Marie-Claude Quidoz (CNRS/UREC)

Présentation au sujet: "Marie-Claude Quidoz (CNRS/UREC)"— Transcription de la présentation:

1 Marie-Claude Quidoz (CNRS/UREC)
Synthèse du document Politique de gestion des traces d’utilisation des moyens informatiques et des services réseau au CNRS  Mercredi 18 mai 2005 Marie-Claude Quidoz (CNRS/UREC)

2 Des enregistrements de trace pour…
Contrôler le volume d’utilisation de la ressource, détecter des anomalies afin de mettre en place de la qualité de service, faire évoluer les équipements en fonction des besoins ; Vérifier que les règles en matière de SSI sont correctement appliquées et que la sécurité des systèmes d'information et du réseau telle qu’elle a été définie par la politique de sécurité de l’unité est assurée ; Détecter toute défaillance ou anomalie de sécurité, volontaire ou accidentelle, passive ou active, d’origine matérielle ou humaine ; Détecter toute violation de la loi ou tout abus d’utilisation des moyens informatiques pouvant engager la responsabilité du CNRS ; Être à même de fournir des preuves nécessaires pour mener les enquêtes en cas d’incident de sécurité et de répondre à toute réquisition officielle présentée dans les formes légales.

3 Mais les traces enregistrées
Contiennent presque toujours des informations ayant un caractère nominatif Login Adresse IP Permettant de remonter à l’utilisateur, donc de l’identifier Or les applications à caractère personnel doivent faire l’objet d’une déclaration à la CNIL (loi informatique et liberté du 6 août 2004) pour respecter le droit de l’individu à la protection de ses données à caractère personnel C’est la raison pour laquelle une politique de gestion de trace a été définie par le CNRS pour toute ses entités sous tutelle principale CNRS Loi antérieur (1978) Or les applications à caractère nominatif doivent faire l’objet de demandes d’avis préalables à la CNIL pour respecter le droit de l’individu à la protection de ses données à caractère personnel Données nominatives

4 Son but Aider les responsables du traitement informatique à s'assurer que : La collecte des informations n'est ni frauduleuse, ni déloyale, ni illicite et qu'elle s'accompagne d'une bonne information des personnes ; Les informations ne sont pas conservées au-delà de la durée prévue ; Les informations ne sont pas communiquées à des personnes non autorisées ; Le traitement ne fait pas l'objet d'un détournement de finalité ; L’accès aux résultats des traitements et aux données collectées fait l'objet d'une sécurité optimale, afin qu'aucun détournement de la finalité ne puisse avoir lieu. Le dernier point est très important car avec la loi de 2004 il y eu un durcissement de l’obligation de sécurité avec des sanctions renforcées. Apparition de deux nouveaux devoirs: - Devoir de protection des données personnelles - Devoir de secret professionnel

5 Informations enregistrées déclarées à la CNIL (1)
Informations journalisées par les serveurs (hors messagerie et web) et postes de travail Pour chaque tentative de connexion ou d’ouverture de session Identité de l’émetteur, date et heure, résultat, nombre de connexions, commandes passées Durée de conservation ≤ 1 an Serveurs de messagerie (SMTP) Pour chaque message émis ou reçu Adresse de l’expéditeur, adresse du destinataire, date et heure, relais de messagerie, résultat, sujet, taille, résultat du traitement antispam ou antivirus Remarque : pensez à informer aussi de l’existence d’un plan de crise et de sa mise en service (régime d’exception) Rejet systématique et sans « réponse automatique » des messages identifiés comme provenant d’un ver de messagerie Attention ne pas confondre les éléments qui appartiennent à la politique de sécurité et ceux appartenant à la politique de gestion des traces Par exemple, pour le délai de conservation, la politique de gestion des traces donne au maximum un an. Mais rien n’est dit pour le délai minimum qui lui est un élément de la politique de sécurité

6 Informations enregistrées déclarées à la CNIL (2)
Serveurs Web (HTTP) Pour chaque connexion Adresse IP source et destination, identité de l’émetteur, page consultée et informations fournies, numéros des ports source et destination ainsi que le protocole, type de requête, date et heure, volume de données transférées, paramètres passés au « cgi-bin » Durée de conservation ≤ 1 an Équipements d’extrémité de réseau et la surveillance des services réseau (routeurs, pare-feux, commutateurs, borne d’accès…) Pour chaque paquet qui traverse l’équipement Adresse IP source et destination, identité de l’émetteur, numéros des ports source et destination ainsi que le protocole, date et heure, résultat, nombre de paquets et d’octets transférés… 4 . Résultat : paquet transmis ou filtré

7 Informations enregistrées déclarées à la CNIL (3)
Système de détection d’intrusion et de l’enregistrement des paramètres d’utilisation des services réseau Pour chaque trame qui circule sur le réseau Message d’alerte des IDS (à base de signature) Durée de conservation ≤ 1 an Si l’analyse en temps réel n’est pas possible, possibilité de sauvegarder les trames mais seulement le temps de l’analyse « offline » Attention les IDS par analyse comportementale ne rentrent pas dans le cadre de la déclaration faite Déclaration à faire à la CNIL

8 Informations enregistrées déclarées à la CNIL (4)
Applications spécifiques Quelques exemples : SGBD, FTP, SSH, instrumentation scientifique, applications à accès restreint Enregistrement des paramètres de connexion et d’utilisation Pour des raisons de comptabilité, de gestion, de sécurité ou de développement IP source, identité de l’émetteur, date et heure, résultat, volume de données transférées, nombre de connexions Durée de conservation ≤ 1 an Si la mise au point d’un programme nécessite l’enregistrement de données échangées, possibilité de sauvegarder ces éléments mais il faut prévenir les utilisateurs quand ce mode d’exploitation est activé Remarque : selon les données gérées par ces applications (ou serveur web), il faut faire une déclaration à la CNIL Déclaration à faire à la CNIL

9 Des traitements pour… Pour veiller Les traitements déclarés à la CNIL
Au respect de la politique de sécurité ; Au bon fonctionnement du matériel et du logiciel ; A l’équilibrage de charge des équipements et logiciels. Les traitements déclarés à la CNIL Des résultats statistiques systématiques Des résultats d’analyses effectuées manuellement Des journaux bruts Des résultats ciblés et nominatifs Les traitements sont effectués par les administrateurs systèmes et réseaux Activité soumise au secret professionnel

10 Traitements déclarés à la CNIL (1)
Des résultats statistiques systématiques Pour contrôler de façon automatique l’utilisation des moyens En volume et en nombre de connexions Mesures sur l’ensemble des traces générées Exemple de « contrôles » systématiques Calcul de « top ten » par service réseau ou par machine Si les adresses « IP » des machines n’apparaissent pas Résultats diffusables sur des sites Internet accessibles à tous Sinon les résultats sont à la seule disposition des administrateurs systèmes et réseaux MCQ : Ça ne correspond pas à des traitements précis (style top ten) mais à tous les traitements que l'on peut faire à partir des traces qui ont été déclarées dans le document. La seule contrainte est dans la publication des résultats, où il ne faut pas que des données personnelles apparaissent. RL : oui ; il n'y a pas d'atteinte à la vie privée quand les résultats du traitement ne font pas apparaître d'information à "caractère personnel". Concrètement, c'est le cas lorsque l'objectif est l'optimisation de la charge du réseau ou de l'exploitation d'un équipement. Exemple : "mon directeur me demande le nombre de personnes qui ont travaillé au mois d'Août pour savoir si l'année prochaine, elle peut fermer physiquement le laboratoire". Le traitement va être fait sur les traces "catégorie 1". Et le résultat ne va pas contenir de données personnelles, mais seulement un chiffre. Réponse de RL : Ce type d'information - de pure gestion - peut être communiqué à la structure hiérarchique sans qu'il y ait soit violation de la vie privée soit cybersurveillance du personnel. Il ne faut tomber dans l'autre extrême qui serait la rétention d'information indispensable pour diriger correctement un labo.

11 Traitements déclarés à la CNIL (2)
Des résultats d’analyses effectuées manuellement En cas d’incident ou de suspicion d’incident : analyse des traces disponibles pour mettre en évidence le problème Si l’incident est avéré, l’administrateur système et réseau doit avertir Le directeur de l’unité Le CERT Renater Les coordinateurs sécurité régionaux et nationaux Le service du Fonctionnaire de Sécurité de Défense En vue d’un éventuel dépôt de plainte Éventuellement le délégué régional Mais il doit uniquement leur décrire l’incident et il ne doit pas leur communiquer des informations à caractère personnel Si l’incident n’est pas avéré, les résultats d’analyse doivent être immédiatement détruits Attention, les informations transmises ne doivent pas permettre de mettre en cause des personnes identifiées

12 Traitements déclarés à la CNIL (3)
Des journaux bruts Pour fournir des journaux bruts à l’autorité judicaire afin de lui permettre de poursuivre une enquête Uniquement sur requête officielle Des résultats ciblés et nominatifs Chaque agent peut demander à consulter les traces télématiques ou informatiques qui le concernent Principes : Demande à faire par écrit auprès du directeur de l’unité Recherche faite par l’administrateur système et réseau Résultat transmis directement à l’utilisateur sous forme de « courrier personnel »

13 Remarque importante Pour tout traitement répondant à d’autres objectifs, il faut faire une déclaration à la CNIL Exemples de traitement non conforme à la déclaration Information permettant de faire de la cybersurveillance d'un salarié A quelle heure M. M commence le matin, à quelle heure il s'arrête le soir ? Quelle est la « productivité » de ma secrétaire (c.-à-d. combien de caractères elle frappe en moyenne dans une journée) ? Combien de temps M. D passe-t-il à faire « autre chose » que son travail ? … Information à caractère personnel (c.-à-d. entrant dans la sphère privée d'un individu) sans son consentement Quel site M. C visite-t-il ? Quel type de fichier télécharge-t-il ? Nombre de courriels « personnelle » qu'il envoie à partir de son adresse professionnelle ? Identité des gens avec qui il correspond ? Traitements conformes : L'évolution de la charge d'un équipement commun ou du réseau en fonction des heures de la journée est du domaine de l'exploitation. Il en est de même pour le "taux" d'utilisation d'un logiciel. Il ne faut pas, évidemment, qu'on puisse tirer de ces informations des conclusions sur l'activité professionnelle d'un agent ; ce serait le cas s’il n'y avait qu'une seule personne utilisant l'équipement (ou le logiciel) sur lequel on fait des statistiques. On peut faire des statistiques sur les sites visités en classant les sites en fonction de leur intérêt pour l'activité du laboratoire. On peut faire la même chose avec les courriers électronique. Dans ces deux cas, il faut bien entendu, qu'on ne puisse jamais remonter aux impétrants.

14 Informations des utilisateurs
Chaque unité doit informer les utilisateurs de la gestion qui est faite des traces qui les concernent Diffusion systématique de la politique de gestion des traces suivant le même protocole que pour la diffusion de la charte informatique Remarques : Aucune autre information donnée dans le document Complément disponible dans la lettre de Joseph Illand envoyée aux directeurs des unités sous couvert des Délégués Régionaux

15 Les intervenants (1) Les utilisateurs Ont des droits Ont des devoirs …
Leur traces ne doivent pas subir de détournement de finalité Ils doivent être informés des moyens mis en œuvre Ont des devoirs … Responsables de l’utilisation des moyens mis à leur disposition Usage professionnel des moyens mis à leur disposition Respect de la charte informatique et de la politique de sécurité Doivent donner acte, par la signature d’une déclaration d’engagement qu’ils ont été informés Pas de précision donnée dans le document

16 Les intervenants (2) Les administrateurs systèmes et réseaux
Chargés de la mise en œuvre et de la surveillance des systèmes et du réseau. A ce titre, ils gèrent les traces Chargés de rapporter toute anomalie de fonctionnement Acceptent d’exécuter des traitements ou de fournir des informations pouvant inclure des données nominatives uniquement à la demande de la structure fonctionnelle de sécurité Fonctionnaire de Sécurité de Défense, coordinateurs sécurité régionaux et nationaux Tenus au secret professionnel et ne répondent, sauf réquisition de l’autorité judiciaire, à aucune autre demande d’information ou de traitement pouvant mettre en cause des personnes ou porter atteinte à leur vie privée Doivent donner acte, par la signature d’une déclaration d’engagement qu’ils ont été informés Pas de précision donnée dans le document

17 Les intervenants (3) Le responsable de l’unité
Sa responsabilité est engagée dans la limite de ce qu’il peut connaître et de ce qu’il peut exiger, en cas d’incident ou d’accident impliquant son unité Chargé de diffuser la charte d’utilisation des moyens informatiques Pas d’accès aux traces permettant de mettre en cause une personne Les coordinateurs sécurité Interlocuteurs au quotidien des administrateurs pour la gestion et le contrôle des systèmes et des réseaux Ont accès aux rapports d’analyse des traces et en particulier aux informations nominatives Soumis au secret professionnel Peuvent être « impliqués » dans les enquêtes internes ou diligentés par les autorités compétentes en cas d’incident de sécurité (?)

18 Les intervenants (4) Le Fonctionnaire de Sécurité de Défense
Responsable, pour le CNRS, de l’application des lois et des règlements en matière de sécurité et de protection de l’information Responsable de la définition de la politique de sécurité et de sa mise en œuvre Tenu informé par l’administrateur système et réseau local des incidents de sécurité si l’incident est susceptible d’avoir des suites juridiques Dépôts de plainte Mise en cause de personnels dans le cadre d’analyse de trace Tenu au secret professionnel Peut avoir accès, après avis du directeur, à l’ensemble des informations relatives à ces incidents, y compris aux journaux bruts Peut faire procéder à une enquête interne comportant une analyse nominative de traces sur motif sérieux et après avis du directeur

19 Les intervenants (5) Le correspondant du CNRS auprès de la CNIL
Madame Florence CELEN UPS837, Direction des systèmes d'information (DSI) TOUR GAIA RUE PIERRE-GILLES DE GENNES BP 193 31676 LABEGE CEDEX Téléphone : Adresse électronique : Si votre politique de gestion de traces n’est pas conforme à la politique nationale CNRS, vous devrez vous acquitter d’une déclaration spécifique auprès de la CNIL Avec l’aide de Mme Florence Celen

20 Remarque Dans ce document, n’est jamais cité le terme « correspondant sécurité » Si le correspondant sécurité est un administrateur système et réseau, pas de problème Même chaîne fonctionnelle Même droit & même devoir Secret professionnel Échange de données « à caractère personnel » Si le correspondant sécurité appartient à la chaîne hiérarchique (directeur, délégué régional…), il ne FAUT pas leur donner connaissance des données « à caractère personnel » Que se passe t'il si on a détecté qu'un utilisateur faisait du Peer to Peer illégitime ? La réponse qui vient à l’esprit : la solution la plus efficace consiste à le dire au directeur et à lui demander de convoquer la personne. Mais comme la loi ne permet pas de donner le nom au directeur , ce moyen d’action est caduque… Peut on contourner la loi ? NON (ou alors à vos risques et périls !). La bonne méthode est celle utilisée pour les logiciels "piratés". L'ARS prévient son directeur qu'il y a dans le laboratoire du trafic en peer-to-peer, sans mettre en cause un agent personnellement. Le directeur fait une note de service rappelant à chacun qu'il engage sa responsabilité personnelle dans ce type de trafic et qu'il aura à répondre au cas où des ayant-droits se porteraient partie civile (ce qui se passera inévitablement un jour ou l'autre) au niveau pénal (1 an d'emprisonnement et € d'amende), au niveau civil (les dommages et intérêts peuvent être très très lourds) et au niveau administratif (le risque est grand de passer en conseil de discipline et, en cas de condamnation en pénal, d'être exclu du CNRS). Si après cela le trafic continue, c'est a désespérer de la nature humaine ... et il faut prévenir le FSD qui avisera.