L'intelligence économique et la protection des données de l entreprisel

Dimension: px
Commencer à balayer dès la page:

Download "L'intelligence économique et la protection des données de l entreprisel"

Transcription

1 Trinôme Académique Enseignement de la Défense D et parcours citoyen A l'attention des professeurs stagiaires et professeurs d éd économie-gestion, des chefs de travaux A l'erea Illkirch-Graffenstaden 28 mai 2014 de 9h à 17h Conférence & débat d L'intelligence économique et la protection des données de l entreprisel par Daniel GUINIER Dr ès Sciences, Certifications CISSP, ISSMP, ISSAP, MBCI Expert près la Cour Pénale Internationale de La Haye Expert judiciaire honoraire près la Cour d'appel de Colmar Lieutenant-colonel (RC) de la gendarmerie nationale 1

2 Introduction 2

3 Place de la sécurité dans l'ie Performance (3765) Entreprises (2169) Formation (799) Espionnage (161) Intelligence (3590) Economique (3643) Informations (3371) Sécurité (441) Investigations (85) Connaissance (365) Veille (1605) Stratégique (778) Management (567) Outils (565) Technologies (547) Guinier D. (2007) L'intelligence économique Etat des lieux et prospective. Expertises, n 319, Nov., pp Mise en évidence de relations transdisciplinaires de l'ie sur la base des pages indexées par le moteur Google. 3

4 L'entreprise et ses forces influentes Acteurs Environnement Facteurs D. Guinier Etats et organisations Autorités de tutelle Associations professionnelles Médias Concurrents et fournisseurs Clients Ethique, lois et règlements Standards et normes Articles, annonces, émissions Changements politiques Technologies et méthodes Produits, services, marchés L'entreprise est un système dynamique où cohabitent divers acteurs avec des missions, des finalités, des valeurs, des expériences et des cadres de référence différents. Au-delà, il y a la nécessité de Culture d'ie et veille stratégique Politique de sécurité des SI Normes sécuritaires, et autres Contrôles internes et externes DIRECTION GENERALE Politiques Stratégies Principes Plans Règles Charte Code de pratique INFORMATICIENS SI Procédures Consignes Vulnérabilités Dissonances Menaces internes Entreprise RESPONSABLES FONCTIONNELS Notes UTILISATEURS Menaces externes Obligations Pressions internes Forces Opportunités Pressions Influences Forces Dans un tel contexte changeant, les forces et la complexité peuvent former des propensions inhérentes propices à des situations de crises. un écosystème numérique et humain complexe avec des acteurs et des facteurs d'influence sur les choix, dans son environnement Daniel Guinier 4

5 Quand l'information vaut plus que l'or! Les informations stratégiques Les informations stratégiques relèvent relèvent de de données données sensibles sensibles - - par par elles-mêmes elles-mêmes vitales - par leur nécessité vitales - par leur nécessité milliards milliards de de GO GO de de données données ont été créées et répliquées en 2011 ont été créées et répliquées en 2011 Tous les deux ans, ces données Tous les deux ans, ces données mondiales vont plus que doubler mondiales vont plus que doubler (EMC (2011) Extracting value from chaos) (EMC (2011) Extracting value from chaos) 1, ,8 21 Toutes les informations Toutes les informations n'ont n'ont pas pas la la même même valeur valeur intrinsèque intrinsèque ou ou de de nécessité nécessité ne ne nécessitent nécessitent donc donc pas pas le le même même niveau niveau d'attention d'attention Croissance Croissance QUALITATIVE QUALITATIVE dans dans l'aide l'aide aux aux processus processus décisionnels décisionnels la la génération génération de de nouveaux nouveaux revenus, revenus, etc. etc. Croissance Croissance QUANTITATIVE QUANTITATIVE dans dans le le stockage stockage et et la la dispersion dispersion des des données données les les transactions transactions et et flux flux de de données, données, etc. etc. La perte ou la compromission d'informations stratégiques signifie la disparition ou la faillite dans la majorité des cas. Connaître leur valeur est une nécessité des organismes pour protéger l'essentiel. 5

6 Les entreprises sont visées En entreprises dont 40 en Alsace, avec des atteintes diverses en hausse L'Alsace exposée par ses activités sensibles Les cibles les laboratoires de recherche, et TPE les entreprises de tous secteurs médical agroalimentaire armement BTP industriel, etc. Faire preuve de vigilance pour que la sécurité économique fasse partie intégrante de la culture d'entreprise. 6

7 Les particuliers sont aussi visés Pertes directes estimées de la cybercriminalité Dans le monde 87,5 milliards d euros 556 millions de victimes perte moyenne de plus de 150 Euros En France 2,5 milliards d euros 10 millions de victimes perte moyenne de près de 250 Euros Dans le monde, chaque seconde, 18 internautes sont victimes d actes malveillants, soit plus de 1,5 million de personnes par jour. Source Symantec - Norton Cybercrime Report 7

8 Des statistiques délicates d à établir Absence de détection des pertes Les organismes n'ont pas détecté de pertes ou leur importance n'est pas connue ou sous-estimée Absence de critères d'évaluation Concernant pertes directes et indirectes et les corrections Absence de signalement des pertes Les organismes victimes désirent préserver leur image Biais des réponses aux études Ceux qui n'ont pas détecté des pertes répondent facilement Ceux dont les pertes sont publiquement connues répondent Ceux qui ont détecté des pertes acceptables ne répondent pas Ainsi, l'étude la plus récente de Symantec indiquait 110 millions de dollars de pertes annuelles mondiales et McAfee 1 milliard Source Hyman P. (2013) Cybercrime It's serious, But Exactly How Serious? CACM, Vol. 56, n 3, mars 2013, pp

9 Les systèmes d'information évoluent 9

10 Quelques chiffres significatifs 25% Données "en nuages" 70% des utilisateurs reconnaissent enfreindre la sécurité au motif de faciliter les tâches % des organismes vont autoriser les terminaux personnels pour exécuter des fonctions professionnelles % des nouveaux téléphones mobiles seront des "smartphones" Cibles 15 milliards de terminaux mobiles dans le monde Pirates et outils Les systèmes mobiles et notamment les "smartphones" seront plus visés du fait de leur grand nombre, de vulnérabilités systèmes et applications, servant aussi d'intermédiaires pour d'autres attaques. 10

11 Schémas traditionnel et "en nuages" Schéma "en nuages" avec les Schéma "en nuages" avec les ressources as a Service ressources as a Service Méga-centre en "nuages" Poste fixe ou mobile Avant Après Applications Simple navigateur Utilisateurs hors sur ou du hors lieu du lieu de travail de travail Schéma traditionnel avec les Schéma traditionnel avec les ressources de l'entreprise ressources de l'entreprise Réseaux et serveurs Utilisateurs sur le le lieu de travail WiFi Données en transit Internet Organes de raccordement WiFi Données Périmètre de confiance Migration en "nuages" Migration en "nuages" Retour en arrière? Retour en arrière? Données Périmètre de confiance Applications Logiciels applicatifs Applications Plateforme Environnements-interfaces Logiciels applicatifs de déploiement & développement Plateforme Infrastructures Environnements-interfaces Logiciels infra. & virtualisation, de déploiement données, & développement communications Infrastructures Noyau logiciel de Logiciels base infra. & Système virtualisation, d'exploitation données, et autres communications Noyau Ressources logiciel physiques de base Système Serveurs d'exploitation et autres matériels et autres Ressources Installations physiques Bâtiments Serveurs et équipements et autres électriques, matériels thermiques, etc. Installations Bâtiments et équipements électriques, thermiques, etc. Management et gouvernance Management Sécurité, audit et gouvernance & contrôle, tests, etc. Sécurité, audit & contrôle, tests, etc. Services Périmètre étendu Périmètre étendu 2010 Daniel Guinier Applications, systèmes et environnements Applications, Infrastructures, systèmes matériels et environnements Infrastructures, et installations matériels et installations Direction et organisation Ressources Direction Sécurité, et audit organisation & contrôle, tests, etc. et et fonctions de Sécurité, audit & contrôle, tests, etc. l'entreprise 11

12 Services de base et quelques offres SaaS Software as a Service les applications sont délivrées via un navigateur PaaS Platform as a Service les applications sont déployées via une interface IaaS Infrastructure as a Service les ressources fondamentales sont louées Modèle "SPI" SaaS PaaS IaaS en tant que service Application logicielle fournie en tant que service et délivrée en configuration fixe Plateforme de déploiement fournie en tant que service pour déploiement "en nuages" Infrastructure fournie louée en tant que service serveur, stockage, réseau, etc. Quelques offres Google Apps (Wave, Docs), IBM (Lotus Live), ClusterSeven, Salesforce, Success Metrics, Net Suite, etc. Google (AppEngine, BigTable), Amazon SQS, Microsoft (Biz Talk, Azure), IBM (Tivoli CMC, Blue Cloud), Citrix (Xen Cloud Platform), etc. Amazon (S3, EBS, EC2), Nirvanix, Open Nebula, Mosso Cloud, AppNexus, Eucalyptus, Elestra, etc. Le partage des ressources, la virtualité et la territorialité imposent des garanties à contractualiser, notamment en matière de standards, de migration et de sécurité. 12

13 Modèle général g des services étendus Guinier D. (2010) L'informatique dématérialisée en nuages - Ontologie et sécurité du "cloud computing". Expertises, n 351, oct., pp Domaines transversaux SECaaS - Sécurité SECaaS - Sécurité Services horizontaux 6. SaaS - Applications 6. SaaS - Applications Domaines hiérarchisés Services verticaux Management et gouvernance Management et gouvernance Sécurité, audit & contrôle, tests, etc. Sécurité, audit & contrôle, tests, etc. 5. PaaS - Environnement 5. PaaS - Environnement 4. Infrastructures 4. Infrastructures IaaS IaaS DaaS DaaS 3. KaaS - Noyau logiciel de base 3. KaaS - Noyau logiciel de base 2. HaaS - Ressources physiques 2. HaaS - Ressources physiques CaaS CaaS Services indépendants de degré d'abstraction équivalent Logiciels applicatifs Logiciels applicatifs Log. plateforme & config. Log. plateforme & config. Log.infra.& virtualisation Log.infra.& virtualisation Log.infra. données Log.infra. données Log.infra. communications Log.infra. communications Logiciels système & autres Logiciels système & autres Matériel & "firmware" Matériel & "firmware" 1. FaaS - Installations 1. FaaS - Installations Bâtiments & équipements Bâtiments & équipements 2009 Daniel Guinier Domaines transversaux et couches complémentaires au modèle SPI. 13

14 mais également les risques à leur encontre 14

15 Caractéristiques ristiques du risque Menace - Cybermenace liée aux TIC Action visant l'information ou le système d'information (SI) Conséquences possibles sur l'organisme entier Vulnérabilité Point de faiblesse ou faille de la sécurité Contexte (ex. déficit de sécurité, période de crise) Cible Sensibilité - liée à la confidentialité Vitalité - liée à la disponibilité Valeur - liée au coût de remplacement Risque Caractérisation du risque [Menace Vulnérabilité Cible] Exposition au risque [Possibilité de réalisation Impact] 15

16 Vulnérabilités s liées aux lieux Utilisateurs potentiels membres de la famille et autres Hors du lieu de travail usuel se posent des problèmes de sécurité du fait de facteurs plus ou moins maîtrisés, voire pas du tout, alors qu'il existe le désir d'accéder aux ressources en tous lieux. Véhicules Transports en commun L'itinérance concerne un lieu prévu pour le télétravail domicile, autres sites de l'entreprise, etc., et le nomadisme divers lieux hôtel, client, salon, aéroport, etc., de sécurité encore plus incertaine. 16

17 Vulnérabilités s liées aux technologies Connexions La mobilité et le BYOD (Bring Your Own Device) se développent, alors que la quasi-totalité des équipes informatiques sont soumises aux pressions des utilisateurs et des directions dans ce sens. Bloatwares Applications peu utiles préinstallées en nombre et incertaines Virtualisation dans les méga-centres Ordinateurs portables "Cloud computing" Boxes Smartphones Tablettes Télécoms Clés USB Cartes mémoire De plus en plus d'écoute en faveur de la diversité des terminaux sans assurance de maturité, tandis que les codes malveillants sont en expansion et les attaques de plus en plus ciblées et subtiles. 17

18 Vulnérabilités s liées aux usages Applications Applications internes internes et et externes externes Apps Apps Services Services "cloud" "cloud" Services SaaS Cloud Téléchargements Ex. QR Code (Quick Response) Applications Apps Store Communications Téléphonie Mobilité Webmail Web Réseaux sociaux Chats Messageries Connexions Web Collaboration Mélange Mélange vie vie privée privée et et vie vie professionnelle professionnelle Moyens Moyens personnels personnels pour pour un un usage usage professionnel BYOD professionnel La mobilité et la politique de sollicitation faite aux employés d'utiliser leurs propres outils mobiles ne sont pas neutres. 18

19 liées au papier et autres encore Télécopieurs Imprimantes Photocopieurs en outre, les vulnérabilités liées au facteur humain, parfois incitateur de risque, resteront les plus délicates à maîtriser. 19

20 Schéma avec diverses connexions Utilisateur hors du lieu de travail Itinérance domicile prévu pour le télétravail, autres sites de l'entreprise, etc., accès moins maîtrisé Nomadisme hôtel, client, salon, aéroport ; point WiFi ou Bluetooth, etc., accès encore moins maîtrisé Equipements nomades PDA Portable Bluetooth Mobile Voix En déplacement A domicile Clé USB, carte mémoire Téléphone Données WiFi Poste de travail Equipements itinérants Imprimante Photocopieuse Organes de raccordement Perméabilité Perte de contrôle Données Cabinet, étude ou entreprise WiFi Organes de raccordement Réseau interne Postes de travail Opérateur Internet Station de base Réseaux d'interconnexion Réseaux de raccordement Réseaux de transport Passerelle Point d'accès (sécurisé) au SI Serveurs Périmètre de confiance Imprimantes Photocopieuses Interconnexions téléphoniques, intranet, internet, Web, etc. Les informations accessibles hors du lieu de travail usuel posent un problème de sécurité du fait de facteurs plus ou moins maîtrisés, voire pas du tout. 20

21 Détection des codes malveillants Codes Codes malveillants malveillants Plus Plus de de millions millions au au total total Plus Plus de de 75% 75% "chevaux "chevaux de de Troie" Troie" Plus Plus de de par par jour jour On aboutit à 90% de détection réactive (codes malveillants connus) et 70% de détection proactive (codes malveillants non connus). 21

22 Exemples de risques courants Risques dus aux comportements 01 - Comportement à risques de l'utilisateur 02 - Fraude financière via la comptabilité 03 - Divulgation de savoir-faire 04 - Intrusion via réseau non filaire Risques sur les données 05 - Défaillance de sauvegarde de données 06 - Vol d ordinateur portable ou PDA 07 - Sabotage en interne d une base de données 08 - Actions de programmes malveillants Risques de déstabilisation 09 - Diffamation par messagerie électronique 10 - Défiguration de site web Risques au vu de la sécurité 11 - Botnets (réseaux de robots malveillants) 12 - Parasitisme de nom de domaine Impact du risque 1 léger, 2 moyen, 3 sérieux, 4 catastrophique, Occurrence du risque 1 légère, 2 modérée, 3 forte, 4 très forte, Le niveau d exposition au risque qualifié arbitrairement de faible, moyen et fort. Extrait du guide pratique du chef d entreprise face au risque numérique (pp version du 31/03/10) http//www.montauban.cci.fr/uploads/assets/entreprises/guide_pratique_chef_entreprise.pdf 22

23 La cybercriminalité et son contexte 23

24 Modèle global de la cybercriminalité Perte Dissuasion Répression Auteurs Profit Prévention Protection Cybercriminalité Mesures Cybermenaces Atteintes Vulnérabilité Sensibilisation Obligation Réduction Victimes Préjudice Perte Menaces enlèvement, destruction, interruption, modification, divulgation, interception, image, etc. Atteintes aux infrastructures, matériels, logiciels, données, à la réputation, etc. Auteurs d'actes délictueux cybercriminels, "hackers", groupes activistes, terroristes, etc. Victimes subissant des préjudices par l'application de menaces qui mènent à des atteintes, Mesures visant la cybercriminalité législatives, politiques, techniques, organisationnelles, humaines 24

25 Orientations de la cybercriminalité Prépondérance de la cybercriminalité Diversification et amplification Criminalité informatique Cybercriminalité Socio-économique Anthropologique Pénaliste Crises facteurs sociaux et économiques associés Populations facteurs socio-éducatifs, techno-idéologiques Traités sur la cybercriminalité ou criminalité numérique Technologique Convergence avec criminalité électronique ou e-criminalité Stratégique Organisation du crime en services Couverture de la criminalité classique Pouvoir prise de contrôle et paralysie des secteurs essentiels ou atteinte d'infrastructures vitales Fort développement de la dimension financière et du blanchiment attendu, avec montée du crime organisé. 25

26 La convention du CE dans le monde 45 des 47 Etats membres de la CE Au total 60 Etats sont invités à adhérer Sign. 02/05/13 STCE 185 Traité ouvert à l'adhésion et a signature des Etats membres et non membres ayant participé à son élaboration à Budapest le 23/11/01. Entrée en vigueur le 01/07/2004, suite à cinq ratifications par au moins trois Etats membres du CE. Buts Harmoniser les législations en matière de cybercriminalité, les compléter en matière procédurale pour les investigations et la collecte des preuves, et améliorer la coopération internationale. 26

27 Les activités criminelles concernées Les principales catégories d'activités les formes traditionnelles de criminalité - favorisées escroqueries, faux et usage de faux distribution de produits illicites et de contrefaçon trafic des êtres humains et proxénétisme la diffusion de contenus illicites par voie électronique violence sexuelle et pornographie enfantine atteinte à la propriété intellectuelle et droits connexes incitation à la haine raciale, diffamation publique les infractions propres aux réseaux électroniques attaques visant les systèmes d'information, cyber-terrorisme falsification et fraude informatiques, blanchiment vol et usurpation d'identité, atteinte à la vie privée et à l'image, etc. Le territoire est mondial et les actes instantanés, les législations sont hétérogènes et la coopération internationale encore difficile. 27

28 Attaques physique versus logique Attaque physique Attaque d'une banque nécessite le contact sinon la proximité pour l'action est limitée à une cible seulement à la fois est immédiatement visible des témoins ou par télésurveillance est associée à des sanctions pénales fortes peut générer un profit matériel et limité au contenu d'un coffre Attaque logique Cyberattaque peut être réalisée depuis tout lieu dans le monde est réalisable sur des milliers de cibles à la fois est très discrète et sera découverte tardivement est associée à des sanctions pénales modérées peut générer un profit important et virtuellement transférable Dans une cyberattaque, l'attaquant est difficile à localiser, du fait de rebonds et de machines compromises en chaîne, et de la découverte tardive ; ce qui la rend avantageuse. 28

29 Les victimes et les mesures Source Verizonbusiness (2009) 2009 Data Breach Investigations Report Grandes entreprises Politique de sécurité Mesures en place 18 % PME-PMI 27 % 17 % 26 % TPE Simple et faible coût 53 % Difficile et coûteux 13 % Modéré 34 % 6 % 7 % > > >1 000 >100 >10 1 à 10 Nombre d'employés Victimes en % d'incidents Effort et dépenses nécessaires pour les mesures d'évitement des incidents Les PME sont les plus atteintes, tandis que l'effort et les dépenses nécessaires aux contre-mesures de sécurité sont en majorité simples et peu coûteuses dans l'ensemble. 29

30 Les "hackers" s'orientent tandis que Réf. Guinier D. (2013) "Hackers" en devenir et en repentir. Quand les talents s'orientent différemment Expertises, n 385, oct., 17 pages Le "hacker" est un genre évolutif décliné selon diverses variétés et formes associées à des stades cybercriminels ou autres. 30

31 Le fils prodigue Je suis réellement fier de Nicolas. Apparemment, il est un des meilleurs joueur au monde d'un nouveau jeu informatique Ah! Oui C'est quel jeu? Quelque chose comme "DDos Attack" DDoS Attack Attaque par Déni de Service Distribué Distributed Deny of Service 31

32 La cybercriminalité s'organise Publications Relations Recherches de failles Fonctionnement interne vulnérabilités, exploitation Réalisation et tests Virus, vers, spyware, chevaux de Troie, etc. Attaques DDoS, espionnage, chantage, vol, etc. Campagnes de spams Applications Sources Internet Internet Offre / Demande Internet Veilleurs Rétro-ingénieurs Développeurs Cybercriminels Spammers Clients CERTs Failles (0-Day) non publiées Vulnérabilités nouvelles Approvisionnements Marché des failles Marché des codes malveillants Marché des réseaux zombies Relations Salons spécialisés Internet C&C Serveur Machines compromises Daniel Guinier Contrôleurs de "botnets" "botnets" ("bot herders") Internet Etats-Unis "... toute attaque dans notre cyberespace sera considérée comme une déclaration de guerre nous réagirons comme s'il s'agissait d'une attaque de missiles", conduit à la doctrine du Cyber Command. 32

33 en activités s de services Marché des failles Cybercrimeware as a Service!...aaS Marché des codes malveillants "Crackers" Commanditaires "Blanchisseurs" Marché des réseaux zombies La réalisation du piratage se fait à l'aide des codes malveillants élaborés et avec recours aux "botnets" Vol de données personnelles et financières, d'identité, et de codes ou mots de passe 1 Etape 1 Etape Piratage Piratage 2 Etape 2 Etape Collecte Collecte 3 Etape 3 Etape Attaque Attaque La réalisation d'attaques de banque en ligne et du commerce électronique est maintenant possible 4 Etape 4 Etape Transfert Transfert La réalisation de réseaux de cyber-blanchiment avec des "mules" facilitera l'anonymat pour les transferts de gains Une économie souterraine se constitue avec la commercialisation de données, de logiciels, de produits, et services illicites incluant même le service après-vente. 33

34 Le crime paie un certain temps! Mode opératoire 1 Etape 1 Etape Piratage Piratage 2 Etape 2 Etape Collecte Collecte 3 Etape 3 Etape Attaque Attaque (1) Rakabank (Emirats Arabes Unis) (2) Bank of Muscat (Oman) Pénétration du système informatique vulnérable de groupes bancaires Collecte des numéros et codes secrets non cryptés de cartes bancaires prépayées Préparation Encodage de cartes et suppression de plafond de retrait Ouverture de comptes bancaires fictifs dans deux banques (1, 2) 2) Recrutement de collecteurs ("mules") par les réseaux sociaux Actions coordonnées (1) 22 déc retraits dans 2 pays (2) 10 et 20 fév retraits en 10 heures dans 24 pays pour un montant total de plus de 35 millions d'euros et 26 pays 4 Etape 4 Etape Transfert Transfert Blanchiment coordonné Virement des montants répartis sur les comptes bancaires des "mules" et achats de produits de luxe coûteux 7 personnes arrêtées aux Etats-Unis et la 8 ème Alberto Yusi Lajud- Pena, alias "Prime" ou "Albertico" aurait été tuée le 27 avril L enquête se poursuit pour démanteler le reste du réseau. 34

35 Difficultés s des attaques Haute 17 % Aucune 10 % Faible 42 % Rapportées aux attaques menées Modérée 31 % des cas Ces attaques sont totalement ciblés pour 28%, dirigées pour 44 %, et au hasard pour 28 %. Aucune à modérée 5 % Haute 95 % Rapportées aux enregistrements compromis Cibles privilégiées serveurs de données et d'applications Aucune L'attaque peut être menée par une utilisateur ordinaire sans ressource particulière. Faible Nécessite des connaissances de base, ou des outils automatiques, et de faibles ressources. Modérée Nécessite un certain niveau de connaissances, quelques efforts de développement et/ou des ressources significatives. Haute Nécessite des connaissances avancées, des développement significatifs et des ressources importantes Cette relativité est un indicateur de l'environnement, lequel forme une chaîne conduisant aux incidents redoutés, au vu d'attaques au 3/4 dirigées ou ciblées. 35

36 "Botnets "Botnets" - Attaques et diffusions massives Serveur C&C quelque part! Ordres Contrôle & Commande Machines compromises par "bot" constituant le le "botnet" Contrôleur de "botnet" ("Bot herder") Serveur victime ex. Attaque par DDoS Un "botnet", ou réseau de robots ("bots") malveillants, est composé de machines compromises ("zombies"), en nombre pour assurer un camouflage actif et diriger des actions sur une cible déterminée. Les "bots" s'exécutent sur des centaines ou des milliers de machines, voire plus. Ils se connectent automatiquement sur un serveur de Contrôle & Commande (C&C) après infection, et l'ensemble peut être piloté à distance Daniel Guinier Internet Diffusion massive Les "bots" permettent des attaques ciblées par déni de service distribué (DDoS) des diffusions massives d'annonces, de "spams", ou de codes malveillants Offre Un réseau de 1000 "bots" pour 500 $ et location de "proxies" pour une campagne de diffusion pour 100 $ par semaine! 36

37 Ex. Attaque DDoS du site du SénatS Saturation de la bande passante causée par une Saturation de la bande passante causée par une attaque soutenue en DDoS depuis 6 h du matin le attaque soutenue en DDoS depuis 6 h du matin le dimanche 25 décembre jusqu'au lundi 26 après midi dimanche 25 décembre jusqu'au lundi 26 après midi L'attaque DDoS appuyée par un "botnet" a été revendiquée par des groupes patriotiques turcs "GrayHatz" et "Millikuvvetler" et autres, suite à la position française sur le génocide arménien. 37

38 Cartographie de l'origine des "spams" Le 12/01/11 à 2203 http//www.google.com/postini/threat_network.html Les zones saturées représentent de très fortes concentrations en serveurs malicieux repérés par l'adresse IP. Chaque point rouge indiquant l'origine des "spams". 38

39 Cartographie de l'origine des "spams" Le 12/01/11 à

40 Cartographie de l'origine des "spams" Le 12/01/11 à 2203 au plus près de Strasbourg 40

41 Attaques avancées et réactionsr 41

42 Délais liés à la compromission Adapté de Verizon (2009) 2009 Data Breach Investigations Report, p. 35 Phase d'attaque Délai de préparation Minutes Heures Jours Semaines Mois Renseignements, outils, etc., Stratégie, tests, validation, etc. Délai d'exécution Phase de maîtrise Etat de compromission Minutes Heures Jours Semaines Mois Délai de découverte 1. Détection 2. Collecte 3. Analyse 4. Résolution Délai de maîtrise Pour la victime, la découverte et la maîtrise prennent des semaines voire des mois dans 3/4 des cas, alors que pour l'attaquant le délai moyen peut être de l'ordre d'un jour. 42

43 Attaque ciblée e sur vulnérabilité Ex. Vol massif de données personnelles Révélation sur le réseau Révélation sur le réseau social Twitter social Twitter Groupe "hackers" "Lulz Security" Après le vol massif de 77 millions de données personnelles coordonnées de comptes et mots de passe et de cartes bancaires (2,2 M) entre le 17 et le 19/04/11 du réseau PSN de Sony, alors que Sony annonçait le 06/05/11 "un service complet et sécurisé le plus tôt possible ". Le 02/06/11 Nouveau vol de 1 million de données personnelles et de 3,5 millions de coupons Sony Music, chez SonyPictures.com. Réception Réception Préparation Tests de pénétration Préparation Tests de pénétration Exécution Transmissions relayées Exécution Transmissions relayées Injection de requête SQL non prévue, Injection de requête SQL non prévue, en exploitant une vulnérabilité pour en exploitant une vulnérabilité pour interagir avec des bases de données interagir avec des bases de données Compromission Prise de contrôle sur les Compromission Prise de contrôle sur les données données Exécution Capture et exfiltration des Exécution Capture et exfiltration des données à l'insu des responsables de la données à l'insu des responsables de la gestion et de la sécurité gestion et de la sécurité Internet Machines compromises ou non utilisées en relais Données choisies exfiltrées Passage du pare-feu DMZ Données personnelles et mots de passe non cryptés Site SonyPictures.com Serveurs de données La sécurité incertaine pose des questions Gestion de configuration? Application de correctifs? Cryptage des données? Authentification? Détection d'intrusions? Audit & Contrôle? etc. S'agissant de vulnérabilités connues, la négligence ou l erreur humaine n est pas à exclure, ou encore le choix de ne pas exécuter les correctifs pour des raisons de performances ou de difficultés de mise en place. 43

44 "Phishing" - le vecteur la messagerie Extrait du guide pratique du chef d entreprise face au risque numérique (pp version du 31/03/10) http//www.montauban.cci.fr/uploads/assets/entreprises/guide_pratique_chef_entreprise.pdf 44

45 Attaque ciblée e par "cheval de Troie" Ex. Vol ciblé de données sensibles Serveur C&C quelque part! Cybercriminel ou groupe organisé Réception Réception Préparation Renseignements sur Préparation Renseignements sur l'organisation et son SI et choix des l'organisation et son SI et choix des personnes, élaboration de la stratégie personnes, élaboration de la stratégie et des outils, test, validation et des outils, test, validation Exécution Transmissions relayées Exécution Transmissions relayées Compromission Ouverture des pièces Compromission Ouverture des pièces jointes et communication compromettant jointes et communication compromettant des machines avec privilèges élevés des machines avec privilèges élevés servant de têtes de pont servant de têtes de pont Exécution Capture et exfiltration des Exécution Capture et exfiltration des données à l'insu des utilisateurs légitimes, données à l'insu des utilisateurs légitimes, puis effacement des traces puis effacement des traces Postes traitant de sujets recherchés et données ciblées Internet Machines compromises en relais ou "botnet" ou services d'anonymisation Données choisies exfiltrées Passage du pare-feu Personnes ciblées et plusieurs Personnes ciblées et plusieurs courriels avec pièce jointe injectée par courriels avec pièce jointe injectée par un cheval de Troie élaboré (0-day) ou un cheval de Troie élaboré (0-day) ou modifié pour ne pas être détecté par le modifié pour ne pas être détecté par le dispositif "anti-virus" dispositif "anti-virus" Données Périmètre de confiance Comme souvent Recours à l'ingénierie sociale avec des courriels usurpant l'identité d'une personne de connaissance mais non authentifiée Cas concret d'espionnage économique au ministère des Finances Courriels usurpant l'identité de fonctionnaires du Trésor avec pièce jointe infectée. 150 PC compromis et données liées au G8/G20. (03/2011) Autre cas - Canada (02/2011) FMI (05/2011) 45

L assurance et le risque Data. Clusir 25 avril 2012 Lyon François Brisson - Hiscox France

L assurance et le risque Data. Clusir 25 avril 2012 Lyon François Brisson - Hiscox France L assurance et le risque Data Clusir 25 avril 2012 Lyon François Brisson - Hiscox France 1 En quoi consiste une violation de données pour un assureur? «Une violation des données est un incident de sécurité

Plus en détail

La sécurité informatique

La sécurité informatique 1 La sécurité informatique 2 Sécurité des systèmes d information Yves Denneulin (ISI) et Sébastien Viardot(SIF) Cadre du cours Informatique civile (avec différences si publiques) Technologies répandues

Plus en détail

Exigences de contrôle pour les fournisseurs externes

Exigences de contrôle pour les fournisseurs externes Exigences de contrôle pour les fournisseurs externes Cybersécurité Pour les fournisseurs à cyber-risque faible Exigences de cybersécurité 1. Protection des actifs et configuration des systèmes Les données

Plus en détail

Réaction face à une atteinte cyber Preuves numériques & Forces de police

Réaction face à une atteinte cyber Preuves numériques & Forces de police 3ème rencontres parlementaires 21/10/15 Réaction face à une atteinte cyber Preuves numériques & Forces de police Colonel Philippe BAUDOIN Coordinateur Cybermenaces Cabinet DGGN 1 Cybercriminalité et Cyber-malveillance

Plus en détail

Découvrez Kaspersky. Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE

Découvrez Kaspersky. Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE Découvrez Kaspersky Small Office Security TPE PME GUIDE DE LA SÉCURITÉ INFORMATIQUE Sommaire Pourquoi est-il important pour une TPE/PME d acquérir une protection efficace? Pages 04-05 10 idées reçues à

Plus en détail

Tout sur la cybersécurité, la cyberdéfense,

Tout sur la cybersécurité, la cyberdéfense, Tout sur la cybersécurité, la cyberdéfense, Par Jean-Paul Pinte, Dr en Information scientifique et Technique, cybercriminologue Publié par : pintejp mai 26, 2011 Création d un centre belge pour lutter

Plus en détail

L Agence Nationale de la Sécurité des Systèmes d Information

L Agence Nationale de la Sécurité des Systèmes d Information L Agence Nationale de la Sécurité des Systèmes d Information Franck Veysset 01/12/2009 www.certa.ssi.gouv.fr Nouvelle stratégie française en matière de défense et de sécurité nationale Livre blanc sur

Plus en détail

Management de la sécurité des technologies de l information

Management de la sécurité des technologies de l information Question 1 : Identifiez les causes d expansion de la cybercriminalité Internet est un facteur de performance pour le monde criminel. Par sa nature même et ses caractéristiques, le monde virtuel procure

Plus en détail

Club des Experts de la Sécurité de l Information et du Numérique

Club des Experts de la Sécurité de l Information et du Numérique Club des Experts de la Sécurité de l Information et du Numérique Cybersécurité dans les entreprises 9 ème Entretiens de Télécom ParisTech Alain Bouillé Président du CESIN Sommaire 1. Quel terrain de jeu

Plus en détail

Sécurité Informatique

Sécurité Informatique Sécurité : Sécurité informatique (Support de cours) R. MAHMOUDI (mahmoudr@esiee.fr) w 1 Sécurité Informatique Plan du cours - Introduction - Risques & Menaces - Vulnérabilités des réseaux - Firewall -

Plus en détail

Sécurité informatique: introduction

Sécurité informatique: introduction Sécurité informatique: introduction Renaud Tabary: tabary@enseirb.fr 2008-2009 Plan 1 Généralités 2 3 Définition de la sécurité informatique Definition Information security is the protection of information

Plus en détail

NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET

NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET Introduction aux solutions de Mobile Device Management NOMADES ET SMARTPHONES EN ENTREPRISE EN TOUTE SÉCURITÉ PAR BERTRAND THOMAS ET JULIEN COULET QUELQUES CHIFFRES Mi 2011, 77% de la population mondiale

Plus en détail

Enterprise Risk Management 01/12/09. Patrick CHAMBET http://www.chambet.com

Enterprise Risk Management 01/12/09. Patrick CHAMBET http://www.chambet.com Enterprise Risk Management 01/12/09 La gestion des risques de sécurité informatique De la protection du SI à la protection de l'information Patrick CHAMBET http://www.chambet.com Bouygues Telecom DSI/DGOA/SSI

Plus en détail

Cours 1 : Introduction à la Sécurité des Systèmes d Information

Cours 1 : Introduction à la Sécurité des Systèmes d Information Cours 1 : Introduction à la Sécurité des Systèmes d Information ESIL Université de la méditerranée Odile.Papini@esil.univ-mrs.fr http://odile.papini.perso.esil.univmed.fr/sources/ssi.html Plan du cours

Plus en détail

SSI Sensibilisation à la sécurité de l'information**

SSI Sensibilisation à la sécurité de l'information** SSI Sensibilisation à la sécurité de l'information** Prérequis Compétence opérationnelle Objectifs d apprentissage Durée d apprentissage Connaissances de base en informatique Etre capable de comprendre

Plus en détail

Prise en compte des nouvelles technologies dans les risques d audit

Prise en compte des nouvelles technologies dans les risques d audit DES COLLECTIVITÉS PUBLIQUES LATINES Prise en compte des nouvelles technologies dans les risques d audit SEPTEMBRE 2013 1 AGENDA 1. Contexte réglementaire 2. Objectifs de l audit 3. Nouvelle technologies

Plus en détail

Symantec CyberV Assessment Service

Symantec CyberV Assessment Service Symantec CyberV Assessment Service Cyber-résilience : gagnez en visibilité Le cyber-espace, monde technologique hyperconnecté constamment en évolution, offre des opportunités inégalées de connectivité,

Plus en détail

Sécurité et Confiance dans les Réseaux et Systèmes d Information

Sécurité et Confiance dans les Réseaux et Systèmes d Information Agence Nationale de Réglementation des Télécommunications Sécurité et Confiance dans les Réseaux et Systèmes d Information - Cadre institutionnel et réglementaire - Présenté par : Laila ZOUAK Entité Prospective

Plus en détail

CHARTE ADMINISTRATEUR CORRELYCE. Version du 31/08/2007 10:56

CHARTE ADMINISTRATEUR CORRELYCE. Version du 31/08/2007 10:56 CHARTE ADMINISTRATEUR CORRELYCE Version du 31/08/2007 10:56 Table des matières 1. CONTEXTE... 3 2. OBJET... 3 3. REFERENTIEL... 3 4. PREROGATIVES DE L ADMINISTRATEUR SYSTEME CORRELYCE... 4 4.1 DROIT D

Plus en détail

Gestion des Incidents SSI

Gestion des Incidents SSI Gestion des Incidents SSI S. Choplin D. Lazure Architectures Sécurisées Master 2 ISRI/MIAGE/2IBS Université de Picardie J. Verne Références CLUSIF Gestion des incidents de sécurité du système d information

Plus en détail

Gestion de la sécurité de l information dans une organisation. 14 février 2014

Gestion de la sécurité de l information dans une organisation. 14 février 2014 Gestion de la sécurité de l information dans une organisation 14 février 2014 Agenda Systèmes d information Concepts de sécurité SI Gestion de la sécurité de l information Normes et méthodes de sécurité

Plus en détail

Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès )

Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès ) Guides des bonnes pratiques de sécurité informatique pour une STA ( Solution Technique d'accès ) Sommaire 1. Protection de son matériel et de ses données Création d'un utilisateur avec mot de passe compliqué

Plus en détail

Correction des systèmes d exploitation et des applications Bulletin de sécurité des TI à l intention du gouvernement du Canada

Correction des systèmes d exploitation et des applications Bulletin de sécurité des TI à l intention du gouvernement du Canada Correction des systèmes d exploitation et des applications Bulletin de sécurité des TI à l intention du gouvernement du Canada ITSB-96 Dernière mise à jour : mars 2015 1 Introduction La correction des

Plus en détail

Principes de base et aspects techniques

Principes de base et aspects techniques HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet Normes ISO27001 / ISO27002 Principes de base et aspects techniques

Plus en détail

SECURIDAY 2013 Cyber War

SECURIDAY 2013 Cyber War Club de la Sécurité Informatique à l INSAT Dans le cadre de la 3ème édition de la journée nationale de la sécurité informatique SECURIDAY 2013 Cyber War SECURINETS Présente Atelier : Mail Threats Formateurs:

Plus en détail

Présentation de la solution. OSSIR groupe Paris 15/06/2010

Présentation de la solution. OSSIR groupe Paris 15/06/2010 Présentation de la solution OSSIR groupe Paris 15/06/2010 Sommaire Introduction Information et menaces Contrôles VulnIT, concept et architecture Démonstration Avenir Conclusion 2 Introduction Vincent Maury

Plus en détail

Contenu de la Présentation

Contenu de la Présentation Contenu de la Présentation I. Introduction II. L Augmentation des menaces et une vulnérabilité plus forte III. Le marché de la SSI : les enjeux financiers et économiques IV. Répondre aux enjeux économiques

Plus en détail

Le contrat Cloud : plus simple et plus dangereux

Le contrat Cloud : plus simple et plus dangereux 11 février 2010 CONFERENCE IDC CLOUD COMPUTING Le Cloud dans tous ses états Le contrat Cloud : plus simple et plus dangereux Les bons réflexes pour entrer dans un contrat Cloud en toute sécurité Benjamin

Plus en détail

Sécurisation en réseau

Sécurisation en réseau Déni de services Sécurisation en réseau Utilisant des bugs exemple Ping of death (Cf. RFC IP) l exploitation des protocoles TCP SYN flooding Envoi seulement le début du 3-way handshake Saturation de la

Plus en détail

Menaces informatiques et Pratiques de sécurité en France Édition 2014. Paris, 25 juin 2014

Menaces informatiques et Pratiques de sécurité en France Édition 2014. Paris, 25 juin 2014 Menaces informatiques et Pratiques de sécurité en France Édition 2014 Paris, Enquête 2014 Les Hôpitaux publics de + de 200 lits Mme Hélène COURTECUISSE Astrid LANG Fondatrice Responsable Sécurité SI Patient

Plus en détail

SERVICES GÉRÉS DE SÉCURITÉ (MSS)

SERVICES GÉRÉS DE SÉCURITÉ (MSS) SERVICES GÉRÉS DE SÉCURITÉ (MSS) L INITIATIVE EN CYBERSÉCURITÉ La cybercriminalité devient un facteur important pour les chefs de l information, les professionnels en TI, mais aussi pour les chefs des

Plus en détail

Evaluer les risques liés aux défauts de sécurité

Evaluer les risques liés aux défauts de sécurité C2I Métiers de la Santé SECURITE INFORMATIQUE Evaluer les risques liés aux défauts de sécurité Eric Boissinot Université François Rabelais Tours 13/02/2007 Pourquoi la sécurité? Le bon fonctionnement d

Plus en détail

L organisation de la lutte contre la fraude au sein d une banque. Présenté par Mays MOUISSI

L organisation de la lutte contre la fraude au sein d une banque. Présenté par Mays MOUISSI L organisation de la lutte contre la fraude au sein d une banque Présenté par Mays MOUISSI Sommaire La fraude : Définition Portrait robot du fraudeur Les différents types de fraude Exemple de fraude :

Plus en détail

La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (2ième édition)

La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (2ième édition) Généralités sur la sécurité informatique 1. Introduction 13 2. Les domaines et normes associés 16 2.1 Les bonnes pratiques ITIL V3 16 2.1.1 Stratégie des services - Service Strategy 17 2.1.2 Conception

Plus en détail

Business & High Technology

Business & High Technology UNIVERSITE DE TUNIS INSTITUT SUPERIEUR DE GESTION DE TUNIS Département : Informatique Business & High Technology Chapitre 09 : CC : Cloud Computing Sommaire Introduction... 2 Définition... 2 Les différentes

Plus en détail

Symantec Protection Suite Enterprise Edition for Gateway Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité

Symantec Protection Suite Enterprise Edition for Gateway Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité Fiche technique: Sécurité de la messagerie Sécurité maximale de la messagerie, du Web et du réseau avec un minimum de complexité Présentation protège les données confidentielles et garantit la productivité

Plus en détail

Mohamed Houcine Elhdhili & Khaled Sammoud. khaled.sammoud@gmail.com. Remarque: ce document doit être complété par les notes de cours

Mohamed Houcine Elhdhili & Khaled Sammoud. khaled.sammoud@gmail.com. Remarque: ce document doit être complété par les notes de cours Cours Sécurité et cryptographie Mohamed Houcine Elhdhili & Khaled Sammoud Med_elhdhili@yahoo.eselhdhili@yahoo es khaled.sammoud@gmail.com Remarque: ce document doit être complété par les notes de cours

Plus en détail

Se préparer à la réponse judiciaire contre les attaques informatiques

Se préparer à la réponse judiciaire contre les attaques informatiques Se préparer à la réponse judiciaire contre les attaques informatiques Journée Sécurité des Systèmes d'information Paris, 16 mars 2010 Lieutenant-colonel Éric Freyssinet, DGGN/SDPJ Plan Pourquoi il faut

Plus en détail

Menaces du Cyber Espace

Menaces du Cyber Espace Menaces du Cyber Espace Conférence 02-04-2014 David WARNENT Police Judiciaire Fédérale Namur Regional Computer Crime Unit Faits Divers Tendances Social Engineering Hacktivisme Anonymous et assimilés Extorsions

Plus en détail

PSSI, SMSI : de la théorie au terrain. Journées Informatique IN2P3/IRFU, Le Grau du Roi, Octobre 2014, BARBET JM Subatech

PSSI, SMSI : de la théorie au terrain. Journées Informatique IN2P3/IRFU, Le Grau du Roi, Octobre 2014, BARBET JM Subatech PSSI, SMSI : de la théorie au terrain 1/23 Plan Introduction : nécessité de la SSI Problématiques en SSI Cadre légal, réglementaire, normes Pilotage de la SSI : de la théorie au terrain Expérience SSI

Plus en détail

Tests d intrusions dans un cadre formel

Tests d intrusions dans un cadre formel Tests d intrusions dans un cadre formel Introduction Qu est-ce qu un test d intrusion? Tests de vulnérabilité vs Tests d intrusion Règles d engagement Cadre d un test d intrusion Tests d'intrusion - Laurent

Plus en détail

Sécurité informatique dans les établissements scolaires du second degré

Sécurité informatique dans les établissements scolaires du second degré Sécurité informatique dans les établissements scolaires du second degré Formation des professeurs stagiaires Thierry Chich RSSI-adjoint de l Académie 29 août 2013 Thierry Chich RSSI-adjoint de l Académie

Plus en détail

La sécurité informatique

La sécurité informatique La sécurité informatique c'est quoi au juste? CAID's Delémont - 2 mars 2009 Par Bruno Kerouanton http://bruno.kerouanton.net/blog Les pirates... au début Qui : adolescents isolés Moyens : légers. Motivation

Plus en détail

CHARTE WIFI ET INTERNET

CHARTE WIFI ET INTERNET PAVILLON BLANC MÈDIATHÉQUE CENTRE D ART DE COLOMIERS CHARTE WIFI ET INTERNET MISSION : Le Pavillon Blanc Médiathèque Centre d Art de Colomiers a pour mission de permettre à tous ses visiteurs d accéder

Plus en détail

F-Secure, votre partenaire sécurité

F-Secure, votre partenaire sécurité F-Secure, votre partenaire sécurité Société et Offres F-Secure SARL 38/44 rue Jean Mermoz 78 600 Maisons Laffitte Tel. 08 20 00 07 59 - Fax. 08 20 02 55 08 - www.f-secure.fr TVA intracommunautaire : FR

Plus en détail

Prof. S. Ghernaouti. Membre de l Académie suisse des sciences techniques. Université de Lausanne

Prof. S. Ghernaouti. Membre de l Académie suisse des sciences techniques. Université de Lausanne Cyberstratégie des entreprises L informa+on stratégique Prof. S. Ghernaouti Membre de l Académie suisse des sciences techniques Université de Lausanne Swiss Cybersecurity Advisory & Research Group Comlexity

Plus en détail

bitdefender TOTAL SECURITY 2008

bitdefender TOTAL SECURITY 2008 bitdefender TOTAL SECURITY 2008 L ultime solution de protection proactive pour vos PC! BitDefender Total Security 2008 est la solution de sécurité ultime pour protéger de manière proactive vos ordinateurs.

Plus en détail

Se préparer àla réponse judiciaire contre les attaques informatiques. Plan

Se préparer àla réponse judiciaire contre les attaques informatiques. Plan Se préparer àla réponse judiciaire contre les attaques informatiques Forum CERT-IST Paris, 03 juin 2010 Lieutenant-colonel Éric FREYSSINET, DGGN/SDPJ Plan Pourquoi il faut agir juridiquement Pourquoi on

Plus en détail

40 règles «d hygiène informatique» pour assurer la sécurité informatique d un cabinet/service d imagerie médicale

40 règles «d hygiène informatique» pour assurer la sécurité informatique d un cabinet/service d imagerie médicale 40 règles «d hygiène informatique» pour assurer la sécurité informatique d un cabinet/service d imagerie médicale Le système d information (RIS, PACS, internet, ) est au cœur de l organisation de tout

Plus en détail

Analyse de risque. Jean-Marc Robert. Génie logiciel et des TI

Analyse de risque. Jean-Marc Robert. Génie logiciel et des TI Analyse de risque Jean-Marc Robert Génie logiciel et des TI Plan de la présentation Introduction Rappel Les objectifs de l analyse de risque Définitions NIST SP 800-30 Évaluation des risques Atténuation

Plus en détail

la sécurité change avec Orange développez vos activités en toute sérénité, nous protégeons vos systèmes d information

la sécurité change avec Orange développez vos activités en toute sérénité, nous protégeons vos systèmes d information la sécurité change avec Orange développez vos activités en toute sérénité, nous protégeons vos systèmes d information 2 à nouveau contexte, nouvelle vision de la sécurité Nouveaux usages et nouvelles technologies,

Plus en détail

Veille Technologique. Cloud-Computing. Jérémy chevalier

Veille Technologique. Cloud-Computing. Jérémy chevalier E6 Veille Technologique Cloud-Computing Jérémy chevalier Table des matières DESCRIPTION :...2 Introduction :...2 Définition du Cloud :...2 Exemple de serveur proposant la solution de Cloud :...2 Les spécificités

Plus en détail

Titre de la présentation. Le management par le risque informatique. 24 mai 2011 Jean-Louis Bleicher

Titre de la présentation. Le management par le risque informatique. 24 mai 2011 Jean-Louis Bleicher Titre de la présentation Le management par le risque informatique 24 mai 2011 Jean-Louis Bleicher Quelques données Le chiffre d affaires annuel de la cybercriminalité serait environ deux fois supérieur

Plus en détail

PGSSI-S Guide pratique d une démarche sécurité SI en ES. Direction générale de l offre de soins - DGOS

PGSSI-S Guide pratique d une démarche sécurité SI en ES. Direction générale de l offre de soins - DGOS PGSSI-S Guide pratique d une démarche sécurité SI en ES Guide pratique d une démarche sécurité SI en ES pour sensibiliser les directions Cible : les directions des ES les établissements de taille moyenne,

Plus en détail

Malware Logiciels malveillants Retour sur les premiers cours

Malware Logiciels malveillants Retour sur les premiers cours Malware Logiciels malveillants Retour sur les premiers cours Jean-Marc Robert Génie logiciel et des TI Plan du cours Logiciels malveillants Analyse de risque Politique de sécurité Moyens de protection

Plus en détail

Présenté par : Mlle A.DIB

Présenté par : Mlle A.DIB Présenté par : Mlle A.DIB 2 3 Demeure populaire Prend plus d ampleur Combinée avec le phishing 4 Extirper des informations à des personnes sans qu'elles ne s'en rendent compte Technique rencontrée dans

Plus en détail

Veille Technologique. Cloud Computing

Veille Technologique. Cloud Computing Veille Technologique Cloud Computing INTRODUCTION La veille technologique ou veille numérique consiste à s'informer de façon systématique sur les techniques les plus récentes et surtout sur leur mise à

Plus en détail

Plan d intervention d urgence. en cas d attaque contre les systèmes d information. ou de faille technique des systèmes d information.

Plan d intervention d urgence. en cas d attaque contre les systèmes d information. ou de faille technique des systèmes d information. Plan d intervention d urgence en cas d attaque contre les systèmes d information ou de faille technique des systèmes d information «PIU Cyber» (version publique) Ministère d État Ministère de l Économie

Plus en détail

Cours. Plan. Définitions. Objectifs. Chapitre 4: Analyse de risques. Définitions et objectifs. Méthodes d analyse de risques. Méthode du NIST 8000-30

Cours. Plan. Définitions. Objectifs. Chapitre 4: Analyse de risques. Définitions et objectifs. Méthodes d analyse de risques. Méthode du NIST 8000-30 Plan Définitions et objectifs Cours Sécurité et cryptographie Chapitre 4: Analyse de risques Méthodes d analyse de risques Méthode Méhari Méthode du NIST 8000-30 Méthode Conclusion Hdhili M.H Cours sécurité

Plus en détail

Forum du Rhin supérieur sur les Cybermenaces

Forum du Rhin supérieur sur les Cybermenaces Forum du Rhin supérieur sur les Cybermenaces Salle des conférences de l'ena à Strasbourg le 25 nov. 2010 "L'entreprise dans les nuages et face aux subversions" Le "cloud computing" ou informatique en nuages

Plus en détail

ITSGOW - Conditions générales d'utilisation Serveur Dédié

ITSGOW - Conditions générales d'utilisation Serveur Dédié ARTICLE 1 : OBJET Les présentes conditions particulières, complétant les conditions générales de services d ITSGOW, ont pour objet de définir les conditions techniques et financières dans lesquelles ITSGOW

Plus en détail

La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (3ième édition)

La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (3ième édition) Généralités sur la sécurité informatique 1. Introduction 15 2. Les domaines et normes associés 18 2.1 Les bonnes pratiques ITIL V3 18 2.1.1 La stratégie des services (Service Strategy) 19 2.1.2 La conception

Plus en détail

La sécurité des PABX IP. Panorama des risques et introduction des mesures de protection

La sécurité des PABX IP. Panorama des risques et introduction des mesures de protection La sécurité des PABX IP Panorama des risques et introduction des mesures de protection Marc LEFEBVRE Consultant Sécurité Orange Consulting - 25 avril 2013 Consulting Services cybersécurité by Orange unité

Plus en détail

Les risques HERVE SCHAUER HSC

Les risques HERVE SCHAUER HSC HERVE SCHAUER HSC Les risques Les risques ne cessent d'augmenter: Informatisation systématique de l'ensemble de la société Ouverture des systèmes d'information sur Internet Démultiplication de ce qui est

Plus en détail

curité des TI : Comment accroître votre niveau de curité

curité des TI : Comment accroître votre niveau de curité La sécurits curité des TI : Comment accroître votre niveau de maturité en sécurits curité Atelier 315 Par : Sylvain Viau Luc Boudrias Plan de la présentation Qui sommes-nous? Pourquoi la sécurité de vos

Plus en détail

Politique et charte de l entreprise INTRANET/EXTRANET

Politique et charte de l entreprise INTRANET/EXTRANET Politique et charte de l entreprise INTRANET/EXTRANET INTRANET/EXTRANET LES RESEAUX / 2 DEFINITION DE L INTRANET C est l internet interne à un réseau local (LAN) c'est-à-dire accessibles uniquement à partir

Plus en détail

ÉLABORER ET FAIRE APPLIQUER UNE CHARTE DE SÉCURITÉ INFORMATIQUE

ÉLABORER ET FAIRE APPLIQUER UNE CHARTE DE SÉCURITÉ INFORMATIQUE Lorraine ÉLABORER ET FAIRE APPLIQUER UNE CHARTE DE SÉCURITÉ INFORMATIQUE Une charte informatique définit les règles d utilisation du système d information (équipements, logiciels, messagerie, fichiers

Plus en détail

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC)

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) Mai 2014 Stratégie de cybersécurité du Canada Depuis la publication de la Stratégie de cybersécurité du Canada en 2010, Sécurité publique

Plus en détail

La situation de la sécurité des clés USB en France

La situation de la sécurité des clés USB en France La situation de la sécurité des clés USB en France Synthèse Sponsorisé par Kingston Technology Préparé indépendamment par Ponemon Institute LLC Date de publication : novembre 2011 Rapport d'étude du Ponemon

Plus en détail

L USAGE PAISIBLE DE L INFORMATIQUE. La gestion des risques du Système d Information pour la performance de l entreprise

L USAGE PAISIBLE DE L INFORMATIQUE. La gestion des risques du Système d Information pour la performance de l entreprise L USAGE PAISIBLE DE L INFORMATIQUE La gestion des risques du Système d Information pour la performance de l entreprise Une nouvelle démarche originale Livrer et facturer en toutes circonstances Une Vision

Plus en détail

AGENCE NATIONALE DE SECURITE DES SYSTEMES D INFORMATION DU BURKINA FASO. OUEDRAOGO François

AGENCE NATIONALE DE SECURITE DES SYSTEMES D INFORMATION DU BURKINA FASO. OUEDRAOGO François AGENCE NATIONALE DE SECURITE DES SYSTEMES D INFORMATION DU BURKINA FASO OUEDRAOGO François PLAN EXIGENCES DE LA TRANSITION VERS LA SOCIETE NUMERIQUE OBJET MISSIONS LIMITES 2 EXIGENCES DE LA TRANSITION

Plus en détail

M2 Miage Processus de la Sécurité des Systèmes d information

M2 Miage Processus de la Sécurité des Systèmes d information M2 Miage Processus de la Sécurité des Systèmes d information Damien Ploix Université d Evry Val d Essonne damien.ploix@ibisc.univ-evry.fr http://www.ibisc.univ-evry.fr/~dploix 1 Plan Introduction Organisation

Plus en détail

Club des Responsables d Infrastructures et de la Production

Club des Responsables d Infrastructures et de la Production Club des Responsables d Infrastructures et de la Production LA BRIGADE D ENQUÊTES SUR LES FRAUDES AUX TECHNOLOGIES DE L INFORMATION Intervention du Commissaire Divisionnaire Anne SOUVIRA Le 19 mars 2014

Plus en détail

LA CONTINUITÉ DES AFFAIRES

LA CONTINUITÉ DES AFFAIRES FORMATION LA CONTINUITÉ DES AFFAIRES Patrick Boucher CISSP, CISA, CGEIT, ITIL et Auditeur ISO 27001 1 LE 5 MAI 2009 QUI SUIS-JE? Patrick Boucher : Analyste principal chez Gardien Virtuel depuis 2003. Expérience

Plus en détail

Fiches micro-informatique SECURITE LOGIQUE LOGIxx

Fiches micro-informatique SECURITE LOGIQUE LOGIxx Objectif Fiches micro-informatique SECURITE LOGIQUE LOGIxx Présenter des préconisations pour sécuriser le poste de travail informatique et son environnement sous forme de fiches pratiques. Public concerné

Plus en détail

Convention relative à la mise à disposition de la solution «AmonEcole» dans les écoles

Convention relative à la mise à disposition de la solution «AmonEcole» dans les écoles Convention relative à la mise à disposition de la solution «AmonEcole» dans les écoles Entre Les services académiques de l académie de Versailles, situés 3 boulevard de Lesseps, 78017 Versailles Cedex,

Plus en détail

Atelier B 06. Les nouveaux risques de la cybercriminalité

Atelier B 06. Les nouveaux risques de la cybercriminalité Atelier B 06 Les nouveaux risques de la cybercriminalité 1 Atelier Cybercriminalité Intervenants Eric Freyssinet Etienne de Séréville Luc Vignancour Guillaume de Chatellus Modérateur Laurent Barbagli Pôle

Plus en détail

MINISTÈRES CHARGÉS DES AFFAIRES SOCIALES

MINISTÈRES CHARGÉS DES AFFAIRES SOCIALES MINISTÈRES CHARGÉS DES AFFAIRES SOCIALES INTERVENTION DU 22 OCTOBRE 2014 14 AVENUE DUQUESNE PARIS 7 ÈME Anne SOUVIRA, Commissaire Divisionnaire Chef de la BEFTI de la Direction de la Police Judiciaire

Plus en détail

Politique Générale de la Sécurité des Systèmes d Information de Santé (PGSSI-S)

Politique Générale de la Sécurité des Systèmes d Information de Santé (PGSSI-S) RÉFÉRENTIELS Politique Générale de la Sécurité des Systèmes d Information de Santé (PGSSI-S) Comité Technique GCS Santé Alsace 21 mars 2014 Anne Bertaud Vladimir Vilter PGSSI-S Sommaire Les enjeux de la

Plus en détail

Introduction à la norme ISO 27001. Eric Lachapelle

Introduction à la norme ISO 27001. Eric Lachapelle Introduction à la norme ISO 27001 Eric Lachapelle Introduction à ISO 27001 Contenu de la présentation 1. Famille ISO 27000 2. La norme ISO 27001 Implémentation 3. La certification 4. ISO 27001:2014? 2

Plus en détail

LIVRE BLANC COMBATTRE LE PHISHING. Auteur Sébastien GOUTAL Responsable Filter Lab. Janvier 2014. www.vade-retro.com

LIVRE BLANC COMBATTRE LE PHISHING. Auteur Sébastien GOUTAL Responsable Filter Lab. Janvier 2014. www.vade-retro.com COMBATTRE LE PHISHING Auteur Sébastien GOUTAL Responsable Filter Lab Janvier 2014 LIVRE BLANC www.vade-retro.com Index Introduction... 3 Typologies du phishing et du spam... 4 Techniques de filtrage des

Plus en détail

Référentiel de compétences en système d'information

Référentiel de compétences en système d'information ANTICIPER ET COMPRENDRE Référentiel de compétences en système d'information OCTOBRE 2013 Publication réalisée dans le cadre du programme national Hôpital numérique Métiers Management des soins Cadre responsable

Plus en détail

Forum panafricain sur le leadership et le management de l action gouvernementale. Forum des secrétaires généraux de gouvernement

Forum panafricain sur le leadership et le management de l action gouvernementale. Forum des secrétaires généraux de gouvernement Centre Africain de Formation et de Recherche Administratives pour le développement Fondation pour le Renforcement des Capacités en Afrique (ACBF) Forum panafricain sur le leadership et le management de

Plus en détail

Transformation IT de l entreprise COMMENT PROTÉGER VOS DONNÉES ET APPLICATIONS À L ÈRE DE LA MOBILITÉ?

Transformation IT de l entreprise COMMENT PROTÉGER VOS DONNÉES ET APPLICATIONS À L ÈRE DE LA MOBILITÉ? Transformation IT de l entreprise COMMENT PROTÉGER VOS DONNÉES ET APPLICATIONS À L ÈRE DE LA MOBILITÉ? L a montée en puissance des fuites de données en tout genre et l explosion des volumes de données

Plus en détail

Sécurisation des données

Sécurisation des données Sécurisation des données 1 Sommaire Introduction Les données informatiques et ce qu il faut savoir. Comment faire? Les solutions. Démo Présentation de deux logiciels Conclusion Pour conclure ce qu il faut

Plus en détail

Devenir Responsable de la sécurité des systèmes d'information (RSSI)

Devenir Responsable de la sécurité des systèmes d'information (RSSI) Titre de la formation Devenir Responsable de la sécurité des systèmes d'information (RSSI) Date prévue de la formation Week-end : 31 Mars et 01 Avril, Milieu de semaine : 27 et 28 Mars Objectifs : 2 Jours

Plus en détail

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI INSA

HERVÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI INSA HERÉ SCHAUER CONSULTANTS Cabinet de Consultants en Sécurité Informatique depuis 1989 Spécialisé sur Unix, Windows, TCP/IP et Internet JSSI INSA Gestion des risques SSI dans les projets Julien Levrard

Plus en détail

MÉMENTO. Élaboration de tableaux de bord SSI. Version du 5 février 2004

MÉMENTO. Élaboration de tableaux de bord SSI. Version du 5 février 2004 PREMIER MINISTRE Secrétariat général de la défense nationale Direction centrale de la sécurité des systèmes d information Sous Direction des Opérations Bureau Conseil Élaboration de tableaux de bord SSI

Plus en détail

les prévisions securité 2015

les prévisions securité 2015 les prévisions securité 2015 Panda Security Les prévisions sécurité 2015 du PandaLabs Selon les estimations du Pandalabs, les chiffres concernant la création de malware vont encore une fois battre des

Plus en détail

Cyberguerre et cybercriminalité

Cyberguerre et cybercriminalité Cyberguerre et cybercriminalité Gérard Peliks CyberSecurity Solutions Customer Centre CASSIDIAN, an EADS company gerard.peliks@cassidian.com 31 mars 2011 1 Le cyberespace et la cyber dominance Un des défis

Plus en détail

Retour d expérience sur l implémentation et la certification ISO27001 de «EPPM»

Retour d expérience sur l implémentation et la certification ISO27001 de «EPPM» Retour d expérience sur l implémentation et la certification ISO27001 de «EPPM» -Imed Yazidi- LSTI certified ISO 27001 Lead Implementer 14/02/2013 ENGINEERING PROCUREMENT & PROJECT MANAGEMENT s.a Présentation

Plus en détail

Gestion du risque numérique

Gestion du risque numérique Gestion du risque numérique Auguste DIOP Arnaud PRINCE AGBODJAN TALENTYS www.talentys.ci 2ème édition des Journées de l Entreprise Numérique, 9 & 10 avril 2015 Qui sommes-nous? Fondée en 2007, TALENTYS

Plus en détail

Annexe 3. Principaux objectifs de sécurité et mesures pour l éducation nationale, l enseignement supérieur et la recherche

Annexe 3. Principaux objectifs de sécurité et mesures pour l éducation nationale, l enseignement supérieur et la recherche 1 Annexe 3 Principaux objectifs de sécurité et mesures pour l éducation nationale, l enseignement supérieur et la recherche Le plan décrit au sein de chacun de ses 12 domaines : - les objectifs de sécurité

Plus en détail

L'infonuagique, les opportunités et les risques v.1

L'infonuagique, les opportunités et les risques v.1 L'infonuagique, les opportunités et les risques v.1 Avril 2014 Présenté au PMI 2014 Tactika inc. www.tactika.com @tactika http://ca.linkedin.com/in/tactika 1 Contenu de la conférence 1. Les concepts 2.

Plus en détail

Groupement de Gendarmerie Départementale des Côtes d'armor

Groupement de Gendarmerie Départementale des Côtes d'armor Gendarmerie Nationale Groupement de Gendarmerie Départementale des Côtes d'armor rgbret+intel-eco@gendarmerie.interieur.gouv.fr Face aux nouveaux défis d une économie mondialisée, les entreprises, notamment

Plus en détail

Cloud Computing. 19 Octobre 2010 JC TAGGER

Cloud Computing. 19 Octobre 2010 JC TAGGER Cloud Computing 19 Octobre 2010 JC TAGGER AGENDA 8h30-9h00 Le Cloud Computing De quoi s agit-il? Opportunités pour les entreprises Impact sur la chaine de valeur de l industrie des NTIC s 9h00-9h15 Témoignage

Plus en détail

La sécurité IT - Une précaution vitale pour votre entreprise

La sécurité IT - Une précaution vitale pour votre entreprise Parole d expert La sécurité IT - Une précaution vitale pour votre entreprise Philippe MONFILS - ComputerLand SLM Bruno MAIRLOT - Maehdros Une organisation conjointe avec Café Numérique Avec le soutien

Plus en détail

Cloud Computing Concepts de base Année académique 2014/15

Cloud Computing Concepts de base Année académique 2014/15 Concepts de base Année académique 2014/15 Qu'est que le? online 2 Qu'est que le? Cela s'est-il produit auparavant? Innovation Produit Service 3 Qu'est que le? Considérons-le comme-ça... Crée ta propre

Plus en détail

DDN/RSSI. Engagement éthique et déontologique de l'administrateur systèmes, réseaux et de système d'informations

DDN/RSSI. Engagement éthique et déontologique de l'administrateur systèmes, réseaux et de système d'informations DDN/RSSI Engagement éthique et déontologique de l'administrateur systèmes, réseaux et de système d'informations Page 1 10/03/2015 SOMMAIRE. Article I. Définitions...3 Section I.1 Administrateur...3 Section

Plus en détail