Résumé

Dans une société hyper concurrentielle, les entreprises dépendent très fortement de leurs systèmes d’information et d’Internet. Confrontées à de multiples attaques cybercriminelles, elles doivent relever le défi de la sécurité numérique. Mais alors :

Comment démêler les questions sociologiques des évolutions technologiques et des enjeux juridiques ?

Quels sont les risques majeurs et comment évaluer les menaces pour mieux se protéger ?

Comment peuvent s’adapter les décideurs ?

Comment doivent évoluer les pratiques de management en termes de gouvernance et d’économie de la sécurité globale ou d’implication des utilisateurs ?

Cet ouvrage analyse l’ensemble des démarches et outils indispensables pour un management innovant de la sécurité numérique. Il apporte aussi aux entreprises les clés pour une meilleure protection de l’information sensible dans un environnement complexe. Son approche stratégique est avant tout pragmatique, pour permettre de mieux maîtriser les risques numériques et d’anticiper les cyberattaques.

Biographie auteur

Créateur et dirigeant d’entreprises, Pierre-Luc Réfalo est conseil-expert en sécurité numérique auprès des entreprises. Il a été représentant au G8 et à la Commission européenne sur le cybercrime, la signature électronique et la vie privée. Il est membre du Comité de pilotage des Assises de la sécurité et des systèmes d’information et auteur des Livres bleus publiés à cette occasion depuis 2004.

www.editions-eyrolles.com

Pierre-Luc RÉFALO

La sécurité numérique
de l’entreprise

L’effet papillon du hacker

Groupe Eyrolles
61, bd Saint-Germain
75240 Paris cedex 05

www.editions-eyrolles.com

En application de la loi du 11 mars 1957, il est interdit de reproduire intégralement ou partiellement le présent ouvrage, sur quelque support que ce soit, sans autorisation de l’éditeur ou du Centre français d’exploitation du droit de copie, 20, rue des Grands-Augustins, 75006 Paris.

© Groupe Eyrolles, 2013
ISBN : 978-2-212-55525-7

Avertissement

Cet ouvrage n’aborde pas la question de la sécurité des systèmes d’information (SSI) de manière conventionnelle. L’approche n’est ni stratégique, ni technique ou opérationnelle, ni méthodologique voire juridique. Elle se veut pragmatique et surtout tactique. Elle s’appuie sur mes vingt ans d’expérience dans le domaine. Je poursuis les réflexions et les travaux présentés dans Sécuriser l’entreprise connectée¹ en 2002.

Centré sur l’entreprise, le propos n’exclut pas l’État et l’Europe et encore moins les individus (professionnels de la sécurité, dirigeants, managers, informaticiens, salariés, étudiants et citoyens). Chacun trouvera, je l’espère, des éléments qui l’intéresseront dans son contexte propre et selon son niveau de connaissance et d’appétence pour le sujet.

Le contenu s’appuie essentiellement sur les Livres bleus des Assises de la sécurité et des systèmes d’information auxquels j’ai eu l’honneur de participer depuis 2004. Ces travaux ont été menés en trois grandes phases : une phase d’exploration et d’introspection en trois temps a traité le management stratégique des cyber-risques (2004), les indicateurs et tableaux de bord en sécurité SI (2005), les grands défis des professionnels de la sécurité SI (2006). Puis, une phase d’ouverture et de découverte en deux étapes a étudié les pouvoirs en sécurité/sûreté (2007) et la sécurité globale (2008). Enfin, une phase de maîtrise et de professionnalisation en deux étapes a analysé la culture des risques informatiques/informationnels (2009) puis la dimension économique de la sécurité des systèmes d’information (2010).

Les questions de nature socio-économique abordées en 2009 et 2010 ont été approfondies dans le cadre d’un groupe de travail sur la fonction sécurité SI (SSI) et sur l’économie de la SSI mis en place depuis juin 2010 au sein du Cercle européen de la sécurité et dont les principaux enseignements seront également repris. En 2011, nous avons enfin transcendé l’ensemble de la dialectique autour d’une question de fond sur le secret et la confidentialité à l’ère du numérique.

À l’issue de ces huit années de travail, l’ensemble des documents représente près de 400 pages d’analyses, de questionnements et de recommandations qui restent, pour beaucoup, d’actualité et qui sont repris, mis à jour ou approfondis.

1. Éditions d’Organisation, octobre 2002 (disponible en e-book).

Préambule

« Lorsque le passé n’éclaire plus l’avenir,
l’esprit marche dans les ténèbres. »

Alexis de TOCQUEVILLE

L’effet papillon du hacker

19 mars 1999, Washington – 9 heures heure locale.

Un jeune Américain de 18 ans, Jay Satiro, est arrêté par le FBI pour s’être introduit frauduleusement sur le réseau d’AOL. Les préjudices sont estimés à 50 000 dollars malgré un discours rassurant du porte-parole sur l’absence d’impact pour les clients. Pour lui, l’intrusion « … should mean absolutly nothing for AOL members¹ ». Quelques instants plus tard, l’AFP répercute l’information en France. Cet événement va entraîner des conséquences qui n’auraient peut-être jamais permis l’écriture de ces lignes.

Vers 17 heures à Paris, un courriel...

Dix orientations possibles

REVENEZ AUX FONDAMENTAUX

Cette première orientation, énoncée en 2002, fait étrangement penser au back to basics¹ de Patrick Pailloux, directeur général de l’ANSSI², lors de la séance de clôture des Assises de la sécurité en octobre 2011. La sécurité est un mal nécessaire ! Chaque individu se passerait de ses contraintes et de ses coûts. La réalité nous oblige malgré tout à être acteur. Pourquoi ? Tout simplement parce que deux enjeux majeurs doivent animer en permanence les démarches : la protection des libertés individuelles, notamment la vie privée, et la protection du patrimoine et des biens nous obligent à être des acteurs responsables. Être responsable signifie se déterminer au niveau de l’art de la gestion des risques. Est-ce qu’on privilégie la maîtrise des vulnérabilités dans une approche « qualité » ou est-ce qu’on s’attache davantage aux menaces en veillant aux potentialités et aux réalités des attaques et des fraudes ?

PILOTEZ PAR OBJECTIFS…

… en adaptant en permanence les structures. La sécurité informatique nous a appris à cibler les objectifs en termes de confidentialité, d’intégrité, de disponibilité et de traçabilité. Ce paradigme doit être revu : plus que de disponibilité, c’est d’accessibilité et de performance ; plus que d’intégrité, c’est d’authenticité, de fiabilité, d’utilité, voire de pertinence ; plus que de confidentialité, c’est de propriété et de partage qu’il convient désormais de parler. Pour les domaines historiques, ce sont donc plus des questions de qualité que de sécurité qui nous intéressent aujourd’hui. Que reste-t-il alors des risques informatiques ? En quoi consiste désormais la cybersécurité ? Est-ce de la véritable gestion de risques ou bien de la qualité ? Est-ce bien investir ou ne pas dépenser ?

ÉLABOREZ PLUSIEURS POLITIQUES…

… en clarifiant les objectifs et les cibles. Si l’on a longtemps parlé de politique de sécurité, il convient désormais d’élaborer des politiques s’appuyant sur une charte d’entreprise et des guides de bonnes pratiques et de management. Ces derniers reposeront utilement sur les standards internationaux émergents. Les divergences d’intérêts et la complexité des contextes obligent à réduire le champ d’action des politiques à des enjeux précis, des activités ou des entités dûment identifiées.

REVOYEZ LES MOYENS D’ACTION…

… en vous recentrant sur le facteur humain. Les professionnels structurent les plans d’action en termes de prévention et de protection et, plus rarement, de détection et de réaction. […]

OUVREZ-VOUS À L’ENVIRONNEMENT ET À SES RISQUES

L’entreprise et l’administration ne sont plus des sanctuaires. Un domaine sensible comme la sécurité doit vivre sa révolution et s’ouvrir aux partenaires et aux concurrents. Partager sur ses bonnes et mauvaises expériences possède des avantages et des inconvénients. Les premiers dépassent désormais largement les seconds. Pouvoir disposer de retours d’expérience de tiers, de chiffres et de statistiques fiables et globaux nécessite que les entreprises, les offreurs, les associations et l’État coopèrent intelligemment.

REPENSEZ LES ARCHITECTURES TECHNIQUES

Prenez des risques ! Les moyens actuels sont trop complexes et trop nombreux. Concentrer les mécanismes qui s’adressent aux infrastructures, aux services et aux contenus et préparer les plates-formes « cryptographie » et « contrôle/surveillance » sont les véritables enjeux. […]

INVESTISSEZ DANS LES HOMMES

Les entreprises devraient pouvoir consacrer 10 % de leur budget de logiciels et matériels en formation de leurs collaborateurs. En fait, il serait plus intelligent de dépenser autant en formation qu’en moyens techniques. […]

RESPONSABILISEZ TROIS ACTEURS

L’essentiel est de savoir qui, en interne ou en externe, anticipe sur l’émergence des risques, élabore les règlements pertinents et conçoit les solutions adaptées. […]

SOUS-TRAITEZ TOUT CE QUI N’EST PAS STRATÉGIQUE

Le marché offre pratiquement tous les services possibles aux entreprises. Elles ont tout intérêt à se retourner vers des prestataires de qualité et expérimentés. […]

PRÉPAREZ-VOUS AU PIRE

Quoi que nous fassions, les fraudeurs et pirates auront toujours un temps d’avance. Ils disposent désormais au sein de groupes organisés, parfois d’essence criminelle, de moyens importants et d’une motivation très forte. Se préparer au pire consiste avant tout à identifier des scénarios d’incidents types et à mettre en place des processus de gestion de crise formels et opérationnels.

1. Dans son discours de clôture des Assises de la sécurité 2011, le directeur général de l’ANSSI avait dénoncé une « sécurité cache-sexe » et « essentiellement technique » par manque de respect de principes fondamentaux (« règles d’hygiène élémentaires ») par les informaticiens. Voir www.ssi.gouv.fr.

2. Agence nationale à la sécurité des systèmes...

2002 : la cybersurveillance naissante

Au-delà de ces dix orientations dont beaucoup restent d’actualité tout en devant être révisées et actualisées, la principale conclusion de l’ouvrage se focalisait sur l’émergence de la cybersurveillance. Maître Yves Bismuth avait alors apporté un éclairage d’une formidable perspicacité.

« La surveillance du réseau se déforme pour devenir une surveillance par le réseau. Ne pas y résister serait accepter une fausse liberté et une vraie atteinte à nos droits essentiels qui fondent notre identité humaine. Il est alors d’une importance cruciale de souligner que les droits fondamentaux de la personne humaine, énoncés à l’issue de la Seconde Guerre mondiale et à l’aube de l’ère de l’informatique, ne doivent pas être remis en question par une politique sécuritaire sans limites […].

Ainsi, l’entreprise, comme la société, devra faire, pour l’avenir et la sauvegarde de nos libertés, un choix fondamental entre un monde de défiance et un monde de confiance. Toutes les formes de clandestinité sont en effet à proscrire : celle de l’abus numérique par le salarié comme celle liberticide de sa surveillance déloyale. Chacun doit alors apprendre à prôner la jouissance paisible d’Internet. Mais il reste dès lors aux juges à explorer cette notion encore nouvelle en notre droit : celle du caractère raisonnable d’une attitude.

“Si tu es prêt à sacrifier un peu de ta liberté pour te sentir en sécurité, tu ne mérites ni l’une ni l’autre”, écrivait Thomas Jefferson.

Il est sûr que les chartes, droits et autres déclarations ne suffiront pas à nous préserver des dangers d’une information par trop libertaire : la mondialisation économique et financière, la globalisation des techniques, les flux transfrontières des données commandent le recours à l’éthique, une forme d’habeas data à l’échelon planétaire.

Utopie, me direz-vous, mais il est parfois bon de s’en nourrir pour ne pas y succomber car alors, mais alors seulement, ne pourra se réaliser la prophétie de Paul Valéry : “Il faudra bientôt construire des cloîtres rigoureusement isolés, où ni les feuilles, ni les ondes n’entreront… On y méprisera la vitesse, le nombre, les effets de masse, de surprise, de contraste, de nouveauté et de crédulité. C’est là qu’à certains jours on ira, à travers les grilles, considérer quelques spécimens d’hommes libres¹.” »

Par un heureux hasard, mon premier ouvrage se terminait par ces deux mots merveilleux : « hommes libres ». L’humain et la liberté, les deux idéaux pour lesquels il ne peut y avoir de sens dans tout combat, quel qu’il soit.

Je m’étais promis de poursuivre et de compléter ce premier travail, la maturité et l’expérience en plus. Je propose donc en 2012 La sécurité numérique de l’entreprise, un titre marquant à la fois une continuité (autour de l’entreprise) et une évolution majeure (le poids du numérique dans la société du XXIe siècle).

2002-2012 : déjà dix ans…

En dix ans, les usages du numérique se sont démocratisés. Sous le double effet de la baisse des coûts et de l’avènement de la génération Y avide de connectivité permanente (réseaux sociaux et smartphones)².

En dix ans, de « connectée », l’entreprise est devenue « numérique ». Renforçant le pouvoir des métiers et des utilisateurs face à une direction des SI souvent jugée dépensière et aux projets/services parfois inopportuns. En parallèle, la vulnérabilité de l’entreprise s’est accrue par sa dépendance au numérique et les ouvertures de plus en plus larges allant jusqu’aux systèmes industriels et techniques reliés à Internet.

En dix ans, le marché de la sécurité numérique n’a pas connu les crises et s’est considérablement développé profitant sans doute plus aux éditeurs qu’aux prestataires. Entre offreurs « juges et partis » trop nombreux, des consolidations inévitables devront encore avoir lieu.

En dix ans, la profession a été submergée par de nouveaux textes plus ou moins directement liés à la sécurité numérique : piratage en ligne et droits d’auteur, sécurité intérieure, confiance dans l’économie numérique, données à caractère personnel, etc. Une tendance qui pose la question d’un « code du numérique » à vocation internationale comme pour le transport maritime ou le transport aérien.

En dix ans, à l’heure du cloud computing et de la mobilité, les professionnels en charge de la sécurité des SI sont parfois passés du « technicien » empêcheur de tourner en rond au « stratège » apporteur de solutions concrètes. Une évolution qui pose la question des définitions d’emploi et de la professionnalisation du secteur, finalement très peu et mal représenté via des structures associatives ou non vraiment trop nombreuses (voir conclusion).

En dix ans, la cybercriminalité s’est organisée et professionnalisée, passant du « ludico-cupide » au « stratégico-économique », dans une sorte de cyberguerre impliquant États, entreprises et individus, voire toute organisation. Une économie parallèle s’est structurée menaçant les équilibres fragiles des démocraties et influençant les centres de décision (finance, industrie, assurance, etc.).

En dix ans, la cybersurveillance s’est aussi développée, pour le meilleur (sanctions justifiées et accélération des enquêtes criminelles par exemple) et pour le pire (atteintes à la vie privée par exemple). Les démocraties sont confrontées à un autre terrible dilemme : se battre pour le respect des libertés individuelles ne fait-il pas, parfois, le lit du crime organisé et du terrorisme ?

Dans un tel contexte, comment sécuriser l’entreprise à l’ère du numérique ?

1. Paul Valéry, Regards sur le monde actuel.

2. Selon une étude du cabinet MacKinsey, l’économie numérique (liée au Web) a représenté en 2009 3,2 % du PIB français (60 milliards d’euros) et est montée à 3,7 % en 2010 (72 milliards...

Introduction

« Être conscient de son ignorance, c’est tendre vers la connaissance.»

Benjamin DISRAELI

Ne pas perdre le fil

En 2002, j’avais retenu en couverture le labyrinthe de la cathédrale d’Amiens (comment ne pas se perdre à l’ère de la cybersécurité naissante ?). J’avais aussi choisi une dialectique temporelle et chronologique (D’où venons-nous ? Où sommes-nous ? Où allons-nous ?). J’avais posé des questions et surtout proposé des orientations structurées. J’avais pris le parti d’une conclusion ciblée sur la cybersurveillance et abordant la question de l’amour à l’ère d’Internet. Pas si « fou » que ça, pour celui qui intègre l’éthique à la gestion des risques numériques. La cyberéthique n’est-elle pas le chaînon manquant entre la cybercriminalité et la cybersurveillance ?

Depuis dix ans, je me suis concentré sur la dimension humaine des risques numériques. J’ai poursuivi l’aventure de la sensibilisation/formation fortement ancrée dans Sécuriser l’entreprise connectée. J’ai accompagné des dizaines de directeurs et responsables de la sécurité, dans tous les secteurs d’activité. Je n’ai pas perdu le fil de la problématique qui reste globalement politique et organisationnelle, beaucoup plus que technique et juridique, sans oublier les dimensions économique et culturelle. Par exemple, la globalisation et la consumérisation du numérique conduisent-elles à s’affranchir des questions culturelles (notion de propriété de l’immatériel par exemple) et économiques (valeur de l’information par exemple) ?

Tous ces aspects seront abordés dans cet ouvrage.

Mais en 2012, l’approche est très différente. Le colimaçon de la présente couverture propose une trajectoire d’élévation, verticale, pragmatique, pas à pas. Elle n’exclut ni descentes ni régressions. Au-delà des questions qui subsistent pour beaucoup, je propose...

PREMIÈRE PARTIE

Tout est risque à l’ère du numérique

« L’homme et sa sécurité doivent constituer la première préoccupation de toute aventure technologique. »

Albert EINSTEIN

Chapitre 1

Au cœur de la complexité

Pour les entreprises, leurs employés et clients, pour l’État et les citoyens, la globalisation de l’économie est source d’une complexité croissante et de nouveaux facteurs de risques. Porteuse de croissance et de prospérité dans les pays les moins développés, elle est aussi synonyme de crise financière, économique et sociale en Occident. Les événements des derniers mois, crise des dettes souveraines, printemps arabe et catastrophe de Fukushima, ajoutent à la complexité un paramètre majeur : l’incertitude. Qui peut dire ce que seront les situations politique, économique, sociale, etc., à un horizon d’un ou deux ans ? La...

Chapitre 2

Les risques numériques : défis du XXIe siècle

Des risques naturels aux risques psychologiques… et numériques

Les cyndinistes¹ ont formalisé une typologie de risques depuis les origines de l’humanité. Ils sont : naturels, stratégiques, industriels, psychologiques.

Les risques naturels nous rappellent chaque jour ou presque que l’homme et la nature sont bien démunis face aux ravages d’une tempête, d’un volcan, d’un tremblement de terre ou d’un tsunami. Notons au passage que la catastrophe de Fukushima a stigmatisé l’industrie nucléaire qui n’a fait aucune victime (mort) alors que le tsunami a provoqué plus de 10 000 morts ou disparus. Pourtant, des dizaines de centrales sont stoppées et les erreurs et négligences humaines ne manquent pas d’être mises en exergue lors des enquêtes sur la catastrophe. L’enjeu ici est de ne pas se trouver au mauvais endroit au mauvais moment…

Les risques stratégiques se traduisent dans des conflits militaires, religieux, ethniques ou politiques. Ils rappellent que la violence et la mort sont inscrites au plus profond de la nature humaine. À ce titre, nous pouvons remarquer que le XXe siècle fut sans doute le plus dramatique et le plus mortifère avec ses deux conflits planétaires, mais aussi que, depuis la chute du mur de Berlin, ce type de menace s’est profondément atténué sous le double effet de la construction européenne et du développement économique des pays émergents².

Les risques industriels marquent pour leur part les échecs de la science. Malgré les progrès majeurs qu’elle apporte depuis deux siècles, elle est aussi à l’origine de catastrophes terribles. Faut-il rappeler ici les explosions de Bhopal ou de Toulouse, les naufrages de l’Amoco Cadiz, du Prestige ou de l’Erika, l’explosion d’une plate-forme pétrolière dans le golfe du Mexique ? Nous pourrions ajouter à cette liste le scandale du Médiator, qui pose la question de l’usage détourné de produits chimiques aux effets secondaires qui peuvent être mortels.

À savoir

Nous voyons bien que les usages du numérique sont désormais au cœur des risques psychologiques qui marquent l’entrée dans le XXIe siècle.

Au-delà de la perception personnelle, individuelle, de leur réalité et de leur ciblage sur sa propre personne, la question concerne chaque entreprise, impliquée en tant que personne morale proposant des services dématérialisés, mais aussi en tant qu’acteur social et économique pour ses employés, usagers, clients, fournisseurs ou autres.

Les risques psychologiques sont les plus récents. Ils se caractérisent par un régime de « peur généralisée » dans le cadre des activités et des...

Chapitre 3

Au-delà des risques, les réponses juridiques

De la protection des données et du secret à la dissuasion/sanction

Moteur essentiel de la gestion des risques numériques, la dimension juridique n’est sans doute pas la plus simple à aborder. Depuis la Déclaration des droits de l’homme et du citoyen, « la propriété, la liberté et la sûreté comme la résistance à l’oppression sont les droits fondamentaux et inaliénables de l’individu ». Tous nos textes sont construits sur ces fondations. Les plus anciens comme « Informatique et libertés » (1978), « Fraude informatique » (1988), « Secret des correspondances » (1991) ou « Propriété intellectuelle » voire le nouveau Code pénal (1994) ont dû être adaptés et révisés face à l’importance accrue du numérique dans le développement de la société. Aujourd’hui, les textes plus récents, sur la preuve (2000) ou la signature électronique (2001), doivent aussi être repensés face à leur faible application depuis dix ans.

L’exigence sécuritaire et la frénésie législative ne sont plus à démontrer et le domaine de la sécurité numérique est touché de plein fouet par une profusion de textes depuis dix ans (nationaux comme directives et règlements européens), sans oublier les nombreux cas de jurisprudence qui défraient parfois la chronique. Des textes s’agrègent aux anciens, les complètent ou les modifient ne facilitant ni leur compréhension ni leur application. Les plus marquants ont été : une convention cybercriminalité du Conseil de l’Europe (2001), la loi sur la confiance dans l’économie numérique (2004), la création de la Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet et la loi Hadopi 2 (2009), ainsi que la loi d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI 2, 2011).

Les textes en préparation au moment où sont rédigées ces lignes, et sans préjuger des changements d’orientation liés à l’alternance politique en France, proposent des évolutions sans doute fondamentales et propices à renforcer quelques processus de base de la sécurité : la création d’un droit du secret des affaires (texte adopté à l’Assemblée nationale en janvier 2012), l’obligation faite à l’ensemble des entreprises de mettre en place une fonction de correspondant à la protection des données personnelles et de notifier toute atteinte/violation auxdites données (règlement européen s’imposant aux États membres sans transposition) et, enfin, une nouvelle approche du droit européen de la signature électronique en cours de préparation.

Maître Christiane Feral-Schuhl (bâtonnière du barreau de Paris) et maître Éric A. Caprioli répondent en 12 questions clés à ces sujets complexes mais passionnants et intéressant au plus haut point l’ensemble des acteurs de l’entreprise ou non concernés par la sécurité numérique.

F
A
Q

FAQ

Les événements majeurs de la décennie

Question 1 : Quel est l’événement le plus marquant dans le domaine juridique de la sécurité numérique depuis 2000 ? Pourquoi ?

Christiane Feral-Schuhl : Je considère que l’événement majeur est la loi du 13 mars 2000 qui a consacré l’écrit sous forme électronique par l’apposition d’une signature électronique. C’est une incroyable révolution qui consacre, au plan juridique, l’égalité de traitement entre l’écrit électronique et l’écrit « traditionnel » revêtu de la signature manuscrite.

En marge de cette révolution, il faut également signaler le référentiel général de sécurité (RGS) créé par une ordonnance de 2005 dont la version 1.0 a été publiée par arrêté du 18 mai 2010. Ce référentiel concerne toutes les administrations susceptibles d’échanger des données avec les usagers ou entre elles. L’objectif du RGS n’est pas d’imposer une technologie, une architecture ou une solution technique. En revanche, une administration doit s’y référer et respecter les règles édictées lorsqu’elle juge nécessaire de mettre en œuvre des fonctions de sécurité prévues dans le RGS.

Éric A. Caprioli : Selon moi, ce sont plusieurs événements qui pourraient être analysés séparément mais qui convergent vers un même objectif :

• la prise en compte des notifications des failles de sécurité au niveau européen par le biais de deux directives (directives 2009/140/CE et 2009/136/CE), transposées en droit français par l’ordonnance du 24 août 2011 et le projet de règlement européen sur la protection des données à caractère personnel qui va généraliser l’obligation de notification des violations de données personnelles à tous les responsables de traitement ;

• la création de l’ENISA (règlement [CE] n° 460/2004 du Parlement européen et du Conseil du 10 mars 2004 instituant l’Agence européenne chargée de la sécurité des réseaux et de l’information) et de l’ANSSI (Agence nationale de la sécurité des systèmes d’information – créée par le décret n° 2009-834 du 7 juillet 2009).

La sécurité des systèmes d’information est reconnue comme étant une priorité de l’Union européenne. En outre, l’intégration des notifications de failles de sécurité envoyées aux instances nationales (CNIL) en charge des données à caractère personnel et de la sécurité (ANSSI pour les violations des failles de sécurité) doit permettre d’établir des statistiques concernant le niveau de sécurité des entreprises françaises et européennes. Cela permettra de mieux gérer les risques (notamment opérationnels et juridiques) liés aux incidents de sécurité (par exemple : approche SIEM).

D’autres référentiels comme le Référentiel général de sécurité (authentification, signature, confidentialité et horodatage) et le Référentiel général d’interopérabilité (plus axé sur l’archivage) permettront d’assurer une meilleure sécurité des échanges électroniques.

F
A
Q

FAQ

La signature électronique

Question 2 : C’est un fait, le Code civil a été modifié le 13 mars 2000 pour y introduire la preuve électronique, texte extrêmement simple. Mais, pour paraphraser Napoléon¹, est-ce le « chaos à l’application » ?

CFS : Le « chaos » ? C’est excessif. Mais la France n’a pas choisi la formule la plus simple ! Elle a opté pour la « signature électronique avancée » qui exige, conformément à la directive européenne de 1999, quatre conditions cumulatives :

• être liée uniquement au signataire ;

• permettre de l’identifier ;

• être créée par des moyens que celui-ci puisse garder sous son contrôle exclusif ;

• être liée aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure de ces données soit détectable (dir. 1999/93/CE, art. 2.2).

Ces exigences ont été précisées par le décret n° 2001-272 du 30 mars 2001 qui fixe trois conditions à la reconnaissance de fiabilité d’un procédé de signature électronique, à savoir :

• l’usage d’une signature électronique sécurisée (première condition) ;

• l’utilisation d’un dispositif sécurisé de création de signature électronique (deuxième condition) ;

• l’utilisation d’un certificat électronique qualifié (troisième condition).

On mesure tout de suite la difficulté d’intégration et de prise en compte de l’ensemble de ces contraintes. Le résultat est que si le principe de la signature électronique marque une formidable avancée, dans la pratique, elle est, à ce jour, très peu utilisée.

EC : L’application de la loi de 2000 n’est pas vraiment le chaos. En fait, les écrits signés électroniquement n’ont pas encore été portés devant les tribunaux français. À ce jour, il n’existe qu’une seule décision aux États-Unis au cours de l’été 2009 à l’occasion de la signature d’un contrat d’assurance.

L’utilisation croissante du recours à des signatures électroniques (sans certificat qualifié au sens du décret du 30 mars 2001) se passe pour l’instant sans recours au juge (par exemple : les certificats éphémères ou à usage unique dans certaines applications bancaires, de financements de biens ou services en points de vente, de téléphonie mobile ou les certificats TéléTVA). Je pense que les certificats qualifiés ne devraient être utilisés que pour les actes authentiques (notaires, huissiers de justice, jugements et état civil), voire pour les transactions particulièrement sensibles ou d’une valeur économique importante. Pour les autres actes courants et du commerce, la signature électronique dite « simple » (sans dispositif sécurisé de création de signature et/ou sans certificat qualifié) est suffisante et parfaitement valable. Néanmoins, il faudra suivre avec attention le projet de règlement européen sur l’identification électronique et les services de confiance pour les transactions électroniques qui fonde l’interopérabilité au sein du marché intérieur sur les certificats qualifiés. Cela aura sans doute pour conséquence de promouvoir les signatures électroniques dites qualifiées (avec certificats qualifiés mais sans SSCD certifié).

Au niveau du conseil lors de la mise en place de solutions, il faut une bonne connaissance des éléments techniques, organisationnels, pour appréhender les fonctionnalités que le droit détermine. Il est arrivé que les règles relatives à la copie numérisée d’un document papier signé soient confondues avec celles relatives à l’original (original électronique). Or, ces règles sont différentes. En outre, certains manques ont vu le jour comme la possibilité de détruire les originaux « papier » dès le moment où la copie numérisée du document papier est reconnue comme suffisamment fiable (article 1348, al. 2 du Code civil).

Question 3 : Quels ont été, selon vous, les freins majeurs au déploiement des projets de « signature électronique » au sein des entreprises et des administrations ?

EC : L’un des freins majeurs au déploiement des projets de signature électronique est sans aucun doute l’attente du serpent de mer qu’est la signature électronique sécurisée bénéficiant de la présomption de fiabilité (art. 1316-4 al. 2 du Code civil et art. 2 du décret du 30 mars 2001). Or, seuls 5 % du marché sont réellement concernés par ce type de signature : les actes authentiques électroniques des huissiers de justice, des notaires, les jugements et les actes de l’état civil, ou des actes particulièrement sensibles. Pour le reste, une signature électronique « simple » – c’est-à-dire dont la fiabilité doit être rapportée par le demandeur devant les tribunaux – est juridiquement suffisante.

En outre, pour le déploiement à grande échelle, la carte nationale d’identité électronique pourra être utile. De plus, la mise en harmonie des pratiques en matière de signature électronique, d’identification et d’autres services de confiance à l’échelle communautaire telle que visée par la proposition de règlement signature électronique (juin 2012) constituera un élément de facilitation pour des projets de dématérialisation paneuropéens.

En outre, pour le déploiement à grande échelle, la carte nationale d’identité électronique pourra être utile. De plus, la mise en harmonie des pratiques en matière de signature électronique, d’identification et d’autres services de confiance à l’échelle communautaire telle que visée par la proposition de Règlement signature électronique (version du 4 juin 2012) constituera un élément de facilitation pour des projets de dématérialisation paneuropéens. On disposera ainsi d’un même règlement pour uniformiser les législations en matière de dématérialisation (le même texte pour tous), faciliter l’usage de la signature électronique et accélérer le déploiement de la confiance dans l’économie numérique.

CFS : C’est à l’évidence la complexité des textes comme évoqué précédemment.

1. « Les lois claires en théorie sont souvent un chaos à l’application », Napoléon...

F
A
Q

FAQ

La protection des données personnelles

Question 4 : Le correspondant informatique et libertés est obligatoire dans plusieurs pays européens (1977 pour l’Allemagne). Doit-il l’être en France ? Les RSSI sont-ils légitimes pour endosser aussi cette fonction ?

CFS : C’est une question d’actualité soulevée par la CNIL et qui sera tranchée par le Parlement lors des débats sur la loi visant à mieux garantir le droit à la vie privée à l’heure du numérique.

Pour ma part, je pense que ce serait une bonne chose de prévoir une fonction CIL, étant précisé que je suis favorable à l’externalisation de cette mission. Le CIL salarié me paraît dans une situation de dépendance difficilement compatible avec la mission qui lui est confiée. À ce titre, il me semble que l’avocat offre à la fois les garanties de confidentialité et d’expertise requises pour mener à bien une telle mission. S’y ajoute l’obligation de non-dénonciation de son client qui doit le conduire à démissionner en cas de désaccord persistant avec le responsable des traitements et non, comme pour tout autre CIL, à alerter la CNIL.

Le RSSI, présent par hypothèse dans des entreprises importantes, peut bien sûr endosser la fonction et dispose des compétences pour cela, mais, pour autant, il me paraît préférable de bien dissocier les fonctions CIL et RSSI.

EC : On peut estimer que l’obligation de désignation d’un CIL est opportune dans les grandes entreprises et collectivités publiques dans la mesure où la protection des données à caractère personnel s’inscrit dans un cadre légal et réglementaire complexe et en constante évolution qui requiert en interne la présence de compétences spécifiques. D’ailleurs le projet de règlement européen prévoit l’obligation de désigner un correspondant à la protection des données dans les organisations de plus de 250 personnes.

En outre, il n’est pas inutile de rappeler que le patrimoine informationnel de l’entreprise doit être protégé, d’une part, et que lesdites structures se sont déjà dotées de correspondants en interne, voire de responsables « informatique et libertés » ou « Data Privacy Officer », d’autre part. À toutes fins utiles, il convient de préciser que le CIL aura un rôle important à jouer sur les notifications des failles de sécurité ayant un impact sur les données personnelles traitées. Le RSSI, ou plus exactement une personne au sein de la direction ou du service de la conformité, me semble légitime pour remplir ce rôle. Mais un CIL nécessite des compétences techniques, organisationnelles, métiers et juridiques, bref une sorte de mouton à cinq pattes. Ainsi, le CIL pourrait également appartenir aux directions juridiques, RH ou conformité/risques. Le choix dépendra des organisations et des ressources internes.

Question 5 : L’obligation de notification des atteintes/violations aux données à caractère personnel est une perspective réaliste à court terme désormais. Quelles seraient selon vous les conséquences pratiques à intégrer pour les entreprises ?

CFS : Il me semble que la plupart des entreprises, du moins à partir d’une certaine taille, surveillent et protègent leur réseau. En principe, elles sont alertées lorsqu’une intrusion dans leur système a eu lieu. Mais ceci n’est peut-être que la partie émergée de l’iceberg. La « fuite » de données peut avoir pour origine tout simplement la perte d’un ordinateur portable ou d’un disque dur amovible dans un lieu public. Le seul moyen de protéger ces données est d’adopter de manière systématique des solutions de cryptage. Ces mesures techniques de protection des données doivent aussi s’accompagner d’une sensibilisation de l’ensemble des membres du personnel à la problématique de la sécurité des données. Sur ce terrain, il me semble qu’il y a encore beaucoup de chemin à faire.

EC : Les conséquences de la généralisation de l’obligation de notifier les violations de données à caractère personnel qui entreront en vigueur avec le futur règlement européen sur la protection des données auront des retombées pratiques très importantes pour les entreprises : en termes de coûts, d’organisation, de risques juridiques (de nature pénale et avec des sanctions de la CNIL) mais aussi d’image. La donne va considérablement changer car les entreprises devront être en mesure de détecter les atteintes (collecte et conservation de traces informatiques) et de protéger leurs données personnelles de manière à éviter de notifier toutes les personnes dont les données personnelles auront été violées ; et ce, afin de pouvoir remplir leurs obligations légales et réglementaires : notification à la CNIL (ou à l’autorité de régulation compétente) et démonstration de la mise en place de mesures de sécurité des données à caractère personnel.

F
A
Q

FAQ

La cybercriminalité

Question 6 : Autre sujet majeur, la Convention « cybercriminalité » du Conseil de l’Europe a été ratifiée le 23 novembre 2001 par plus de 30 pays. Quel bilan peut-on faire de ses impacts réels ?

EC : Les impacts réels se positionnent dans le cadre de l’harmonisation des législations des États signataires ; la Convention cybercriminalité est entrée en vigueur dans 35 États dont les États-Unis d’Amérique. D’autre part, elle participe à la prise de conscience des États des infractions commises via le recours aux réseaux numériques (attaques, propagation de virus, contrefaçon…). En outre, les autorités judiciaires coopèrent avec notamment la création de points de contact dans les différents États.

CFS :...

DEUXIÈME PARTIE

La fonction sécurité SI : à la croisée des chemins

« La vie ne se comprend que par un retour en arrière, mais on ne la vit qu’en avant. »

Sören KIERKEGAARD

TROISIÈME PARTIE

Que restera-t-il du secret ?

« Dire le secret d’autrui est une trahison.
Dire le sien est une sottise. »

VOLTAIRE

QUATRIÈME PARTIE

Acculturation « sécurité numérique »

« Si vous pensez que l’éducation coûte cher,
essayez l’ignorance. »

Abraham LINCOLN

CINQUIÈME PARTIE

Dépenser moins ou dépenser mieux ?

« Il faut toujours prendre le maximum
de risques avec le maximum de précautions. »

Rudyard KIPLING