Cybersurveillance : Risques & opportunités

115 vues

Publié le

Conix - Cybersurveillance : Risques & opportunités

Publié dans : Développement personnel
0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
115
Sur SlideShare
0
Issues des intégrations
0
Intégrations
0
Actions
Partages
0
Téléchargements
17
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Cybersurveillance : Risques & opportunités

  1. 1. Cybersurveillance : Risques & opportunités Thierry PERTUS Décembre 2016
  2. 2. Cybersurveillance : Risques & opportunités Décembre2016 p 2 ►Avant-propos Le cadre légal et réglementaire se durcissant, les entreprises portant des activités critiques, OIV en première ligne, sont désormais enjointes à mettre en place une véritable stratégie de cyberdéfense, se voulant à la fois homogène, cohérente et proportionnée aux risques identifiés. Parmi le panel de mesures organisationnelles et techniques à implémenter conformément aux objectifs fixés, la cybersurveillance, qui constitue l’une des clés de voûte du dispositif de lutte contre la cybercriminalité, est cependant susceptible de se heurter aux restrictions liées à la « privacy », préservation de la vie privée oblige. A l’échelle du territoire national et notamment de l’espace public, le simple dilemme, induit par la dualité « sécurité nationale » versus « libertés individuelles », « état d’urgence » opposé à « Etat de droit », peut devenir cas de conscience, au regard de finalités de traitement susceptibles d’être à géométrie variable. Vous pouvez lire la version intégrale de l’article sur le site GlobalSecurityMag.fr
  3. 3. Cybersurveillance : Risques & opportunités p 3 La cybersurveillance au sein des entreprises : La confiance n’exclut pas le contrôle Décembre2016
  4. 4. Cybersurveillance : Risques & opportunités p 4 ID Règle de sécurité Domaine d’action 1 Politique de sécurité des systèmes d’information Gouvernance 2 Homologation de sécurité Maîtrise des risques 3 Cartographie Maîtrise du SI 4 Maintien en conditions de sécurité Maîtrise du SI 5 Journalisation Gestion des incidents 6 Corrélation et analyse de journaux Gestion des incidents 7 Détection Gestion des incidents 8 Traitement des incidents de sécurité Gestion des incidents 9 Traitement des alertes Gestion des incidents 10 Gestion de crises Gestion des incidents 11 Identification Protection du SI 12 Authentification Protection du SI 13 Droits d’accès Protection du SI 14 Comptes d’administration Protection du SI 15 Systèmes d’information d’administration Protection du SI 16 Cloisonnement Protection du SI 17 Filtrage Protection du SI 18 Accès à distance Protection du SI 19 Installation de services et d’équipements Protection du SI 20 Indicateurs Gouvernance Cybersurveillance Règles de sécurité LPM (cf. arrêtés sectoriels) en lien avec l’activité de cybersurveillance Décembre2016
  5. 5. Cybersurveillance : Risques & opportunités p 5 Objectifs et mesures de cybersécurité Vigipirate 2014 en lien avec l’activité de cybersurveillance Cybersurveillance Décembre2016
  6. 6. Cybersurveillance : Risques & opportunités p 6 Licéité, loyauté, transparence Limitation des finalités Minimisation des données Exactitude Limitation de la conservation Intégrité et confidentialité Responsabilité RGPD* (Chapitre II, article 5) RSE** (éthique) Sécurité de l’information Principes relatifs aux traitements DCP (RGPD) et domaines connexes Décembre2016 * Règlement Général sur la Protection des Données (2016/679/UE) ** Responsabilité Sociétale des Entreprises (cf. ISO 26000)
  7. 7. Cybersurveillance : Risques & opportunités p 7 Correspondance RGPD ISO/IEC 29100 entre principes relatifs aux traitements DCP ID Privacy principles 1 Consent and choice 2 Purpose legitimacy and specification 3 Collection limitation 4 Data minimization 5 Use, retention and disclosure limitation 6 Accuracy and quality 7 Openness, transparency and notice 8 Individual participation and access 9 Accountability 10 Information security 11 Privacy compliance GDPR* (Chapter II, article 5) ISO/IEC 29100 - Privacy Framework (Chapter 5) Lawfulness, Fairness and Transparency Purpose limitation Data minimisation Accuracy Storage limitation Integrity and Confidentiality Accountability Décembre2016 * General Data Protection Regulation (2016/679/EU)
  8. 8. Cybersurveillance : Risques & opportunités p 8 S W O T AVANTAGES INCONVENIENTS MENACES  Risque de non-conformité aux obligations légales de respect de la vie privée et protection des DCP  Risque de litige avec les partenaires sociaux  Risque d’exploitation des données de collecte par un tiers (par espionnage ou exfiltration)  Conformité aux obligations légales de cybersurveillance (traçabilité, voire détection)  Renseignement (par interception) sur les organisations criminelles et leur projets  Analyse tendancielle statistique (non nominative) des pratiques du personnel vis-à-vis d’Internet  Détection proactive de la menace et des violations des règles de sécurité en interne  Aide au diagnostic et à la décision en cas d’incident  Effet dissuasif sur le personnel quant aux usages inappropriés du SI OPPORTUNITES  Effort d’implémentation et de maintien à niveau (SOC interne) / Coût de souscription (SOC externe)  Risque d’inefficacité du SOC (périmètre/infra/staffing/process inadéquats)  Risque de sanction RH basée sur une exploitation illicite ou déviante des données de collecte SWOT* relatif aux projets de cybersurveillance en entreprise Décembre2016 * Stengths, Weaknesses, Opportunities, Threats
  9. 9. Cybersurveillance : Risques & opportunités p 9 Facteurs clés pour la définition d’une stratégie de cybersurveillance Facteurs clés  Identification du périmètre d’activités (Métier et/ou fonctions support) auquel appliquer une cybersurveillance  Identification des macro-données (et propriétaire « data-owner » associé) liées au périmètre, en précisant la présence éventuelle de DCP et leur sensibilité (niveau de classification)  Identification des évènements redoutés au travers d’analyses d’impact conjointes ou dissociées, sous l’angle de la prévention des risques métier par la cybersurveillance d’une part, et de la privacy d’autre part  Définition de l’organisation du SOC (niveau d’expertise et de réactivité requis, plages horaires à couvrir et astreintes, entité interne ou prestataire externe, localisation géographique, gouvernance, process opérationnels, CAPEX/OPEX* , …) * Capital Expenditure / Operational Espenditure  Détermination des données de collecte en sortie, strictement nécessaires et suffisantes pour satisfaire aux finalités du traitement liées à l’activité de cybersurveillance  Spécification des mesures techniques visant notamment à limiter le traitement des données de collecte (minimisation, durée de conservation) et à éliminer la présence de données d’identification (PII*) par anonymisation ou pseudonymisation (PET**) * Personally Identifiable Information ** Privacy Enhancing Technology  Vérification de la conformité légale du traitement pressenti par recours à une expertise juridique, le RSSI, le CIL/DPO et les délégués du personnel étant à consulter, et le cas échéant de son adéquation à la politique de protection des données et/ou à la charte éthique interne Décembre2016
  10. 10. Cybersurveillance : Risques & opportunités p 10 Aspects opérationnels clés liés à une stratégie de cybersurveillance Aspects opérationnels  Déploiement de l’infrastructure SOC (architecture de collecte et d’analyse SIEM/LM* centralisée ou distribuée, enclave physique/logique, cloisonnement par zones, déport VPN, zones administration et exploitation, …) * Security Incident & Event Management / Log Management  Détourage du périmètre technique à monitorer (tout ou partie du système d’information)  Cartographie détaillée du périmètre technique (décomposition des vues physiques et logiques L2 / L3) et de l’ensemble des interfaces externes (interconnexions réseau)  Identification des ressources sensibles (serveurs applicatifs, serveurs BDD, serveurs d’infrastructure, …)  Cartographie des flux de communications (vue fonctionnelle Métier, vue protocolaire)  Sélection des points stratégiques d’écoute (liens d’interconnexion, serveurs d’infrastructure, …) pour la surveillance réseau via NIDS (sur déport TAP ou VLAN/port mirroring) * Network Intrusion Detection System  Sélection des sources de logs hôtes des systèmes stratégiques (passerelles firewall/vpn/web/messagerie, serveurs/sandbox anti-malware, systèmes, services et applicatifs, …), incluant si possible les évènements systèmes, connexions, et opérations (déploiement d’agents HIDS en complément le cas échéant) * Host Intrusion Detection System  Identification des artefacts IoC* à maintenir à jour (signatures anti-malware, black-list d’adresses IP/URL/DN de botnet, hashs MD5 de fichiers malware, …), définition des règles statiques de corrélation d’évènements pour des objectifs de conformité réglementaire (PCI-DSS, SoX, …) * Indicator of Compromission  Anticipation et prise en compte des évolutions sur le périmètre technique (architecture, nouveaux systèmes)  Démarche d’amélioration continue (Analyse post-incidents, consolidation de la base incidents, plan de progrès) Décembre2016
  11. 11. Cybersurveillance : Risques & opportunités p 11 Targeting Reconnaissance Weaponization Delivery (payload) Exploitation (vulnerability) Installation (malware) Command & Control (C&C) Action on objectives Lateral moves Attack triggering Privilege escalation Data gathering Remote control System compromise Business impact Attack vector choice & Payload development Compromise perimeter expansionCyber Attack Chain > APT Cyber Defence Chain > stream ′′ threat & incident detection ′′ Threat Intelligence Collect, Monitor & Analyze Security Analytics & Correlation Objectives Seclection La chaine fonctionnelle de cybersurveillance en réponse aux APT* (Cyber Kill Chain) Décembre2016 * Advanced Persistent Threat
  12. 12. Cybersurveillance : Risques & opportunités p 12 La cybersurveillance d’Etat : Quand la fin justifie les moyens … ou pas Décembre2016
  13. 13. Cybersurveillance : Risques & opportunités p 13 Loi sur la sécurité quotidienne (n° 2001-1062) Loi d'orientation et de programmation pour la sécurité intérieure (n° 2002-1094 dite « LOPSI ») Loi pour la sécurité intérieure (n° 2003-239) Loi sur la lutte contre le terrorisme (n° 2006-64) Loi sur la conservation des données des communications électroniques (n° 2006-358) Loi d'orientation et de programmation pour la performance de la sécurité intérieure (n° 2011-267 dite « LOPPSI 2 ») Loi de programmation militaire (n° 2013-1168 dite « LPM 2014-2019 ») Loi relative au renseignement (n° 2015-1556) Décret relatif à la création d’un Méga-fichier regroupant les passeports et cartes nationales d'identité (Titres Electroniques Sécurisés, dit « TES ») (n° 2016-1460 du 28 octobre 2016) Historique du cadre législatif national lié à la cybersurveillance Décembre2016
  14. 14. Cybersurveillance : Risques & opportunités p 14 ►Webographie http://www.dictionnaire.enap.ca/dictionnaire/docs/definitions/defintions_francais/cybersurveillance.pdf https://www.europol.europa.eu/newsletter/massive-changes-criminal-landscape http://www.lefigaro.fr/international/2015/04/30/01003-20150430ARTFIG00135-accusations-d-espionnage-berlin- aurait-aide-la-nsa-a-surveiller-l-elysee.php http://rue89.nouvelobs.com/2015/05/31/etats-unis-patriot-act-vit-dernieres-heures-surveillance-259462 http://www.latribune.fr/technos-medias/internet/chiffrement-pourquoi-apple-resiste-au-fbi-et-a-la-nsa-552212.html http://www.silicon.fr/protection-donnees-g29-cnil-declaration-commune-103732.html https://www.cnil.fr/fr/les-bcr-regles-internes-dentreprise Décembre2016
  15. 15. Cybersurveillance : Risques & opportunités p 15 Source* : Matrix Reloaded (Warner Bros. / Maverick) * Dialogues revisités ici dans le cadre du droit à la parodie (article L 122-5 du Code de la Propriété Intellectuelle) Simple illusion d’optique, mon cher. Je vais vous prescrire quelques pilules Zion 6 pour traiter cette anomalie … Bonjour Docteur, Je ne sais pas pourquoi mais j’ai le sentiment d’être surveillé durant mes pauses café … Décembre2016
  16. 16. Thierry PERTUS Consultant senior CISM, ISO/IEC 27001:2013 LI, ISO/IEC 27005:2011 RM Cybersécurité Powered by securite@conix.fr www.conix.fr Keep control.

×