Paris le 4 avril 2013 RGLEMENTER ET OUTILLER

Paris, le 4 avril 2013 RÉGLEMENTER ET OUTILLER SANS ACCULTURER N’EST QUE RUINE DE

INTERVENANT Pierre-Luc Réfalo DGa « business development » Directeur associé : Activité « sensibilisation

INTERVENANT Pierre-Luc Réfalo Prix du Livre Cyber 2013 Auteur 2002 2012 Enseignement Conférences ©

Comprendre d’où l’on vient, où on est … © PL. REFALO | All right

SÉCURITÉ : QUELQUES ATTITUDES © PL. REFALO | All right reserved | www. hapsis.

SÉCURITÉ SI : QUELQUES ATTITUDES © PL. REFALO | All right reserved | www.

ET LES DIRIGEANTS ? © PL. REFALO | All right reserved | www. hapsis.

POSTURE MANAGÉRIALE (1/2) « Après moi le déluge ! » © PL. REFALO |

POSTURE MANAGÉRIALE (2/2) « J’voudrais bien, mais … » © PL. REFALO | All

© PL. REFALO | All right reserved | www. hapsis. fr

VASTE, COMPLEXE, IMMATURE Complexité Technologique Juridique Organisationnelle Economique Sociétale Sécurité globale Sécurité numérique ?

LE MONDE REEL (1/3) Un administrateur système paralyse la ville Le système de contrôle

LE MONDE REEL (2/3) Les données « personnelles » et bancaires : une cible

LE MONDE REEL (3/3) Les atteintes au secret : un sport international © PL.

UN MARCHE ATOMISE Systèmes distribués Web Intranet Extranet Systèmes centraux 1985 1990 1995 E-business

LES OUTILS SE SONT EMPILES La sécurité progresse-t-elle ? Les risques sont-ils correctement couverts

LA “FOLIE” REGLEMENTAIRE © PL. REFALO | All right reserved | www. hapsis. fr

QUELQUES ENJEUX MAJEURS Juin 2012 « On est en train de prendre conscience qu’on

POSITIONS DE L’ANSSI Pour Patrick PAILLOUX (DG de l’ANSSI), « L’attaque informatique, c’est aujourd’hui

DES MENACES STRATEGIQUES Lucratif : 400 Mds de Idéalistes : Défense des libertés individuelles

INCERTITUDE … CE QU’ON NE SAIT PAS (BIEN) … Si on a été, est

LE TROUSSEAU A 5 CLES Entre fondamentaux et innovations … © PL. REFALO |

LES 3 PILIERS DE TOUTE “CONSTRUCTION” L’art du compromis Le bon usage des technologies

CONSTAT N° 1 DES TENSIONS ORGANISATIONNELLES Sûreté (UK : Security) Ré é / D

CLÉ N° 1 GOUVERNANCE CIBLE Fonctions transverses RH Com interne DG ou Sec Général

CONSTAT N° 2 LE RECUL DU SECRET La tension : Secret vs Transparence ©

CLÉ N° 2 LA CLASSIFICATION EN PRATIQUE C Création Classification Stockage Accès Impression Echanges

CONSTAT N° 3 PROPRIETE VS PARTAGE © PL. REFALO | All right reserved |

CLE N° 3 LA CULTURE DE L’ACCES Identités numériques Authentifications Any Time Any Where

CONSTAT N° 4 : CONFUSION RISQUE / MENACE / VULNÉRABILITÉ © PL. REFALO |

CLÉ N° 4 - LA CULTURE DU CONTRÔLE SIEM ET CYBER DÉFENSE • Corrélation

CLÉ N° 4 - LA CULTURE DU CONTRÔLE FUITE ET DIVULGATION D’INFORMATION Sensibilité des

25/11 /2020 « Si vous pensez que l’éducation coûte cher, essayez l’ignorance. » Abraham

CONSTAT N° 5 L’HUMAIN : MAILLON FAIBLE … La technique La règle L’humain ©

CONSTAT N° 5 … OU DERNIER REMPART ? Lors du tsunami qui a accompagné

CLE N° 5 ACCULTURATION “RISQUES NUMERIQUES” Le « business » SI « Métier »

CLE N° 5 - DE L’ACTION AU PROCESSUS 1 2 3 Confusion entre la

CLE N° 5 : DANS LA PRATIQUE Stratégie Pourquoi ? Pour qui ? Quoi

CLE N° 5 : LA BOITE À OUTILS Types Contenus Communication Actualité et politique

« Imaginez le pire, vous ne serez pas déçu ! » « Le

L’ACCULTURATION PAR L’EXEMPLE 4 angles d’attaque © PL. REFALO | All right reserved |

DES SYSTEMES AUX USAGES Normal Approprié Toléré Anormal Inadapté Inapproprié © PL. REFALO |

VUE « NOUVEAUX USAGES » LE POIDS DU CLOUD ET DE LA MOBILITÉ «

VUE “JURIDIQUE” LE CAS DE LA CHARTE La charte des obligations et des devoirs

VUE “MENACES” LE SOCIAL ENGINEERING Le piratage informatique est un jeu d’enfant ? Hacker

Nous avons tous été victimes d’ingénierie sociale ! © PL. REFALO | All right

IL FAUT QUE VOUS M’AIDIEZ … • Vidéo 1 © PL. REFALO | All

VUE “SOCIOLOGIQUE” 3 GENERATIONS AU TRAVAIL 1945 1963 1975 1995 2013 Baby boomers 16,

RÉSEAUX SOCIAUX : LA MINE D’OR • Vidéo 2

51 UNE AFFAIRE DE “COMPORTEMENTS” DE L’INCONSCIENCE À LA MALVEILLANCE Des collaborateurs portent atteinte

PERSPECTIVES De nouveaux modèles … © PL. REFALO | All right reserved | www.

MESSAGE CLÉ « La perfection est atteinte, non lorsqu’il n’y a plus rien à

LES 4 GRANDES FAMILLES DE RISQUES LA QUESTION DE L’ASSURANCE … Industriels Naturels Psychologiques

MODELE DES CYBER-RISQUES S’INTEGRER DANS UNE CARTOGRAPHIE Informations Espionnage économique industriel Vol Perte Atteinte

Cyber-attaques Cybercriminalité Cyber-guerre Services dématérialisés de confiance Informations sensibles © PL REFALO | All

MODELE DE L’ACCULTURATION POUR ORIENTER LES CHOIX « POLITIQUES » Culture du risque Précaution

ANALOGIE ROUTIERE Prévention Education Protection Dissuasion Détection Répression Réaction Motivation © PL. REFALO |

UNE LEÇON DE L’HISTOIRE ? « I hope the hackers love the Internet too

POUR ALLER PLUS LOIN Retrouvez- moi sur le web : www. securitenumerique-entreprise. fr Suivez-moi

Slides: 60

Download presentation

INTERVENANT Pierre-Luc Réfalo DGa « business development » Directeur associé : Activité « sensibilisation / formation » Directeur du programme « Sécurité de l’information » (1997 – 2002) Membre du Comité de Pilotage Auteur des Livres bleus des Assises Animateur du Groupe de travail « Fonction SSI » et « Economie SSI » Pilote des enquêtes annuelles sur la « Fonction SSI » et « Economie de la SSI » © PL. REFALO | All right reserved | www. hapsis. fr

INTERVENANT Pierre-Luc Réfalo Prix du Livre Cyber 2013 Auteur 2002 2012 Enseignement Conférences © PL. REFALO | All right reserved | www. hapsis. fr Pour plus d’informations, http: //www. securitenumerique-entreprise. fr

VASTE, COMPLEXE, IMMATURE Complexité Technologique Juridique Organisationnelle Economique Sociétale Sécurité globale Sécurité numérique ? Cyber-Défense Cyber-Sécurité de l’information Sécurité Informatique 1975 Sécurité des Systèmes d’Information 1990 © PL. REFALO | All right reserved | www. hapsis. fr 1995 2000 2005 2010 2015

LE MONDE REEL (1/3) Un administrateur système paralyse la ville Le système de contrôle du tramway pris en otage Une clé USB infectée perturbe les hôpitaux une semaine © PL. REFALO | All right reserved | www. hapsis. fr Les disques durs de 30 000 PC subitement effacés

UN MARCHE ATOMISE Systèmes distribués Web Intranet Extranet Systèmes centraux 1985 1990 1995 E-business E-commerce 2000 2005 Cloud Computing Web 2. 0 2015 NAISSANCE CROISSANCE EXPLOSION RALENTISSEMENT CRISE ? 1 - Gestion des accès et continuité (méthodes et scénarios de risque) 2 - Marketing de la peur « Internet » (attaques logiques) 3 - Protection du patrimoine (sécurité économique) 4 - Dématérialisation (confiance numérique) 5 - Sécurité globale © PL. REFALO | All right reserved | www. hapsis. fr ?

LES OUTILS SE SONT EMPILES La sécurité progresse-t-elle ? Les risques sont-ils correctement couverts ? IAM SSO DLP SOC SIEM Encryption PKI © PL. REFALO | All right reserved | www. hapsis. fr Firewall IDS, IPS VPN Web security filtrage URL Antivirus antispam antimalware

QUELQUES ENJEUX MAJEURS Juin 2012 « On est en train de prendre conscience qu’on quitte les rives du patrimoine matériel pour se rendre vers la protection du patrimoine immatériel. » « Le problème de fond, dont on ne parle pas assez, c’est l’identité numérique. » « Le cybercrime n’est pas très méchant, il ne fait qu’exploiter la stupidité et la gentillesse des gens. Les organisations cybercriminelles ont des revenus supérieurs à ceux de n’importe quelle grande entreprise mondiale et fonctionnent selon les règles de l’économie de marché. » Rapport parlementaire « Cyber Défense » - sept 2012 (Rec n° 18) « Faire de la protection des systèmes d’information une véritable priorité en matière de management des entreprises en sensibilisant les dirigeants et en rehaussant le niveau hiérarchique et le rôle des responsables de la sécurité informatique. » © PL. REFALO | All right reserved | www. hapsis. fr

POSITIONS DE L’ANSSI Pour Patrick PAILLOUX (DG de l’ANSSI), « L’attaque informatique, c’est aujourd’hui un sport international. C’est tellement facile que tout le monde est ciblé. Les particuliers mais surtout les entreprises. Il s’agit surtout de vol d’information pour soustraire des secrets dans les entreprises et dans les États. C’est pourquoi le travail de sensibilisation est un élément essentiel de notre stratégie. » La Tribune, 10 juillet 2009. Le directeur général de l’ANSSI dénonce une « sécurité cache-sexe » et « essentiellement technique » par manque de respect de principes fondamentaux ( « règles d’hygiène élémentaires » ) par les informaticiens. Discours de clôture des Assises de la Sécurité 2011. Il propose aussi aux professionnels de la Sécurité d’ « Oser dire non ! » aux tendances actuelles en particulier sur l’usage professionnel des smartphones personnels. Discours d’ouverture des Assises de la Sécurité 2012. © PL. REFALO | All right reserved | www. hapsis. fr

DES MENACES STRATEGIQUES Lucratif : 400 Mds de Idéalistes : Défense des libertés individuelles et de dollars (OCDE) la vie privée, lutte contre les dictatures, pédophiles et scientologie Impunité : Dimension Ambigus : liens avec Lulz. Sec (pirates), violation de internationale, à distance © PL. REFALO | All right reserved | www. hapsis. fr données personnelles, actions en occident mais en Chine ?

INCERTITUDE … CE QU’ON NE SAIT PAS (BIEN) … Si on a été, est ou sera victime … ni de qui et de quoi, ni comment, ni quand … Classifier et gérer la confidentialité / le secret dans le numérique (et se protéger en conséquence) Valoriser les actifs immatériels (patrimoine immatériel, réputation, …) et justifier économiquement les mesures de prévention / protection Si des textes / législations conduiront à une meilleure professionnalisation de la cybersécurité (ex : le DPO, CPO) Avenir d’Internet (neutralité, surveillance, monopoles, noms de domaines, …) © PL REFALO | All right reserved | www. securitenumerique-entreprise. fr

CONSTAT N° 1 DES TENSIONS ORGANISATIONNELLES Sûreté (UK : Security) Ré é / D éf en ta en se gle m tio Sû r et n Sécurité Sûreté Numérique Ri sq ue us s lié ag s es au x Conformité © PL. REFALO | All right reserved | www. hapsis. fr Adresse principalement les risques de nature malveillante portant atteinte aux « biens et aux personnes » Cybercriminalité Ge s ris tion qu d es es Sécurité (UK : Safety) Adresse principalement les risques de nature accidentelle portant atteinte aux « infrastructures »

CLÉ N° 1 GOUVERNANCE CIBLE Fonctions transverses RH Com interne DG ou Sec Général Ou Comité des risques Sûreté / Sécurité globale Continuité Gest° crise Business Intelligence Communication Sensibilisation Protection des personnes Référentiels et contrôle des risques Sûreté numérique Sécurité des sites Services externalisés Audit interne Conformité Juridique Protection des informations DSI / Sécurité SI Contrats de service Directions & Métiers Sites Correspondant « site » (CHSCT) © PL. REFALO | All right reserved | www. hapsis. fr Correspondant « métier » (Protection des informations et Sûreté numérique)

CLÉ N° 2 LA CLASSIFICATION EN PRATIQUE C Création Classification Stockage Accès Impression Echanges Archivage Destruction Quelles sont les mesures de prévention / protection associées à chaque niveau de classification selon la nature, le support et le cycle de vie de l’information ? © PL. REFALO | All right reserved | www. hapsis. fr D I T

CLE N° 3 LA CULTURE DE L’ACCES Identités numériques Authentifications Any Time Any Where Any Device Est qui ? Géolocalisation Vidéo protection QUI Est où ? © PL. REFALO | All right reserved | www. hapsis. fr Fait quoi ? Profils Habilitations

CLÉ N° 4 - LA CULTURE DU CONTRÔLE SIEM ET CYBER DÉFENSE • Corrélation Menaces et attaques externes • Détection • Supervision Traces Alertes Incidents Attaques • Investigation Comment détecter, identifier, corréler, analyser, investiguer des évènements anormaux et menaçant ? © PL. REFALO | All right reserved | www. hapsis. fr

CLÉ N° 4 - LA CULTURE DU CONTRÔLE FUITE ET DIVULGATION D’INFORMATION Sensibilité des informations Vecteurs de fuite Acteurs Inconsciences, négligences (et malveillances) internes Comment accompagner efficacement la mise en œuvre d’un processus de détection des fuites d’information ? © PL. REFALO | All right reserved | www. hapsis. fr

CONSTAT N° 5 … OU DERNIER REMPART ? Lors du tsunami qui a accompagné le violent séisme de Sumatra en décembre 2004, La Lettre du Plan Séisme – Juillet - Août 2008 © PL. REFALO | All right reserved | www. hapsis. fr une jeune fille ayant appris à reconnaître les premiers signes d’un tsunami au cours d’une leçon de géographie a réussi à sauver sa famille ainsi que d’autres personnes dans une station balnéaire de Thaïlande.

CLE N° 5 ACCULTURATION “RISQUES NUMERIQUES” Le « business » SI « Métier » Le numérique Information sensible Développer une culture de protection des informations et de sécurité / sûreté numérique Les risques « Acculturation : processus selon lequel un individu ou un groupe d’individus acquiert une culture qui lui est étrangère » © PL. REFALO | All right reserved | www. hapsis. fr

CLE N° 5 - DE L’ACTION AU PROCESSUS 1 2 3 Confusion entre la fin et les Solution unique Une action de moyens sensibilisation La sensibilisation est vue comme une fin standard est jugée en soi et non comme suffisante au lieu de l’intégrer dans un une démarche dont programme structuré le but est de développer une culture Sécurité Message uniforme Les bonnes pratiques ne sont pas liées aux profils de collaborateurs Plan Les 7 erreurs à ne pas commettre 4 Contenu inadapté 5 Les messages se limitent aux connaissances Manque utiles et d’apports n’intègrent pas pratiques les risques ni les comportements Les sujets abordés ne sont pas en rapport avec les usages et préoccupations des collaborateurs Do 6 Manque d’évaluation Les apports de la démarche ne sont pas appréciés en termes de management et de réduction des risques Check Selon lnformation Risk Executive Council, 2006 © PL. REFALO | All right reserved | www. hapsis. fr 7 Action coup de poing La démarche n’est pas entretenue dans le temps Act

CLE N° 5 : DANS LA PRATIQUE Stratégie Pourquoi ? Pour qui ? Quoi ? Comment ? Quand ? Avec qui ? Combien ? Indicateurs Boite à outils Maturité Sensibilité Connaissances Comportements Communication Sensibilisation Formation Un processus d’acculturation n’a de sens que s’il s’appuie sur une stratégie et sur la production d’indicateurs. © PL. REFALO | All right reserved | www. hapsis. fr

CLE N° 5 : LA BOITE À OUTILS Types Contenus Communication Actualité et politique E-Mailing Moyens Sensibilisation Affichage Notes internes Charte et bonnes pratiques Intranet Podcast Ecran de veille Articles Formation Outils et processus Modules en ligne Sessions courtes Guides Modules Correspondants Cursus longs Goodies Évaluation Quiz Test AUGMENTATION DE L’IMPACT Résultats Sensibilité aux risques réels 25/11/2020 © PL. REFALO | All right reserved | www. hapsis. fr Acquisition des connaissances utiles Développer la Culture Sécurité Adoption des comportements adaptés 40

« Imaginez le pire, vous ne serez pas déçu ! » « Le succès, c’est l’aptitude d’aller d’échec en échec sans perdre son enthousiasme. » Winston Churchill © PL. REFALO | All right reserved | www. hapsis. fr

VUE « NOUVEAUX USAGES » LE POIDS DU CLOUD ET DE LA MOBILITÉ « L’homme et la sécurité doivent constituer la première préoccupation de toute aventure technologique. » © PL REFALO | All right reserved | www. securitenumerique-entreprise. fr

VUE “SOCIOLOGIQUE” 3 GENERATIONS AU TRAVAIL 1945 1963 1975 1995 2013 Baby boomers 16, 2 Millions Génération X 11, 8 Millions Génération Y 13, 1 Millions 30 glorieuses 1945 YALTA Génération C 10 Millions 20 piteuses 1968 Mouvements sociaux et étudiants 1974 1 er choc pétrolier 1979 2è choc pétrolier 1989 Chute du mur Mondialisation 1995 WWW 2011 Crise des dettes 2008 Crise des subprimes 2001 11 Sept Découvrent Internet A la retraite Dans l’entreprise A la maison A l’école Au berceau Rois du paradoxe ! Transparence vs secret dans la sphère publique / privée Défiance vs négociation dans l’entreprise (cyber-surveillance) Pratiques plus sécuritaires parfois (smartphones) © PL. REFALO | All right reserved | www. hapsis. fr

RÉSEAUX SOCIAUX : LA MINE D’OR • Vidéo 2

51 UNE AFFAIRE DE “COMPORTEMENTS” DE L’INCONSCIENCE À LA MALVEILLANCE Des collaborateurs portent atteinte aux intérêts d'autrui Abus malveillance EXCÈS DE CONFIANCE Les collaborateurs considèrent que les mesures de sécurité les protègent bien Des solutions toujours utiles L’exigence du contrôle et de l’audit CONTOURNEMENT ET DÉROGATION Les collaborateurs trouvent des voies de contournements aux règles autorisées ou non RÉSISTANCE AUX PROCESSUS Les collaborateurs résistent aux règles Résistance "perturbantes" ou "dévoreuse de temps" Des arbitrages essentiels DG / Métiers / SI / SSI Les apports de la sensibilisation IGNORANCE DES RÈGLES Les collaborateurs ne peuvent pas appliquer des règles qu'ils ne connaissent pas Inconscience INCONSCIENCE DES MENACES Les collaborateurs ne perçoivent pas la menace ou les dangers © PL. REFALO | All right reserved | www. hapsis. fr Une charte fondamentale

MESSAGE CLÉ « La perfection est atteinte, non lorsqu’il n’y a plus rien à ajouter, mais lorsqu’il n’y a plus rien à retirer. » Antoine de Saint Exupéry © PL. REFALO | All right reserved | www. hapsis. fr

MODELE DES CYBER-RISQUES S’INTEGRER DANS UNE CARTOGRAPHIE Informations Espionnage économique industriel Vol Perte Atteinte à la vie privée Fraude Atteinte à la propriété Escroquerie intellectuelle Infrastructures Services Sabotage Destruction © PL. REFALO | All right reserved | www. hapsis. fr Intrusion Accès frauduleux

Cyber-attaques Cybercriminalité Cyber-guerre Services dématérialisés de confiance Informations sensibles © PL REFALO | All right reserved | www. securitenumerique-entreprise. fr Cyber Défense Infrastructures critiques Traçabilité (Preuve) MODELE DE GOUVERNANCE SIMPLIFIER LE CHAMP DE LA SECURITE NUMERIQUE Accessibilité Identité Confidentialité (Secret)

MODELE DE L’ACCULTURATION POUR ORIENTER LES CHOIX « POLITIQUES » Culture du risque Précaution Mutualisation Transparence Partage Cloisonnement Propriété Protection du Culture du secret patrimoine Culture de l’accès immatériel Dictacture Démocratie Culture du contrôle © PL REFALO | All right reserved | www. securitenumerique-entreprise. fr

POUR ALLER PLUS LOIN Retrouvez- moi sur le web : www. securitenumerique-entreprise. fr Suivez-moi sur Twitter : www. twitter. com/plrefalo Ecrivez-moi : plrefalo@hapsis. fr © Hapsis | All right reserved | www. hapsis. fr MERCI