HES-SO Fribourg 18 novembre 2009

HES-SO Fribourg 18 novembre 2009 Intro Internet, réseaux sociaux, cybercriminalité: quels enjeux pour l enseignant-e HES?

Présentation Intro Jacqueline Reigner, dr ès neurosciences Unil + Epfl + IDHEAP + formation continue Sémafor Conseil SA, 1ère société de conseil en sécurité informatique établie en Suisse romande en 1993 Clients: Industries, services, administrations publiques, banques, hautes écoles, PME, indépendants, etc.. Expérience pluri-disciplinaire, compétence, réactivité, économie, créativité

Compétences particulières Intro Analyse des risques ISO 27000 Plan stratégique de sécurité des systèmes d information Politique de sécurité des systèmes d information Audit sécurité informatique Sensibilisation Ouvrir la voie à la maîtrise des risques informatiques

Merci de vous présenter aussi Intro Vous-même et votre discipline Combien de temps passez-vous sur les systèmes d information? Qu attendez-vous de cette journée?

Une vue d ensemble de la maîtrise des risques informatiques Intro Aborder les thèmes principaux de la maîtrise des risques informatiques......en regard de votre métier d enseignant Une ouverture vers les mesures de sécurité

Programme du 18 novembre 2009 Présentations Introduction aux risques informatiques L étudiant-e est né-e avec les nouvelles technologies Les informations accessibles Cybersécurité Etudes de cas Mesures de sécurité Intro

Inauguration d un nouveau risque &IJKLKMJNOPI#Q>KI#IPKRSJK#MOTUKS Risques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

Risques L analyse des risques informatiques expliquée aux décideurs

Votre analyse des risques informatiques Risques L analyse des risques qui touchent les systèmes d information Dans ma discipline d enseignement, les systèmes informatiques les plus critiques sont? 1.!... 2.!... 3.!... Quelles menaces peuvent toucher mes systèmes d information? 1.!... 2.!... 3.!... Quelles conséquences (quel impact) sur mon enseignement et / ou mes étudiants en cas de sinistre? 1.!... 2.!... 3.!... Quel est mon plan de sécurité des systèmes d information? 1.!... 2.!... 3.!... Sémafor Conseil SA Avenue Reymondin 15, CP 397, 1009 Pully / Lausanne, tél. 021 728 19 65, fax 021 728 49 09 Rue St-Jean 26, 1203 Genève, tél. 022 732 10 00, fax 022 738 07 11 www.semafor-conseil.ch jacqueline.reigner@semafor-conseil.ch

L impact d un sinistre informatique? Risques Perte de temps Perte d argent, de production, de chiffre d affaire Perte d image Conséquences juridiques Dégâts graves

Les freins à l analyse des risques Risques La négation du risque

Les acteurs, freins à l analyse des risques Risques Le patron craint de connaître les vulnérabilités de son entreprise Le DI a peur qu on trouve des failles dans son excellent travail Les vendeurs de système de sécurité jouent sur ces peurs et proposent toujours une solution... souvent partielle, et pas toujours celle dont on a besoin!

Société anonyme CO 663.b - janvier 2008 Risques SA, coopératives, S.à.r.l, association, fondation sont soumises à l obligation de révision plus de détails auprès de votre fiduciaire. 663.b:... mentionner dans l annexe aux comptes annuels, des indications sur la réalisation d une évaluation des risques Le Conseil d administration doit reconnaître, évaluer et gérer les risques réels ou potentiels qui pourraient (...) entraîner des pertes ou affecter le bénéfice(...)

International - Banques Risques Sarbanes Oxley Bâle II Risques métier + risques opérationnels

Equation Risques Risque = aléa * enjeux / Prévention réf AmmiratiC, Boyer C. Cateloy F, Amiens, 2001

Méthode 1.Cartographie Résultats Inventorier toutes les machines, les applications, les informations et même les collaborateurs. Risques 2.Liste des menaces Identifier les menaces qui visent vos biens. 3.Impact des menaces 4.Vulnérabilités 5.Rapport final Imaginer les dégâts sur l activité et sur le chiffre d affaire. Contrôler les mesures de prévention et de protection. Piloter la maîtrise des risques qui touchent au système d information, établir les priorités.

CLUSIF 2008 Risques

Sensibilisation à la cybersécurité Cybersécurité 7MNJG<OKKOPHJQ'RO'I+OGGLSJ'PH+OHT'OHKGJ!"#$%&' ()'*+"',-%'.$/'%$' 0%"-!'#12 3+"-'$)'4/%-%'!/56-7/ 1'%/',/*"),/5'8!-'7+/!%' *"#9()):%/&' 3/'!$-!'%()'5"%'8 3+"-'/)6-/',/';"-< 5/',/!'75"!!/!'1' *()'7()7$55/)%&'%$' )+"$5"-!'4"!'$)/'-,0/'= "%%/),!&'3+"44 0.$-4/'/%'," *-)$%/!'#/'!%()'5-6 '/!%'9(5!', ' 7(**/'4"5'/>/*4#/' $)/'"%%".$/'*"!!-6/',/',/55-?5/'#/!' ;"@(%!'=!"#$$%"&'()*+,"-+./012"&3"4"5+6/"7,+18/",'/0,9'/"4"3"2:6/);0"0<=26/1*"70"2)">&?"4"@A&4&B!"#$%'#/!'4(%/!&'3+"-'$)')($6/"$' 7#-/)%&'7+/!%'5"%-@")&'()'#")7/ '#+"%%".$/'*"!!-6/'!$5'#/'!-%/'A/B',/'!()'7()7$55/)%'8 7+/!%'D"&'#+(5@")-!"< %-()2'3+"-',->'-);(5< *"%-7-/)!'B"7EF'.$-' B(!!/)%')$-%'/%'3($52' 7+/!%'/;;-7"7/'8 %$'6(-!& 7+/!%',031'/$>'.$ 5"44/##/)%&' 3/'%+"-',-%&'$)'65 3/$',+/);")%!'

idem... à la HES? Cybersécurité Permalink: http://www.zenit.org/article-22662?l=french UN «HACKER» ET UN AGENT D'INTERPOL AU VATICAN Tous deux concordent sur un point : l'eglise est un objectif d'attaque cybernétique ROME, Lundi 16 novembre 2009 (ZENIT.org) - Malgré tout ce qui les séparait, le jeune hacker suisse invité vendredi au Vatican par la Commission épiscopale européenne pour les médias (CEEM), et le représentant d'interpol chargé de la lutte contre la cybercriminalité concordaient sur un point : les pages web et même les ordinateurs de représentants catholiques sont un régal pour les pirates informatiques.

Cybersécurité

e-crime survey réf KPMG 2009 Cybersécurité 50% des DSI pensent que leur SI n est pas suffisamment protégé 62% des personnes interrogées pensent que leur entreprise ne consacre pas assez de ressources à la recherche des vulnérabilités

e-crime survey (suite) réf KPMG 2009 Cybersécurité les attaques réseau sont de plus en plus sophistiquées 41% le phishing est en augmentation 45% les clients des services financiers subissent des attaques de plus en plus sophistiquées 49% et les cyber-criminels sont de plus en plus efficaces, rapides et compétents.

Les menaces 2009 réf MacAfee Cybersécurité Augmentation du vol de mot de passe Encore plus de spam Video cible des hackers Attaque sur les téléphones mobiles Adware Vol d identité et perte de données Botnets Exploitation des vulnérabilités OS

and attackers alike). Unfortunately, the slowing disclosure rate is not being mirrored by attacks targeting these vulnerabilities, especially SQL injection and ActiveX controls. See Web Application Attacks on page 17 and Browser and >3000 vulnérabilités nouvelles chaque semestre Other Client-Side Vulnerabilities and Exploits on page 24 for more details. 4000 Cybersécurité 3500 3000 2500 2000 1500 1000 500 0 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 Figure 1: Vulnerability Disclosures in the First Half of Each Year, 2000-2009

Cybersécurité Opportunity LITTLE LOTS Microsoft Windows Kernel GDI Validation Microsoft Exchange Server TNEF Code Execution Microsoft DirectShow MJPEG Remote Code Execution Xvid Codec Remote Code Execution Microsoft Excel Remote Code Execution Adobe Reader and Adobe Acrobat JBIG2 Multiple JBIG2 Vulnerabilities in Adobe Acrobat and Adobe Reader Microsoft Visual Basic ActiveX Remote Code Execution on Vulnerability Adobe Reader and Adobe Acrobat Geticon Remote Code Execution Microsoft Direct X Quartz.dll Remote Code Execution Microsoft PowerPoint Remote Code Execution Vulnerability EXPENSIVE Monetization & Exploit Cost CHEAP Figure 4: X-Force Exploitability Probability Quadrant, 2009 H1

Cybersécurité 2009 H1 2008 (Full Year) Ranking Vendor Disclosures Ranking Vendor Disclosures 1. Apple 3.8% 1. Microsoft 3.16% 2. Sun 3.6% 2. Apple 3.04% 3. Microsoft 3.1% 3. Sun 2.19% 4. Oracle 2.7% 4. Joomla! 2.07% 5. IBM 2.5% 5. IBM 2.00% 6. Drupal 2.0% 6. Oracle 1.65% 7. Mozilla 1.8% 7. Mozilla 1.43% 8. Cisco 1.8% 8. Drupal 1.42% 9. Linux 1.5% 9. Cisco 1.23% 10. Joomla! 1.2% 10. TYPO3 1.23% Table 2: Vendors with the Most Vulnerability Disclosures Availability of Vulnerability Fixes and Patches Similar to the end of 2008, nearly half (49 percent) of all vulnerabilities disclosed in the first half of 2009 have no vendor-supplied patch at the end of the period. The following chart provides an analysis of those vendors with twenty or more disclosures this year that have provided the fewest patches to fix those issues.

Vulnerability Consequences 60% Cybersécurité 50% Gain Access 40% Data Manipulation Denial of Service 30% 20% 10% Obtain Information Bypass Security Gain Privileges Other File Manipulation 0% 2006 2007 2008 2009 H1 Figure 6: Vulnerability Consequences as a Percentage of Overall Disclosures, 2006-2009 H1

legitimate usage may look like an attack attempt. 45,000,000 Cybersécurité 40,000,000 35,000,000 30,000,000 25,000,000 20,000,000 15,000,000 10,000,000 5,000,000 JAN FEB MAR APR MAY JUN Cross-Site Scripting Injection Attack Information Disclosure Path Traversal Buffer Overflow Malicious File Execution Figure 10: Web Application Attacks by Category, IBM ISS Managed Security Services 2009 H1

Cybersécurité Most Popular Exploits Rank 1. 2. 3. 4. 5. 2008 H2 Microsoft MDAC RDS Dataspace ActiveX (CVE-2006-0003) Microsoft WebViewFolderIcon ActiveX (CVE-2006-3730) Internet Explorer createcontrolrange DHTML (CVE-2005-0055) RealPlayer IERPCtl ActiveX (CVE-2007-5601) Apple QuickTime RSTP URL (CVE-2007-0015) 2009 H1 Microsoft MDAC RDS Dataspace ActiveX (CVE-2006-0003) Microsoft Snapshot Viewer ActiveX (CVE-2008-2463) Adobe Acrobat and Reader Collab. CollectEmailInfo (CVE-2007-5659) Microsoft IE7 DHTML Object Reuse (CVE-2009-0075) RealPlayer IERPCtl ActiveX (CVE-2007-5601) Table 7: Most Popular Web Browser Exploits, 2008 H2 2009 H1 Compared with our 2008 report, there are only two remaining exploits from the previous list: MDAC and RealPlayer IERPCtl. Sustaining only two exploits over a period of six months is much lower than the four out of five that remained

Cybersécurité Web Site Type Adult Social Deviance Criminal Description & Web Filter Category Pornography Erotic / Sex Political Extreme / Hate / Discrimination Sects Anonymous Proxies Computer Crime / Hacking Illegal Activities Illegal Drugs Malware Violence / Extreme Warez / Software Piracy Table 9: Web Filter Categories Associated with Unwanted Web Content This section provides analysis for:

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

Cybersécurité Internet

still get infected if the user inserted a USB drive which, unbeknownst to the user, is infected by a new, undetected Conficker variant game over. Cybersécurité Computers protected by weak passwords may get infected by Conficker Computers may get infected by Conficker via infected removable devices (such as USB drives and external hard drives) WORM Computers with unsecured shares may get infected by Conficker Computers without the latest security updates may get infected by Conficker 7 http://www.confickerworkinggroup.org/wiki/pmwiki.php/any/infectiontracking

Cybersécurité ICMP = Couche 3 du modèle OSI IP = Couche 3 du modèle OSI TCP = Couche 4 5 du modèle OSI UDP = Couche 4

50% Cybersécurité 45% 40% 35% 30% 25% 20% 15% 10% 5% 0% Q3 Q4 Q1 Q2 Q3 Q4 Q1 Q2 Q3 Q4 Q1 Q2 2006 2007 2008 2009 Figure 45: Image-Based Spam 2006 Q3 until 2009 Q2 Shortly before the McColo shutdown, image-based spam made a brief

Cybersécurité Brazil 12.7% U.S.A. 11.6% India 6.3% Turkey 5.5% Russia 5.0% South Korea 4.8% Poland 3.8% China 2.9% Colombia 2.9% Romania 2.8% Figure 53: Geographical Distribution of Spam Senders, 2009 H1

Phishing Volume Changes Over the Last 15 Months Cybersécurité 200% 160% 120% 80% 40% 0% APR MAY JUN JUL AUG SEP OCT NOV DEC JAN FEB MAR APR MAY JUN 2008 2009

half of this year: Cybersécurité Subject Lines Attention! Votre compte PayPal a ete limite! Important Information Regarding Your Limited Account. PayPal Account Review Department Account Security Measures Citibank Alert: Additional Security Requirements Important Information Regarding Your Account. Online Account Security Measures PayPalŽ Account Review Department Paypal Account Update Security alert % 24.05% 7.02% 2.06% 1.35% 1.33% 0.89% 0.53% 0.5% 0.44% 0.27% Table 22: Most Popular Phishing Subject Lines 2009 H1

Filtre téléphonique et ADSL Ligne ADSL câble téléphonique gris Réseau téléphonique (Swisscom) ADSL provider internet No client ******** Login : ******** Password : ******** connexion 3 Provider internet Ligne téléphonique interne Réseau internet 4 Gestion Session: UID: ******** PWD: ******** pop3.server.ch Smtp.server.ch email@provider.ch Internet / Email provider RECEPTION ENVOI 5 courrier RECEPTION: pop: pop.server.net uid: ******** pwd: ******** ENVOI: smtp: smtp.server.net uid: ******** pwd: ******** Cybersécurité Téléphone sans fil, station d accueil 2 paramètrages Modem ADSL IBook Modem : uid: ******** pwd: ******** Câble réseau RJ45 (jaune) 1 session Session PC: UID: ******** PWD: ******** Schéma général Connexion ADSL Sémafor Conseil 15 janvier 2009 Robert Ballif

Prenez garde! Cybersécurité Agissez de manière responsable Restez prudent Détecter le phishing Soyez vigilant Utilisez un navigateur sécurisé e-banking Liquidités Carte de crédit limitée

Parmi les précautions à prendre pour se protéger contre une attaque massive: - Elever le niveau de sécurité des systèmes d information en permanence. - Prendre conscience des risques et développer une politique et des règles de sécurité évolutives. - Mettre en place des moyens de sécurité et les contrôler régulièrement pour les adapter à l évolution des menaces.!"#$%&' ()'*+"',-%'.$/'%$' 0%"-!'#12 3+"-'$)'4/%-%'!/56-7/ 1'%/',/*"),/5'8 7MNJG<OK!-'7+/!%' *"#9()):%/&' 3/'!$-!'%()'5"%'8!"#$$%"&'(!"#$%'#/!'4(%/!&'3+"-'$)')($6/"$'

Né-e avec les nouvelles technologies e-génération Evolution constante des systèmes d information: dressons ensemble le continuum Quelle est votre position? Quelle est la position de vos étudiant-es?

%8 2%-6) 13-.) 7%-7 3Õ ',)6',)6 )28 439 %:3-6 # 59%2( :397 %:)>

59)0 6%8 )<86%36(-2%-6) La protection des données personnelles,33 132 ',)6 &%632 59) :397 )78-0 %66-:g :386).%1&) ' )78 8)66-&0) )2*-2 0 )77)28-)0 )78 59).) 09%- 7%9:g 0% :-) 7qQEJSV 'SRWIMP 7% 8SYW HVSMXW VqWIVZqW % P YWEKI I\GPYWMJ HI PE,)7 73 1% ',Ê6).) 2) 4)27) 4%7 59) ')0 )2 :%98 :6%-1)28 0% 4)-2),333 &%632 59) :3-7.) 0 # :397 %:)> 1%6',g 796 0% 59)9) (9 ',%8 )8 :397 Ç8)7 831&g (%27 0)7 637-)67 () :386).%6(-2 13-.) 7%-7 3Õ ',)6',)6 1%-7 '311)28 439 :)> :397 7%:3-6 # 59%2( :397 %:)> 6%'328g :37 1g7%:)2896)7 0)7 &6%2'%6(-)67 6-%-)28 8)00)1)28 59-07 :397 328 0%-77g 831&)6 )8 ' )78 %-27-59) :397 %:)> '%77g :386).%1&) La sphère privée d une personne est un bien précieux qui bénéficie d une protection particulière, y compris dans le monde du travail et de la santé. :397 %:)> '6-g 0% &39',) +6%2() 39:)68) )8 :397 %:)> %-27- %:%0g 92) %&)-00) 1327-)96 0) &%632 :397 Ç8)7 8634 (6Ð0) %00327 4)8-8 '%',388-)6.) 79-7 7Ô6) 59) :397 2) 1 %:)> 4%7 8398 6g:g0g %66Ç8)> f% 8398 () 79-8) 1)2732+)7 '%0312-)7 +666 Les données personnelles gérées par une organisation doivent être protégées contre tout traitement non autorisé par des mesures organisationnelles et techniques appropriées. + &692)88-. %- 8639:g 32 :% 6-+30)6

:)9-00) 1) (-6) 59)059) ',37) 92 43-(7 0396( 59)0 6%8 )<86%36(-2%-6) Ce que vous devez faire en tant qu individu:,33 132 ',)6 &%632 59) :397 )78-0 %66-:g :386).%1&) ' )78 8)66-&0) )2*-2 0 )77)28-)0 )78 59).) 09%- 7%9:g 0% :-) 7qQEJSV 'SRWIMP 7% 8SYW HVSMXW VqWIVZqW % P YWEKI I\GPYWMJ HI PE,)7 73 1% ',Ê6).) 2) 4)27) 4%7 59) ')0 )2 :%98 :6%-1)28 0% 4)-2),333 &%632 59) :3-7.) 0 # :397 %:)> 1%6',g 796 0% 59)9) (9 ',%8 )8 :397 Ç8)7 831&g (%27 0)7 637-)67 () :386).%6(-2 13-.) 7%-7 3Õ ',)6',)6 1%-7 '311)28 439 :)> :397 7%:3-6 # 59%2( :397 %:)> 6%'328g :37 1g7%:)2896)7 0)7 &6%2'%6(-)67 6-%-)28 8)00)1)28 59-07 :397 328 0%-77g 831&)6 )8 ' )78 %-27-59) :397 %:)> '%77g :386).%1&) Restez prudent en transmettant des informations personnelles sur Internet ou chez un prestataire de service. Ne donnez que les informations nécessaires et rien de plus.toute information privée peut être utilisée à votre insu.vous ne pouvez maîtriser vos informations divulguées sur les sites de réseau sur Internet. :397 %:)> '6-g 0% &39',) +6%2() 39:)68) )8 :397 %:)> %-27- %:%0g 92) %&)-00) 1327-)96 0) &%632 :397 Ç8)7 8634 (6Ð0) %00327 4)8-8 '%',388-)6.) 79-7 7Ô6) 59) :397 2) 1 %:)> 4%7 8398 6g:g0g %66Ç8)> f% 8398 () 79-8) 1)2732+)7 '%0312-)7 +666 Il est impossible de les effacer; même une décision de justice ne peut effacer toutes les copies créées automatiquement ou volontairement sur Internet. Veillez à ce que les informations qui vous concernent soient toujours exactes, elles pourraient être utilisées par d autres dans un but inamical. + &692)88-. %- 8639:g 32 :% 6-+30)6

:)9-00) 1) (-6) 59)059) ',37) 92 43-(7 0396( 59)0 6%8 )<86%36(-2%-6) Parmi les précautions à prendre au niveau de la HES:,33 132 ',)6 &%632 59) :397 )78-0 %66-:g :386).%1&) ' )78 8)66-&0) )2*-2 0 )77)28-)0 )78 59).) 09%- 7%9:g 0% :-) 7qQEJSV 'SRWIMP 7% 8SYW HVSMXW VqWIVZqW % P YWEKI I\GPYWMJ HI PE,)7 73 1% ',Ê6).) 2) 4)27) 4%7 59) ')0 )2 :%98 :6%-1)28 0% 4)-2),333 &%632 59) :3-7.) 0 # :397 %:)> 1%6',g 796 0% 59)9) (9 ',%8 )8 :397 Ç8)7 831&g (%27 0)7 637-)67 () :386).%6(-2 13-.) 7%-7 3Õ ',)6',)6 1%-7 '311)28 439 :)> :397 7%:3-6 # 59%2( :397 %:)> 6%'328g :37 1g7%:)2896)7 0)7 &6%2'%6(-)67 6-%-)28 8)00)1)28 59-07 :397 328 0%-77g 831&)6 )8 ' )78 %-27-59) :397 %:)> '%77g :386).%1&) La Direction de la HES et les Ressources humaines sont responsables d appliquer la loi sur la protection des données avec le soutien des services informatiques. Le respect de la sphère privée des étudiants et des collaborateurs fait l objet d une attention particulière. Les organismes qui gèrent des informations relatives à la sphère privée, notamment les dossiers médicaux et les dossiers du personnel, sont tenus d en assurer la confidentialité. :397 %:)> '6-g 0% &39',) +6%2() 39:)68) )8 :397 %:)> %-27- %:%0g 92) %&)-00) 1327-)96 0) &%632 :397 Ç8)7 8634 (6Ð0) %00327 4)8-8 '%',388-)6.) 79-7 7Ô6) 59) :397 2) 1 %:)> 4%7 8398 6g:g0g %66Ç8)> f% 8398 () 79-8) 1)2732+)7 '%0312-)7 +666 Des campagnes de sensibilisation et d information sont organisées par la Direction de l organisme en compléments des autres mesures de sécurité. + &692)88-. %- 8639:g 32 :% 6-+30)6

Risque Internet Gérer son image et sa réputation Eviter les prédateurs

Veille d information Comment faites-vous?

)2 7 89 :3-7 %:)' ') 03+-'-)0 32 ',%2+) () '390)967 32 (g8396) 32 *%-8 92) 239:)00) '31437-8-32 )8 ' )78 (%27 0) 7%' 4%7 () *6%-7 () 4,383+6%4,) 4396 832 7-8) -0 79**-8 ( )2 8639:)6 92 59-8) 40%-8 32 '366-+) 92 4)9 0) +6%4,-71) 32 ',%2+) 92 4)9 0) 8)<8) )8,34 2- :9 2- '3229 :%7 1) ',)6',)6 &3-6) f% 1) (322) 73-* ( Ç86) 92 +g2-) Traque aux pirates WIVZqW % P YWEKI I\GPYWMJ HI PE,)7 73 1%-7 232 > 328 59 4%7 49 &0-)6 0)967 86%:%9< 796 0) 2)8 89 2) 6-759)7 6-)2 mercredi, 2 décembre 2009 %003 # ' )78 &-)2 :397 1327-)96 (9 1%0-2 #,)9 39-

0) 7%' 4%7 (),383+6%4,) )7 73 49 :%9< 6-)2 )8,34 2- :9 2- '3229 :%7 1) ',)6',)6 &3-6) f% 1) (322) 73-* ( Ç86) 92 +g2-) %003 # ' )78 &-)2 :397 1327-)96 (9 1%0-2 #,)9 39- Les droits d auteur et les droits voisins 430-').9(-'-%-6) 2397 %:327 59)059)7 59)7 8-327 :397 437)6 Les droits d auteur sont des monopoles limités dans le temps permettant à l auteur d autoriser ou d interdire une utilisation déterminée de son œuvre. En plus, le droit d auteur protège aussi le lien qui unit l auteur à son oeuvre, sa créativité et sa personnalité. Les droits voisins protègent les personnes qui interprètent, enregistrent et diffusent les oeuvres.

)8,34 2- :9 2- '3229 :%7 1) ',)6',)6 &3-6) f% 1) (322) 73-* ( Ç86) 92 +g2-) ' )78 (%27 0) 7%' 4%7 () *6%-7 () 4,383+6%4,) Ce que vous devez éviter de faire en tant qu individu: % P YWEKI I\GPYWMJ HI PE,)7 73 1%-7 232 > 328 59 4%7 49 0-)6 0)967 86%:%9< 796 0) 2)8 9 2) 6-759)7 6-)2 %003 # ' )78 &-)2 :397 1327-)96 (9 1%0-2 #,)9 39- Eviter de télécharger des films, des fichiers musicaux, des jeux vidéo ou des logiciels proposés sur Internet sans aucun respect des droits d auteur. 430-').9(-'-%-6) 2397 %:327 59)059)7 59)7 8-327 :397 437)6 Si vous voulez passer des morceaux de musique sur votre blog ou votre homepage, il faut, au préalable, demander l autorisation de tous les ayants droit. L insertion de liens renvoyant à des fichiers musicaux proposés illégalement par autrui sur l Internet est également interdite.

0) 7%' 4%7 (),383+6%4,) )8,34 2- :9 2- '3229 :%7 1) ',)6',)6 &3-6) f% 1) (322) 73-* ( Ç86) 92 +g2-) Au niveau de l organisation )7 73 49 :%9< 6-)2 %003 # ' )78 &-)2 :397 1327-)96 (9 1%0-2 #,)9 39- La gestion des politiques électroniques a une dimension stratégique qui relève de la direction générale. 430-').9(-'-%-6) 2397 %:327 59)059)7 59)7 8-327 :397 437)6 Identifier toutes les lois et tous les règlements touchant aux droits d auteur Sensibiliser et responsabiliser les cadres et les collaborateurs aux directives et procédures concernant les droits d auteur et les informer des sanctions encourues. Contrôler.

FVMWr Les mesures de sécurité 8)28%8-:)7 %:368g)7 92 79-'-() 6%8g 1%-7 ')88) *3-7 ' )78 *-2-3, 132 %1396.) 8 %-1) 89 )7 1)6 :)-00)9< ',g6-6)+%6() 92 7-140) '0-' )8 132 g(-8)96 6)f3-8 0) 631%2 )2 ()9< 7)'32 ()7 % 13-0% +03-6) )8 0% 'g0g&6-8g

Comment protéger votre système d information? Sécurité Prudence, vigilance et méthode Moyens techniques Programmes de sécurité Applications sécurisées

Sauvegarder Sécurité L incendie du Moulin Et chez vous?

Une copie de sécurité sur un media fiable Sécurité Contrôler que vos informations importantes sont sauvegardées Fichiers Bases de données Messagerie Carnet d adresses

Systèmes de sauvegarde Sécurité Quantité de produits: NtBackup Time-Machine Norton Ghost xcopy

Logiciel de protection Sécurité Anti-virus: mise à jour quotidienne, renouveler à l échance Anti-malware, protection Internet

20 Contrôles pour protéger le systèmes d information contre les cyber-attaques 1 Inventaire de toutes les machines (autorisées et non autorisées) Sécurité 2 Inventaire de tous les logiciels (autorisées et non autorisées) 3 Sécuriser les configurations matérielles et logicielles des portables, stations de travail et serveurs 4 Sécuriser les configurations des machines de réseau (firewall, routers, etc...)

20 Contrôles pour protéger le systèmes d information contre les cyber-attaques Sécurité 5 Protection des frontières 6 Enregistrement et analyse des fichiers log de sécurité 7 Sécurité des applications 8 Contrôle de l utilisation des privilèges administrateurs

20 Contrôles pour protéger le systèmes d information contre les cyber-attaques Sécurité 9 Contrôle des accès selon le besoin de savoir 10 Tests et réparation des vulnérabilités en continu 11 Monitoring et contrôle des comptes dormants 12 Protection contre les logiciels malveillants

20 Contrôles pour protéger le systèmes d information contre les cyber-attaques Sécurité 13 Contrôler les ports, les protocoles et les services 14 Contrôler les unités wifi 15 Protection contre les fuites d information 16 Sécurisez le réseau

20 Contrôles pour protéger le systèmes d information contre les cyber-attaques Sécurité 17 Red team exercices 18 Capacité à répondre aux incidents 19 Capacité de restaurer les données 20 Evaluation des compétences en sécurité et formation destiné à combler les lacunes

ISO 27000 Sécurité Réf: Etat de Vaud, Industrie de luxe, SSII, Loterie, ONG, Santé Analyse des risques ISO 27005 Standards de sécurité ISO 27002 Audit de sécurité ISO 27001

Autres normes Sécurité OCTAVE, CRAMM, MEHARI, etc.. CISA, CISSP, etc... etc...

Pour en savoir plus: http://www.cert.org/certcc.html http://www.melani.admin.ch/index.html?lang=fr http://isc.sans.org/index.html http://www.iss.net/ http://www.semafor-conseil.ch

Merci de votre confiance