SlideShare une entreprise Scribd logo
1  sur  16
Télécharger pour lire hors ligne
Cybersurveillance : Risques & opportunités
Thierry PERTUS
Décembre 2016
Cybersurveillance : Risques & opportunités
Décembre2016 p 2
►Avant-propos
Le cadre légal et réglementaire se durcissant, les entreprises portant des activités critiques, OIV en première ligne, sont
désormais enjointes à mettre en place une véritable stratégie de cyberdéfense, se voulant à la fois homogène, cohérente et
proportionnée aux risques identifiés. Parmi le panel de mesures organisationnelles et techniques à implémenter conformément
aux objectifs fixés, la cybersurveillance, qui constitue l’une des clés de voûte du dispositif de lutte contre la cybercriminalité, est
cependant susceptible de se heurter aux restrictions liées à la « privacy », préservation de la vie privée oblige. A l’échelle du
territoire national et notamment de l’espace public, le simple dilemme, induit par la dualité « sécurité nationale » versus
« libertés individuelles », « état d’urgence » opposé à « Etat de droit », peut devenir cas de conscience, au regard de finalités de
traitement susceptibles d’être à géométrie variable.
Vous pouvez lire la version intégrale de l’article sur le site GlobalSecurityMag.fr
Cybersurveillance : Risques & opportunités
p 3
La cybersurveillance au sein des entreprises :
La confiance n’exclut pas le contrôle
Décembre2016
Cybersurveillance : Risques & opportunités
p 4
ID Règle de sécurité Domaine d’action
1 Politique de sécurité des systèmes d’information Gouvernance
2 Homologation de sécurité Maîtrise des risques
3 Cartographie Maîtrise du SI
4 Maintien en conditions de sécurité Maîtrise du SI
5 Journalisation Gestion des incidents
6 Corrélation et analyse de journaux Gestion des incidents
7 Détection Gestion des incidents
8 Traitement des incidents de sécurité Gestion des incidents
9 Traitement des alertes Gestion des incidents
10 Gestion de crises Gestion des incidents
11 Identification Protection du SI
12 Authentification Protection du SI
13 Droits d’accès Protection du SI
14 Comptes d’administration Protection du SI
15 Systèmes d’information d’administration Protection du SI
16 Cloisonnement Protection du SI
17 Filtrage Protection du SI
18 Accès à distance Protection du SI
19 Installation de services et d’équipements Protection du SI
20 Indicateurs Gouvernance
Cybersurveillance
Règles de sécurité LPM (cf. arrêtés sectoriels) en lien avec l’activité de cybersurveillance
Décembre2016
Cybersurveillance : Risques & opportunités
p 5
Objectifs et mesures de cybersécurité Vigipirate 2014 en lien avec l’activité de cybersurveillance
Cybersurveillance
Décembre2016
Cybersurveillance : Risques & opportunités
p 6
Licéité, loyauté, transparence
Limitation des finalités
Minimisation des données
Exactitude
Limitation de la conservation
Intégrité et confidentialité
Responsabilité
RGPD*
(Chapitre II, article 5)
RSE**
(éthique)
Sécurité
de l’information
Principes relatifs aux traitements DCP (RGPD) et domaines connexes
Décembre2016
* Règlement Général sur la Protection des Données (2016/679/UE)
** Responsabilité Sociétale des Entreprises (cf. ISO 26000)
Cybersurveillance : Risques & opportunités
p 7
Correspondance RGPD ISO/IEC 29100 entre principes relatifs aux traitements DCP
ID Privacy principles
1 Consent and choice
2 Purpose legitimacy and specification
3 Collection limitation
4 Data minimization
5 Use, retention and disclosure
limitation
6 Accuracy and quality
7 Openness, transparency and notice
8 Individual participation and access
9 Accountability
10 Information security
11 Privacy compliance
GDPR*
(Chapter II, article 5)
ISO/IEC 29100 - Privacy Framework
(Chapter 5)
Lawfulness, Fairness
and Transparency
Purpose limitation
Data minimisation
Accuracy
Storage limitation
Integrity and Confidentiality
Accountability
Décembre2016
* General Data Protection Regulation (2016/679/EU)
Cybersurveillance : Risques & opportunités
p 8
S W
O T
AVANTAGES INCONVENIENTS
MENACES
 Risque de non-conformité aux obligations légales de
respect de la vie privée et protection des DCP
 Risque de litige avec les partenaires sociaux
 Risque d’exploitation des données de collecte
par un tiers (par espionnage ou exfiltration)
 Conformité aux obligations légales
de cybersurveillance (traçabilité, voire détection)
 Renseignement (par interception)
sur les organisations criminelles et leur projets
 Analyse tendancielle statistique (non nominative)
des pratiques du personnel vis-à-vis d’Internet
 Détection proactive de la menace
et des violations des règles de sécurité en interne
 Aide au diagnostic et à la décision
en cas d’incident
 Effet dissuasif sur le personnel quant aux usages
inappropriés du SI
OPPORTUNITES
 Effort d’implémentation et de maintien à niveau
(SOC interne) / Coût de souscription (SOC externe)
 Risque d’inefficacité du SOC
(périmètre/infra/staffing/process inadéquats)
 Risque de sanction RH basée sur une exploitation illicite
ou déviante des données de collecte
SWOT* relatif aux projets de cybersurveillance en entreprise
Décembre2016
* Stengths, Weaknesses, Opportunities, Threats
Cybersurveillance : Risques & opportunités
p 9
Facteurs clés pour la définition d’une stratégie de cybersurveillance
Facteurs clés
 Identification du périmètre d’activités (Métier et/ou fonctions support) auquel appliquer une cybersurveillance
 Identification des macro-données (et propriétaire « data-owner » associé) liées au périmètre,
en précisant la présence éventuelle de DCP et leur sensibilité (niveau de classification)
 Identification des évènements redoutés au travers d’analyses d’impact conjointes ou dissociées,
sous l’angle de la prévention des risques métier par la cybersurveillance d’une part, et de la privacy d’autre part
 Définition de l’organisation du SOC (niveau d’expertise et de réactivité requis, plages horaires à couvrir et astreintes, entité
interne ou prestataire externe, localisation géographique, gouvernance, process opérationnels, CAPEX/OPEX* , …)
* Capital Expenditure / Operational Espenditure
 Détermination des données de collecte en sortie, strictement nécessaires et suffisantes
pour satisfaire aux finalités du traitement liées à l’activité de cybersurveillance
 Spécification des mesures techniques visant notamment à limiter le traitement des données de collecte (minimisation,
durée de conservation) et à éliminer la présence de données d’identification (PII*)
par anonymisation ou pseudonymisation (PET**)
* Personally Identifiable Information
** Privacy Enhancing Technology
 Vérification de la conformité légale du traitement pressenti par recours à une expertise juridique,
le RSSI, le CIL/DPO et les délégués du personnel étant à consulter, et le cas échéant de son adéquation
à la politique de protection des données et/ou à la charte éthique interne
Décembre2016
Cybersurveillance : Risques & opportunités
p 10
Aspects opérationnels clés liés à une stratégie de cybersurveillance
Aspects opérationnels
 Déploiement de l’infrastructure SOC (architecture de collecte et d’analyse SIEM/LM* centralisée ou distribuée, enclave
physique/logique, cloisonnement par zones, déport VPN, zones administration et exploitation, …)
* Security Incident & Event Management / Log Management
 Détourage du périmètre technique à monitorer (tout ou partie du système d’information)
 Cartographie détaillée du périmètre technique (décomposition des vues physiques et logiques L2 / L3)
et de l’ensemble des interfaces externes (interconnexions réseau)
 Identification des ressources sensibles (serveurs applicatifs, serveurs BDD, serveurs d’infrastructure, …)
 Cartographie des flux de communications (vue fonctionnelle Métier, vue protocolaire)
 Sélection des points stratégiques d’écoute (liens d’interconnexion, serveurs d’infrastructure, …)
pour la surveillance réseau via NIDS (sur déport TAP ou VLAN/port mirroring)
* Network Intrusion Detection System
 Sélection des sources de logs hôtes des systèmes stratégiques (passerelles firewall/vpn/web/messagerie, serveurs/sandbox
anti-malware, systèmes, services et applicatifs, …), incluant si possible les évènements systèmes, connexions, et opérations
(déploiement d’agents HIDS en complément le cas échéant)
* Host Intrusion Detection System
 Identification des artefacts IoC* à maintenir à jour (signatures anti-malware, black-list d’adresses IP/URL/DN
de botnet, hashs MD5 de fichiers malware, …), définition des règles statiques de corrélation d’évènements
pour des objectifs de conformité réglementaire (PCI-DSS, SoX, …)
* Indicator of Compromission
 Anticipation et prise en compte des évolutions sur le périmètre technique (architecture, nouveaux systèmes)
 Démarche d’amélioration continue (Analyse post-incidents, consolidation de la base incidents, plan de progrès)
Décembre2016
Cybersurveillance : Risques & opportunités
p 11
Targeting Reconnaissance Weaponization
Delivery
(payload)
Exploitation
(vulnerability)
Installation
(malware)
Command &
Control (C&C)
Action on
objectives
Lateral moves
Attack
triggering
Privilege
escalation
Data
gathering
Remote
control
System
compromise
Business
impact
Attack vector choice
& Payload development
Compromise perimeter
expansionCyber Attack Chain > APT
Cyber Defence Chain > stream ′′ threat & incident detection ′′
Threat Intelligence Collect, Monitor & Analyze
Security
Analytics
& Correlation
Objectives
Seclection
La chaine fonctionnelle de cybersurveillance en réponse aux APT* (Cyber Kill Chain)
Décembre2016
* Advanced Persistent Threat
Cybersurveillance : Risques & opportunités
p 12
La cybersurveillance d’Etat :
Quand la fin justifie les moyens … ou pas
Décembre2016
Cybersurveillance : Risques & opportunités
p 13
Loi sur la sécurité quotidienne (n° 2001-1062)
Loi d'orientation et de programmation pour la sécurité intérieure
(n° 2002-1094 dite « LOPSI »)
Loi pour la sécurité intérieure (n° 2003-239)
Loi sur la lutte contre le terrorisme (n° 2006-64)
Loi sur la conservation des données des communications électroniques
(n° 2006-358)
Loi d'orientation et de programmation pour la performance
de la sécurité intérieure (n° 2011-267 dite « LOPPSI 2 »)
Loi de programmation militaire
(n° 2013-1168 dite « LPM 2014-2019 »)
Loi relative au renseignement (n° 2015-1556)
Décret relatif à la création d’un Méga-fichier regroupant les passeports
et cartes nationales d'identité (Titres Electroniques Sécurisés, dit « TES »)
(n° 2016-1460 du 28 octobre 2016)
Historique du cadre législatif national lié à la cybersurveillance
Décembre2016
Cybersurveillance : Risques & opportunités
p 14
►Webographie
http://www.dictionnaire.enap.ca/dictionnaire/docs/definitions/defintions_francais/cybersurveillance.pdf
https://www.europol.europa.eu/newsletter/massive-changes-criminal-landscape
http://www.lefigaro.fr/international/2015/04/30/01003-20150430ARTFIG00135-accusations-d-espionnage-berlin-
aurait-aide-la-nsa-a-surveiller-l-elysee.php
http://rue89.nouvelobs.com/2015/05/31/etats-unis-patriot-act-vit-dernieres-heures-surveillance-259462
http://www.latribune.fr/technos-medias/internet/chiffrement-pourquoi-apple-resiste-au-fbi-et-a-la-nsa-552212.html
http://www.silicon.fr/protection-donnees-g29-cnil-declaration-commune-103732.html
https://www.cnil.fr/fr/les-bcr-regles-internes-dentreprise
Décembre2016
Cybersurveillance : Risques & opportunités
p 15
Source* : Matrix Reloaded (Warner Bros. / Maverick)
* Dialogues revisités ici dans le cadre du droit à la parodie (article L 122-5 du Code de la Propriété Intellectuelle)
Simple illusion d’optique, mon cher.
Je vais vous prescrire quelques pilules
Zion 6 pour traiter cette anomalie …
Bonjour Docteur,
Je ne sais pas pourquoi
mais j’ai le sentiment d’être surveillé
durant mes pauses café …
Décembre2016
Thierry PERTUS
Consultant senior
CISM, ISO/IEC 27001:2013 LI, ISO/IEC 27005:2011 RM
Cybersécurité
Powered by
securite@conix.fr
www.conix.fr
Keep control.

Contenu connexe

Tendances

Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31
Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31
Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31
ssuser0da89f
 
Des cyberattaques massives menacent les systèmes de contrôle industriel
Des cyberattaques massives menacent les systèmes de contrôle industrielDes cyberattaques massives menacent les systèmes de contrôle industriel
Des cyberattaques massives menacent les systèmes de contrôle industriel
fEngel
 
Sécurité Internet
Sécurité InternetSécurité Internet
Sécurité Internet
proximit
 

Tendances (20)

Maitriser la ssi pour les systèmes industriels
Maitriser la ssi pour les systèmes industrielsMaitriser la ssi pour les systèmes industriels
Maitriser la ssi pour les systèmes industriels
 
Etude Apec - La cybersécurité industrielle : tendances métiers dans l'industrie
Etude Apec - La cybersécurité industrielle : tendances métiers dans l'industrieEtude Apec - La cybersécurité industrielle : tendances métiers dans l'industrie
Etude Apec - La cybersécurité industrielle : tendances métiers dans l'industrie
 
ENFIN Cyber !
ENFIN Cyber !ENFIN Cyber !
ENFIN Cyber !
 
Principes de bon sens pour une gouvernance cyber sécurité efficiente
Principes de bon sens pour une gouvernance cyber sécurité efficientePrincipes de bon sens pour une gouvernance cyber sécurité efficiente
Principes de bon sens pour une gouvernance cyber sécurité efficiente
 
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
 
Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31
Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31
Cfcim clusim cybersecurite-mesures-accompagnement_2017-03-31
 
Cyberattaques : prenez de l’avance sur les cybercriminels
Cyberattaques : prenez de l’avance sur les cybercriminelsCyberattaques : prenez de l’avance sur les cybercriminels
Cyberattaques : prenez de l’avance sur les cybercriminels
 
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
 
Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3
 
Informatique et sécurité du système d'information : guide de bonnes pratiques...
Informatique et sécurité du système d'information : guide de bonnes pratiques...Informatique et sécurité du système d'information : guide de bonnes pratiques...
Informatique et sécurité du système d'information : guide de bonnes pratiques...
 
Des cyberattaques massives menacent les systèmes de contrôle industriel
Des cyberattaques massives menacent les systèmes de contrôle industrielDes cyberattaques massives menacent les systèmes de contrôle industriel
Des cyberattaques massives menacent les systèmes de contrôle industriel
 
Guide achat produits securite services confiance qualifies ANSSI 2015
Guide achat produits securite services confiance qualifies ANSSI 2015Guide achat produits securite services confiance qualifies ANSSI 2015
Guide achat produits securite services confiance qualifies ANSSI 2015
 
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innoverSortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
 
Cybersécurité en 2017 : à quoi s'attendre ?
Cybersécurité en 2017 : à quoi s'attendre ?Cybersécurité en 2017 : à quoi s'attendre ?
Cybersécurité en 2017 : à quoi s'attendre ?
 
Synthèse étude "Entreprises et cybersécurité à l’horizon 2020" Futuribles Int...
Synthèse étude "Entreprises et cybersécurité à l’horizon 2020" Futuribles Int...Synthèse étude "Entreprises et cybersécurité à l’horizon 2020" Futuribles Int...
Synthèse étude "Entreprises et cybersécurité à l’horizon 2020" Futuribles Int...
 
Classifier vos données pour envisager sereinement le Cloud et le BYOD !
Classifier vos données pour envisager sereinement le Cloud et le BYOD !Classifier vos données pour envisager sereinement le Cloud et le BYOD !
Classifier vos données pour envisager sereinement le Cloud et le BYOD !
 
Sécurité Internet
Sécurité InternetSécurité Internet
Sécurité Internet
 
Cyberdéfense-Eldorado-Emplois-Reconversion-v2r0
Cyberdéfense-Eldorado-Emplois-Reconversion-v2r0Cyberdéfense-Eldorado-Emplois-Reconversion-v2r0
Cyberdéfense-Eldorado-Emplois-Reconversion-v2r0
 
Présentation Méthode EBIOS Risk Manager
Présentation Méthode EBIOS Risk ManagerPrésentation Méthode EBIOS Risk Manager
Présentation Méthode EBIOS Risk Manager
 
Cybersécurité - Comment protéger ses activités ?
Cybersécurité - Comment protéger ses activités ?Cybersécurité - Comment protéger ses activités ?
Cybersécurité - Comment protéger ses activités ?
 

En vedette

En vedette (14)

Présentation RGPD règlement européen sur la protection des données personnelles
Présentation RGPD règlement européen sur la protection des données personnellesPrésentation RGPD règlement européen sur la protection des données personnelles
Présentation RGPD règlement européen sur la protection des données personnelles
 
earlegal #5 - Radiographie du délégué 
à la protection des données

earlegal #5 - Radiographie du délégué 
à la protection des données
earlegal #5 - Radiographie du délégué 
à la protection des données

earlegal #5 - Radiographie du délégué 
à la protection des données

 
Le numéro 42-43, printemps-été 2017
Le numéro 42-43, printemps-été 2017Le numéro 42-43, printemps-été 2017
Le numéro 42-43, printemps-été 2017
 
#NSD16 - cybersecurite - comment se protéger d’un point de vue légal & assura...
#NSD16 - cybersecurite - comment se protéger d’un point de vue légal & assura...#NSD16 - cybersecurite - comment se protéger d’un point de vue légal & assura...
#NSD16 - cybersecurite - comment se protéger d’un point de vue légal & assura...
 
HIT 2017 - ASIP Santé - Atelier N°3 Règlement européen sur la protection des ...
HIT 2017 - ASIP Santé - Atelier N°3 Règlement européen sur la protection des ...HIT 2017 - ASIP Santé - Atelier N°3 Règlement européen sur la protection des ...
HIT 2017 - ASIP Santé - Atelier N°3 Règlement européen sur la protection des ...
 
Le partenariat Virtualegis Nystek
Le partenariat Virtualegis NystekLe partenariat Virtualegis Nystek
Le partenariat Virtualegis Nystek
 
27/04/17 Séminaire Données Personnelles
27/04/17 Séminaire Données Personnelles27/04/17 Séminaire Données Personnelles
27/04/17 Séminaire Données Personnelles
 
GDPR - RGPD - Aspects Technico Légaux
GDPR - RGPD - Aspects Technico LégauxGDPR - RGPD - Aspects Technico Légaux
GDPR - RGPD - Aspects Technico Légaux
 
Présentation GDPR - Business & Decision
Présentation GDPR - Business & DecisionPrésentation GDPR - Business & Decision
Présentation GDPR - Business & Decision
 
RGPD : Enjeux, Impacts et opportunités
RGPD : Enjeux, Impacts et opportunitésRGPD : Enjeux, Impacts et opportunités
RGPD : Enjeux, Impacts et opportunités
 
Livre Blanc- Règlement Général européen sur la Protection des Données
Livre Blanc- Règlement Général européen sur la Protection des DonnéesLivre Blanc- Règlement Général européen sur la Protection des Données
Livre Blanc- Règlement Général européen sur la Protection des Données
 
Gestion des données personnelles : Comment Claranet participe à votre conform...
Gestion des données personnelles : Comment Claranet participe à votre conform...Gestion des données personnelles : Comment Claranet participe à votre conform...
Gestion des données personnelles : Comment Claranet participe à votre conform...
 
SunTseu Café croissants Marketo 4/07/2017 - RGPD
SunTseu Café croissants Marketo 4/07/2017 - RGPDSunTseu Café croissants Marketo 4/07/2017 - RGPD
SunTseu Café croissants Marketo 4/07/2017 - RGPD
 
Les "nouveaux droits clients" dans le rgpd
Les "nouveaux droits clients" dans le rgpdLes "nouveaux droits clients" dans le rgpd
Les "nouveaux droits clients" dans le rgpd
 

Similaire à Cybersurveillance : Risques & opportunités

Introduction Mobile Gov
Introduction Mobile GovIntroduction Mobile Gov
Introduction Mobile Gov
FinancialVideo
 

Similaire à Cybersurveillance : Risques & opportunités (20)

La sécurité au service de l’innovation [#CloudAccelerate 13/06/2014 @ IBM CC ...
La sécurité au service de l’innovation [#CloudAccelerate 13/06/2014 @ IBM CC ...La sécurité au service de l’innovation [#CloudAccelerate 13/06/2014 @ IBM CC ...
La sécurité au service de l’innovation [#CloudAccelerate 13/06/2014 @ IBM CC ...
 
Introduction Mobile Gov
Introduction Mobile GovIntroduction Mobile Gov
Introduction Mobile Gov
 
Conférence - Le métier du RSSI en pleine évolution - #ACSS2019
Conférence - Le métier du RSSI en pleine évolution -  #ACSS2019Conférence - Le métier du RSSI en pleine évolution -  #ACSS2019
Conférence - Le métier du RSSI en pleine évolution - #ACSS2019
 
#NSD15 - Intelligence juridique & systèmes d'informations
#NSD15 - Intelligence juridique & systèmes d'informations#NSD15 - Intelligence juridique & systèmes d'informations
#NSD15 - Intelligence juridique & systèmes d'informations
 
Cnil guide securite_personnelle
Cnil guide securite_personnelleCnil guide securite_personnelle
Cnil guide securite_personnelle
 
CNIL - Guide de la sécurité des données personnelles
CNIL - Guide de la sécurité des données personnellesCNIL - Guide de la sécurité des données personnelles
CNIL - Guide de la sécurité des données personnelles
 
2016 12-14 - Colloque SSI - L'analyse des risques intégrés aux projets si
2016 12-14 - Colloque SSI - L'analyse des risques intégrés aux projets si2016 12-14 - Colloque SSI - L'analyse des risques intégrés aux projets si
2016 12-14 - Colloque SSI - L'analyse des risques intégrés aux projets si
 
earlegal#7 - Sécurité informatique : entre obligations et opportunités. Comm...
earlegal#7 -  Sécurité informatique : entre obligations et opportunités. Comm...earlegal#7 -  Sécurité informatique : entre obligations et opportunités. Comm...
earlegal#7 - Sécurité informatique : entre obligations et opportunités. Comm...
 
2011 12 08 securite et plan de reprise d'activite by competitic
2011 12 08 securite et plan de reprise d'activite by competitic2011 12 08 securite et plan de reprise d'activite by competitic
2011 12 08 securite et plan de reprise d'activite by competitic
 
Ibm sécurité marcel labelle 16 9 pdf
Ibm sécurité marcel labelle 16 9 pdfIbm sécurité marcel labelle 16 9 pdf
Ibm sécurité marcel labelle 16 9 pdf
 
Competitic sécurite informatique - numerique en entreprise
Competitic   sécurite informatique - numerique en entrepriseCompetitic   sécurite informatique - numerique en entreprise
Competitic sécurite informatique - numerique en entreprise
 
Comment appliquer le principe du Privacy By Design
Comment appliquer le principe du Privacy By DesignComment appliquer le principe du Privacy By Design
Comment appliquer le principe du Privacy By Design
 
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdfresume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
 
earlegal #9 - Cyberattaque - Comment se préparer et bien s'assurer ?
earlegal #9 - Cyberattaque - Comment se préparer et bien s'assurer ?earlegal #9 - Cyberattaque - Comment se préparer et bien s'assurer ?
earlegal #9 - Cyberattaque - Comment se préparer et bien s'assurer ?
 
Vie privée et confidentialité de l’information dans les nuages: Utopique ou r...
Vie privée et confidentialité de l’information dans les nuages: Utopique ou r...Vie privée et confidentialité de l’information dans les nuages: Utopique ou r...
Vie privée et confidentialité de l’information dans les nuages: Utopique ou r...
 
Ageris software 2016
Ageris software 2016Ageris software 2016
Ageris software 2016
 
Competitic - Identifier et Protéger vos données sensibles
Competitic - Identifier et Protéger vos données sensiblesCompetitic - Identifier et Protéger vos données sensibles
Competitic - Identifier et Protéger vos données sensibles
 
Guide securite vd cnil
Guide securite vd cnilGuide securite vd cnil
Guide securite vd cnil
 
Trois principes pour améliorer la sécurité
Trois principes pour améliorer la sécuritéTrois principes pour améliorer la sécurité
Trois principes pour améliorer la sécurité
 
Ch3 4 cybercriminalite_gci
Ch3 4 cybercriminalite_gciCh3 4 cybercriminalite_gci
Ch3 4 cybercriminalite_gci
 

Cybersurveillance : Risques & opportunités

  • 1. Cybersurveillance : Risques & opportunités Thierry PERTUS Décembre 2016
  • 2. Cybersurveillance : Risques & opportunités Décembre2016 p 2 ►Avant-propos Le cadre légal et réglementaire se durcissant, les entreprises portant des activités critiques, OIV en première ligne, sont désormais enjointes à mettre en place une véritable stratégie de cyberdéfense, se voulant à la fois homogène, cohérente et proportionnée aux risques identifiés. Parmi le panel de mesures organisationnelles et techniques à implémenter conformément aux objectifs fixés, la cybersurveillance, qui constitue l’une des clés de voûte du dispositif de lutte contre la cybercriminalité, est cependant susceptible de se heurter aux restrictions liées à la « privacy », préservation de la vie privée oblige. A l’échelle du territoire national et notamment de l’espace public, le simple dilemme, induit par la dualité « sécurité nationale » versus « libertés individuelles », « état d’urgence » opposé à « Etat de droit », peut devenir cas de conscience, au regard de finalités de traitement susceptibles d’être à géométrie variable. Vous pouvez lire la version intégrale de l’article sur le site GlobalSecurityMag.fr
  • 3. Cybersurveillance : Risques & opportunités p 3 La cybersurveillance au sein des entreprises : La confiance n’exclut pas le contrôle Décembre2016
  • 4. Cybersurveillance : Risques & opportunités p 4 ID Règle de sécurité Domaine d’action 1 Politique de sécurité des systèmes d’information Gouvernance 2 Homologation de sécurité Maîtrise des risques 3 Cartographie Maîtrise du SI 4 Maintien en conditions de sécurité Maîtrise du SI 5 Journalisation Gestion des incidents 6 Corrélation et analyse de journaux Gestion des incidents 7 Détection Gestion des incidents 8 Traitement des incidents de sécurité Gestion des incidents 9 Traitement des alertes Gestion des incidents 10 Gestion de crises Gestion des incidents 11 Identification Protection du SI 12 Authentification Protection du SI 13 Droits d’accès Protection du SI 14 Comptes d’administration Protection du SI 15 Systèmes d’information d’administration Protection du SI 16 Cloisonnement Protection du SI 17 Filtrage Protection du SI 18 Accès à distance Protection du SI 19 Installation de services et d’équipements Protection du SI 20 Indicateurs Gouvernance Cybersurveillance Règles de sécurité LPM (cf. arrêtés sectoriels) en lien avec l’activité de cybersurveillance Décembre2016
  • 5. Cybersurveillance : Risques & opportunités p 5 Objectifs et mesures de cybersécurité Vigipirate 2014 en lien avec l’activité de cybersurveillance Cybersurveillance Décembre2016
  • 6. Cybersurveillance : Risques & opportunités p 6 Licéité, loyauté, transparence Limitation des finalités Minimisation des données Exactitude Limitation de la conservation Intégrité et confidentialité Responsabilité RGPD* (Chapitre II, article 5) RSE** (éthique) Sécurité de l’information Principes relatifs aux traitements DCP (RGPD) et domaines connexes Décembre2016 * Règlement Général sur la Protection des Données (2016/679/UE) ** Responsabilité Sociétale des Entreprises (cf. ISO 26000)
  • 7. Cybersurveillance : Risques & opportunités p 7 Correspondance RGPD ISO/IEC 29100 entre principes relatifs aux traitements DCP ID Privacy principles 1 Consent and choice 2 Purpose legitimacy and specification 3 Collection limitation 4 Data minimization 5 Use, retention and disclosure limitation 6 Accuracy and quality 7 Openness, transparency and notice 8 Individual participation and access 9 Accountability 10 Information security 11 Privacy compliance GDPR* (Chapter II, article 5) ISO/IEC 29100 - Privacy Framework (Chapter 5) Lawfulness, Fairness and Transparency Purpose limitation Data minimisation Accuracy Storage limitation Integrity and Confidentiality Accountability Décembre2016 * General Data Protection Regulation (2016/679/EU)
  • 8. Cybersurveillance : Risques & opportunités p 8 S W O T AVANTAGES INCONVENIENTS MENACES  Risque de non-conformité aux obligations légales de respect de la vie privée et protection des DCP  Risque de litige avec les partenaires sociaux  Risque d’exploitation des données de collecte par un tiers (par espionnage ou exfiltration)  Conformité aux obligations légales de cybersurveillance (traçabilité, voire détection)  Renseignement (par interception) sur les organisations criminelles et leur projets  Analyse tendancielle statistique (non nominative) des pratiques du personnel vis-à-vis d’Internet  Détection proactive de la menace et des violations des règles de sécurité en interne  Aide au diagnostic et à la décision en cas d’incident  Effet dissuasif sur le personnel quant aux usages inappropriés du SI OPPORTUNITES  Effort d’implémentation et de maintien à niveau (SOC interne) / Coût de souscription (SOC externe)  Risque d’inefficacité du SOC (périmètre/infra/staffing/process inadéquats)  Risque de sanction RH basée sur une exploitation illicite ou déviante des données de collecte SWOT* relatif aux projets de cybersurveillance en entreprise Décembre2016 * Stengths, Weaknesses, Opportunities, Threats
  • 9. Cybersurveillance : Risques & opportunités p 9 Facteurs clés pour la définition d’une stratégie de cybersurveillance Facteurs clés  Identification du périmètre d’activités (Métier et/ou fonctions support) auquel appliquer une cybersurveillance  Identification des macro-données (et propriétaire « data-owner » associé) liées au périmètre, en précisant la présence éventuelle de DCP et leur sensibilité (niveau de classification)  Identification des évènements redoutés au travers d’analyses d’impact conjointes ou dissociées, sous l’angle de la prévention des risques métier par la cybersurveillance d’une part, et de la privacy d’autre part  Définition de l’organisation du SOC (niveau d’expertise et de réactivité requis, plages horaires à couvrir et astreintes, entité interne ou prestataire externe, localisation géographique, gouvernance, process opérationnels, CAPEX/OPEX* , …) * Capital Expenditure / Operational Espenditure  Détermination des données de collecte en sortie, strictement nécessaires et suffisantes pour satisfaire aux finalités du traitement liées à l’activité de cybersurveillance  Spécification des mesures techniques visant notamment à limiter le traitement des données de collecte (minimisation, durée de conservation) et à éliminer la présence de données d’identification (PII*) par anonymisation ou pseudonymisation (PET**) * Personally Identifiable Information ** Privacy Enhancing Technology  Vérification de la conformité légale du traitement pressenti par recours à une expertise juridique, le RSSI, le CIL/DPO et les délégués du personnel étant à consulter, et le cas échéant de son adéquation à la politique de protection des données et/ou à la charte éthique interne Décembre2016
  • 10. Cybersurveillance : Risques & opportunités p 10 Aspects opérationnels clés liés à une stratégie de cybersurveillance Aspects opérationnels  Déploiement de l’infrastructure SOC (architecture de collecte et d’analyse SIEM/LM* centralisée ou distribuée, enclave physique/logique, cloisonnement par zones, déport VPN, zones administration et exploitation, …) * Security Incident & Event Management / Log Management  Détourage du périmètre technique à monitorer (tout ou partie du système d’information)  Cartographie détaillée du périmètre technique (décomposition des vues physiques et logiques L2 / L3) et de l’ensemble des interfaces externes (interconnexions réseau)  Identification des ressources sensibles (serveurs applicatifs, serveurs BDD, serveurs d’infrastructure, …)  Cartographie des flux de communications (vue fonctionnelle Métier, vue protocolaire)  Sélection des points stratégiques d’écoute (liens d’interconnexion, serveurs d’infrastructure, …) pour la surveillance réseau via NIDS (sur déport TAP ou VLAN/port mirroring) * Network Intrusion Detection System  Sélection des sources de logs hôtes des systèmes stratégiques (passerelles firewall/vpn/web/messagerie, serveurs/sandbox anti-malware, systèmes, services et applicatifs, …), incluant si possible les évènements systèmes, connexions, et opérations (déploiement d’agents HIDS en complément le cas échéant) * Host Intrusion Detection System  Identification des artefacts IoC* à maintenir à jour (signatures anti-malware, black-list d’adresses IP/URL/DN de botnet, hashs MD5 de fichiers malware, …), définition des règles statiques de corrélation d’évènements pour des objectifs de conformité réglementaire (PCI-DSS, SoX, …) * Indicator of Compromission  Anticipation et prise en compte des évolutions sur le périmètre technique (architecture, nouveaux systèmes)  Démarche d’amélioration continue (Analyse post-incidents, consolidation de la base incidents, plan de progrès) Décembre2016
  • 11. Cybersurveillance : Risques & opportunités p 11 Targeting Reconnaissance Weaponization Delivery (payload) Exploitation (vulnerability) Installation (malware) Command & Control (C&C) Action on objectives Lateral moves Attack triggering Privilege escalation Data gathering Remote control System compromise Business impact Attack vector choice & Payload development Compromise perimeter expansionCyber Attack Chain > APT Cyber Defence Chain > stream ′′ threat & incident detection ′′ Threat Intelligence Collect, Monitor & Analyze Security Analytics & Correlation Objectives Seclection La chaine fonctionnelle de cybersurveillance en réponse aux APT* (Cyber Kill Chain) Décembre2016 * Advanced Persistent Threat
  • 12. Cybersurveillance : Risques & opportunités p 12 La cybersurveillance d’Etat : Quand la fin justifie les moyens … ou pas Décembre2016
  • 13. Cybersurveillance : Risques & opportunités p 13 Loi sur la sécurité quotidienne (n° 2001-1062) Loi d'orientation et de programmation pour la sécurité intérieure (n° 2002-1094 dite « LOPSI ») Loi pour la sécurité intérieure (n° 2003-239) Loi sur la lutte contre le terrorisme (n° 2006-64) Loi sur la conservation des données des communications électroniques (n° 2006-358) Loi d'orientation et de programmation pour la performance de la sécurité intérieure (n° 2011-267 dite « LOPPSI 2 ») Loi de programmation militaire (n° 2013-1168 dite « LPM 2014-2019 ») Loi relative au renseignement (n° 2015-1556) Décret relatif à la création d’un Méga-fichier regroupant les passeports et cartes nationales d'identité (Titres Electroniques Sécurisés, dit « TES ») (n° 2016-1460 du 28 octobre 2016) Historique du cadre législatif national lié à la cybersurveillance Décembre2016
  • 14. Cybersurveillance : Risques & opportunités p 14 ►Webographie http://www.dictionnaire.enap.ca/dictionnaire/docs/definitions/defintions_francais/cybersurveillance.pdf https://www.europol.europa.eu/newsletter/massive-changes-criminal-landscape http://www.lefigaro.fr/international/2015/04/30/01003-20150430ARTFIG00135-accusations-d-espionnage-berlin- aurait-aide-la-nsa-a-surveiller-l-elysee.php http://rue89.nouvelobs.com/2015/05/31/etats-unis-patriot-act-vit-dernieres-heures-surveillance-259462 http://www.latribune.fr/technos-medias/internet/chiffrement-pourquoi-apple-resiste-au-fbi-et-a-la-nsa-552212.html http://www.silicon.fr/protection-donnees-g29-cnil-declaration-commune-103732.html https://www.cnil.fr/fr/les-bcr-regles-internes-dentreprise Décembre2016
  • 15. Cybersurveillance : Risques & opportunités p 15 Source* : Matrix Reloaded (Warner Bros. / Maverick) * Dialogues revisités ici dans le cadre du droit à la parodie (article L 122-5 du Code de la Propriété Intellectuelle) Simple illusion d’optique, mon cher. Je vais vous prescrire quelques pilules Zion 6 pour traiter cette anomalie … Bonjour Docteur, Je ne sais pas pourquoi mais j’ai le sentiment d’être surveillé durant mes pauses café … Décembre2016
  • 16. Thierry PERTUS Consultant senior CISM, ISO/IEC 27001:2013 LI, ISO/IEC 27005:2011 RM Cybersécurité Powered by securite@conix.fr www.conix.fr Keep control.