Cyber-sécurité Cyber-crime Stratégie de gestion des cyber-risques dans les entreprises : Quelles (ré)actions? SIRM Forum 2011 Nov. 9 th, 2011, Pfäffikon Par Alexandre VOISIN, Corporate Insurance & Risk manager
Back to basics Le risque est la menace qu un évènement, une action ou une inaction affecte : la capacité de l entreprise à atteindre ses objectifs, les principaux actifs nécessaires à la mise en œuvre de son business model, la création de valeur ou les valeurs de l entreprise.
Le constat
Le constat La prolifération de PDA, clefs USB, ordinateurs portables et autre disques durs amovibles multiplient les risques de perte, de vols et d intrusion
Les entreprises sont devenues dépendantes de leurs systèmes informatiques L utilisation des technologies de réseaux d information constitue presque une nécessité pour leur survie!
Les risques des systèmes d'information Où sont ils? Un système d information est composé : D équipements De logiciels et progiciels De données L évènement générateur du risque sera représenté par ce qui peut impacter chacun des points ci-dessus
Les risques des systèmes d'information Les équipements Où sont ils? Destruction ou altération de l équipement Incendie, bris de machine, vol, dégâts des eaux, évènements naturels Arrêt ou dysfonctionnement Carence d énergie, panne, défaillance humaine (prestataire ou non)
Les risques des systèmes d'information Où sont ils? Les logiciels et progiciels Disparition Vol, erreur humaine, malveillance, incendie, bris, virus, défaillance de prestataire Dysfonctionnement Erreur de conception, erreur d utilisation, virus, malveillance, défaillance de prestataire Utilisation non conforme Utilisation abusive de droit, non conformité avec la politique de l entreprise
Les risques des systèmes d'information Les données Où sont ils? Disparition Vol, erreur humaine, malveillance, incendie, bris, virus, inefficacité de gestion, défaillance de prestataire Utilisation non conforme Utilisation abusive de droit, perte de confidentialité Modification Erreur humaine, malveillance
Un système d information exposé Menaces Internes Menaces Externes Protéger l entreprise contre les risques du virtuel Protection de la propriété intellectuelle, Données sensibles, personnelles identifiables, financières etc. Conformité (RH, traçabilité, etc.)
Les motivations des pirates la vengeance la vantardise, les défis la curiosité le vandalisme Mais de plus en plus d attaques lucratives : chantage, extorsion, vol, attaques ciblées (kacktivisme...) Plus les outils de pirates sont disponibles sur le web et moins les compétences des pirates sont grandes!
Les risques des systèmes d'information Comment se traduisent-ils? Premier niveau d impact suite à ces événements: La disponibilité L intégrité La confidentialité La traçabilité
Les risques des systèmes d'information Comment se traduisent-ils? Dysfonctionnement de l entreprise Perte d actifs Dommage à des tiers Obligation de faire (notifications)
Conséquences Financières : perte de valeur ou de biens, dépenses supplémentaires Atteinte à l image de l entreprise Humaines Juridique : risque vital ou désorganisation Responsabilité civile ou pénale vis-àvis d autrui, des cocontractants, des autorités, des clients.
Piratage Royal Bank of Scotland Janv 09 : piratage système monétique de RBS, Divulgation des informations de 1,5 millions de porteurs Fev 09 : retraits frauduleux (fausses vraies cartes) 2 000 distributeurs répartis dans 60 villes dans le monde entier En moins de 12 heures Nov 09 : jugement de 4 personnes pour piratages Les pertes + Le montant détourné ($ 9 M) Les coûts de communication vers les victimes (estimé à US$ 10 M) Les frais d analyse Quelques exemples
Air tran1
Air tran2
Quelques exemples I have your [.]! In *my* possession, right now, are 8,257,378 patient records and a total of 35,548,087 prescriptions. Also, I made an encrypted backup and deleted the original For $10 million, I will gladly send along the password." Virginia Medical Records Thursday, May 07, 2009
European directive 2009-136 Obligation de faire Notification / Violation de données (Data Breach) Mai 2011, obligation de notification pour les opérateurs de télécommunication Juin 2011, Dans un interview, la commissaire européenne Viviane Reeding indique sa volonté d étendre cette obligation à toutes les activités d ici la fin 2011 per capita Detection & escalation Notification Ex-post response Lost business Total US 6 11 32 95 143 UK 13 7 18 32 69 DE 36 6 38 43 123 FR 25 4 29 25 83 AU 27 3 23 27 79 EU average 25 5 27 32 89 Average 21 6 28 44 99
European directive 2009-136
La cybercriminalité est une vraie menace aujourd hui pour les entreprises et la société civile (World Economic Forum, DAVOS 2011 = Top 5 risk to watch) Que peut on faire pour prévenir, se protéger et transférer ce risque? Nécessité d une réponse globale et dynamique : Prévention + protection + réaction
Moyens de prévention / protection Réduction de la probabilité de réalisation Réduction d impact Transfert du risque résiduel vers l assurance?
Moyens de prévention / protection Sur le plan technique des solutions existent : - Firewall(s) - Mise en place VPN - Antivirus - Chiffrement total du disque dur ou partiel - Effacement sécurisée des données - Transmission chiffrée des courriers électroniques -
Moyens de prévention / protection Mesures organisationnelles - Définir les responsabilités - Elaborer les procédures et les contrôler - Sécurité des postes de travail (écran de veille, login, mot de passe). - Restriction des droits utilisateur - Extinction des droits en cas de départ - Compartimenter l accès à l information - Blocage ou reconnaissance des clés USB sur le réseau - Interdiction du peer to peer. - Mise en place d un journal d activité du réseau (enregistrement des logs de connections). - Traçabilité. - Blocage d accès à certains site (blacklister les sites de réseaux sociaux )
Moyens de prévention / protection Actions de formation, éducation, sensibilisation - Informer le personnel du besoin de confidentialité entourant les données. - Le sensibiliser aux vulnérabilités des SI - le responsabiliser en lui faisant prendre connaissance et signer une charte informatique. - Vie privée / vie professionnelle ( les réseaux sociaux changent les frontières!...) Réglementation, veille - Connaitre et influencer l environnement
Moyens de réaction suite à un incident Mesure techniques et organisationnelles Action judiciaire Gestion de crise Plan de reprise / Plan de continuité Communication
Les limites du transfert vers l assurance Quelle part du risque résiduel l assureur est il prêt à supporter? Perte de chiffre d affaire Dépenses supplémentaires pour limiter le sinistre Couts de notification Claims Rançon Fonds perdus
"The modern thief can steal more with a computer than with a gun. Tomorrow's terrorist may be able to do more damage with a keyboard than with a bomb". (US) National Research Council, "Computers at Risk", 1991.
http://www.cybercrime.admin.ch/content/kobik/fr/home.html http://www.clusif.asso.fr/ http://www.clusis.ch/site/ http://www.isss.ch/ http://www.ponemon.org http://www.gartner.com www.weforum.org http://www.zataz.com http://www.ffsa.fr/webffsa/risques.nsf/html/risques_77_0025.htm http://www.cert.org/ Webographie Special thanks to : Luc VIGNANCOUR, Directeur adjoint de FINPRO chez MARSH France et membre actif du CLUSIF