AppréHensiondelaséCuritéInformatique

559 vues

Publié le

Intelligence économique/contre ingérence: stratégie techniques et ripostes juridiques pour protéger ses réseaux informatiques

0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
559
Sur SlideShare
0
Issues des intégrations
0
Intégrations
12
Actions
Partages
0
Téléchargements
7
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

AppréHensiondelaséCuritéInformatique

  1. 1. Appréhension de la sécurité informatique par le droit: une approche imparfaite Jacques – Louis Colombani AVOCAT 21//01/09
  2. 2. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>La notion de réseau </li></ul><ul><li>Un réseau est d’une part composé d’éléments physiques qui jouent un rôle distinct dans la circulation des biens et des services, mais aussi désormais de la monnaie et de l’information sensible; </li></ul><ul><li>Il est d’autre part composé de liaisons matérielles ou immatérielles qui doivent être protégées contre les intrusions. </li></ul><ul><li>La position française n’autorisant que le chiffrage d’intensité moyenne permet aux textes du code pénal (411-1 et 411-6) de s’appliquer: il faut en effet pouvoir raisonnablement et légalement accéder aux flux pour savoir ce qui se passe sur son réseau. </li></ul>
  3. 3. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>La notion de réseau </li></ul><ul><li>Les réseaux ont fortement évolué passant d’une architecture hiérarchisée de type GSM à une architecture complexe de type « Peer to Peer » (Annexe 1). </li></ul><ul><li>La protection des réseaux sensibles se heurte parfois à la protection des données personnelles d’où la nécessité: </li></ul><ul><li>1°) D’une charte d’utilisation qui soit connue des salariés et acceptée; </li></ul><ul><li>2°) De la mise en place d’une surveillance acceptable dans l’entreprise; </li></ul><ul><li>3°) De la désignation d’un correspondant CNIL dans l’entrepprise </li></ul><ul><li>Les principaux textes applicables et les autorités de contrôle </li></ul>
  4. 4. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les autorités de contrôle </li></ul><ul><li>Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques») </li></ul><ul><li>Exemple: Les Témoins de connexion («cookies») </li></ul><ul><li>Les témoins de connexion (cookies) sont des informations cachées échangées entre un utilisateur Internet et un serveur web, et sauvegardées dans un fichier sur le disque dur de l'utilisateur. Ces informations permettaient initialement la persistance d'informations entre deux connexions. Elles constituent aussi un outil de contrôle de l'activité de l'internaute souvent décrié. </li></ul><ul><li>La directive prévoit que les utilisateurs doivent avoir la possibilité de refuser qu'un témoin de connexion ou qu'un dispositif similaire soit placé sur leur équipement terminal. Pour ce faire, les utilisateurs devront également recevoir des informations claires et précises sur la finalité et le rôle des cookies . </li></ul>
  5. 5. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les autorités de contrôle </li></ul><ul><li>LE CONTROLEUR EUROPEEN DE LA PROTECTION DES DONNEES </li></ul><ul><li>Possède un site internet et est compétent popur juger de l’application des textes précités. </li></ul><ul><li>LA COMMISSION NATIONALE INFORMATIQUE ET LIBERTES </li></ul><ul><li>Cet organisme offre aux entreprises depuis la réforme de la loi informatique et libertés la possibilité de s’exonérer des déclarations systématiques par la mise en place d’un correspondant </li></ul>
  6. 6. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les autorités de contrôle </li></ul><ul><li>LA COMMISSION NATIONALE INFORMATIQUE ET LIBERTES </li></ul><ul><li>Cet organisme offre aux entreprises depuis la réforme de la loi informatique et libertés la possibilité de s’exonérer des déclarations systématiques par la mise en place d’un correspondant (Annexe 2). </li></ul>
  7. 7. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les autorités de contrôle </li></ul><ul><li>La Haute Autorité en charge de contrôler le téléchargement illicite de films ou de musique </li></ul><ul><li>Le site internet: internet.signalement.gouv.fr </li></ul><ul><li>permet désormais au ministère de l’intérieur de recevoir des plaintes directement </li></ul>
  8. 8. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les principales difficultés pour le contrôleur: </li></ul><ul><li>A/ Les attaques humaines dans l’entreprise </li></ul><ul><li>Mettre en place une charte de sécurité et des contrôles adaptés </li></ul><ul><li>B/ Les attaques extérieures « automatiques » </li></ul><ul><li>Mettre en place des logiciels adaptés qui ne causent pas eux-mêmes des dommages illicites (Fire wall/Fire wall) </li></ul><ul><li>DANS TOUS LES CAS RECHERCHER LA REPONSE JURIDIQUE OU CONCRETE QUI CORRESPONDE AUX DOMMAGES CONSTATES </li></ul>
  9. 9. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les principales manœuvres ou attaques </li></ul><ul><li>Manipulations des programmes </li></ul><ul><li>Manipulations sur le terminal </li></ul><ul><li>Manipulations à l’entrée ou à la sortie du terminal </li></ul><ul><li>Utilisation abusive des services informatiques </li></ul><ul><li>Manipulations de données à saisir à l’entrée du système </li></ul><ul><li>Espionnage </li></ul><ul><li>Vol de données/d’informations </li></ul><ul><li>Destruction ou altération de données </li></ul><ul><li>Atteintes aux logiciels </li></ul>
  10. 10. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les principales manœuvres ou attaques </li></ul><ul><li>Exemples: </li></ul><ul><li>Couper l’accès du réseau (déni de service). </li></ul><ul><li>Ecouter la bande passante: Un pirate peut écouter le trafic réseau aux heures de connexion du personnel, il pourra lire tous les noms d'utilisateurs ainsi que leur mot de passe, le sniffing est facilité par le WIFI ; </li></ul><ul><li>Analyser les flux « in » et « out » des machines à l’aide d’un scanner; </li></ul>
  11. 11. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les principales manœuvres ou attaques </li></ul><ul><li>Exemples: </li></ul><ul><li>Accès au réseau sous couvert de maintenance par un tiers </li></ul><ul><li>Trouver les mots de passe et code d’accès (les fournisseurs privés connaissent très souvent les mots de passe de leurs clients, il existe des logiciels dits « routines ») </li></ul>
  12. 12. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les principales manœuvres ou attaques </li></ul><ul><li>Exemples: </li></ul><ul><li>Usurpation de l'adresse IP </li></ul><ul><li>En changeant d'adresse IP, on peut se faire passer pour un autre ordinateur et obtenir des informations sensibles qui ne nous sont pas destinées. </li></ul><ul><li>Usurpation de l'adresse e-mail </li></ul><ul><li>Lors de la réception d'un courrier électronique, nous pouvons lire l'adresse de l'expéditeur. Mais, il est possible de changer l'adresse. Ainsi, un pirate peut vous envoyer un mail en usurpant l'adresse de votre supérieur. </li></ul><ul><li>Usurpation WEB </li></ul><ul><li>Phishing ou création de sites miroirs… </li></ul>
  13. 13. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les principales manœuvres ou attaques </li></ul><ul><li>Exemples: </li></ul><ul><li>Intrusion d’une machine entre deux machines connectées (Man in the middle) </li></ul><ul><li>Attendre que la victime se connecte au réseau pour… prendre sa place sur la session </li></ul><ul><li>Etc… </li></ul>
  14. 14. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manœuvres </li></ul><ul><li>L’intrusion dans un système de traitement informatisé de données: </li></ul><ul><li>Les actes d'intrusion informatique sont sanctionnés pénalement par l’article 323-1 du Code pénal qui incrimine le fait « d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données »(STAD). </li></ul><ul><li>Questions ouvertes: Le scannage des ports est–il interdit? </li></ul><ul><li>Certaines actions peuvent ainsi être effectuées de manière parfaitement légitime (un administrateur scanne ses machines pour identifier les logiciels utilisés dans son entreprise, dans le cadre de la réalisation de tests d’intrusion - ou par de simples curieux notamment des </li></ul><ul><li>personnes soucieuses de la sécurité qui souhaitent vérifier qu’une machine hébergeant des données est bien sécurisée). </li></ul>
  15. 15. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manoeuvres </li></ul><ul><li>La destruction de données est également pénalement réprimée </li></ul><ul><li>Il faut prendre des précautions (expert accompagnant l’huissier) pour ne pas altérer les machines que l’on souhaite auditer. </li></ul>
  16. 16. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manoeuvres </li></ul><ul><li>Les atteintes aux biens </li></ul><ul><li>REPONSE PENALE </li></ul><ul><li>- Escroquerie: Cyberbraquage du président </li></ul><ul><li>- Abus de confiance </li></ul><ul><li>- Vol: problème du caractère immatériel des données </li></ul>
  17. 17. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manoeuvres </li></ul><ul><li>Les atteintes aux biens </li></ul><ul><li>REPONSE CIVILE </li></ul><ul><li>Article 1382 C. Civ </li></ul><ul><li>Code de la propriété intellectuelle (contrefaçon) </li></ul>
  18. 18. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manoeuvres </li></ul><ul><li>Les atteintes aux personnes </li></ul><ul><li>Pédophilie, risques d’enlèvements etc… </li></ul>
  19. 19. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manoeuvres </li></ul><ul><li>Les atteintes aux bases de données (Loi du 1 er juillet 1998) </li></ul><ul><li>Les infractions propres à la CNIL </li></ul><ul><li>La CNIL redoute la centralisation en « une seule main » par un identifiant unique des données relatives à un individu ou un groupe. </li></ul>
  20. 20. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>Les réponses juridiques aux manoeuvres </li></ul><ul><li>Les infractions propres à la CNIL </li></ul><ul><li>Délit de création de fichiers clandestins </li></ul><ul><li>Délit d’enregistrement ou de conservation illicite d’informations nominatives </li></ul><ul><li>Divulgation illicite d’informations nominatives </li></ul><ul><li>Contravention d’entrave au droit d’accès et de communication de la CNIL </li></ul>
  21. 21. Appréhension de la sécurité informatique par le droit: une approche imparfaite <ul><li>MERCI! </li></ul><ul><li>QUESTIONS? </li></ul>

×