Secure de la Suva. Brochure à l intention des cadres et des responsables informatiques

Transcription

1 Secure de la Suva Brochure à l intention des cadres et des responsables informatiques

2 Sommaire Secure de la Suva en bref 3 Problèmes lors de l envoi d s classiques 4 Vos avantages grâce à Secure de la Suva 5 Nos variantes 6 Informations complémentaires pour responsables informatiques 8 Annexe: informations générales sur le cryptage d s 9 Nous vous soutenons volontiers 12

3 Secure de la Suva en bref La communication par est simple, rapide et confortable. Elle est donc un moyen apprécié et souvent utilisé par beaucoup de collaborateurs. Toutefois, les s non protégés peuvent être lus et modifi és par des tiers non autorisés, sans que l expéditeur ou le destinataire ne s en rende compte. Aussi, les entreprises, dont la Suva, sont toujours plus nombreuses à miser sur une communication sécurisée par . Le système Secure permet à nos clients et partenaires d échanger en toute sécurité et sous une forme cryptée des informations confidentielles par avec la Suva. En cas d utilisation occasionnelle, la Suva met à disposition Secure Webmail. Ce service est gratuit. L utilisateur doit uniquement s enregistrer sur notre serveur Webmail sécurisé. , il vaut la peine d investir dans l une de ces deux solutions, car l utilisateur peut envoyer et recevoir des s cryptés à partir de son programme de messagerie usuel. Un certificat valable trois ans revient actuellement à 120 francs environ selon le fournisseur. Les certifi cats déjà installés valables pour le cryptage des s peuvent aussi être utilisés pour Secure de la Suva. Les déclarations de sinistres ou les décomptes de salaires électroniques doivent toujours être envoyés via les canaux de communication existants de la Suva (Sunet, e-sinistres, e-salaire, etc.). Secure est exclusivement destiné à la transmission et à l échange d informations sensibles ne pouvant pas être fournies par l intermédiaire de ces canaux. Aux clients et partenaires qui échangent régulièrement des informations confi dentielles avec la Suva, nous recommandons d opter pour l une des deux variantes certificat (axé sur l utilisateur ou le client) ou certificat de domaine ou d entreprise (axé sur l ordinateur). L utilisation de ces variantes nécessite un accord préalable entre les services informatiques des parties concernées. En cas d utilisation fréquente de Secure 3

4 Problèmes lors de l envoi d s classiques Problème des s non sécurisés Les s envoyés sous une forme non sécurisée présentent les inconvénients suivants: Confidentialité insuffisante du message, qui peut être lu par des tiers. L intégrité du message n est pas garantie: celui-ci peut être intercepté ou modifi é par des tiers non autorisés. L authenticité de l expéditeur n est pas garantie: il peut arriver que le message ne provienne pas de l expéditeur indiqué. Conséquences possibles en cas d envoi d s confidentiels non cryptés Les informations confi dentielles et secrètes devraient toujours être échangées sous une forme cryptée afi n d éviter les conséquences suivantes: Dégât d image (par ex. en cas de publication dans les médias) Conséquences pénales (amende, voire emprisonnement selon la loi sur la protection des données et le Code pénal) Conséquences fi nancières Exigences légales Les s envoyés sous une forme sécurisée permettent aussi de respecter des exigences légales qui, sans Secure , ne seraient pas nécessairement remplies: Protection des données Droits de la personnalité Loi spéciales (fournisseurs de services de télécommunication, loi sur les banques, lois sur la surveillance des assurances, avocats, notaires, etc.) Règles déontologiques Devoir de diligence découlant du code des obligations Accord concernant le maintien du secret Devoir de discrétion 4

5 Vos avantages grâce à Secure de la Suva Le système Secure de la Suva permet à nos clients et partenaires d échanger en toute sécurité par des informations confi dentielles et sensibles avec la Suva. Les exigences légales peuvent ainsi être respectées et vous remplissez votre devoir de diligence dans la gestion des données confi dentielles. Les informations confidentielles peuvent être échangées par voie électronique et remplacent le courrier postal, plus laborieux. Vos messages électroniques ne peuvent être ni lus ni modifi és durant leur acheminement. L expéditeur du message est clairement identifi able grâce à une signature électronique. 5

6 Nos variantes La Suva propose à ses clients et partenaires les variantes d utilisation suivantes: Secure Webmail de la Suva Si vous n échangez qu occasionnellement des informations confidentielles avec votre partenaire Suva, nous vous recommandons d utiliser Secure Webmail de la Suva. Lorsque vous recevez pour la première fois un crypté de la Suva, vous devez vous enregistrer avec votre nom sur notre plateforme Webmail sécurisée et défi nir votre mot de passe personnel. Vous pouvez utiliser votre compte Webmail pour l échange de tous les s confi dentiels avec la Suva, tout en continuant à utiliser votre adresse électronique habituelle. Dès que votre partenaire Suva vous envoie un crypté, vous recevez automatiquement dans votre programme de messagerie habituel une notifi cation comportant le lien vers le message sur votre compte Secure Webmail de la Suva. Pour pouvoir utiliser le système Secure Webmail de la Suva, vous avez uniquement besoin d un accès Internet (protocole https) et d un navigateur Internet standard. La Suva met gratuitement ce service à la disposition de ses clients et partenaires. Attention: la capacité de mémoire maximale par compte Webmail est de 20 MB et les s, pièces jointes comprises, sont détruits automatiquement par la Suva au bout de 60 jours, après notifi cation préalable. 6

7 Certificat sur le client de messagerie Le cryptage d s confidentiels au moyen de certifi cats numériques est très confortable pour l utilisateur, qui peut envoyer et recevoir ses s confi dentiels par l intermédiaire de son programme de messagerie habituel (par ex. Outlook). Il suffi t à l utilisateur de sélectionner l option de cryptage avant l envoi. Nous recommandons le cryptage par certifi cat à tous les clients et partenaires qui échangent souvent des données confidentielles avec la Suva. En règle générale, pour l installation du cryptage par certifi cat, un investissement initial est nécessaire pour l acquisition et l installation des certifi cats. Les certifi cats déjà installés valables pour le cryptage des s peuvent aussi être utilisés pour Secure de la Suva. Certificat de domaine ou d entreprise Si votre entreprise utilise un dispositif de messagerie Secure tel que Totemo, SEPPmail, IncaMail etc., la variante domaine ou entreprise est adaptée. Les administrateurs systèmes doivent échanger et installer les certifi cats d entreprise correspondants. Ensuite, tous les s sont cryptés automatiquement. Notre team de spécialistes vous soutient et vous conseille volontiers dans l évaluation d une variante adaptée à votre entreprise. Le chapitre suivant contient des informations complémentaires sur Secure de la Suva à l intention de vos responsables informatiques. 7

8 Informations complémentaires pour responsables informatiques Secure de la Suva respecte les standards et les technologies existant dans l environnement PKI. Secure de la Suva est donc compatible avec tous les produits et solutions répondant aux standards de sécurité relatifs aux s selon S/MIME ou PGP. Pour la variante certificat , vous devriez tenir compte des points suivants: Secure de la Suva accepte les certifi cats S/MIME ou PGP. Les certificats S/MIME peuvent être achetés chez des émetteurs de certifi - cats tels que QuoVadis, SwissSign, VeriSign, etc. pour différentes classes de confi dentialité. Plus la classe est élevée, plus l identité du détenteur et du service émetteur enregistrée pour le certifi cat est fi able. Pour l échange d s cryptés, la Suva accepte toutes les classes de certifi cat dans la mesure où les certificats ont été établis pour l utilisation prévue (un certifi cat valable pour trois ans revient actuellement à 120 francs environ selon le fournisseur). La clé privée («private key», par ex. contenue dans les fichiers comportant l extension *.pfx) doit impérativement être gardée secrète par l utilisateur et ne doit en aucun cas tomber en possession de tiers non autorisés. Veuillez aussi noter que les s cryptés archivés ne peuvent être décodés ultérieurement qu avec le fichier *.pfx original. La clé publique («public key», par ex. contenue dans les fi chiers comportant l extension *.cer ou *.crt) doit être diffusée autant que possible. La clé publique peut être transmise à l interlocuteur de communication par le simple envoi d un muni d une signature numérique. Variante certificat de domaine ou d entreprise Pour le cryptage des s, la Suva utilise le produit «Totemo TrustMail Secure Messaging Gateway» ( Si votre entreprise utilise le même produit ou un produit semblable, seules les clés publiques des passerelles Secure doivent être échangées. La confi dentialité des communications entre les passerelles est ainsi assurée. Pour cela, le certifi cat de domaine doit contenir la partie de nom de domaine (selon RFC822) de l adresse du destinataire. 8

9 Annexe: informations générales sur le cryptage d s Fonctionnement d un certificat numérique Un certificat numérique contient une clé privée («private key») pour la signature (de l expéditeur) et le décodage (par le destinataire) et une clé publique («public key») pour le cryptage (par l expéditeur) et le contrôle de la signature (par le destinataire). De plus, un certifi cat valable contient une confi rmation d authenticité établie par un service de certifi cation (QuoVadis, SwissSign, etc.). Anna Muster Franz Binz anna.muster@exemple.ch clé publique clé privée confi rme confi rme fait confi ance Service de certifi cation 9

10 Fonctionnement de la signature numérique d s Si un comporte une signature numérique, une valeur de hachage du message est calculée par le programme de messagerie lors de l envoi du message et cryptée avec la clé privée de l expéditeur. Ensuite, le message, la valeur de hachage cryptée et la clé publique sont transmis au destinataire. Le destinataire calcule de son côté une valeur de hachage du message, décode la valeur de hachage cryptée transmise avec la clé publique jointe de l expéditeur et compare les deux valeurs de hachage. Si ces dernières concordent, le message est en ordre ou authentifi é, ce qui signifi e qu il est attesté qu il provient effectivement de l expéditeur et n a pas été modifi é en cours d envoi. Expéditeur Anna Muster Destinataire Franz Binz Signer l anna.muster@exemple.ch L expéditeur signe avec son propre certifi cat Le destinataire vérifi e avec le certifi cat d expéditeur 10

11 Fonctionnement du cryptage d s En bref: un message est crypté et transmis avec la clé publique du destinataire. Comme seul le destinataire possède la clé appropriée (clé privée), lui seul peut décoder le message. Pour pouvoir crypter des s, les deux interlocuteurs de communication doivent chacun avoir installé un certificat (une paire de clés publique et privée) sur leur ordinateur et s échanger mutuellement leurs clés publiques. Expéditeur Anna Muster Destinataire Franz Binz Crypter l franz.binz@exemple.ch L expéditeur crypte l avec le certifi cat du destinataire Le destinataire décode l avec son propre certifi cat 11

12 Nous vous soutenons volontiers. Vous trouverez de plus amples informations ainsi qu une brochure de questions et réponses sur notre page d accueil. N hésitez pas à nous contacter. Suva Vente e-services Fluhmattstrasse Lucerne Tél secure. @suva.ch Web: 12

13 Le modèle Suva Les quatre piliers de la Suva La Suva est mieux qu une assurance: elle regroupe la prévention, l assurance et la réadaptation. La Suva est gérée par les partenaires sociaux. La composition équilibrée de son Conseil d administration, constitué de représentants des employeurs, des travailleurs et de la Confédération, permet des solutions consensuelles et pragmatiques. Suva Case postale, 6002 Lucerne Tél Référence 2979_01.f Edition décembre 2012 Les excédents de recettes de la Suva sont restitués aux assurés sous la forme de primes plus basses. La Suva est financièrement autonome et ne perçoit aucune subvention de l Etat.