Cybersécurité - Innovations digitales et numériques

Pour les plus réticents, rappelez-vous que :

1. Les recherches ont montré que 90 % des mots de passe sont vulnérables au piratage,

2. Les deux mots de passe le plus fréquemment utilisés sont "123456" et "mot de",

3. 1 internaute sur 5 a déjà vu ses comptes de réseaux sociaux compromis ou repris sans leur permission.

Croyez-le ou non, mais un mot de passe de huit caractères, même avec symboles différents et des mots ne figurant pas le dictionnaire, peut être craqué ! Cependant, un mot de passe aussi long par exemple que  "tremblement de terre dans le Sahara" prendrait plus d’un million d'années à être déchiffré.

Et oui, mesdames et messieurs, la taille importe bien quand il s'agit de mots de passe !

Contre toute attente, la Cour de justice de l’Union européenne (CJUE) a invalidé, mardi 8 avril, la directive européenne de 2006 sur la rétention de données personnelles par les opérateurs et autres prestataires de services de communications électroniques. Mise en place dans le cadre de la lutte antiterroriste suite aux attentats de Madrid (mars 2004) et de Londres (juillet 2005), cette directive impose la conservation des données de connexion sur une période pouvant aller jusqu’à deux ans. La cour européenne a jugé que la directive violait plusieurs droits fondamentaux en matière de vie privée.

A la lumière des résultats de cette première opération de contrôle, la Commission a conclu: «Peu de sites présentent un contenu relativement satisfaisant en matière de protection des données personnelles».
Créée en 2009, la CNDP a publié un document informatif regroupant les recommandations de la Commission en la matière, précisant que l'utilisation de ce document par les sites déjà contrôlés sera à nouveau soumise à des vérifications et que le non-respect par ces derniers des dispositions de la loi donnera lieu à des actions plus persuasives de la CNDP.

Une nouvelle affaire, en Grande-Bretagne cette fois, montre que si les données des clients ont de la valeur pour le cybercrime, celles des employés d’une entreprise sont elles aussi plus que sensibles. Près de 100 000 salariés de la chaîne de supermarchés Morrisons ont vu leurs données personnelles dérobées et publiées en ligne, a dû reconnaître le distributeur. Parmi les données volées, figurent les détails sur les coordonnées bancaires des personnes ainsi que leur adresse postale.

Selon nos confrères de TechWeek Europe, les données, qui concernent les employés travaillant dans les supermarchés mais aussi les dirigeants de l’entreprise, ont été copiées sur un support amovible au siège de la société, avant d’être envoyées à un journal local (le Telegraph & Argus). Ces données ont aussi été disponibles en ligne quelques heures.

« L’affaire Morrisons est un rappel opportun que les organisations ne peuvent plus adopter une approche de type ‘cela ne m’arrivera pas’ quand il s’agit de sécuriser les données sensibles, explique George Anderson, directeur marketing produit chez Webroot. Elle montre combien les données sensibles peuvent facilement tomber dans de mauvaises mains, même si celles-ci ne sont pas celles de pirates mais d’employés mécontents. » La déconvenue de la chaîne de supermarchés souligne également l’importance des politiques de sécurité et d’accès aux données.

L’ANSSI a mis en place différentes phases pour le déploiement et la gestion de la sécurité. Il s’agit d’un processus continu qui demande des efforts permanent de la part des entreprises mais dont le retour sur investissement se verra positif.

1. Il s’agit tout d’abord de procéder à la sensibilisation des personnels afin de les informer des différents risques liés aux règles d’ « hygiène informatique ». Une sensibilisation qui doit être régulière car les risques évoluent en permanence.

2. Par la suite il convient d’établir une cartographie des installations et une analyse des risques pour en aboutir à la définition de mesures de sécurité adéquates, dont les efforts sont « proportionnés aux enjeux et adaptés aux besoins réels ».

3. La prévention est le troisième grand principe de la SSI selon l’ANSSI qui consiste à protéger les installations en les entourant de plusieurs barrières de protection « autonomes et successives », ce qui devrait permettre de se protéger face aux menaces encore non identifiées.

4. Aussi il est pertinent d’accomplir la surveillance des installations et la détection des incidents, cela n’empêchera pas les incidents de se produire, mais cela aura comme conséquence de limiter autant que possible les effets néfastes. Ainsi plus l’incident est détecter tôt, plus il sera envisageable de mettre en place des mesures pour en réduire les effets.

5. Le traitement des incidents va de pair avec sa détection car elle va permettre notamment d’intégrer une phase d’analyse post incident qui entraînera une amélioration de l’efficacité des mesures de SSI misent en œuvre au préalable.

6.    D’autant que « la SSI est une action continue nécessitant des efforts permanents », c’est pourquoi il faut instaurer une veille sur les menaces et les vulnérabilités pour but de rester informé sur l’évolution de ces dernières.

7.    Enfin le dernier grand principe que considère l’ANSSI est la préparation face à des évènements exceptionnels qui n’auraient pas été mesurés ou prévus, ainsi des plans de reprise et de continuité d’activité (PRA/PCA/DRP) minimisent les impacts pour pouvoir redémarrer l’activité le plus rapidement possible.

Dans un message d’information en date du 5 mai, l’opérateur explique le contexte : « Le 18 avril, Orange a constaté un accès illégitime sur une plateforme technique d’envoi de courriers électroniques et de SMS qu’elle utilise pour ses campagnes commerciales. Cet accès a entraîné la copie d’un nombre limité de données personnelles concernant des clients et des prospects. »

Selon Orange, les données nominatives des personnes concernées : a minima nom et prénom. Sinon, d’autres données ont pu s’évaporer si les champs suivants ont été remplis : adresse mail, numéro de mobile, numéro de téléphone fixe, nom de l’opérateur mobile et Internet et date de naissance.

Symantec vient de publier le volume 19 de son rapport Internet Security Threat Report (ISTR 2014). Il en ressort que « le vol de données atteint des sommets avec des méga violations, estime Laurent Heslault, responsable stratégie sécurité pour la région EMEA chez l’éditeur de sécurité. Alors qu’on a compté une seule violation de plus de 10 millions d’informations en 2012, il y en a eu 8 en 2013. » Le cas Target aujourd’hui confronté à une kyrielle de procès en constitue la parfaite illustration. Sans oublier la fuite massive dont a été victime Adobe.

Un porte-parole d'Orange a déclaré à l'AFP que les données volées, qui concerneraient environ 800 000 clients de l'entreprise, comprennent les noms, prénoms, emails et adresses postales de ces derniers. Les mots de passe n'ont, eux, pas été récupérés. Néanmoins, les informations dérobées s'avèrent suffisantes pour composer une base de données pour des campagnes de phishing ou faciliter l'usurpation d'identité en ligne par le biais de courriels trompeurs.

Les clients touchés par cette intrusion, soit environ 3% du parc d'abonnés d'Orange, ont déjà reçu ou vont recevoir sous peu un mail d'alerte pour les mettre en garde contre d'éventuelles tentatives d'hameçonnage.