Article IT

Nouveaux usages et mobilité en entreprise : une charte informatique s’impose pour protéger votre entreprise

La sécurité des données et la protection du réseau de l’entreprise sont capitales pour son bon fonctionnement. Des données mal protégées peuvent être perdues ou volées. Un réseau non sécurisé peut être piraté ou hacké. Et ça ne s’arrange pas avec les nouveaux usages et la mobilité (BYOD, Smartphone, tablette, nomadisme, etc.) !

Pour protéger votre entreprise et encadrer ces nouveau usages, il convient de mettre en place une charte informatique qui doit être connu et appliqué par l’ensemble de vos collaborateurs.
Cette charte permet de maîtriser les risques liés à l’utilisation du système d’information par les salariés, les visiteurs, les stagiaires, les prestataires de service, sans nuire aux liberté individuelles et collectives.

La Charte informatique définit les conditions d’utilisation du système d’information et de communication, notamment des accès Internet, des réseaux et des services multimédias de l’entreprise.
Dans la mesure où il n’existe pas de charte type, c’est à l’entreprise de la rédiger et de la personnaliser en fonction de ses besoins.

Les thèmes qui sont régulièrement abordés dans la charte sont :

• L’objet, la nature de la Charte et son champ d’application
• La protection du système d’information (accès au réseau, sauvegarde, firewall, accès des données par l’Administrateur, introduction de matériel et de logiciel, etc.)
• La messagerie (accès à la messagerie, contrôle et protection des emails, contenu du message électronique, archivage des emails, etc.)
• La navigation sur le Web (accès à Internet, réseaux sociaux, téléchargement, consultation de contenu illicite ou à des fins privés, etc.)
• Intranet (mise en place et fonctionnement de l’Intranet)
• Téléphonie (accès à un poste fixe, mobile ou tablette, utilisation à des fins personnelles de la téléphonie)
• Télétravail (utilisation du matériel fourni)
• BYOD*, COPE* (responsabilité du salarié et de l’employeur)

Faisant partie du règlement intérieur, la charte doit être visible et disponible à l’ensemble des utilisateurs. Elle peut être accessible sur l’Intranet, affichée en salle de pause, distribuée lors de la signature du contrat de l’employé, etc.

HP lance deux nouveaux produits de stockage destinés aux PME

HP vient de dévoiler deux nouvelles offres de stockage pour aider les PME à simplifier leurs infrastructures IT et tirer profit de la mobilité :
HP StoreEasy Storage et HP StoreVirtual Storage.
Ces solutions fournissent un accès sécurisé depuis des terminaux mobiles. Et pour bien appréhender ces nouvelles offres, HP propose des programmes de formation et de financement pour les PME.

• HP StoreEasy Storage prend en charge les tâches applicatives et de fichiers. HP StoreEasy Storage permet de stocker jusqu’à 8 To de données et intègre également Windows afin d’éviter de longues opérations de configuration.

• HP StoreVirtual Storage est une baie de stockage évolutive et flexible, pour soutenir la croissance de la virtualisation. Basé sur le système d’exploitation HP LeftHand, elle permet aux PME d’ajouter des capacités de stockage physique sans interruption de service, et de déplacer rapidement des données entre ressources physiques ou virtuelles. HP StoreVirtual Storage garantit la disponibilité des données et du stockage en ligne avec des applications disponibles 99.99% du temps et l’intégration de la récupération après sinistre.

Ces solutions seront disponibles à partir du 10 décembre 2012.

Les solutions pour sécuriser votre infrastructure informatique

Pour protéger vos données sensibles, votre réseau et votre infrastructure, il est indispensable d’installer une solution de sécurité informatique qui permet d’assurer que les ressources matérielles ou logicielles sont uniquement utilisées dans le cadre prévu.

Voici des solutions que vous pouvez mettre en place dans votre entreprise :

• Firewall (ou pare-feu)
  Un firewall filtre les flux d’informations entre un réseau interne à l’organisme et un réseau externe en vue de neutraliser les tentatives de pénétration en provenance de l’extérieur et de maîtriser les accès vers l’extérieur.
  Le firewall permet de protéger vos données sensibles et constitue une passerelle filtrante entre votre réseau local et les réseaux externes.

• Réseau Privé Virtuel (VPN)
  La mise en place d’un VPN consiste à utiliser Internet comme support de transmission en utilisant un protocole « d’encapsulation » (tunneling), c’est-à-dire en encapsulant les données à transmettre de façon chiffrée et en créant artificiellement un réseau dont seuls les ordinateurs des réseaux locaux de part et d’autre du VPN peuvent «voir» les données. Le VPN garantit donc la confidentialité des données échangées.

• VLAN
  C’est un réseau virtuel qui permet d’isoler certaines machines entre elles du réseau global. Il contrôle ainsi l’échange de données entre les réseaux virtuels créés.

• Le proxy
  Le proxy (ou relais) est utilisé pour contrôler et analyser tout trafic avec l’extérieur. Il consiste à créer deux communications IP distinctes, l’une entre le client et le proxy, l’autre entre le proxy et le serveur.
  Le firewall à base de proxy analyse des protocoles applicatifs pour lesquels l’éditeur a développé le proxy et permet de réaliser des traitements complexes.

• Anti-virus
  L’anti-virus a pour objectif d’analyser tout fichier et d’y détecter ou non la présence d’un virus à l’aide d’une base de signatures virus. La propagation des virus se fait essentiellement à travers Internet et le réseau.

• Solution anti-spam
  Le spam est un envoi massif de courrier électronique identique (à partir de 20) à des destinataires ne l’ayant pas sollicité.
  Les menaces liées aux emails non sollicités sont multiples et leurs conséquences économiques et juridiques peuvent être lourdes pour une entreprise qui ne s’en protège pas : saturation du serveur de messagerie, des espaces de stockage mais aussi de la bande passante, risque croissant d’infection virale, risques de divulgations d’informations incontrôlées, perte de confidentialité, contenus illicites ou non professionnels, perte de productivité des utilisateurs et des équipes techniques.
  Une solution anti-spam filtre les mails non sollicités et assure une protection contre les infections virales, les sites black listés, du spam et des contenus.

• Mise à jour
  Afin de se prémunir des nouveaux virus, une mise à jour des moyens de protection utilisés doit se faire régulièrement. D’autre part une mise à jour de tous les logiciels de production est indispensable à la bonne marche de la politique de sécurité.

• Maintenance
  La maintenance permet de réduire les temps d’indisponibilité de l’infrastructure informatique, d’accroître sa pérennité à un coût maîtrisé et de garantir la productivité et la satisfaction des utilisateurs par la mise à jour, l’entretien de votre parc et l’installation de nouveaux matériels. Cette démarche a pour objectif d’anticiper les besoins et de maintenir le réseau en parfait état.

• Sauvegarde
  Elle apparaît comme un complément au système de sécurité mis en place. Programmer une sauvegarde de vos données permet de vous protéger des différentes attaques que votre système informatique peut subir.

Attention, nouvelle menace de ransomware !

La menace des ransomwares (rançongiciels) est toujours très présente et de nouvelles versions sortent régulièrement. il y a en ce moment une vague très importante d’e-mail contenant des pièces jointes dangereuses.

Depuis mi-février, un nouveau ransomware est apparu : Locky Ransomware.
Ce dernier est distribué par des emails malicieux avec une pièce jointe Word invoice.

En tant qu’entreprise, restez vigilant lors de l’ouverture de vos emails :

• N’ouvrez les pièces jointes suspectes (fichiers .zip, .xls, .doc) que si l’expéditeur est confirmé. A l’ouverture d’un fichier malveillant, l’ordinateur est aussitôt infecté.
• Supprimez le message d’un expéditeur suspect inconnu sans y répondre
• Refusez de confirmer l’accusé de réception dans le cas d’un expéditeur inconnu suspect. Vous risquez de valider et diffuser votre adresse email à votre insu.

Pour rappel :

Ransomware (rançongiciel) est un logiciel malveillant qui bloque l’ordinateur des victimes et réclame le paiement d’une rançon. Ne payez en aucun cas la rançon réclamée.

Les bonnes pratiques pour une sécurité optimale dans votre entreprise

Le développement de nouvelles technologies, la connexion permanente des postes à Internet, le développement de la mobilité et la multiplication des échanges interentreprises rendent le système d’informations vulnérable.

De plus, l’accès au web pose de vrais problèmes de sécurité. Le système est d’autant plus fragilisé qu’il suffit d’un simple clic pour l’infecter. Il est donc vital pour une entreprise de protéger ses données pour éviter toute perte qui pourrait nuire à la bonne marche de l’entreprise.

Cependant, elle ne doit pas aller à l’encontre du développement des usages qui sont nécessaires aux utilisateurs. C’est pourquoi, il est essentiel de définir une politique de sécurité afin que le système puisse être utilisé à son maximum et en toute confiance.

La politique de sécurité et les services associés doivent répondre à 5 critères :

• L’intégrité des données et des échanges
  Lors d’un échange de données, il est important de vérifier que la totalité des données a réellement été échangée et que les données reçues sont identiques à celles envoyées et qu’elles n’ont pas été modifiées au cours de la transaction.

• La confidentialité
  Toute entreprise dispose de données confidentielles et sensibles. Dès lors, elle se doit de les protéger des éventuelles attaques et intrusions que le système pourrait subir.

• La disponibilité du système
  Les pannes informatiques ne constituent pas la seule cause d’indisponibilité du système. Les attaques Internet tel que le déni de service empêchent le système informatique de fonctionner correctement. Ces attaques consistent à inonder d’informations le système et ainsi à le saturer.

• La non-répudiation
  Les entreprises disposant d’un service de commerce en ligne sont particulièrement concernées par ce domaine. Lors d’une transaction, il est important de fournir aux deux personnes qui communiquent un justificatif qui garantit que la transaction a bien eu lieu. Celle-ci ne peut ainsi être niée et évite tout litige si l’un des deux interlocuteurs nie la dite transaction.

• L’authentification
  Pour protéger les informations sensibles, il est important de mettre en place un système d’identification et d’authentification qui consiste à donner un accès à des ressources définies uniquement aux personnes autorisées.

La politique de sécurité doit s’inscrire dans une démarche globale qui doit être rigoureuse, progressive et continue. En effet, pour une sécurisation optimale du système, il faut suivre de près l’évolution de l’environnement. Les étapes à suivre consistent à :

• Réaliser un audit de sécurité pour connaître les besoins en termes de sécurité et identifier les risques informatiques qu’encoure l’entreprise et leurs éventuelles conséquences.
• Définir une politique de sécurité qui englobera tous les moyens à mettre en œuvre. A savoir que plus les ressources à protéger sont importantes, plus les moyens à déployer doivent être conséquents et ceci afin de décourager toute tentative d’intrusion.
• Concevoir une architecture complète combinant les différents éléments techniques de protection de manière cohérente.
• Paramétrer et mettre en œuvre ces éléments techniques.

Conseils pour définir une politique de mot de passe efficace

Protéger les données de votre système d’information passe par une politique de sécurité efficace.
Et l’authentification au moyen d’un mot de passe et d’un identifiant en fait partie !

En tant qu’entreprise, il est important d’intégrer à votre politique de sécurité, une politique de mot de passe reposant sur des bonnes pratiques que les utilisateurs doivent appliquer.

Voici quelques conseils :

• L’utilisateur doit concevoir un mot de passe « fort »
  Deux paramètres important pour un mot de passe fort : sa longueur (minimum 8 caractères) et l’utilisation de caractères spécifiques dans le mot de passe.
  Idéalement, le mot de passe doit être composé de lettres (minuscules et majuscules), de chiffres et de caractères spéciaux (@, *,%, <, #, etc.).Attention, l’utilisateur doit être capable de mémoriser le mot de passe car sinon il sera tenté de l’écrire sur un post-it ou dans un carnet et dans ce cas le mot de passe fort aura perdu tout son sens… Pour cela, plusieurs astuces peuvent être utilisées pour retenir le mot de passe en prenant une phrase dont on extrait la suite alphanumérique, ou encore en gardant les premières lettres d’une phrase.

• L’entreprise doit établir des règles que les utilisateurs devront appliqués
  Voici quelques règles que vous pouvez mettre en place pour une politique efficace :
  –    Demander à l’utilisateur de changer le mot de passe initial qui lui aura été fourni lors de sa première connexion
  –    Proposer de renouveler régulièrement le mot de passe (tous les mois par exemple)
  –    Établir des critères prédéfinis pour le mot de passe (longueur minimale, majuscule et chiffre obligatoire, etc.)
  –    Bloquer les mots de passe qui ont déjà été utilisés, etc.

     Attention, nouvelle variante du virus Cryptolocker

Une nouvelle variante de Cryptolocker prolifère de nouveau. La prudence reste de mise.

En tant qu’entreprise, restez vigilant lors de l’ouverture d’un mail !

Vérifiez tout d’abord le destinataire et dans le doute, n’ouvrez pas l’email et ne cliquez surtout pas sur la pièce jointe.

Pour lutter efficacement contre ces menaces, sécurisez le réseau de votre entreprise avec des solutions professionnelles adaptées à vos besoins.

Pour rappel :

Cryptolocker est un virus qui se propage sous forme de pièce jointe dans les emails. Une fois contaminé, ce virus crypte vos fichiers en local et sur vos partages réseaux. Le but étant de demander une rançon contre un décryptage.
Le seul moyen de récupérer les fichiers cryptés est de s’appuyer sur une sauvegarde.
Environ 625 000 PC ont été infectés dans le monde.

Fin du support de Windows Server 2003 et d’Exchange 2003

Vous utilisez Windows Server 2003 et Exchange 2003 ? Attention à la sécurité de votre entreprise …

Les risques et les enjeux juridiques du Cloud

 Agilité, flexibilité, réduction des coûts, mobilité, productivité… Les avantages du Cloud sont nombreux et offrent de formidables opportunités pour les entreprises. Mais avant de contractualiser une prestation Cloud, il faut se poser les bonnes questions.
En effet, cette transition vers le Cloud peut comporter des risques juridiques en matière de confidentialité et de sécurité des données qu’il est bon de connaître. De même que le prestataire a des obligations réglementaire envers son client.

Ce n’est pas une nouveauté, les problématiques du Cloud ne sont pas différentes des autres contrats informatiques, mais ils sont plus nombreux du fait de la « synergie de technologie » (externalisation du SI, connexion au réseau Internet, etc.).
Il faut donc cadrer les risques en indiquant contractuellement les responsabilités entre le prestataire et le client.

Mais la difficulté réside dans le fait qu’il n’y a pas de cadre légal ou réglementaire propre au Cloud. Il faut se référer à une multitude de dispositions disséminées dans les lois, codes ou textes européens. De plus, il n’existe pas de contrat type du Cloud car il y a une trop grande variété d’appellation Cloud (IaaS, SaaS, PaaS, Cloud privé, public ou hybride).
Enfin, la dernière problématique à prendre en compte est que les leaders du marché du Cloud Computing sont des sociétés américaines. Le cadre légal est différent du marché européen, et bien souvent, pas adapté au système juridique européen (confidentialité des données, conditions particulières, etc.).

C’est pourquoi, il est recommandé pour les entreprises qui souhaitent souscrire à une solution Cloud de privilégier des contrats simples qui ne sont pas soumis à des systèmes juridiques étrangers (hors UE) et d’impliquer un juriste en amont du projet.

Sécurité des données des entreprises clientes dans le Cloud
Bien qu’il n’y ait pas de cadre légal spécifique, il existe des normes sur la sécurité des SI (ISO 27001 et ISO 27000) qui permettent d’évaluer le niveau d’engagement du prestataire. Ce dernier doit s’engager contractuellement sur la sécurité de son infrastructure d’hébergement :

• Confidentialité et intégrité des données : le prestataire s’engage sur des obligations de moyens en mettant des mesures de sécurité adéquates pour protéger ses datacenters.
• La disponibilité des données : le prestataire Cloud s’engage sur une obligation de résultat en garantissant des niveaux de services par des SLA appropriées avec des pénalités en cas de non-respect.

Attention, l’entreprise cliente a aussi une responsabilité en matière de sécurité de ses données.
En effet, le client est responsable dans le cas où il migre des données illicites ou défectueuses chez le prestataire. C’est pourquoi, la sécurité des données doit être traitée dans le contrat dans un « esprit de collaboration » entre les deux parties.

Protection des données des entreprises clientes dans le Cloud
La protection des données fait l’objet d’une réglementation contraignante en France. Ces règles strictes s’appliquent uniquement si le ou les datacenters du prestataire Cloud sont localisés dans l’Union Européenne.
Par ailleurs, le responsable des données est toujours l’entreprise cliente (excepté dans le cas des contrats d’adhésion) car le prestataire n’est qu’un sous-traitant au regard de la loi, responsable en tant que « gardien » des données (loi Informatique et Libertés).
Dans le cas d’un prestataire USA, les transferts de données personnelles d’un pays européen vers les USA sont interdits sauf si :

• Le transfert a été encadré par des clauses spécifiques édictées et autorisées par la CNIL
• Le prestataire USA a adhéré au Safe Harbor Principles

Ainsi, si l’entreprise cliente opte pour un prestataire USA, il doit veiller à renforcer les obligations de protection de données par les clauses types de la Commission Européenne.

Réversibilité et interopérabilité des données
Il n’existe pas de normes dans ce domaine. Le juriste doit simplement veiller à encadrer les modalités de réversibilité (délais, coûts, effacement des données, etc.).

Clauses sur les assurances
Le prestataire doit indiquer dans le contrat qu’il est assuré pour les risques spécifiques au Cloud. Quant au client, il est souhaitable qu’il souscrive à une assurance compte tenu des risques financiers qu’il encourt pour le vol ou la perte de ses données.