tous lieux. Véhicules Transports en commun L'itinérance concerne un lieu prévu pour le télétravail domicile, autres sites de l'entreprise, etc., et le nomadisme divers lieux hôtel, client, salon, aéroport, etc., de sécurité encore plus incertaine. 16

17 Vulnérabilités s liées aux technologies Connexions La mobilité et le BYOD (Bring Your Own Device) se développent, alors que la quasi-totalité des équipes informatiques sont soumises aux pressions des utilisateurs et des directions dans ce sens. Bloatwares Applications peu utiles préinstallées en nombre et incertaines Virtualisation dans les méga-centres Ordinateurs portables "Cloud computing" Boxes Smartphones Tablettes Télécoms Clés USB Cartes mémoire De plus en plus d'écoute en faveur de la diversité des terminaux sans assurance de maturité, tandis que les codes malveillants sont en expansion et les attaques de plus en plus ciblées et subtiles. 17

18 Vulnérabilités s liées aux usages Applications Applications internes internes et et externes externes Apps Apps Services Services "cloud" "cloud" Services SaaS Cloud Téléchargements Ex. QR Code (Quick Response) Applications Apps Store Communications Téléphonie Mobilité Webmail Web Réseaux sociaux Chats Messageries Connexions Web Collaboration Mélange Mélange vie vie privée privée et et vie vie professionnelle professionnelle Moyens Moyens personnels personnels pour pour un un usage usage professionnel BYOD professionnel La mobilité et la politique de sollicitation faite aux employés d'utiliser leurs propres outils mobiles ne sont pas neutres. 18

19 liées au papier et autres encore Télécopieurs Imprimantes Photocopieurs en outre, les vulnérabilités liées au facteur humain, parfois incitateur de risque, resteront les plus délicates à maîtriser. 19

20 Schéma avec diverses connexions Utilisateur hors du lieu de travail Itinérance domicile prévu pour le télétravail, autres sites de l'entreprise, etc., accès moins maîtrisé Nomadisme hôtel, client, salon, aéroport ; point WiFi ou Bluetooth, etc., accès encore moins maîtrisé Equipements nomades PDA Portable Bluetooth Mobile Voix En déplacement A domicile Clé USB, carte mémoire Téléphone Données WiFi Poste de travail Equipements itinérants Imprimante Photocopieuse Organes de raccordement Perméabilité Perte de contrôle Données Cabinet, étude ou entreprise WiFi Organes de raccordement Réseau interne Postes de travail Opérateur Internet Station de base Réseaux d'interconnexion Réseaux de raccordement Réseaux de transport Passerelle Point d'accès (sécurisé) au SI Serveurs Périmètre de confiance Imprimantes Photocopieuses Interconnexions téléphoniques, intranet, internet, Web, etc. Les informations accessibles hors du lieu de travail usuel posent un problème de sécurité du fait de facteurs plus ou moins maîtrisés, voire pas du tout. 20

21 Détection des codes malveillants Codes Codes malveillants malveillants Plus Plus de de millions millions au au total total Plus Plus de de 75% 75% "chevaux "chevaux de de Troie" Troie" Plus Plus de de par par jour jour On aboutit à 90% de détection réactive (codes malveillants connus) et 70% de détection proactive (codes malveillants non connus). 21

22 Exemples de risques courants Risques dus aux comportements 01 - Comportement à risques de l'utilisateur 02 - Fraude financière via la comptabilité 03 - Divulgation de savoir-faire 04 - Intrusion via réseau non filaire Risques sur les données 05 - Défaillance de sauvegarde de données 06 - Vol d ordinateur portable ou PDA 07 - Sabotage en interne d une base de données 08 - Actions de programmes malveillants Risques de déstabilisation 09 - Diffamation par messagerie électronique 10 - Défiguration de site web Risques au vu de la sécurité 11 - Botnets (réseaux de robots malveillants) 12 - Parasitisme de nom de domaine Impact du risque 1 léger, 2 moyen, 3 sérieux, 4 catastrophique, Occurrence du risque 1 légère, 2 modérée, 3 forte, 4 très forte, Le niveau d exposition au risque qualifié arbitrairement de faible, moyen et fort. Extrait du guide pratique du chef d entreprise face au risque numérique (pp version du 31/03/10) http//www.montauban.cci.fr/uploads/assets/entreprises/guide_pratique_chef_entreprise.pdf 22

23 La cybercriminalité et son contexte 23

24 Modèle global de la cybercriminalité Perte Dissuasion Répression Auteurs Profit Prévention Protection Cybercriminalité Mesures Cybermenaces Atteintes Vulnérabilité Sensibilisation Obligation Réduction Victimes Préjudice Perte Menaces enlèvement, destruction, interruption, modification, divulgation, interception, image, etc. Atteintes aux infrastructures, matériels, logiciels, données, à la réputation, etc. Auteurs d'actes délictueux cybercriminels, "hackers", groupes activistes, terroristes, etc. Victimes subissant des préjudices par l'application de menaces qui mènent à des atteintes, Mesures visant la cybercriminalité législatives, politiques, techniques, organisationnelles, humaines 24

25 Orientations de la cybercriminalité Prépondérance de la cybercriminalité Diversification et amplification Criminalité informatique Cybercriminalité Socio-économique Anthropologique Pénaliste Crises facteurs sociaux et économiques associés Populations facteurs socio-éducatifs, techno-idéologiques Traités sur la cybercriminalité ou criminalité numérique Technologique Convergence avec criminalité électronique ou e-criminalité Stratégique Organisation du crime en services Couverture de la criminalité classique Pouvoir prise de contrôle et paralysie des secteurs essentiels ou atteinte d'infrastructures vitales Fort développement de la dimension financière et du blanchiment attendu, avec montée du crime organisé. 25

26 La convention du CE dans le monde 45 des 47 Etats membres de la CE Au total 60 Etats sont invités à adhérer Sign. 02/05/13 STCE 185 Traité ouvert à l'adhésion et a signature des Etats membres et non membres ayant participé à son élaboration à Budapest le 23/11/01. Entrée en vigueur le 01/07/2004, suite à cinq ratifications par au moins trois Etats membres du CE. Buts Harmoniser les législations en matière de cybercriminalité, les compléter en matière procédurale pour les investigations et la collecte des preuves, et améliorer la coopération internationale. 26

27 Les activités criminelles concernées Les principales catégories d'activités les formes traditionnelles de criminalité - favorisées escroqueries, faux et usage de faux distribution de produits illicites et de contrefaçon trafic des êtres humains et proxénétisme la diffusion de contenus illicites par voie électronique violence sexuelle et pornographie enfantine atteinte à la propriété intellectuelle et droits connexes incitation à la haine raciale, diffamation publique les infractions propres aux réseaux électroniques attaques visant les systèmes d'information, cyber-terrorisme falsification et fraude informatiques, blanchiment vol et usurpation d'identité, atteinte à la vie privée et à l'image, etc. Le territoire est mondial et les actes instantanés, les législations sont hétérogènes et la coopération internationale encore difficile. 27

28 Attaques physique versus logique Attaque physique Attaque d'une banque nécessite le contact sinon la proximité pour l'action est limitée à une cible seulement à la fois est immédiatement visible des témoins ou par télésurveillance est associée à des sanctions pénales fortes peut générer un profit matériel et limité au contenu d'un coffre Attaque logique Cyberattaque peut être réalisée depuis tout lieu dans le monde est réalisable sur des milliers de cibles à la fois est très discrète et sera découverte tardivement est associée à des sanctions pénales modérées peut générer un profit important et virtuellement transférable Dans une cyberattaque, l'attaquant est difficile à localiser, du fait de rebonds et de machines compromises en chaîne, et de la découverte tardive ; ce qui la rend avantageuse. 28

29 Les victimes et les mesures Source Verizonbusiness (2009) 2009 Data Breach Investigations Report Grandes entreprises Politique de sécurité Mesures en place 18 % PME-PMI 27 % 17 % 26 % TPE Simple et faible coût 53 % Difficile et coûteux 13 % Modéré 34 % 6 % 7 % > > >1 000 >100 >10 1 à 10 Nombre d'employés Victimes en % d'incidents Effort et dépenses nécessaires pour les mesures d'évitement des incidents Les PME sont les plus atteintes, tandis que l'effort et les dépenses nécessaires aux contre-mesures de sécurité sont en majorité simples et peu coûteuses dans l'ensemble. 29

30 Les "hackers" s'orientent tandis que Réf. Guinier D. (2013) "Hackers" en devenir et en repentir. Quand les talents s'orientent différemment Expertises, n 385, oct., 17 pages Le "hacker" est un genre évolutif décliné selon diverses variétés et formes associées à des stades cybercriminels ou autres. 30

31 Le fils prodigue Je suis réellement fier de Nicolas. Apparemment, il est un des meilleurs joueur au monde d'un nouveau jeu informatique Ah! Oui C'est quel jeu? Quelque chose comme "DDos Attack" DDoS Attack Attaque par Déni de Service Distribué Distributed Deny of Service 31

32 La cybercriminalité s'organise Publications Relations Recherches de failles Fonctionnement interne vulnérabilités, exploitation Réalisation et tests Virus, vers, spyware, chevaux de Troie, etc. Attaques DDoS, espionnage, chantage, vol, etc. Campagnes de spams Applications Sources Internet Internet Offre / Demande Internet Veilleurs Rétro-ingénieurs Développeurs Cybercriminels Spammers Clients CERTs Failles (0-Day) non publiées Vulnérabilités nouvelles Approvisionnements Marché des failles Marché des codes malveillants Marché des réseaux zombies Relations Salons spécialisés Internet C&C Serveur Machines compromises Daniel Guinier Contrôleurs de "botnets" "botnets" ("bot herders") Internet Etats-Unis "... toute attaque dans notre cyberespace sera considérée comme une déclaration de guerre nous réagirons comme s'il s'agissait d'une attaque de missiles", conduit à la doctrine du Cyber Command. 32

33 en activités s de services Marché des failles Cybercrimeware as a Service!...aaS Marché des codes malveillants "Crackers" Commanditaires "Blanchisseurs" Marché des réseaux zombies La réalisation du piratage se fait à l'aide des codes malveillants élaborés et avec recours aux "botnets" Vol de données personnelles et financières, d'identité, et de codes ou mots de passe 1 Etape 1 Etape Piratage Piratage 2 Etape 2 Etape Collecte Collecte 3 Etape 3 Etape Attaque Attaque La réalisation d'attaques de banque en ligne et du commerce électronique est maintenant possible 4 Etape 4 Etape Transfert Transfert La réalisation de réseaux de cyber-blanchiment avec des "mules" facilitera l'anonymat pour les transferts de gains Une économie souterraine se constitue avec la commercialisation de données, de logiciels, de produits, et services illicites incluant même le service après-vente. 33

34 Le crime paie un certain temps! Mode opératoire 1 Etape 1 Etape Piratage Piratage 2 Etape 2 Etape Collecte Collecte 3 Etape 3 Etape Attaque Attaque (1) Rakabank (Emirats Arabes Unis) (2) Bank of Muscat (Oman) Pénétration du système informatique vulnérable de groupes bancaires Collecte des numéros et codes secrets non cryptés de cartes bancaires prépayées Préparation Encodage de cartes et suppression de plafond de retrait Ouverture de comptes bancaires fictifs dans deux banques (1, 2) 2) Recrutement de collecteurs ("mules") par les réseaux sociaux Actions coordonnées (1) 22 déc retraits dans 2 pays (2) 10 et 20 fév retraits en 10 heures dans 24 pays pour un montant total de plus de 35 millions d'euros et 26 pays 4 Etape 4 Etape Transfert Transfert Blanchiment coordonné Virement des montants répartis sur les comptes bancaires des "mules" et achats de produits de luxe coûteux 7 personnes arrêtées aux Etats-Unis et la 8 ème Alberto Yusi Lajud- Pena, alias "Prime" ou "Albertico" aurait été tuée le 27 avril L enquête se poursuit pour démanteler le reste du réseau. 34

35 Difficultés s des attaques Haute 17 % Aucune 10 % Faible 42 % Rapportées aux attaques menées Modérée 31 % des cas Ces attaques sont totalement ciblés pour 28%, dirigées pour 44 %, et au hasard pour 28 %. Aucune à modérée 5 % Haute 95 % Rapportées aux enregistrements compromis Cibles privilégiées serveurs de données et d'applications Aucune L'attaque peut être menée par une utilisateur ordinaire sans ressource particulière. Faible Nécessite des connaissances de base, ou des outils automatiques, et de faibles ressources. Modérée Nécessite un certain niveau de connaissances, quelques efforts de développement et/ou des ressources significatives. Haute Nécessite des connaissances avancées, des développement significatifs et des ressources importantes Cette relativité est un indicateur de l'environnement, lequel forme une chaîne conduisant aux incidents redoutés, au vu d'attaques au 3/4 dirigées ou ciblées. 35

36 "Botnets "Botnets" - Attaques et diffusions massives Serveur C&C quelque part! Ordres Contrôle & Commande Machines compromises par "bot" constituant le le "botnet" Contrôleur de "botnet" ("Bot herder") Serveur victime ex. Attaque par DDoS Un "botnet", ou réseau de robots ("bots") malveillants, est composé de machines compromises ("zombies"), en nombre pour assurer un camouflage actif et diriger des actions sur une cible déterminée. Les "bots" s'exécutent sur des centaines ou des milliers de machines, voire plus. Ils se connectent automatiquement sur un serveur de Contrôle & Commande (C&C) après infection, et l'ensemble peut être piloté à distance Daniel Guinier Internet Diffusion massive Les "bots" permettent des attaques ciblées par déni de service distribué (DDoS) des diffusions massives d'annonces, de "spams", ou de codes malveillants Offre Un réseau de 1000 "bots" pour 500 $ et location de "proxies" pour une campagne de diffusion pour 100 $ par semaine! 36

37 Ex. Attaque DDoS du site du SénatS Saturation de la bande passante causée par une Saturation de la bande passante causée par une attaque soutenue en DDoS depuis 6 h du matin le attaque soutenue en DDoS depuis 6 h du matin le dimanche 25 décembre jusqu'au lundi 26 après midi dimanche 25 décembre jusqu'au lundi 26 après midi L'attaque DDoS appuyée par un "botnet" a été revendiquée par des groupes patriotiques turcs "GrayHatz" et "Millikuvvetler" et autres, suite à la position française sur le génocide arménien. 37

38 Cartographie de l'origine des "spams" Le 12/01/11 à 2203 http//www.google.com/postini/threat_network.html Les zones saturées représentent de très fortes concentrations en serveurs malicieux repérés par l'adresse IP. Chaque point rouge indiquant l'origine des "spams". 38

39 Cartographie de l'origine des "spams" Le 12/01/11 à

40 Cartographie de l'origine des "spams" Le 12/01/11 à 2203 au plus près de Strasbourg 40

41 Attaques avancées et réactionsr 41

42 Délais liés à la compromission Adapté de Verizon (2009) 2009 Data Breach Investigations Report, p. 35 Phase d'attaque Délai de préparation Minutes Heures Jours Semaines Mois Renseignements, outils, etc., Stratégie, tests, validation, etc. Délai d'exécution Phase de maîtrise Etat de compromission Minutes Heures Jours Semaines Mois Délai de découverte 1. Détection 2. Collecte 3. Analyse 4. Résolution Délai de maîtrise Pour la victime, la découverte et la maîtrise prennent des semaines voire des mois dans 3/4 des cas, alors que pour l'attaquant le délai moyen peut être de l'ordre d'un jour. 42

43 Attaque ciblée e sur vulnérabilité Ex. Vol massif de données personnelles Révélation sur le réseau Révélation sur le réseau social Twitter social Twitter Groupe "hackers" "Lulz Security" Après le vol massif de 77 millions de données personnelles coordonnées de comptes et mots de passe et de cartes bancaires (2,2 M) entre le 17 et le 19/04/11 du réseau PSN de Sony, alors que Sony annonçait le 06/05/11 "un service complet et sécurisé le plus tôt possible ". Le 02/06/11 Nouveau vol de 1 million de données personnelles et de 3,5 millions de coupons Sony Music, chez SonyPictures.com. Réception Réception Préparation Tests de pénétration Préparation Tests de pénétration Exécution Transmissions relayées Exécution Transmissions relayées Injection de requête SQL non prévue, Injection de requête SQL non prévue, en exploitant une vulnérabilité pour en exploitant une vulnérabilité pour interagir avec des bases de données interagir avec des bases de données Compromission Prise de contrôle sur les Compromission Prise de contrôle sur les données données Exécution Capture et exfiltration des Exécution Capture et exfiltration des données à l'insu des responsables de la données à l'insu des responsables de la gestion et de la sécurité gestion et de la sécurité Internet Machines compromises ou non utilisées en relais Données choisies exfiltrées Passage du pare-feu DMZ Données personnelles et mots de passe non cryptés Site SonyPictures.com Serveurs de données La sécurité incertaine pose des questions Gestion de configuration? Application de correctifs? Cryptage des données? Authentification? Détection d'intrusions? Audit & Contrôle? etc. S'agissant de vulnérabilités connues, la négligence ou l erreur humaine n est pas à exclure, ou encore le choix de ne pas exécuter les correctifs pour des raisons de performances ou de difficultés de mise en place. 43

44 "Phishing" - le vecteur la messagerie Extrait du guide pratique du chef d entreprise face au risque numérique (pp version du 31/03/10) http//www.montauban.cci.fr/uploads/assets/entreprises/guide_pratique_chef_entreprise.pdf 44

45 Attaque ciblée e par "cheval de Troie" Ex. Vol ciblé de données sensibles Serveur C&C quelque part! Cybercriminel ou groupe organisé Réception Réception Préparation Renseignements sur Préparation Renseignements sur l'organisation et son SI et choix des l'organisation et son SI et choix des personnes, élaboration de la stratégie personnes, élaboration de la stratégie et des outils, test, validation et des outils, test, validation Exécution Transmissions relayées Exécution Transmissions relayées Compromission Ouverture des pièces Compromission Ouverture des pièces jointes et communication compromettant jointes et communication compromettant des machines avec privilèges élevés des machines avec privilèges élevés servant de têtes de pont servant de têtes de pont Exécution Capture et exfiltration des Exécution Capture et exfiltration des données à l'insu des utilisateurs légitimes, données à l'insu des utilisateurs légitimes, puis effacement des traces puis effacement des traces Postes traitant de sujets recherchés et données ciblées Internet Machines compromises en relais ou "botnet" ou services d'anonymisation Données choisies exfiltrées Passage du pare-feu Personnes ciblées et plusieurs Personnes ciblées et plusieurs courriels avec pièce jointe injectée par courriels avec pièce jointe injectée par un cheval de Troie élaboré (0-day) ou un cheval de Troie élaboré (0-day) ou modifié pour ne pas être détecté par le modifié pour ne pas être détecté par le dispositif "anti-virus" dispositif "anti-virus" Données Périmètre de confiance Comme souvent Recours à l'ingénierie sociale avec des courriels usurpant l'identité d'une personne de connaissance mais non authentifiée Cas concret d'espionnage économique au ministère des Finances Courriels usurpant l'identité de fonctionnaires du Trésor avec pièce jointe infectée. 150 PC compromis et données liées au G8/G20. (03/2011) Autre cas - Canada (02/2011) FMI (05/2011) 45

Forum du Rhin supérieur sur les Cybermenaces

Forum du Rhin supérieur sur les Cybermenaces Forum du Rhin supérieur sur les Cybermenaces Salle des conférences de l'ena à Strasbourg le 25 nov. 2010 "L'entreprise dans les nuages et face aux subversions" Le "cloud computing" ou informatique en nuages

Plus en détail

Tout sur la cybersécurité, la cyberdéfense,

Tout sur la cybersécurité, la cyberdéfense, Tout sur la cybersécurité, la cyberdéfense, Par Jean-Paul Pinte, Dr en Information scientifique et Technique, cybercriminologue Publié par : pintejp mai 26, 2011 Création d un centre belge pour lutter

Plus en détail

L assurance et le risque Data. Clusir 25 avril 2012 Lyon François Brisson - Hiscox France

L assurance et le risque Data. Clusir 25 avril 2012 Lyon François Brisson - Hiscox France L assurance et le risque Data Clusir 25 avril 2012 Lyon François Brisson - Hiscox France 1 En quoi consiste une violation de données pour un assureur? «Une violation des données est un incident de sécurité

Plus en détail

Découvrez Kaspersky. Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE

Découvrez Kaspersky. Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE Découvrez Kaspersky Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE Sommaire Pourquoi est-il important pour une TPE/PME d acquérir une protection efficace? Pages 04-05 10 idées reçues à

Plus en détail

NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET

NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET Introduction aux solutions de Mobile Device Management NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET QUELQUES CHIFFRES Mi 2011, 77% de la population mondiale

Plus en détail

ANALYSE DE RISQUE AVEC LA MÉTHODE MEHARI Eric Papet e.papet@dev1-0.com Co-Fondateur SSII DEV1.0 Architecte Logiciel & Sécurité Lead Auditor ISO 27001

ANALYSE DE RISQUE AVEC LA MÉTHODE MEHARI Eric Papet e.papet@dev1-0.com Co-Fondateur SSII DEV1.0 Architecte Logiciel & Sécurité Lead Auditor ISO 27001 ANALYSE DE RISQUE AVEC LA MÉTHODE MEHARI Eric Papet e.papet@dev1-0.com Co-Fondateur SSII DEV1.0 Architecte Logiciel & Sécurité Lead Auditor ISO 27001 PLAN Introduction Générale Introduction MEHARI L'analyse

Plus en détail

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web

Symantec Protection Suite Enterprise Edition Protection éprouvée pour les terminaux, la messagerie et les environnements Web Fiche technique: Sécurité des terminaux Protection éprouvée pour les terminaux, la messagerie et les environnements Web Présentation permet de créer un environnement (terminaux, messagerie et Web) protégé

Plus en détail

FORMATION AUDIT CONSEIL CYBERSÉCURITÉ. www.lexsi.fr. www.lexsi.fr

FORMATION AUDIT CONSEIL CYBERSÉCURITÉ. www.lexsi.fr. www.lexsi.fr www.lexsi.fr AUDIT CONSEIL CYBERSÉCURITÉ FORMATION LEXSI GROUP / INNOVATIVE SECURITY / CONSEIL EN CYBERSÉCURITÉ / PARIS LYON LILLE MONTREAL SINGAPOUR www.lexsi.fr SERVICES LEXSI est actif à l international

Plus en détail

Gouvernance nationale de la sécurité des systèmes d information de santé. Diapositive N 1

Gouvernance nationale de la sécurité des systèmes d information de santé. Diapositive N 1 Gouvernance nationale de la sécurité des systèmes d information de santé Diapositive N 1 L évolution des pratiques Instruments chirurgicaux dans l encyclopédie médicale du XIe siècle du médecin musulman

Plus en détail

Club des Responsables d Infrastructures et de la Production

Club des Responsables d Infrastructures et de la Production Club des Responsables d Infrastructures et de la Production LA BRIGADE D ENQUÊTES SUR LES FRAUDES AUX TECHNOLOGIES DE L INFORMATION Intervention du Commissaire Divisionnaire Anne SOUVIRA Le 19 mars 2014

Plus en détail

Attaques ciblées : quelles évolutions dans la gestion de la crise?

Attaques ciblées : quelles évolutions dans la gestion de la crise? 3 avril 2012 Attaques ciblées : quelles évolutions dans la gestion de la crise? Une nécessaire refonte des fondamentaux Gérôme BILLOIS gerome.billois@solucom.fr Twitter: @gbillois Frédéric CHOLLET frederic.chollet@solucom.fr

Plus en détail

politique de la France en matière de cybersécurité

politique de la France en matière de cybersécurité dossier de presse politique de la France en matière de cybersécurité 20 février 2014 Contact presse +33 (0)1 71 75 84 04 communication@ssi.gouv.fr www.ssi.gouv.fr Sommaire L ANSSI L ANSSI en chiffres Le

Plus en détail

La sécurité informatique à l heure de la 3 ème plate-forme. Karim BAHLOUL Directeur Etudes et Conseil IDC France 20 mai 2014

La sécurité informatique à l heure de la 3 ème plate-forme. Karim BAHLOUL Directeur Etudes et Conseil IDC France 20 mai 2014 La sécurité informatique à l heure de la 3 ème plate-forme Karim BAHLOUL Directeur Etudes et Conseil IDC France 20 mai 2014 Quelques chiffres sur l ampleur des attaques Le blog hackmaggeddon.com, répertorie

Plus en détail

La politique de sécurité

La politique de sécurité La politique de sécurité D'après le gestionnaire Master 2 Professionnel Informatique 1 Introduction Depuis les années 2000, la sécurité informatique s'est généralisée dans les grandes structures Maintenant,

Plus en détail

LES REGLES ELEMENTAIRES DE SECURITE LE POSTE DE TRAVAIL. CNRS RSSIC version du 11 mai 2012

LES REGLES ELEMENTAIRES DE SECURITE LE POSTE DE TRAVAIL. CNRS RSSIC version du 11 mai 2012 LES REGLES ELEMENTAIRES DE SECURITE LE POSTE DE TRAVAIL CNRS RSSIC version du 11 mai 2012 Un poste de travail mal protégé peut mettre en péril non seulement les informations qui sont traitées sur le poste

Plus en détail

Exigences de contrôle pour les fournisseurs externes

Exigences de contrôle pour les fournisseurs externes Exigences de contrôle pour les fournisseurs externes Cybersécurité Pour les fournisseurs à cyber-risque faible Exigences de cybersécurité 1. Protection des actifs et configuration des systèmes Les données

Plus en détail

Sécurité. Tendance technologique

Sécurité. Tendance technologique Sécurité Tendance technologique La sécurité englobe les mécanismes de protection des données et des systèmes informatiques contre l accès, l utilisation, la communication, la manipulation ou la destruction

Plus en détail

La sécurité des systèmes d information

La sécurité des systèmes d information Ntic consultant contact@ntic-consultant.fr 02 98 89 04 89 www.ntic-consultant.fr La sécurité des systèmes d information Ce document intitulé «La sécurité des systèmes d information» est soumis à la licence

Plus en détail

L Agence Nationale de la Sécurité des Systèmes d Information

L Agence Nationale de la Sécurité des Systèmes d Information L Agence Nationale de la Sécurité des Systèmes d Information Franck Veysset 01/12/2009 www.certa.ssi.gouv.fr Nouvelle stratégie française en matière de défense et de sécurité nationale Livre blanc sur

Plus en détail

Fiches micro-informatique SECURITE LOGIQUE LOGIxx

Fiches micro-informatique SECURITE LOGIQUE LOGIxx Objectif Fiches micro-informatique SECURITE LOGIQUE LOGIxx Présenter des préconisations pour sécuriser le poste de travail informatique et son environnement sous forme de fiches pratiques. Public concerné

Plus en détail

L'infonuagique, les opportunités et les risques v.1

L'infonuagique, les opportunités et les risques v.1 L'infonuagique, les opportunités et les risques v.1 Avril 2014 Présenté au PMI 2014 Tactika inc. www.tactika.com @tactika http://ca.linkedin.com/in/tactika 1 Contenu de la conférence 1. Les concepts 2.

Plus en détail

10 bonnes pratiques de sécurité dans Microsoft SharePoint

10 bonnes pratiques de sécurité dans Microsoft SharePoint 10 bonnes pratiques de sécurité dans Microsoft SharePoint SharePoint constitue certes un outil collaboratif précieux. Mais gare aux risques pour votre entreprise. 10 bonnes pratiques de sécurité dans Microsoft

Plus en détail

Sécuriser un équipement numérique mobile TABLE DES MATIERES

Sécuriser un équipement numérique mobile TABLE DES MATIERES Sécuriser un équipement numérique mobile TABLE DES MATIERES 1 INTRODUCTION... 2 2 REGLES DE BONNE CONDUITE CONCERNANT VOTRE MOBILE... 3 2.1 MEFIEZ-VOUS DES REGARDS INDISCRETS... 3 2.2 PREVOYEZ LE VOL OU

Plus en détail

LA SÉCURITÉ ÉCONOMIQUE, UN ENJEU-CLÉ POUR LES ENTREPRISES

LA SÉCURITÉ ÉCONOMIQUE, UN ENJEU-CLÉ POUR LES ENTREPRISES LA SÉCURITÉ ÉCONOMIQUE, UN ENJEU-CLÉ POUR LES ENTREPRISES DÉFINIR UNE POLITIQUE INTERNE DE SÉCURITÉ RELATIVE À L INFORMATION STRATÉGIQUE DE VOTRE ENTREPRISE Vous n avez pas effectué de diagnostic interne

Plus en détail

Ce guide n a pas vocation à se substituer à une démarche de certification PCI DSS.

Ce guide n a pas vocation à se substituer à une démarche de certification PCI DSS. Guide à l attention des développeurs / hébergeurs de sites web marchands sur le niveau minimum de sécurité pour le traitement de numéros de cartes bancaires Préambule Ce guide n a pas vocation à se substituer

Plus en détail

bitdefender TOTAL SECURITY 2008

bitdefender TOTAL SECURITY 2008 bitdefender TOTAL SECURITY 2008 L ultime solution de protection proactive pour vos PC! BitDefender Total Security 2008 est la solution de sécurité ultime pour protéger de manière proactive vos ordinateurs.

Plus en détail

Directive de sécurité sur la sauvegarde des données en ligne

Directive de sécurité sur la sauvegarde des données en ligne Directive de sécurité sur la sauvegarde des données en ligne Entrée en vigueur le 18 juin 2010 Préparé et sous la responsabilité de la Direction des services juridiques Section affaires juridiques Approuvé

Plus en détail

Les principes de la sécurité

Les principes de la sécurité Les principes de la sécurité Critères fondamentaux Master 2 Professionnel Informatique 1 Introduction La sécurité informatique est un domaine vaste qui peut appréhender dans plusieurs domaines Les systèmes

Plus en détail

La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (2ième édition)

La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (2ième édition) Généralités sur la sécurité informatique 1. Introduction 13 2. Les domaines et normes associés 16 2.1 Les bonnes pratiques ITIL V3 16 2.1.1 Stratégie des services - Service Strategy 17 2.1.2 Conception

Plus en détail

CONDITIONS PARTICULIERES SOLUTIONS CLOUD. API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services.

CONDITIONS PARTICULIERES SOLUTIONS CLOUD. API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services. CONDITIONS PARTICULIERES SOLUTIONS CLOUD VERSION GAMMA Dernière version en date du 06/12/2011 Définitions : API : Interface de programmation pouvant être utilisé par le Client pour interagir avec ses Services.

Plus en détail

VIGIPIRATE PARTIE PUBLIQUE OBJECTIFS DE CYBERSÉCURITÉ

VIGIPIRATE PARTIE PUBLIQUE OBJECTIFS DE CYBERSÉCURITÉ VIGIPIRATE PARTIE PUBLIQUE OBJECTIFS DE CYBERSÉCURITÉ Édition du 27 février 2014 INTRODUCTION 5 1 / PILOTER LA GOUVERNANCE DE LA CYBERSÉCURITÉ 7 1.1 / Définir une stratégie de la cybersécurité 8 1.1.1

Plus en détail

Management de la sécurité des technologies de l information

Management de la sécurité des technologies de l information Question 1 : Identifiez les causes d expansion de la cybercriminalité Internet est un facteur de performance pour le monde criminel. Par sa nature même et ses caractéristiques, le monde virtuel procure

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013

CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI. Dernière version en date du 07/11/2013 CONDITIONS PARTICULIERES DE LOCATION D'UN SERVEUR DEDIE KIMSUFI ARTICLE 1 : OBJET Dernière version en date du 07/11/2013 Les présentes conditions particulières, complétant les conditions générales de services

Plus en détail

Piratage Télécom : Comment se protéger?

Piratage Télécom : Comment se protéger? Piratage Télécom : Comment se protéger? Rhénatic Pôle de Compétences TIC d Alsace, créé en octobre 2006 Un réseau d une centaine d entreprises numériques alsaciennes, issus de tous les métiers des TIC

Plus en détail

Sécurisation en réseau

Sécurisation en réseau Déni de services Sécurisation en réseau Utilisant des bugs exemple Ping of death (Cf. RFC IP) l exploitation des protocoles TCP SYN flooding Envoi seulement le début du 3-way handshake Saturation de la

Plus en détail

DOSSIER DE PRESSE. presse@lexsi.com LEXSI.COM. tgraffeuil@oxygen-rp.com. Contacts presse : OXYGEN Tatiana GRAFFEUIL Audrey SLIWINSKI 01 41 11 37 89

DOSSIER DE PRESSE. presse@lexsi.com LEXSI.COM. tgraffeuil@oxygen-rp.com. Contacts presse : OXYGEN Tatiana GRAFFEUIL Audrey SLIWINSKI 01 41 11 37 89 DOSSIER DE PRESSE Contacts presse : OXYGEN Tatiana GRAFFEUIL Audrey SLIWINSKI 01 41 11 37 89 tgraffeuil@oxygen-rp.com LEXSI Anne BIGEL presse@lexsi.com LEXSI.COM Sommaire INTRODUCTION 1 LEXSI, cabinet

Plus en détail

Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités.

Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Charte informatique Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Préambule L'entreprise < NOM > met en œuvre un système d'information et

Plus en détail

Stratégie nationale en matière de cyber sécurité

Stratégie nationale en matière de cyber sécurité Stratégie nationale en matière de cyber sécurité 1 INTRODUCTION Le fonctionnement de notre société est aujourd hui étroitement lié aux infrastructures et systèmes de communication et de traitement de l

Plus en détail

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE

CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE CONDITIONS PARTICULIERES DE LOCATION D UN SERVEUR DEDIE Version en date du 22/04/2014 RCS Chartres 807 381 157 Code APE 6202B Page 1 sur 6 ARTICLE 1 : OBJET DU DOCUMENT Les présentes conditions particulières,

Plus en détail

Prise en compte des nouvelles technologies dans les risques d audit

Prise en compte des nouvelles technologies dans les risques d audit DES COLLECTIVITÉS PUBLIQUES LATINES Prise en compte des nouvelles technologies dans les risques d audit SEPTEMBRE 2013 1 AGENDA 1. Contexte réglementaire 2. Objectifs de l audit 3. Nouvelle technologies

Plus en détail

Présenté par : Mlle A.DIB

Présenté par : Mlle A.DIB Présenté par : Mlle A.DIB 2 3 Demeure populaire Prend plus d ampleur Combinée avec le phishing 4 Extirper des informations à des personnes sans qu'elles ne s'en rendent compte Technique rencontrée dans

Plus en détail

Comment votre PC peut-il être piraté sur Internet?

Comment votre PC peut-il être piraté sur Internet? Edited By BIANCHI Lorenzo A.C.S2013SERVICES INFORMATIQUE 2014 Comment votre PC peut-il être piraté sur Internet? Comment votre PC peut-il être piraté sur Internet? Toujours le fait de personnes malveillantes,

Plus en détail

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC)

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) Mai 2014 Stratégie de cybersécurité du Canada Depuis la publication de la Stratégie de cybersécurité du Canada en 2010, Sécurité publique

Plus en détail

CONDITIONS PARTICULIÈRES SERVICE CDN WEBSITE Version en date du 10/10/2013

CONDITIONS PARTICULIÈRES SERVICE CDN WEBSITE Version en date du 10/10/2013 CONDITIONS PARTICULIÈRES SERVICE CDN WEBSITE Version en date du 10/10/2013 DEFINITIONS : Cache : Mémoire locale du Serveur CDN (POPs CDN). CDN : (acronyme de «content delivery network») Serveur de Cache

Plus en détail

Aspects juridiques des tests d'intrusion

Aspects juridiques des tests d'intrusion HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI 2012 Aspects juridiques des tests d'intrusion Frédéric Connes

Plus en détail

Gestion des risques importants

Gestion des risques importants étude de cas Gestion des risques importants Modélisation du risque et simulation d'attaque Société Une grande organisation financière (union nationale de crédits fédéraux) a mis en œuvre les solutions

Plus en détail

GUIDE INTERMINISTERIEL SUR LES SYSTEMES D'INFORMATION ET APPLICATIONS SENSIBLES

GUIDE INTERMINISTERIEL SUR LES SYSTEMES D'INFORMATION ET APPLICATIONS SENSIBLES REPUBLIQUE FRANÇAISE PREMIER MINISTRE Secrétariat Général de la Défense Nationale N 730/ SCSSI Issy-les-Moulineaux, le 13 janvier 1997 GUIDE INTERMINISTERIEL SUR LES SYSTEMES D'INFORMATION ET APPLICATIONS

Plus en détail

La sécurité informatique

La sécurité informatique La sécurité informatique c'est quoi au juste? CAID's Delémont - 2 mars 2009 Par Bruno Kerouanton http://bruno.kerouanton.net/blog Les pirates... au début Qui : adolescents isolés Moyens : légers. Motivation

Plus en détail

Sécurité des Postes Clients

Sécurité des Postes Clients HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Sécurité des Postes Clients Table ronde CFSSI Jeudi 29 mars 2007 Benjamin

Plus en détail

CENTRE DE RECHERCHE GRENOBLE RHÔNE-ALPES

CENTRE DE RECHERCHE GRENOBLE RHÔNE-ALPES informatiques d Inria CENTRE DE RECHERCHE GRENOBLE RHÔNE-ALPES Table des matières 1. Préambule...3 2. Définitions...3 3. Domaine d application...4 4. Autorisation d accès aux ressources informatiques...5

Plus en détail

IT Security Boxes l assurance vie des données informatiques

IT Security Boxes l assurance vie des données informatiques IT Security Boxes l assurance vie des données informatiques Sauvegarde et protection des données informatiques au service du Plan de Reprise d Activité (PRA) France Sommaire Pourquoi sauvegarder le patrimoine

Plus en détail

L hygiène informatique en entreprise. Quelques recommandations simples

L hygiène informatique en entreprise. Quelques recommandations simples L hygiène informatique en entreprise Quelques recommandations simples V0.1 Octobre 2012 Avant-propos à destination des décideurs Les formidables développements de l informatique et d Internet ont révolutionné

Plus en détail

Intelligence Economique : risques ou opportunités? AMRAE - L exploitation et la reproduction de ce document sont strictement interdites

Intelligence Economique : risques ou opportunités? AMRAE - L exploitation et la reproduction de ce document sont strictement interdites Intelligence Economique : risques ou opportunités? Introduction : présentation de l AMRAE L association: les membres L AMRAE rassemble les acteurs majeurs des métiers du risque Risk Manager, Responsables

Plus en détail

CONDITIONS PARTICULIERES MINICL0UD

CONDITIONS PARTICULIERES MINICL0UD O V H CONDITIONS PARTICULIERES MINICL0UD Dernière version en date du 27 Mai 2010 Définitions : Cloud : Technologie visant à l'utilisation à distance de ressources d'exécution et de stockage. Manager minicloud

Plus en détail

Nacira Salvan. Responsable Pôle Architecture Sécurité Direction Infrastructure IT SAFRAN. CRiP Thématique Sécurité de l informatique de demain

Nacira Salvan. Responsable Pôle Architecture Sécurité Direction Infrastructure IT SAFRAN. CRiP Thématique Sécurité de l informatique de demain Nacira Salvan Responsable Pôle Architecture Sécurité Direction Infrastructure IT SAFRAN Nacira.salvan@safran.fr CRiP Thématique Sécurité de l informatique de demain 03/12/14 Agenda Quelques définitions

Plus en détail

La sécurité informatique

La sécurité informatique La sécurité informatique SOMMAIRE 1. Présentation générale a. La SARL Invesys b. Pourquoi la sécurité informatique? c. Qu est-ce qu un audit de sécurité? 2. Espionnage industriel a. Définition b. Enjeux

Plus en détail

Chiffrement : Échanger et transporter ses données en toute sécurité

Chiffrement : Échanger et transporter ses données en toute sécurité Chiffrement : Échanger et transporter ses données en toute sécurité Septembre 2014 Chiffrement : Confidentialité des données Malgré les déclarations de Google et autres acteurs du Net sur les questions

Plus en détail

L hygiène informatique en entreprise Quelques recommandations simples

L hygiène informatique en entreprise Quelques recommandations simples L hygiène informatique en entreprise Quelques recommandations simples Avant-propos à destination des décideurs Les formidables développements de l informatique et d Internet ont révolutionné nos manières

Plus en détail

Symantec CyberV Assessment Service

Symantec CyberV Assessment Service Symantec CyberV Assessment Service Cyber-résilience : gagnez en visibilité Le cyber-espace, monde technologique hyperconnecté constamment en évolution, offre des opportunités inégalées de connectivité,

Plus en détail

Intégrer l assurance dans la gestion des risques liés à la sécurité des données

Intégrer l assurance dans la gestion des risques liés à la sécurité des données Intégrer l assurance dans la gestion des risques liés à la sécurité des données François Brisson, responsable marché Technologie-Media-Télécoms 48 ème plénière MEDINSOFT - Marseille 27 novembre 2012 1

Plus en détail

Charte régissant l'usage du système d information par les personnels du ministère de l éducation nationale

Charte régissant l'usage du système d information par les personnels du ministère de l éducation nationale Charte régissant l'usage du système d information par les personnels du ministère de l éducation nationale DGRH Version du 21/08/2008 1/ 9 Sommaire Article I. Champ d'application...4 Article II. Conditions

Plus en détail

Les Infrastructures critiques face au risque cybernétique. Par M. Ahmed Ghazali Président de la Haute Autorité de la Communication Audiovisuelle

Les Infrastructures critiques face au risque cybernétique. Par M. Ahmed Ghazali Président de la Haute Autorité de la Communication Audiovisuelle Les Infrastructures critiques face au risque cybernétique. Par M. Ahmed Ghazali Président de la Haute Autorité de la Communication Audiovisuelle Introduction I. Cyber sécurité 1) Systèmes d information

Plus en détail

données à caractère personnel (ci-après "la LVP"), en particulier l'article 30 ;

données à caractère personnel (ci-après la LVP), en particulier l'article 30 ; 1/8 Recommandation n 01/2013 du 21 janvier 2013 Objet : Recommandation d'initiative relative aux mesures de sécurité à respecter afin de prévenir les fuites de données (CO-AR-2013-001) La Commission de

Plus en détail

Les botnets: Le côté obscur de l'informatique dans le cloud

Les botnets: Le côté obscur de l'informatique dans le cloud Les botnets: Le côté obscur de l'informatique dans le cloud Par Angelo Comazzetto, Senior Product Manager Les botnets représentent une sérieuse menace pour votre réseau, vos activités, vos partenaires

Plus en détail

La cybercriminalité et les infractions liées à l utilisation frauduleuse d internet : éléments de mesure et d analyse.

La cybercriminalité et les infractions liées à l utilisation frauduleuse d internet : éléments de mesure et d analyse. La criminalité en France Rapport annuel 2014 de l ONDRP La cybercriminalité et les infractions liées à l utilisation frauduleuse d internet : éléments de mesure et d analyse pour l année 2013 Jorick GUILLANEUF

Plus en détail

Kaspersky Fraud Prevention for Endpoints

Kaspersky Fraud Prevention for Endpoints Kaspersky Fraud Prevention for Endpoints www.kaspersky.fr KASPERSKY FRAUD PREVENTION 1. Techniques d attaque du système bancaire en ligne L'appât du gain constitue la principale motivation de la cyber-criminalité.

Plus en détail

CHARTE INFORMATIQUE LGL

CHARTE INFORMATIQUE LGL CHARTE INFORMATIQUE LGL Selon la réglementation indiquée dans la charte informatique du CNRS, tout accès aux ressources informatiques du LGLTPE nécessite une authentification des personnels. Cette authentification

Plus en détail

AUDIT CONSEIL CERT FORMATION

AUDIT CONSEIL CERT FORMATION www.lexsi.com AUDIT CONSEIL CERT FORMATION LEXSI GROUP / INNOVATIVE SECURITY / CONSEIL EN SECURITE DE L INFORMATION / PARIS LYON LILLE MONTREAL SINGAPOUR A PROPOS DE LEXSI Avec plus de 10 ans d expérience,

Plus en détail

E-réputation : protection des données en ligne. Ghislain NYAMFIT Consultant en Cybersécurité @nyamfitg

E-réputation : protection des données en ligne. Ghislain NYAMFIT Consultant en Cybersécurité @nyamfitg E-réputation : protection des données en ligne Ghislain NYAMFIT Consultant en Cybersécurité @nyamfitg CONTEXTE La cybersécurité est un facteur de productivité, de compétitivité et donc de croissance pour

Plus en détail

Gestion du risque numérique

Gestion du risque numérique Gestion du risque numérique Auguste DIOP Arnaud PRINCE AGBODJAN TALENTYS www.talentys.ci 2ème édition des Journées de l Entreprise Numérique, 9 & 10 avril 2015 Qui sommes-nous? Fondée en 2007, TALENTYS

Plus en détail

F-Secure, votre partenaire sécurité

F-Secure, votre partenaire sécurité F-Secure, votre partenaire sécurité Société et Offres F-Secure SARL 38/44 rue Jean Mermoz 78 600 Maisons Laffitte Tel. 08 20 00 07 59 - Fax. 08 20 02 55 08 - www.f-secure.fr TVA intracommunautaire : FR

Plus en détail

La sécurité intelligente intégrée pour protéger vos données critiques

La sécurité intelligente intégrée pour protéger vos données critiques IBM Software Livre blanc sur le leadership éclairé Avril 2013 La sécurité intelligente intégrée pour protéger vos données critiques Exploitez des informations décisionnelles afin de réduire les risques

Plus en détail

KASPERSKY SECURITY FOR BUSINESS

KASPERSKY SECURITY FOR BUSINESS KASPERSKY SECURITY FOR BUSINESS IDENTIFIER. CONTRÔLER. PROTÉGER. Guide de migration RENOUVELLEMENTS ET MISES À NIVEAU DES LICENCES : Guide de migration PRÉSENTATION DE LA NOUVELLE GAMME ENDPOINT SECURITY

Plus en détail

Vulnérabilités et cybermenaces des SI modernes

Vulnérabilités et cybermenaces des SI modernes Vulnérabilités et cybermenaces des SI modernes CNIS Event, 1 er juillet 2014 Frédéric Connes Frederic.Connes@hsc.fr 1/16 Plan! Caractéristiques des SI modernes! Recours de plus en plus fréquent au cloud

Plus en détail

Bibliographie. Gestion des risques

Bibliographie. Gestion des risques Sécurité des réseaux informatiques Bernard Cousin Université de Rennes 1 Sécurité des réseaux informatiques 1 Introduction Risques Attaques, services et mécanismes Les attaques Services de sécurité Mécanismes

Plus en détail

Cours. Plan. Définitions. Objectifs. Chapitre 4: Analyse de risques. Définitions et objectifs. Méthodes d analyse de risques. Méthode du NIST 8000-30

Cours. Plan. Définitions. Objectifs. Chapitre 4: Analyse de risques. Définitions et objectifs. Méthodes d analyse de risques. Méthode du NIST 8000-30 Plan Définitions et objectifs Cours Sécurité et cryptographie Chapitre 4: Analyse de risques Méthodes d analyse de risques Méthode Méhari Méthode du NIST 8000-30 Méthode Conclusion Hdhili M.H Cours sécurité

Plus en détail

Mini-Rapport d Audit basé sur la méthode d analyse MEHARI

Mini-Rapport d Audit basé sur la méthode d analyse MEHARI Projet Réseau Sécurité Mini-Rapport d Audit basé sur la méthode d analyse MEHARI Equipe Analyse 15/12/07 Sommaire II/ Présentation de la méthode MEHARI...4 III/ Définition et classification des éléments

Plus en détail

Présentation du référentiel PCI-DSS

Présentation du référentiel PCI-DSS Présentation du référentiel PCI-DSS Hervé Hosy herve.hosy@oppida.fr 06.03.51.96.66 Page 1 Agenda Référentiel PCI-DSS Contexte Structure du référentiel Lien avec les normes ISO 270xx 2 Contexte Page 3 Contexte

Plus en détail

Sécurité informatique: introduction

Sécurité informatique: introduction Sécurité informatique: introduction Renaud Tabary: tabary@enseirb.fr 2008-2009 Plan 1 Généralités 2 3 Définition de la sécurité informatique Definition Information security is the protection of information

Plus en détail

Gestion des incidents

Gestion des incidents HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Gestion des incidents liés à la sécurité de l'information Conférence

Plus en détail

SÉCURITÉ INFORMATIQUE AU NIVEAU DES SYSTÈMES DE CONDUITE

SÉCURITÉ INFORMATIQUE AU NIVEAU DES SYSTÈMES DE CONDUITE SÉCURITÉ INFORMATIQUE AU NIVEAU DES SYSTÈMES DE CONDUITE Plus de sécurité pour la gestion de l eau et de l énergie 2 Système de conduite en danger? Éviter les manipulations indésirables Lorsqu'un voleur

Plus en détail

SSI Sensibilisation à la sécurité de l'information**

SSI Sensibilisation à la sécurité de l'information** SSI Sensibilisation à la sécurité de l'information** Prérequis Compétence opérationnelle Objectifs d apprentissage Durée d apprentissage Connaissances de base en informatique Etre capable de comprendre

Plus en détail

TRIBUNE BRAINWAVE GOUVERNANCE ET SéCURITé. Shadow IT, la menace fantôme. Une tendance irréversible mais pas dénuée de risques.

TRIBUNE BRAINWAVE GOUVERNANCE ET SéCURITé. Shadow IT, la menace fantôme. Une tendance irréversible mais pas dénuée de risques. TRIBUNE BRAINWAVE GOUVERNANCE ET SéCURITé Shadow IT, la menace fantôme Une tendance irréversible mais pas dénuée de risques. Par Sébastien Faivre Chief Marketing Officer de Brainwave Shadow IT, la menace

Plus en détail

Menaces du Cyber Espace

Menaces du Cyber Espace Menaces du Cyber Espace Conférence 02-04-2014 David WARNENT Police Judiciaire Fédérale Namur Regional Computer Crime Unit Faits Divers Tendances Social Engineering Hacktivisme Anonymous et assimilés Extorsions

Plus en détail

SECURITE DES SYSTEMES D INFORMATION COURS 2 ème partie Sûreté ou sécurité? Sécurité : ensemble des éléments permettant d établir la confiance dans un système, un environnement, etc. (se sentir en sécurité)

Plus en détail

DDN/RSSI. Engagement éthique et déontologique de l'administrateur systèmes, réseaux et de système d'informations

DDN/RSSI. Engagement éthique et déontologique de l'administrateur systèmes, réseaux et de système d'informations DDN/RSSI Engagement éthique et déontologique de l'administrateur systèmes, réseaux et de système d'informations Page 1 10/03/2015 SOMMAIRE. Article I. Définitions...3 Section I.1 Administrateur...3 Section

Plus en détail

Gestion des Incidents SSI

Gestion des Incidents SSI Gestion des Incidents SSI S. Choplin D. Lazure Architectures Sécurisées Master 2 ISRI/MIAGE/2IBS Université de Picardie J. Verne Références CLUSIF Gestion des incidents de sécurité du système d information

Plus en détail

Trusteer Pour la prévention de la fraude bancaire en ligne

Trusteer Pour la prévention de la fraude bancaire en ligne Trusteer Pour la prévention de la fraude bancaire en ligne La solution de référence pour la prévention de la fraude bancaire en ligne Des centaines d institutions financières et des dizaines de millions

Plus en détail

CÔTE D IVOIRE - COMPUTER EMERGENCY RESPONSE TEAM RAPPORT ANNEE 2013. Côte d Ivoire - Computer Emergency and Response Team 2012

CÔTE D IVOIRE - COMPUTER EMERGENCY RESPONSE TEAM RAPPORT ANNEE 2013. Côte d Ivoire - Computer Emergency and Response Team 2012 CÔTE D IVOIRE - COMPUTER EMERGENCY RESPONSE TEAM RAPPORT ANNEE 2013 Côte d Ivoire - Computer Emergency and Response Team 2012 Côte d Ivoire - Computer Emergency Response Team Page 1 SOMMAIRE RESUME....3

Plus en détail

Note technique. Recommandations de sécurité relatives aux ordiphones

Note technique. Recommandations de sécurité relatives aux ordiphones DAT-NT-010/ANSSI/SDE P R E M I E R M I N I S T R E Secrétariat général Paris, le 19 juin 2013 de la défense et de la sécurité nationale N o DAT-NT-010/ANSSI/SDE/NP Agence nationale de la sécurité Nombre

Plus en détail

La cybercriminalité et les infractions liées

La cybercriminalité et les infractions liées Sanctions pénales Sous la direction de Rapport annuel 2015 de l ONDRP La cybercriminalité et les infractions liées Marine valzer Chargée d études criminologiques à l utilisation frauduleuse d internet

Plus en détail

Rewics (04 mai 2011) - Atelier : «L'informatique dans les nuages (cloud computing) : vraie révolution ou pétard mouillé?». The Dark Side Of The

Rewics (04 mai 2011) - Atelier : «L'informatique dans les nuages (cloud computing) : vraie révolution ou pétard mouillé?». The Dark Side Of The Rewics (04 mai 2011) - Atelier : «L'informatique dans les nuages (cloud computing) : vraie révolution ou pétard mouillé?». The Dark Side Of The Cloud. Robert Viseur (robert.viseur@cetic.be) Qui suis-je?

Plus en détail

S U P E R V I S É PA R N. A B R I O U X

S U P E R V I S É PA R N. A B R I O U X Tableau de bord SSI S U P E R V I S É PA R N. A B R I O U X S. B A L S S A L. B O B E T M. H A L L O U M I J. M A N O H A R A N 1 Plan Présentation Méthodologie d élaboration Cas pratique Conclusion Nom

Plus en détail

Atelier B 06. Les nouveaux risques de la cybercriminalité

Atelier B 06. Les nouveaux risques de la cybercriminalité Atelier B 06 Les nouveaux risques de la cybercriminalité 1 Atelier Cybercriminalité Intervenants Eric Freyssinet Etienne de Séréville Luc Vignancour Guillaume de Chatellus Modérateur Laurent Barbagli Pôle

Plus en détail

Cloud Computing. Veille Technologique

Cloud Computing. Veille Technologique Cloud Computing Veille Technologique La veille technologique consiste à s'informer de façon systématique sur les techniques les plus récentes et surtout sur leur mise à disposition commerciale (ce qui

Plus en détail

Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing

Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing D un point de vue juridique, la CNIL constate que le Cloud computing soulève un certain nombre de difficultés

Plus en détail

Charte d'usage des TIC

Charte d'usage des TIC Schéma Informatique Ministériel Groupe Chartes d usage des TIC Introduction Charte d'usage des TIC Le développement et la diffusion au sein du MINEFI des nouveaux moyens de communication et d information

Plus en détail

PCI (Payment Card Industry) DSS (Data Security Standard )

PCI (Payment Card Industry) DSS (Data Security Standard ) PCI (Payment Card Industry) DSS (Data Security Standard ) Jean-Marc Robert Génie logiciel et des TI PCI-DSS La norme PCI (Payment Card Industry) DSS (Data Security Standard) a été développée dans le but

Plus en détail