Palais des Congrès de Paris6 au 8 octobre 2005 Kiosque Mission Sécurité : mon cabinet est-il vulnérable ?

Palais des Congrès de Paris 6 au 8 octobre 2005 Sécurité : mon cabinet est-il vulnérable ? Philippe Barré Expert-Comptable Vélina Coubès Microsoft…

Palais des Congrès de Paris 6 au 8 octobre 2005 SOMMAIRE Sécurité : mon cabinet est-il vulnérable ? Constats. Une réflexion globale. Les règles dor de la sécurité. Les questions à se poser. Anti-piratage et gestion des actifs logiciels. Les solutions de sécurité. Les avantages pour le cabinet.

4 Les piliers de linformatique du cabinet Efficacité SécuritéMobilité

5 Constats Linformatique est omniprésente dans le cabinet. Les cabinets sont ouverts au monde extérieur. >Veille et documentation sur Internet. >Dialogue avec les clients et les administrations. >Transfert de fichiers entre collaborateurs.

6 Constats Ces échanges quotidiens posent des problèmes >de sécurité. >de confidentialité. Les cabinets restent cependant frileux en raison des risques potentiels. >Peur des menaces pirates et virales. >Manque dinformation et de formation sur la sécurité. Les solutions existent, vous les possédez certainement déjà.

Une réflexion globale

8 Des solutions pour des stratégies Il ny a pas aujourdhui, une stratégie mais des stratégies pour faire face à la vulnérabilité des données dont vous disposez dans le cabinet. Ces technologies de sécurisation ne sont bien souvent pas perçues ou sont mal perçues. Internet a été vu comme un facilitateur de communication et dorganisation de lentreprise, mais il a aussi ouvert les « portes » de votre cabinet. Vous disposez dinformations « appartenant » à vos clients, elles sont sous votre responsabilité.

9 Mise en place de sécurités Plus vous optez pour des modes de connexion « distants » plus il faut être prudent, mais pas « parano… », pour autant ! La sécurité dun réseau sans fil est tout aussi fragile ou efficace quun réseau filaire… un fil nest pas un antivirus… Tout dépend du degré de sécurité mis en place dans le cabinet, vous devez contrôlez à la fois la sécurité. >Des serveurs, >Des connexions et >Des utilisateurs.

10 Savoir où se trouvent les failles …Et comment on les évite ! >Outre les protections contre les agressions « externes », noubliez jamais que lessentiel des piratages proviennent dactions délibérées internes. >Néparpillez pas vos données sur des quantités de serveurs, ça rend leur gestion plus difficile, optez pour des solutions complètes type Microsoft Windows Small Business Server >Un antivirus ne lutte pas contre le piratage des données, de même quil ne sert à rien contre le spam. >Tous les points dentrée de votre informatique sont potentiellement des portes ouvertes.

11 Les points de contrôle - Que contrôler ? Sécurisez les serveurs informatiques du cabinet. >Serveur de messagerie. >Serveur de base de données. >Outils de comptabilité. Sécurisez les accès de vos collaborateurs et contrôlez les. >Gérez les droits daccès de vos collaborateurs. Sécurisez vos connexions. >Réseau filaire. >Wifi (sans fil). >GPRS.

Les règles dor de la sécurité

13 Les règles dor de la sécurité Sécurité = fiabilité, confiance, sérénité. La sécurité est laffaire >de chacun. >de chaque poste de travail. La facteur humain est la cause la plus fréquente des problèmes de sécurité.

14 Les règles dor de la sécurité Protéger le réseau du cabinet vis-à-vis de lextérieur : >Pare-feu (firewall). Eviter les virus et les espions (spyware). >Anti-virus & anti-spyware. Profiter des dernières sécurisations disponibles. >Mise à jour des logiciels. Protéger régulièrement ses données. >Sauvegarde. Contrôler les droits daccès aux données. >Politique de mots de passe. Sassurer de la conformité de ses logiciels.

15 Les règles dor de la sécurité Chaque maillon doit être sécurisé. Serveur du cabinet Poste de travail Au sein du cabinet Clients Avec lextérieur HP iPAQ 6515 Tel+Gps HP iPAQ 6340 Tel Compaq tc 1100

16 Les règles dor de la sécurité Protection des données – Stockage. >Dès lors quun serveur de données est mis en place au cabinet, la solution la plus adaptée consiste à disposer sur ce serveur dun système de sauvegarde à bande (généralement sur des bandes dites « dat »), qui présente lavantage de pouvoir être automatisé. >Sur un serveur HP Proliant, on peut connecter sans difficulté tout un éventail de solutions de sauvegarde et de restauration, des dispositifs indispensables à la sécurité du cabinet et à la protection des données. – => rubrique « Stockage »

17 Les règles dor de la sécurité Importance du facteur humain. >Il faut former les collaborateurs des cabinets aux risques potentiels afin quils ne créent pas de failles dans le système. –Le réseau du cabinet est protégé, mais un collaborateur reçoit de nombreux mails damis avec des fichiers joints : blagues, jeux… –Chacun introduit dans son ordinateur des fichiers clients non vérifiés avec sa clé USB ou des cédéroms. >Il faut pratiquer des sauvegardes régulières. –La sauvegarde du cabinet na jamais été testée. –Personne ne sait comment récupérer une sauvegarde. –Des outils sont intégrés aux solutions serveur de Microsoft (Microsoft Windows Small Business Server 2003).

18 Les questions à se poser

19 Les questions à se poser Quelle(s) solution(s) pour >quelle taille de cabinet ? >quels besoins ? Faut-il changer de matériel ? Faut-il changer ou mettre à jour les logiciels du cabinet ? Faut-il embaucher un responsable informatique ?

20 Les solutions de sécurité

21 Les solutions de sécurité Des outils de sécurité existent. >Antivirus. >Détection des logiciels espions – Anti-Spyware. >Firewall. >Signature électronique. >Sauvegarde des données. Des bonnes pratiques de sécurité existent… aussi ! >Contrôle des mails. >Contrôle des droits daccès. >Gestion des mots de passe. >Contrôle des accès nomades. >Contrôle des documents.

22 Les antivirus Ils doivent être installés sur tous les postes du cabinet, serveurs et postes utilisateurs. Ils doivent être mis à jour régulièrement ce qui permet de disposer en permanence des dernières définitions de virus. Des solutions globales de protection de linfrastructure informatique sont proposées par les éditeurs.

23 Détection des logiciels espions (Spyware) Un logiciel espion sinstalle sur lordinateur dun utilisateur. >Il collecte des données sensibles à linsu de lutilisateur. Il « sattrape » en ouvrant un mail infecté, en installant un logiciel dapparence anodin, en naviguant sans sécurité sur certains sites Internet… >Les dernières versions dInternet Explorer protègent efficacement contre ce type de logiciel lorsque lon surfe sur le Web. De même que pour les virus, des logiciels sont chargés de les détecter et de les supprimer. >Exemple : Microsoft AntiSpyware.

24 Le Firewall Sans Firewall (Pare-feu), un ordinateur est totalement ouvert sur le monde extérieur. Son principe est de contrôler et dautoriser le cas échéant lentrée ou la sortie de données. Le Firewall doit être situé au niveau du routeur du cabinet, du serveur, des postes utilisateurs. >Il est important de protéger les postes des utilisateurs nomades, et non pas simplement le réseau du cabinet.

25 Et la signature électronique ? La signature électronique protège les échanges entre le client et le cabinet. >Lémetteur et le destinataire du message sont clairement identifiés. >Les messages peuvent être cryptés. La signature électronique est très facile à mettre en place. >Il faut obtenir un « certificat numérique » auprès dune autorité de certification. –La CNCC propose par exemple un certificat. La signature électronique est abordable. >Elle ne coûte que quelques dizaines deuros par collaborateur et par an.

26 Contrôle des mails La plupart des virus arrivent au cabinet par mail. Les logiciels antivirus contrôlent la boite mail et suppriment les mails infectés avant leur ouverture. Les pièces jointes susceptibles dêtre dangereuses peuvent être bloquées par Outlook. Dune façon générale, même si cela napporte pas de sécurité absolue, ne jamais ouvrir la pièce jointe dun interlocuteur peu fiable ou inconnu.

27 Contrôle des droits daccès Définir différents niveaux de droits daccès au cabinet en fonction des utilisateurs. Un intérimaire par exemple ne devrait avoir accès quà ses seuls fichiers. Les logiciels et fichiers de comptabilité ne doivent être accessibles quà ceux qui sen servent… >Les droits daccès se gèrent très simplement avec les logiciels serveur de Microsoft.

28 Contrôle des accès nomades Côté entreprise. >Windows Small Business Server Premium dispose dun firewall. Côté mobile. >Les données peuvent être cryptées. >Laccès aux données est sécurisé. >Même protection sur un TabletPC que sur un portable. Vos données sont donc aussi bien protégées à lextérieur quà lintérieur de lentreprise.

29 Contrôle des documents La sécurité de vos données, cest aussi vérifier et contrôler que le document que vous transférez na pu être modifié, ou que ces documents ne circulent pas de mains en mains. De même que la personne qui communique avec vous est la bonne. Microsoft Office 2003 Edition PME intègre des nouvelles fonctionnalités de certification et de contrôle des documents.

30 Anti-piratage et gestion des actifs logiciels

31 Quelques rappels sur les logiciels Comme pour le livre, le fondement de cette activité est le Droit de la propriété intellectuelle. Lœuvre originale ne doit pas être confondue avec le support qui sert à sa diffusion. En acquérant un logiciel on devient titulaire dun droit dutilisation sur un nombre dordinateurs donnés, matérialisé par la licence dutilisation. On nest pas propriétaire de lœuvre. On ne peut donc pas faire de copie pour utilisation ou diffusion sans autorisation du propriétaire de lœuvre. Un logiciel sans licence dutilisation est une contrefaçon.

32 Exemples de piratage Installer un logiciel acquis légalement sur plus dordinateurs que ne le lautorise sa licence. Fabriquer, diffuser et vendre des copies illicites du logiciel. Utiliser des copies illégales du logiciel, même inconsciemment. >La loi nexige pas que vous sachiez que votre activité est illégale ; le simple fait dutiliser une copie illégale du logiciel vous rend passible de poursuites. Ne pas respecter le contrat de licence : par exemple utiliser des version Éducation dans une entreprise, ou ne pas déclarer à léditeur la totalité de ses installations de logiciels. Utiliser des contrefaçons acquises sur Internet à des prix trop beaux pour être vrais ou téléchargés sur des réseaux déchange.

33 Les risques liés à lutilisation de copies illégales de logiciels Le risque technique. >Risques de virus sur les copies pirates commercialisées sur Internet ou copiées de poste à poste. >Pas de service de mises à jour automatiques et de correctifs de sécurité (type Windows Update). >Pas de support technique de la part de léditeur, pas dinterlocuteur revendeur en cas de problème.

34 Les risques liés à lutilisation de copies illégales de logiciels Le risque de réputation et dimage. >Utiliser des copies illégales nest pas «pro», cest un défaut de gestion, un manque de sérieux. >Faibles économies dangereuses : le logiciel représente moins de 10% du coût total de possession de léquipement informatique.

35 Les risques liés à lutilisation de copies illégales de logiciels Le risque légal et financier. >Procédures de contrôle : saisie descriptive par huissier de justice et expert informatique dans le cadre dune ordonnance rendue par le président du Tribunal de Grande Instance, ou lettres de mise en demeure de déclaration de parc. >Procédure judiciaires coûteuses : sanctions pénales (amendes et peines de prison prévues par la Loi) et civiles (dommages et intérêts).

36 Que faire au cabinet ? Informer et partager la responsabilité avec les collaborateurs : >clause de respect de la propriété intellectuelle dans les contrats de travail, >règlement interne. >note interne de sensibilisation. Audit annuel des logiciels installés sur les ordinateurs. >Rapprochement avec les licences effectivement possédées. >Grouper et conserver les licences en lieu sûr.

37 Que faire au cabinet ? Grouper les achats auprès dun petit nombre de fournisseurs reconnus. >Établir des procédures de fourniture de logiciels aux employés et nommer des personnes responsables. >Vérifier les besoins régulièrement. Planifier les évolutions techniques et les budgets correspondants.

38 Que faire chez les clients ? Au minimum : >Vérifier quà tout achat de matériel correspond un achat de logiciels. >Alerter le chef dentreprise sur les risques quil court du fait des copies de logiciels. Sil sait quil y a des copies, il ne sait pas ce que ça peut lui coûter. Pour aller plus loin : >Les conseiller sur quel logiciel acheter pour gérer leur entreprise. >Comment gérer cet actif : faut-il louer ou acheter, etc. >Voire réaliser un audit du parc informatique. –Permet de mieux connaître et suivre dans le temps son existant logiciel et licences, et le comparer aux besoins.

39 Windows Genuine advantage (WGA) : avantages aux Windows authentiques Constats : >Un taux de piratage élevé en France. –Taux de piratage global : 45% (IDC/BSA 2004). –Taux de piratage estimé de Windows : 33%. >Peu de différence entre loriginal et la copie dans le monde numérique. >Des utilisateurs complices et des utilisateurs victimes de la contrefaçon. Principes de WGA : >Donner au consommateur le moyen de vérifier facilement et anonymement en ligne la légalité de son Windows. >Créer une réelle différence entre la copie et loriginal, en offrant plus de valeur à loriginal et moins à la copie : reserver les téléchargements exclusifs et les offres aux clients qui ont authentifié leur Windows. >Proposer des solutions aux victimes de la contrefaçon (échange produit) >Mettre une saine pression sur les revendeurs malhonnètes. >Créer à terme plus de demande pour loriginal. WGA donne accès à : >Des téléchargements exclusifs (IE, WMP, Antispyware…). >Des offres gratuites qui enrichissent lexpérience Windows. Les utilisateurs de Windows pirates nont plus accès à ces avantages. >Exception : les correctifs critiques de sécurité restent accessibles à tous via Windows update. Découvrir WGA :

40 Avantages pour les cabinets

41 Les avantages coté cabinet Plus de sécurité signifie utilisation accrue des nouvelles technologies. >Productivité. >Baisse des coûts. >Image moderne. Les relations avec les clients sont fiabilisées. >Pas de transmission de virus. >Confidentialité des échanges grâce à la signature électronique.

42 Le livre blanc des nouvelles technologies dans les cabinets… A partir de létude dun cabinet « normal » (moins de 10 collaborateurs). >Comment identifier les besoins. >Comment trouver les solutions. >Comment les mettre en place. Suivez pas à pas le cheminement dune réorganisation réussie.

43 Merci de votre attention