Crisc : une nouvelle certification pour encadrer le risque informatique

L'association américaine Isaca, connue pour Cobit et plus récemment Risk IT, propose un label pour attester la capacité des responsables à gérer le risque.

Poussé par l’Afai (Association française de l'audit et du conseil informatique) côté français, le label Certified in Risk Information System Control (Crisc) concerne principalement les auditeurs en systèmes d'information, les Risk Managers et les DSI, si la charge de la gestion du risque informatique leur incombe, bien entendu. Dans le même esprit que la norme ISO 27005, elle certifie une personne et non une entreprise. La différence se situe au niveau de l’approche. ISO 27005 concerne le risque du système d'information (SI) opérationnel, tandis que le Crisc traite du management de la gouvernance du risque SI : les risques sont-ils couverts par des procédures ? Celles-ci font-elles l'objet d'une évaluation régulière ? Les facteurs de risques ont-ils évolué ? Etc.

Un examen mondial, le même jour et à la même heure pour tous

Originaire des Etats-Unis, cette certification est le produit de l’Isaca (Information System Audit and Control Association), connue notamment pour la publication de Cobit. Aujourd’hui Crisc compte seulement 70 certifiés en France contre 7 000 dans le monde, dont 4 500 rien que pour le Japon et les Etats-Unis. Le premier examen mondial aura lieu le 10 décembre, à la même heure pour tous les pays concernés. Côté français, les épreuves se dérouleront à Paris, dans le quartier de la Porte de la Chapelle.

Pour se préparer à passer cet examen, l'Afai propose plusieurs sessions de formation qui auront lieu en novembre : présentation de la gestion du risque, mise en œuvre opérationnelle du Risk IT et préparation à l'examen.

Source

Protection des données : divergences de vue entre Américains et Européens

 Les clashes entre les autorités européennes et les acteurs américains du web ne cessent de se répéter. En cause, des attitudes antagonistes de part et d'autre de l'Atlantique à l'égard de la protection de la sphère privée et, au-delà, des conceptions divergentes sur ce qui est privé.

Le litige opposant le préposé à la protection des données en Suisse (l'équivalent de la Cnil en France) à Google Street View n'est pas un cas isolé. Cette année, des affaires ont éclaté en Espagne à propos de pages indexées par Google contenant des informations personnelles, en Allemagne, à propos (encore) du floutage de Street View et au niveau européen à propos de la reconnaissance automatique des visages dans Facebook. Les gardiens de la sphère privée ne cessent par ailleurs de manifester leur mécontentement et leurs mises en garde envers les grands acteurs du web sur leur manière de collecter et d'exploiter les données de leurs utilisateurs. En mai dernier, Viviane Reding la Commissaire européenne en charge de la justice et des droits fondamentaux soulignait que ces entreprises ne sauraient se soustraire au droit européen sous prétexte qu'ils sont basés aux Etats-Unis ou que leurs données sont dans le cloud: «Un réseau social avec 200 millions d'utilisateurs en Europe doit se plier au droit européen».

Qu'elles soient légales ou verbales, ces tensions ont pour dénominateur commun d'opposer des acteurs du web majoritairement américains à des autorités de protection de la sphère privée européennes. Au point que plusieurs grands médias américains ont thématisé l'antagonisme croissant entre les conceptions de la sphère privée de part et d'autre de l'Atlantique, parlant même de «guerre d'internet à venir en Occident».

Des attitudes opposées Les problèmes liés à la protection de la sphère privée ne sont l'exclusivité ni du web ni des entreprises américaines. Ces dernières années, le préposé à la protection des données suisse s'est ainsi intéressé à des pratiques aussi diverses que la vidéosurveillance dans les transports publics, les compteurs électriques intelligents et la cybersanté. De plus, la divulgation d'informations personnelles en ligne - contrainte ou intentionnelle, consciente ou non - entre dans les moeurs, y compris en Europe (voir lien).

Il n'empêche que l'attitude des législateurs et des usagers européens est beaucoup plus méfiante à l'égard des acteurs du web, que celle qui prévaut outre-Atlantique. Trois quarts des européens souhaitent par exemple disposer d'un droit à l'oubli, c'est-à-dire de la possibilité de supprimer toutes leurs données personnelles ou d'y attribuer une durée de vie. L'Union Européenne a d'ailleurs annoncé son intention de légiférer en la matière. Aux Etats-Unis, on insiste en revanche sur l'apport positif de l'information et de la transparence - la liberté d'expression du fameux premier amendement. Les dangers de la toile qui font débat concernent avant tout les actes malveillants et la protection des enfants et l'on préfère faire appel à la responsabilité des usagers et des fournisseurs de services, qu'à des lois contraignantes. Quelle est l'origine d'une si profonde divergence de vues? Deux études universitaires permettent d'y voir plus clair.

Source

La Ficome s’inquiète des intrusions dans les réseaux VoIP professionnels

Dans un communiqué, la Ficome (Fédération Interprofessionnelle de la Communication d’Entreprise) s’inquiète d’attaques récurrentes sur les réseaux de téléphonie de certains de ses membres. 

La Ficome, que l’on retrouve actuellement sur le salon IP Convergence, s’inquiète d’un phénomène pas vraiment surprenant : la montée et la multiplication des tentatives d’intrusions dans les réseaux téléphoniques des entreprises adhérentes. Effectivement, les infrastructures VoIP deviennent des cibles pour les attaquants, qui tentent de détourner le trafic téléphonique. 

« Depuis plusieurs mois, la FICOME enregistre auprès de son réseau d’adhérents, sociétés de services en Télécoms et Réseaux, une augmentation importante et alarmante des intrusions malveillantes dans les systèmes télécoms des entreprises », écrit la Ficome dans son communiqué. « Ces intrusions ont majoritairement pour objectif d’établir des communications à l’international aux frais de l’entreprise victime, à destination de pays d’Afrique, d’Asie  mais aussi des Balkans ». 

Elle rappelle également que ces attaques peuvent coûter cher à une entreprise, jusqu’à plusieurs dizaines de milliers d’euros, et cite un cas recensé à 600 000 euros ! En plus d’alerter ses adhérents sur ces risques, Silvano Trotta, président de la Ficome a été reçu à sa demande par la BEFTI de la Préfecture de Police (Brigade d’Enquête sur les Fraudes aux Technologies de l’Information), « pour évoquer un partenariat en échangeant sur cette situation préoccupante afin de résoudre cette problématique ».

Au-delà de cette démarche, la Fédération déplore également le manque de politique de sécurité dans les entreprises, leur réticence à renoncer à des fonctionnalités accessibles depuis l’extérieur, mais aussi l’absence de sensibilisation des utilisateurs et les défauts d’assurance pour couvrir les risques liés aux équipements télécoms. 

Source

Navigateurs : IE9, premier sur la sécurité ?

Microsoft explique à qui veut bien l’entendre qu’IE9 est le navigateur le plus sécurisé, et de loin. Voyez plutôt…

Votre navigateur est-il bien sécurisé ? C’est un thème sur lequel Microsoft essaye de sensibiliser les utilisateurs, en pointant du doigt ses concurrents Chrome et Firefox. Car selon le site yourbrowsermatters.org, Internet Explorer 9 arrive en premier dans le classement des navigateurs les plus sécurisés.

Le site accorde une note sur 4, où IE9 obtient 4, contre 2,5 pour Chrome et 2 pour Firefox. Rappelons également que Microsoft a récemment envoyé une vague de correctifs pour combler des vulnérabilités critiques.

En regardant de plus près, on s’aperçoit tout de même de quelques incohérences. A la question « Est-ce que votre navigateur vous protège contre les sites qui ont la réputation de distribuer des malwares ? », seul IE9 obtient le score adéquat, ce qui parait étrange pour les utilisateurs de Chrome ou Firefox, qui sont eux aussi prévenus avant de visiter un site suspect…

Le site souligne toutefois la résistance de Chrome en cas d’attaques sur le navigateur, et salue la sandbox utilisée. Soulignons aussi que Firefox notamment intègre des options de sécurité comme Do Not Track, qui ne sont pas comptabilisées dans les résultats. Bref, ce site (signé Microsoft bien entendu) ne doit pas être considéré comme tout à fait impartial...

Source

La surveillance de BitTorrent par les FAI français mesurée

L'initiative Measurement Lab vise à détecter la présence de filtres ou de techniques de bridages des connexions à Internet, en particulier les tentatives de surveillance et de filtrage du protocole BitTorrent par les FAI. Une première série de données est disponible, couvrant la période d'avril 2008 à mai 2010.

Depuis de nombreuses années, la technologie BitTorrent a été la bête noire des fournisseurs d'accès à Internet. Les opérateurs accusaient le réseau P2P de générer une trop grande consommation de bande passante à certaines heures et d'entraîner des situations de congestion du réseau pouvant affecter d'autres abonnés qui eux n'utilisaient aucun client BitTorrent pour échanger des fichiers.

Bridage de BitTorrent par les FAI

C'est pour cette raison que plusieurs fournisseurs d'accès à Internet ont à un moment ou à un autre mis en place des dispositifs destinés à brider le trafic généré par la technologie BitTorrent ou, plus radical, à bloquer complètement les échanges. Plusieurs exemples existent, à commencer par l'opérateur américain Comcast, le canadien Bell, le britannique Virgin Media ou encore le belge Telenet.

Sur ce sujet, les opérateurs se montrent toutefois assez discrets. Ce n'est en effet pas vraiment un argument commercial que de mettre en avant un bridage de BitTorrent, dans la mesure où il s'agit d'une technologie neutre. Elle peut en effet servir à échanger des contenus illicites, comme des oeuvres protégées par le droit d'auteur, ou fournir un moyen simple, efficace et économique de distribuer facilement des fichiers.

Sur ce sujet, Measurement Lab (MLab) a mis en ligne une série de données interactives couvrant deux ans d'activité de FAI, d'avril 2008 à mai 2010. Comme l'explique Torrentfreak, MLab s'est appuyé sur des outils pour détecter la présence de filtres ou de techniques de bridages des connexions à Internet, en particulier Glasnot qui permet de vérifier si les FAI brident l'utilisation du protocole BitTorrent.

Les données sont regroupées dans un tableau présentant en particulier le pourcentage de tests montrant des techniques d'inspection de paquets de données (DPI : Deep Packet Inspection). Les mesures sont effectuées par tranche de trois mois avec le pourcentage de tests valides. En ce qui concerne la France, cinq FAI ont été observés : Orange, Free, SFR, Bouygues Télécom et Numericable-Completel.

Le cas des FAI français

Que retenir de ces données ? Il y a eu deux grandes périodes sur la période couverte par MLab. Jusqu'au troisième trimestre 2009, les cinq opérateurs français ont, selon les mesures relevées, réalisé des techniques d'inspection de paquets de données. Les scores oscillent en effet entre 7 % et 15 % selon les opérateurs. On remarque toutefois deux pics au cours de cette période.

Le premier concerne Free (Iliad) au quatrième trimestre 2008. MLab a relevé que 30 % de ses tests, pratiquement un tiers des résultats, ont montré des techniques d'inspection. C'est un score assez important. L'autre score remarquable concerne Bouygues Télécom au premier trimestre 2009. La mesure atteint 29 %. En revanche, le même FAI atteint 0 % un an auparavant, au deuxième trimestre.

Après le troisième trimestre 2009, la tendance est à la baisse et l'intérêt des FAI à ce moment-là semble s'être calmé. Selon MLab, les tests montrant du DPI vont de 2 à 9 %. Seuls deux FAI ont eu une activité plus importante à ce niveau-là pendant une brève période. Il s'agit de France Télécom lors du troisième trimestre 2009 (13 %) et de Numericable-Completel le quatrième trimestre 2009 (16 %).

L'initiative de Measurement Lab est soutenue par Google et la New America Foundation. Comme nous l'expliquions il y a deux ans, le géant de Mountain View cherche à démontrer son attachement au principe selon lequel les opérateurs de télécoms ne doivent pas traiter différemment les données envoyées selon leur contenu, leur destination ou leur expéditeur, pas plus que selon l'outil utilisé (protocole BitTorrent).

Respecte mon net

Les travaux de MLab sont l'occasion de rappeler le projet initié par la Quadrature du net. Baptisé Respecte mon net, le site recense toutes les restrictions de l'accès à Internet que les internautes constatent. L'objectif de cette initiative est de disposer de cas concrets à présenter aux autorités européennes afin que ces dernières prennent la mesure de l'urgence de légiférer en faveur de la neutralité du net.

"Le législateur européen fait la sourde oreille sur ce problème depuis plus de deux ans. Le rapport de la commissaire européenne Neelie Kroes sur le sujet prétend qu'il n'y a pas de preuves quant à la nécessité de protéger dans la loi la neutralité du Net" s'était agacé Jérémie Zimmermann, porte-parole et cofondateur de la Quadrature du Net.

"Une telle approche attentiste est choquante quand on voit la réalité des pratiques de gestion du trafic des opérateurs, et leur impact sur la liberté de communication en ligne, la concurrence et l'ensemble de l'économie numérique" avait-il ajouté.

Source

Espionnage informatique en Libye : deux associations attaquent une filiale de Bull

La FIDH et la LDH, deux associations de défense des droits de l'Homme ont saisi la justice. Dans une plainte contre X, elles se constituent partie civile auprès du TGI de Paris et mettent en cause directement la société Amesys, filiale de Bull pour « complicité d'actes de torture en Libye ».

La Fédération Internationale des Droits de l'Homme et la Ligue des Droits de l'Homme indiquent avoir saisi le tribunal de grande instance de Paris. Elles accusent Amesys, une filiale du groupe Bull d'avoir fourni au régime de Mouammar Khadafi, « à partir de 2007, un système de surveillance des communications destiné à surveiller la population libyenne ».

Dans un communiqué publié sur le site de la FIDH, l'organisation précise que cette plainte, « vise une entreprise pour complicité de graves violations des droits de l'Homme sur le fondement de la compétence extraterritoriale ». Pour rappel, en septembre dernier, le Wall Street Journal révélait que la société française Amesys équipait depuis 2009 un centre de surveillance informatique du régime de Kadhafi. Selon le quotidien, cette filiale de Bull aurait donc mis à la disposition ses services basés sur la technologie « Eagle Core », un système qui permet de traquer des conversations sur messagerie instantanée mais également de détecter certains e-mails privés.

Cette fois, l'information publiée par Les Echos est le signe que certaines associations tentent de connaître les conditions exactes de la signature d'un tel contrat entre la société et l'ancien régime du pays. Côté politique, les réactions ont été moins franches. Le député PS Christian Paul avait déposé début septembre une question au gouvernement portant sur les modalités de cet accord. Sur son compte Twitter, l'élu expliquait « toujours attendre la réponse de François Fillon » sur le sujet.

Source

Oracle déploie un ensemble de correctifs pour Java

L'éditeur Oracle annonce le déploiement de correctifs pour sa plateforme Java et notamment pour combler la faille BEAST.

En début de mois nous rapportions que les développeurs de Mozilla envisageaient de bloquer le plugin Java, ce dernier s'avérant trop dangereux car souvent la cible d'attaques. Il a notamment été découvert qu'une faille au sein du plugin permettait à un hacker malintentionné de répliquer l'attaque BEAST, laquelle consiste à s'immiscer sur une connexion sécurisée par le protocole TLS.

Oracle invite alors les utilisateurs à télécharger un ensemble de 20 correctifs, 19 d'entre eux comblant des failles via lesquelles il est possible de procéder à une prise de contrôle de la machine à distance. Par la même occasion, Oracle répond aux inquiétudes de Mozilla en corrigeant la vulnérabilité du protocole SSL/TLS.

Retrouvez davantage d'informations sur cette page.

Source