« Dis-moi Laurent, si je sais: détecter un mail frauduleux, me comporter intelligement sur le web, ne pas utiliser de supports externes inconnus sur mon pc et que je maintiens mes logiciels à jour, je ne risque rien ? »
Alors tu diminue grandement la capacité de nuisance des hakers, si en plus tu a des sauvegardes régulières, tu t’abrites des incidents divers et variés. Mais as-tu penser l’aspect juridique de ton système d’information? As-tu penser à tes droits et devoirs en cas de pertes d’informations? Connais-tu les systèmes de déclaations tant auprès des services de police que de la CNIL? Sais-tu si tu es sujet à la NIS2?
Tu connais le RGPD, la loi Informatique et Liberté! Mais connais-tu la loi Godeffrain, ou la Loi de Confiance en l’Economie Numérique, la propriété intellectuelle, la loi de programmation militaire, la loi de Protection du potentiel scientifique et technique et intelligence économique, les différents codes qui interagissent avec l’utilisation informatique?
Faisons donc un point sur l’aspect légal de ton utilisation informatique.
Et n’oublies pas: Nul n’est censé ignorer la loi! (Nemo censetur ignorare legem)
Hacker
« Dis-moi Laurent, c’est quoi ces histoires avec Lokbit ? Et quel intérêt aurait un hacker à me pirater ? »
Si je prends l’exemple récent de Thales. LockBit a publié, en début d’année, sur le Darkweb des données lui appartenant. Plusieurs intérêts : d’abord, il prouve que ses menaces sont suivies d’actions. Ensuite, LockBit étant une officine russe, dans le contexte, toute atteinte à un industriel occidental est bon à prendre. Dernier intérêt : l’argent. Aujourd’hui l’activité des hackers rapporte plus que le trafic de drogue ou la prostitution, les risques en moins.
Pour revenir sur l’attaque, ce n’est pas Thales qui a été piraté, mais un de ses clients. A travers lui, les pirates sont remontés jusqu’à la plateforme d’échange entre Thales et le client. Ils ont donc pris des données qui techniquement n’appartenaient plus vraiment à Thales.
Cependant, si le client avait été bien sécurisé, Lockbit n’aurait même pas mis un pied dans la porte.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
Antivol?
« Dis-moi Laurent, pourquoi mettre un antivol à mon PC ? »
Pour empêcher le vol de matériel par opportunisme. D’accord, si la personne a prévu de voler ton poste spécifiquement pour avoir accès à tes données, un bon coupe câble et ton pc s’envole. L’avantage, c’est que vis-à-vis des forces de l’ordre, il y a effraction et donc ta responsabilité est désengagée. Un pc sans câble antivol, c’est comme laisser sa voiture moteur tournant devant la boulangerie le temps de prendre sa baguette. Si quelqu’un va faire un tour avec et tue un piéton, tu es complice par manquement à une obligation de sécurité. En l’occurrence laisser sa voiture à la disposition de n’importe qui.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
Menace
« Dis-moi Laurent, c’est quoi une menace ? »
La menace c’est tous les éléments qui surveillent mes vulnérabilités et qui guettent le bon moment pour mener une attaque.
Les citrouilles, les sorcières, Belzébuth mènent le sabbat duquel sortiront codes malveillants, hackers, dysfonctionnements divers etc.
Lorsqu’une menace profite d’une vulnérabilité, alors nous parlerons d’attaque.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
Vulnérabilité
« Dis-moi Laurent, c’est quoi une vulnérabilité ? »
J’ai une pièce, un bien à l’intérieur et des ouvertures non protègées. Ce sont ces ouvertures qui forment les vulnérabilités de la pièce.
En informatique, une vulnérabilité est ce qui va permettre à une action malveillante de mettre en péril tout ou partie de votre système d’information.
Je vous parlerai la semaine prochaine de la menace.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
CNIL et RGPD
« Dis-moi Laurent, qu’elle est la différence entre CNIL et RGPD ? »
Ce sont deux postures réglementaires complémentaire. La CNIL, instituée par la loi 78-17 de juillet 1978, vise la protection des informations personnelles tant dans les fichiers papiers que les traitements automatisés et se base sur la déclaration des traitements.
Le RGPD est une posture européenne permettant à chaque personne d’avoir un accès aux collectes de données personnelles, de les faire modifier mais pas de les faire supprimer. Elle vise à imposer aux entreprises une mise en sécurité de ces données et à informer toute personne qui relève de sa collecte de l’objectif et de la durée de conservation de la donnée.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
PCA vs PRA
« Dis-moi Laurent, c’est quoi la différence entre un plan de continuité d’activité et un plan de reprise d’activité ? »
En fait c’est simple, le plan de continuité d’activité est un plan permettant à l’organisation de l’entreprise de faire face à un aléa sans interrompre son activité.
Le plan de reprise d’activité est un plan permettant de repartir après un accident industriel.
Par exemple :
Tu es hébergé chez OVH Strasbourg, malheureusement le datacenter brule. Tu n’as pas souscrit à l’externalisation des sauvegardes. Ton système d’information et tes données sont irrémédiablement perdus. Avec un PRA, tu aurais un plan B chez un autre hébergeur avec tes données exportées et une perte minime en temps d’arrêt.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
PCA
« Dis-moi Laurent, c’est quoi un plan de continuité d’activité ? »
C’est ce qui va te permettre de survivre. Une fois que l’on a étudié l’ensemble de tes risques, on va remédier les plus critiques en diminuant au maximum l’impact ou la survenue du risque. Bien évidemment il est des choses sur lesquels nous n’avons pas de maitrise : incendie de l’hébergeur, crue centennale, effraction, calamités, pandémie, etc…
Mais pour chaque élément que nous ne maitrisons pas, nous prévoyons une solution de contournement afin d’être le moins longtemps à l’arrêt et pouvoir refaire entrer de l’argent dans notre entreprise.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
« Dis-moi Laurent, si j’achète un logiciel et que je l’installe tout seul, je n’ai aucun risque ? »
En fait, si tu l’installes sur ton PC, oui. Si tu l’installes sur un serveur pour qu’il soit accessible aux utilisateurs de ton informatique, je réponds non. Tu auras besoin de support pour s’assurer :
- Que ton serveur est en capacité de le recevoir.
- Que le logiciel n’oblitère pas la sécurité des autres logiciels présents sur ton serveur.
- Que le logiciel ne sera pas une porte d’entrée pour une fuite de données
Et, quelques temps plus tard, tu auras besoin que j’audit l’évolution de la menace qui pèse sur ton logiciel et les autres hébergés dans ton système d’information.
BodyGuardInformatique #UnPhareDansLaTourmente #DismoiLaurent
Maintien en condition de sécurité
« Dis-moi Laurent, comment je sais si mes équipements sont au niveau de sécurité optimal ? »
Connais-tu la technologie embarquée ?
Connais-tu les menaces liées à ses technologies ?
Ben non, sinon je ne te poserai pas la question.
Alors je te propose : j’audit tes équipements, leur niveau de sécurisation. Je fais une veille technologique sur les menaces potentielles et les contremesures. Je te propose des solutions à mettre en œuvre.