Inscrivez-vous 2e session de la #Formation Référent #Cybersécurité de la @CCIBdxGironde

Inscrivez-vous à la Formation »Référent Cybersécurité » de la CCI Bordeaux Gironde !

Pré-inscription 2ème session : 16-17oct /13-14 nov

S'inscrire à la cybersécurité

Objectifs

  • Identifier et analyser les problèmes de cybersécurité dans une perspective de sécurité économique,
  • Connaître les obligations et les responsabilités juridiques,
  • Identifier et comprendre les menaces liées à l’utilisation de l’informatique et des réseaux internet,
  • Mettre en œuvre les démarches de sécurité inhérentes aux besoins fonctionnels,
  • Savoir présenter les précautions techniques et juridiques pour faire face aux attaques.

Bénéfices

  • Formation unique en Nouvelle-Aquitaine et prise en charge possible par les fonds formation,
  • Expertise de la CCI Bordeaux Gironde avec deux intervenants experts (études de cas réels, apports méthodologiques et échanges pratiques) et une avocate spécialisée,
  • Diagnostic de maturité de votre TPE/PME offert sur demande avant la formation,
  • Gestion des crises, la réaction à adopter face aux incidents ainsi que la préconisation des engagements et investissements pour pallier les vulnérabilités de l’entreprise
  • Formation sanctionnée par une attestation remise à l’issue de celle-ci : « Référent Cybersécurité pour les TPE/PME« .

Programme

Cette formation s’articule sur 4 jours autour de 7 modules :

  • Notions de base, enjeux et droit commun de la sécurité informatique
  • Hygiène informatique pour les utilisateurs
  • Gestion et organisation de la cybersécurité
  • Protection de l’innovation et cybersécurité
  • Administration sécurisée du système d’information interne d’une entreprise
  • Gestion du système d’information lorsqu’il est externalisé
  • Sécurité des sites internet gérés en interne

Pré-inscription 2ème session : 16-17oct /13-14 nov

S'inscrire à la cybersécurité

Informations pratiques

  • Durée : 4 jours (28 heures)
  • 2 sessions : 23-24 mai / 20-21 juin et 16-17 octobre / 13-14 novembre
  • Coût : 1 500 € HT par participant (prise en charge possible par les fonds formation)
  • Contact : Frédéric BERNARD – fbernard@bordeauxgironde.cci.fr – 05 56 79 52 55
Publicités

#Intelligence Economique #Cybersecurite Flash Ingérence de la #DGSI

logo dgsi

Derniers « Flash Ingérence » publiés par la DGSI (Direction Générale de la Sécurité Intérieure)

Ces « flash » présentent des actions d’ingérence économique dont des sociétés françaises sont régulièrement victimes.

Ayant vocation à illustrer la diversité des situations auxquelles les entreprises sont susceptibles d’être confrontées, il sont mis à votre disposition pour vous accompagner dans la diffusion d’une culture de sécurité interne.

#Cybersecurite #cybermalveillance : publication du premier kit de sensibilisation du site Cybermalveillance.gouv.fr

Présentation du kit de sensibilisation 1er volet

Le dispositif national Cybermalveillance.gouv.fr a publié le premier volet de son kit de sensibilisation, en présence de Monsieur Mounir MAHJOUBI, Secrétaire d’État chargé du Numérique. Ce kit vise à sensibiliser aux questions de sécurité du numérique, à partager les bonnes pratiques dans les usages personnels, et de manière vertueuse, à améliorer les usages dans le cadre professionnel.

Ce premier volet a été réalisé par Cybermalveillance.gouv.fr et ses membres, dont CCI France et la CCI Paris Ile-de-France. Il est diffusable aux entreprises et particuliers. Il est possible de sélectionner unitairement les thèmes qui vous intéressent ou télécharger directement l’intégralité du 1er volet du kit.

Inscrivez-vous pour le second volet du kit de sensibilisation

Objectif du kit de sensibilisation

Vous trouverez dans ce kit de sensibilisation un ensemble d’outils pédagogiques à destination des collaborateurs de votre structure. Tous ces outils ont vocation à être partagés au sein de vos entreprises, collectivités et associations. Ce kit est diffusé sous une licence ouverte (Etalab 2.0) afin d’en permettre une large diffusion.

Il vise à développer de bonnes pratiques et à sensibiliser aux questions de sécurité du numérique dans les usages personnels, et entraînera par conséquent des améliorations dans les usages professionnels : la sécurité du numérique, c’est partout et tout le temps, à la maison comme au travail !

Cette approche vous permettra de faire progresser vos collaborateurs avec des supports pédagogiques que vous pouvez adapter à votre environnement.

Contenu du kit de sensibilisation

Le premier volet du kit de sensibilisation est téléchargeable ici

Il contient des supports pédagogiques diversifiés sur 4 grands thèmes qui représentent des risques majeurs auxquels sont exposés vos collaborateurs :

  • l’hameçonnage (phishing)
  • la gestion des mots de passe
  • l’utilisation des appareils mobiles (téléphones et tablettes)
  • la sécurité des usages professionnels et personnels

Ces outils présentent différents niveaux d’accès :

  • des vidéos accessibles à l’ensemble des collaborateurs quel que soit leur niveau de sensibilisation
  • des mémos à utiliser lors de séances de sensibilisation à la sécurité du numérique et à afficher dans les espaces communs
  • des fiches pratiques et fiches réflexes pour les collaborateurs qui souhaitent aller plus loin sur le sujet

Exemples d’utilisation du kit de sensibilisation

  • Diffusion des vidéos de sensibilisation sur les écrans d’accueil
  • Organisation de séances d’information basées sur les contenus des fiches pratiques
  • Affichage des mémos dans les couloirs et espaces collectifs
  • Organisation de mises en situation ludiques à partir du kit
  • Diffusion de l’information via vos newsletters internes et externes (par exemple votre comité d’entreprise)
  • Support à l’organisation d’actions de formation initiale ou continue du personnel autour de nos contenus
  • Ajout à la charte informatique de votre entité

INFORMEZ VOTRE HIÉRARCHIE DE L’EXISTENCE DU KIT ET PROPOSEZ-LUI DE L’UTILISER EN INTERNE !

Envoyez-nous à contact@cybermalveillance.gouv.fr vos meilleures idées d’utilisation du kit de sensibilisation : elles seront mises en avant sur nos réseaux sociaux.

Inscrivez-vous à la Formation »Référent Cybersécurité » de la CCI Bordeaux Gironde !

Fiche pratique @CCIFrance pour comprendre le Règlement Général sur la Protection des Données #RGPD

cyber-securite

RGPD : Toutes les entreprises qui possèdent des fichiers contenant des données à caractère personnel sont concernées.

Le règlement n°2016/679 du 14 avril 2016, dit règlement général sur la protection des données (RGPD) constitue le nouveau texte de référence européen en matière de protection des données personnelles. ll remplace la directive adoptée en 1995 qui a donné lieu à des différences d’interprétation et renforce la protection des données pour les individus au sein de l’UE. Il est d’application directe sur tout le territoire de l’Union et entrera en vigueur le 25 mai 2018. Toutes les entreprises sont concernées dès lors qu’elles possèdent des fichiers contenant des données à caractère personnel de résidents européens quelle que soit leur nationalité.

Quel est l’objet du RGPD ?

Le RGPD vise à créer pour l’UE un cadre renforcé et harmonisé de la protection des données  tenant compte des récentes évolutions technologiques (Big Data, cloud computing, objets connectés, Intelligence Artificielle, …) et des défis qui accompagnent ces évolutions.

L’individu est placé au cœur du dispositif légal en renforçant ses droits (consolidation des obligations d’information, restrictions en termes de recueil de consentement, nouveau droit à la portabilité des données, à l’effacement, …).

En parallèle les devoirs et responsabilités de toute la chaîne d’acteurs, du responsable de traitement aux partenaires commerciaux en passant par les sous-traitants fournisseurs de services sont   sont amplifiés.

Ces contraintes s’appuient notamment sur les principes de « Privacy by Design » et « d’accountability » (voir lexique en bas de page). Concrètement, cela signifie que chaque entreprise doit se doter d’une politique de protection des données globale en s’assurant, dès le moment de la conception, que le nouveau service qu’elle s’apprête à lancer sur le marché et qui va lui permettre de collecter des données est bien conforme à la réglementation.

« Le RGPD vu par le youtubeur Cookie connecté » réalisée avec la CNIL

Quels sont les principales mesures du RGPD ?

  • Réalisation d’une analyse d’impact avant la mise en place d’un traitement de données
  • Consentement clair et explicite à la collecte des données
  • Accès facilité de la personne à ses données (Droit à l’oubli – Droit de portabilité)
  • Notification des violations de données personnelles (« Data Breach Notification »)
  • La création et la maintenance d’un registre des traitements devient obligatoire
  • Création des délégués à la protection des données (DPD ou DPO, Data Protection Officer) dans certains cas : organismes publics, organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle, …
  • Transfert des données soumis à vérification
  • Restriction du profilage automatisé servant de base à une décision
  • Aggravation des sanctions (de 10 à 20 M€ ou de 2 à 4% du CA annuel mondial)

Quelles sont les actions à enclencher dans l’entreprise ?

Se mettre en conformité avec le RGPD suppose de définir au niveau de l’entreprise une Gouvernance de la Data. Parmi les exemples de mesures nouvelles et déterminantes pour se prémunir contre d’éventuelles sanctions :

  • Désigner un Délégué à la protection des données (DPD ou DPO, Data Protection Officer))
  • Cartographier les traitements actuels et déterminer leurs finalités ainsi que leur durée
  • Créer un registre des activités de traitement
  • Revoir les contrats de sous-traitance informatique et de gestion des données, les sous-traitants devant faire la démonstration de la conformité au RGPD de leurs solutions
  • Assurer la transparence et l’information des personnes dont les données vont faire l’objet d’un traitement (consentement clairement obtenu), les informer d’incidents de traitement
  • Notifier à la CNIL dans les 72h la survenance d’une faille ou intrusion
  • Regrouper la documentation nécessaire pour démontrer la conformité au règlement
  • Assurer en interne la mise en place d’un Référentiel Sécurité adéquat et mis à jour (Charte Utilisateurs des SI, Politique d’habilitation, Politique de gestion des incidents etc.)
  • Réaliser des études d’impact.

Lexique

Qu’est-ce qu’une donnée personnelle traitée ? Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement (nom, adresse mail, n° d’identification, localisation, IP, adresse, données de santé, revenus, centres d’intérêts etc.).

Traitements de données : toutes les opérations portant sur les données personnelles informatisées ou non (collecte, utilisation, diffusion, conservation, consultation effacement etc.).

Accountability : elle est défini par la CNIL comme « l’obligation pour les entreprises de mettre en oeuvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données ». l’accountability est au coeur du RGPD.

Privacy by Design : Suivant une logique de responsabilisation, chaque acteur doit désormais s’assurer de la conformité des traitements qu’il envisage de mettre en oeuvre dès le moment de leur conception. Cela implique la mise en œuvre de mesures organisationnelles et techniques spécifiques et d’associer notamment le DPO (Délégués à la protection des données / Data Protection Officer) à chaque stade de conception d’un nouveau service.

Ressources utiles

[Retour sur l’atelier] Propriété industrielle et marques sur Internet : saisir les opportunités marketing et gérer les risques

PI et Marques sur Internet - saisir les opportunités marketing et gérer les risques 07 11 2017

Le 7 novembre dernier le Pôle Numérique de la CCI Bordeaux Gironde a organisé un atelier sur la propriété industrielle et les marques sur Internet, animé par Jean-François Poussard de la société SolidNames.

Des centaines de nouvelles extensions de noms de domaines internet (TLD) sont aujourd’hui disponibles : géographiques, business, commerce, loisir, style de vie, technologiques …. Ce sont autant d’opportunités marketing pour mieux promouvoir son activité ou aborder de nouveaux marchés mais aussi de nouvelles menaces pour les marques et la propriété industrielle des entreprises.

  • Comment définir et gérer sa stratégie de noms de domaines ?
  • Comment éviter des différentes formes de cybersquatting spéculatif ?
  • Comment lutter contre la vente de produits contrefaits ?

La cybercriminalité explose.

  • Comment se prémunir contre le détournement de trafic ?
  • L’usurpation d’identité, le phishing ?
  • La « fraude au président »?
  • mais aussi plus généralement gérer sa e-réputation ?

 

#cybersécurité Cybermalveillance.gouv.fr : référencement des prestataires et expérimentation dans les Hauts-de-France

cybermalveillance ecran

Un site dédié à l’assistance aux victimes d’actes de cybermalveillance

Le gouvernement a lancé Cybermalveillance.gouv.fr un dispositif national d’assistance aux victimes d’actes de cybercriminalité qui propose deux parcours, un premier pour les victimes d’actes de cybermalveillance et un second pour les prestataires de services de proximité :

  • Les victimes seront mises en relation avec des prestataires de proximité susceptibles de les assister grâce à un parcours permettant d’identifier la nature de l’incident.
  • Les prestataires de toute la France souhaitant proposer leurs services peuvent d’ores et déjà s’enregistrer sur la plate-forme.

Ce service vise notamment à accueillir les victimes (particuliers, entreprises et collectivités territoriales) par le biais d’une plateforme numérique, et à les diriger vers les prestataires de proximité susceptibles de les assister techniquement. Un espace dédié à la sensibilisation des enjeux de la protection de la vie privée numérique est également accessible aux internautes. À terme, des campagnes de prévention seront lancées à l’échelle nationale. Grâce au recueil de nombreuses statistiques, un observatoire sera créé en vue d’anticiper le risque numérique.

Prestataires de la cybersécurité faites vous référencer

Démarche d’intérêt public, le référencement des prestataires tout comme l’accès à la plateforme pour les victimes sont gratuits. Pour les prestataires, être référencé sur la plateforme Cybermalveillance.gouv.fr c’est :

  • Rejoindre une communauté de compétences ;
  • Contribuer à l’élévation du niveau de sécurité du numérique en France ;
  • Accéder aux informations fournies par le dispositif ;
  • S’engager pour améliorer la prévention et l’assistance aux victimes d’actes de cybermalveillance.

Tous les prestataires concernés peuvent dès aujourd’hui faire une demande de référencement en ligne sur le site Cybermalveillance.gouv.fr après avoir accepté la charte les engageant notamment à respecter les bonnes pratiques commerciales et à remonter les incidents informatiques et les codes malveillants. Le référencement est dès à présent ouvert aux prestataires sur l’ensemble du territoire national.

Expérimentation en Région Hauts-de-France

Concernant les victimes d’actes de cybermalveillance, une phase expérimentale en Hauts-de-France est lancée sur Cybermalveillance.gouv.fr de juin à octobre 2017. Le choix par l’Etat des Hauts-de-France pour l’expérimentation est dû au fait que cette région était représentative du territoire national par la diversité du taux d’urbanisation de ses départements et par l’implication des acteurs locaux dans la sécurité du numérique. Seules les victimes des Hauts-de-France ont donc pour l’instant accès au service.

Pour aller plus loin

cybermalveillance logo

Mois d’octobre sur la « CyberSécurité » à la CCI Bordeaux Gironde

 

#Cybersécurité : risques liés à l’hébergement des données dans les #datacenters et le #cloud

DGSI - DZSI - Ingerence economique n35

La DGSI vient de diffuser son « Flash Ingérence Économique n°35 » portant sur « les risques liés à l’hébergement des données dans les data centers et le cloud ». Ce document a vocation d’apporter des témoignages, ainsi qu’un certain nombre de réponses et de parades.

Les risques liés à l’hébergement des données dans les data centers et le cloud

L’augmentation constante de la masse des données hébergées à l’aide des techniques d’informatique en nuage(1) représente un enjeu majeur pour la sécurité des informations sensibles des entreprises.

En effet, les données hébergées dans le nuage sont traitées au sein de centres de données(2) dont la maîtrise par le client est limitée et essentiellement d’ordre contractuel. En particulier, la connaissance de la localisation exacte des données est difficile, celles-ci étant réparties entre plusieurs centres géographiquement distincts (pour des questions de résilience notamment) et faisant l’objet de transferts à des fins de rationalisation et d’optimisation des flux de données.

Ces services permettent aux entreprises de bénéficier de solutions d’hébergement ou de traitement de données souples, évolutives, faciles d’emploi et accessibles en tout point du globe.

Cette forme avancée de sous-traitance de la gestion des systèmes d’information induit en contrepartie d’importants risques pour la sécurité des données des entreprises, françaises en l’espèce. Ces données sont en effet susceptibles de faire l’objet d’interceptions ou de captations, à tout moment de leur cycle de vie (au cours de leur acheminement sur Internet, durant leur stockage sur des serveurs à distance, lors du transfert au sein d’un autre centre de données, etc.).

Or, les serveurs situés à l’étranger et notamment ceux des centres de données, sont soumis à la réglementation des États qui les hébergent. Les législations de la plupart des pays prévoient ainsi la possibilité, pour les services de police et de sécurité, d’accéder aux données hébergées sur leur territoire. Par ailleurs, certaines autorités peuvent parfois invoquer un motif de sécurité nationale, ou d’autres impératifs d’ordre public, pour justifier l’accès aux données des clients des prestataires. En effet, certains États, grâce à un cadre juridique adapté et à une définition large des enjeux relevant de la sécurité nationale, peuvent enjoindre les prestataires de leur nationalité, même localisés dans un autre pays, de transmettre des données concernant des clients étrangers.

1er exemple

Un prestataire extra-européen d’hébergement de données a refusé de transmettre à son gouvernement des courriels hébergés sur ses serveurs situés à l’étranger. Si une décision de justice lui a donné raison, cette jurisprudence demeure fragile et d’autres prestataires ont pu se voir contraints de transmettre à leurs autorités des emails stockés en dehors de leur territoire national.

Ainsi, certains pays, qui ont fait de l’économie un enjeu majeur pour leur sécurité nationale, utilisent ces instruments légaux pour collecter des informations relevant de cette sphère d’activité.

2ème exemple

Une société française spécialisée dans la pharmaceutique vétérinaire a choisi d’externaliser le stockage de ses données vers une solution de cloud gratuite d’un prestataire étranger.

Il a alors été constaté que l’hébergeur de données étranger était soumis à une législation différente, plus souple en matière de collecte de renseignements. Cette entreprise française comptant par ailleurs parmi ses concurrents plusieurs groupes de la nationalité de l’hébergeur, la société tricolore s’expose ainsi à un risque accru d’espionnage économique de ses données stratégiques.

Commentaires

Les risques de l’hébergement de type cloud dans des centres de données restent encore largement sous-estimés. Nombreuses sont les sociétés persuadées que les interceptions/captations de données par des puissances étatiques s’inscrivent exclusivement dans le cadre de la lutte contre le terrorisme ou la criminalité organisée. Elles ne se considèrent ainsi pas menacées par le risque de captation de leurs données stratégiques hébergées dans le cloud.

Par ailleurs, les solutions de stockage ou de traitement des données à l’étranger sont parfois considérées comme offrant un plus haut niveau de sécurité et des services plus performants que les solutions nationales. Certains prestataires étrangers proposent à cet égard des fonctionnalités avancées, très prisées des entreprises qui se développent à l’international, et à un moindre coût.

En outre, pour rassurer leurs clients face à la portée extraterritoriale de certaines législations, et plus largement aux risques d’interception de leurs données par des gouvernements étrangers, certains prestataires extra-européens ont décidé de confier la gestion de leurs centres de données à des groupes européens. Cette solution apparaît toutefois insuffisante pour garantir la protection des données hébergées. En effet, même si les centres de données sont exploités par des opérateurs européens, des entreprises non-européennes conservent régulièrement la maîtrise de l’architecture matérielle et logicielle des installations.

Préconisations de la DGSI

Face au risque d’interception et aux pratiques de certains prestataires, la DGSI émet les préconisations suivantes pour tenter de limiter les risques de captation du patrimoine informationnel des entreprises utilisant les datas centers / le cloud :

  • S’agissant des centres de données localisés sur le territoire national, veiller à accorder une attention particulière aux conditions générales de vente et d’utilisation. Il convient, pour les entreprises, de s’assurer que le contrat ne permet pas le transfert des données hébergées en France vers un pays tiers.
  • Préférer des prestataires français, ou à défaut européens, dont les serveurs sont situés dans l’Hexagone ou dans un pays membre de l’Union européenne.
  • Bannir l’utilisation des services, gratuits ou non, d’hébergement dans le cloud, autorisant l’accès aux données hébergées à des fins publicitaires.
  • Distinguer le traitement des données non sensibles, stockables dans le cloud, des informations à forte valeur ajoutée économique, stratégique ou financière, à conserver dans des infrastructures internes à l’entreprise.
  • Procéder systématiquement au chiffrement de l’ensemble des données transférées sur un service d’hébergement à distance. Ce chiffrement doit être effectué par l’entreprise elle-même et non par ses prestataires, ou via les outils de ces derniers.
  • Limiter les droits des utilisateurs des services dans le nuage, ne pas utiliser de compte administrateur pour les tâches quotidiennes, surveiller les logs de connexion et assurer une gestion rigoureuse des droits d’accès pour éviter toute usurpation d’identité.
  • Procéder à un audit des infrastructures techniques hébergeant les données de l’entreprise et s’assurer du respect des stipulations contractuelles.
  • Contacter la DGSI en cas de découverte ou de suspicion d’un cas d’ingérence ou d’interception de données.

Equipe Sécurité Économique
Direction Zonale de la Sécurité Intérieure (DZSI) à Bordeaux
securite-eco-bordeaux@interieur.gouv.fr

Notes :

1 L’information en nuage ou cloud computing se définit comme un « mode de traitement des données d’un client, dont l’exploitation s’effectue par l’Internet, sous la forme de services fournis par un prestataire », même si des solutions de cloud privé, au sein desquels les données ne transitent qu’à travers le réseau d’un opérateur de télécommunication, peuvent être mises en œuvre.

2 Un centre de données ou data center est un centre d’hébergement et de traitement de données à distance pour les entreprises et les administrations, abritant un nombre important de serveurs et d’équipements informatiques tout en fournissant une sécurité physique et une continuité d’activité.

Source