Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique Sensibilisation à la Sécurité Informatique Ecole Centrale de NANTES

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : devenue une nécessité, mais pourquoi ?

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : une nécessité, parce que : les systèmes, ainsi que les informations qui y sont stockées ont de la valeur. Il faut donc protéger l’outil (qualité de service) et son contenu (confidentialité, intégrité des informations) l’informatique est devenue communiquante : les machines connectées entre elles via le réseau sont devenues plus facilement accessibles

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : une nécessité, parce que : le réseau est ouvert sur Internet, ce qui fragilise encore plus l’ensemble du Système d’Information il existe des kits de piratage, ce qui peut rendre très dangereux le premier internaute venu. Les virus ne sont donc pas les seuls problèmes

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : une nécessité, parce que : les logiciels comportent tous des failles qui sont ensuite facilement exploitées par les pirates 80% des dégradations et piratages viennent de l’interne, il convient donc d’adresser la bonne cible le contenu du Système d’Information doit être conforme à la loi

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : pour pallier à quels risques ?

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : une nécessité pour : maintenir la confiance dans l’outil de travail être en règle avec la loi et éviter tout désagrément aux responsables de l’Ecole éviter de détériorer l’image de marque de l’Ecole éviter la remise en état de systèmes détériorés, ce qui peut coûter cher en ressources humaines

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : qui est concerné ?

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : c’est l’affaire de tous le niveau maximum de sécurité ne peut être supérieur à celui du maillon le plus faible nous sommes tous concernés et à tous les niveaux il importe à chacun de sensibiliser le maximum de personnes qui pourront ensuite s’impliquer la sécurité ne peut reposer sur une seule personne

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : c’est l’affaire de tous elle doit donc s’appuyer sur un réseau humain : les correspondants informatiques, les chefs de service, les administrateurs de machines, autre... ? définir un consensus de règles applicables, acceptées et appliquées : implication et appui de la Direction

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : c’est l’affaire de tous elle doit répondre à un objectif et être indépendant de la technique elle doit être sans cesse remise en cause. La solution doit évoluer au même rythme que les risques. Aucun acquis définitif en la matière. il faut se donner les moyens correspondants aux objectifs

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : c’est l’affaire de tous chacun est responsable, en particulier : -du mot de passe et des droits qui lui ont été attribués -de l’usage qu’il en fait -de ses données chacun se doit de respecter la charte informatique

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : qu’est ce que c’est ?

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : un éternel compromis pas de panique, la sécurité informatique, c’est avant tout 80% de bon sens et 20% de technique cela restera toujours un compromis entre la meilleure utilisation possible du Système d’Information que l’on cherche à protéger tout en garantissant sa Disponibilité, son Intégrité et sa Confidentialité

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : un éternel compromis compromis entre : -un coût -une performance -la garantie de confiance dans le S.I. -la convivialité, la facilité d’accès -les ressources humaines

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : comment ?

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : conseils et recommandations choisir un bon mot de passe et le garder confidentiel (90% des intrusions proviennent de négligence en matière de mot de passe) après s’être connecté devant une tierce personne, changer son mot de passe ne jamais donner son mot de passe à un tiers

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : conseils et recommandations verrouiller toute session en quittant son bureau pas de compte banalisé pas de compte inutilisé (compte d’une personne ayant quitté l’Ecole non détruit) mettre à jour l’anti-virus du poste de travail

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : conseils et recommandations se méfier hautement des fichiers attachés aux messages électroniques éviter de contribuer à propager un virus ou une fausse alerte se méfier des logiciels rapatriés, non «vérifiés» et/ou installés par un tiers

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : conseils et recommandations veiller à la sauvegarde de ses données, en particulier pour tout poste nomade toujours passer par le CRI pour la connexion de tout matériel sur le réseau aider à propager la bonne parole, en particulier auprès des étudiants

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : conseils et recommandations adopter les règles de bonne conduite de l’Internet et respecter les diverses chartes, celle de l’Ecole, de RENATER, les règles de la Netiquette (site web.ccr.jussieu.fr/ccr/Netiquette.html) prévenir de toute anomalie en envoyant un message à : ou

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : conseils et recommandations respecter toutes les recommandations qui s’y rapportent, et en particulier celles qui viennent d’être énoncées

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : aspects législatifs

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation pas de vide juridique en la matière, au contraire, il y a pléthore de textes et de lois. La difficulté réside dans la détermination du texte applicable toujours régit par le code Napoléon qui pose le principe de responsabilité de celui qui cause un dommage à un tiers

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation responsabilité civile : pour demander réparation –art : tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer –art : chacun est responsable du dommage qu’il a causé par son fait, mais encore par sa négligence ou par son imprudence

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation responsabilité pénale : pour demander la condamnation du contrevenant –la faute doit faire l’objet d’une incrimination pénale : elle doit correspondre à une infraction précise par un texte –l’élément intentionnel est requis pour constituer une faute pénale : volonté de commettre l’infraction

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation responsabilité civile : elle est moins restrictive que la responsabilité pénale l’élément intentionnel n’est pas requis. Il suffit que la faute ait entraîné la survenance d’un préjudice la plupart du temps, la responsabilité civile oblige à réparer par le versement de dommages et intérêts

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation responsabilité pénale : c’est une responsabilité très restrictive la notion de négligence n’intervient pas elle fait encourir principalement des peines d’amende et de prison

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation la responsabilité civile et la responsabilité pénale : peuvent se cumuler

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation loi du 30 septembre 1986 sur la liberté de communication précise que l’implication des acteurs s’ordonne de la façon suivante : –le directeur de publication –l’auteur du message –l’hébergeur : la loi du 1er août 2000 l’oblige à vigilance mais supprime sa responsabilité pénale

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation La loi sur la liberté de communication prévoit une responsabilité très limitée pour le fournisseur d’accès est également exclu le transporteur du fait du principe de neutralité en matière de télécommunications

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation se rajoute un ensemble de textes et de lois : –CNIL : commission nationale de l’informatique et des libertés. C’est l'autorité de contrôle française en matière de protection des données. –respect de la vie privée / diffamation / injures –droit de la propriété intellectuelle –contenus illicites, etc...

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation d’où la nécessité de rédiger une charte pour informer les usagers elle a une valeur contractuelle et fixe les règles du jeu entre les parties elle proscrit des comportements licites mais non souhaités

Centre de ressources Informatiques Juin 2001 Sensibilisation à la Sécurité Informatique La Sécurité Informatique : législation à l ’Ecole Centrale : «tout ce qui n’est pas autorisé est interdit» une chose est sûre : le chef d’Etablissement est aussi responsable