Appréhension de la sécurité informatique par le droit: une approche imparfaite Jacques – Louis...

Appréhension de la sécurité informatique par le droit:

une approche imparfaite

Jacques – Louis ColombaniAVOCAT21//01/09



• La notion de réseau

• Un réseau est d’une part composé d’éléments physiques qui jouent un rôle distinct dans la circulation des biens et des services, mais aussi désormais de la monnaie et de l’information sensible;

• Il est d’autre part composé de liaisons matérielles ou immatérielles qui doivent être protégées contre les intrusions.

• La position française n’autorisant que le chiffrage d’intensité moyenne permet aux textes du code pénal (411-1 et 411-6) de s’appliquer: il faut en effet pouvoir raisonnablement et légalement accéder aux flux pour savoir ce qui se passe sur son réseau.



• La notion de réseau

• Les réseaux ont fortement évolué passant d’une architecture hiérarchisée de type GSM à une architecture complexe de type « Peer to Peer » (Annexe 1).

• La protection des réseaux sensibles se heurte parfois à la protection des données personnelles d’où la nécessité:

• 1°) D’une charte d’utilisation qui soit connue des salariés et acceptée;

• 2°) De la mise en place d’une surveillance acceptable dans l’entreprise;

• 3°) De la désignation d’un correspondant CNIL dans l’entrepprise

• Les principaux textes applicables et les autorités de contrôleLes principaux textes applicables et les autorités de contrôle



• Les autorités de contrôleLes autorités de contrôle

• Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques»)

• Exemple: Les Témoins de connexion («cookies»)• Les témoins de connexion (cookies) sont des informations cachées échangées

entre un utilisateur Internet et un serveur web, et sauvegardées dans un fichier sur le disque dur de l'utilisateur. Ces informations permettaient initialement la persistance d'informations entre deux connexions. Elles constituent aussi un outil de contrôle de l'activité de l'internaute souvent décrié.

• La directive prévoit que les utilisateurs doivent avoir la possibilité de refuser qu'un témoin de connexion ou qu'un dispositif similaire soit placé sur leur équipement terminal. Pour ce faire, les utilisateurs devront également recevoir des informations claires et précises sur la finalité et le rôle des cookies.

http://eur-lex.europa.eu/smartapi/cgi/sga_doc?smartapi!celexplus!prod!DocNumber&lg=fr&type_doc=Directive&an_doc=2002&nu_doc=58



• Les autorités de contrôleLes autorités de contrôle• LE CONTROLEUR EUROPEEN DE LA PROTECTION DES

DONNEES• Possède un site internet et est compétent popur juger de

l’application des textes précités.• LA COMMISSION NATIONALE INFORMATIQUE ET LIBERTES • Cet organisme offre aux entreprises depuis la réforme de la loi

informatique et libertés la possibilité de s’exonérer des déclarations systématiques par la mise en place d’un correspondant



• Les autorités de contrôleLes autorités de contrôle• LA COMMISSION NATIONALE INFORMATIQUE ET

LIBERTES • Cet organisme offre aux entreprises depuis la

réforme de la loi informatique et libertés la possibilité de s’exonérer des déclarations systématiques par la mise en place d’un correspondant (Annexe 2).



• Les autorités de contrôleLes autorités de contrôle• La Haute Autorité en charge de contrôler le

téléchargement illicite de films ou de musique

• Le site internet: internet.signalement.gouv.fr

permet désormais au ministère de l’intérieur de recevoir des plaintes directement



• Les principales difficultés pour le contrôleur:Les principales difficultés pour le contrôleur:• A/ Les attaques humaines dans l’entrepriseA/ Les attaques humaines dans l’entreprise• Mettre en place une charte de sécurité et des Mettre en place une charte de sécurité et des

contrôles adaptéscontrôles adaptés • B/ Les attaques extérieures « automatiques »B/ Les attaques extérieures « automatiques »• Mettre en place des logiciels adaptés qui ne causent Mettre en place des logiciels adaptés qui ne causent

pas eux-mêmes des dommages illicites (Fire pas eux-mêmes des dommages illicites (Fire wall/Fire wall)wall/Fire wall)

• DANS TOUS LES CAS RECHERCHER LA REPONSE JURIDIQUE OU CONCRETE QUI CORRESPONDE AUX DOMMAGES CONSTATES



• Les principales manœuvres ou attaques Les principales manœuvres ou attaques - Manipulations des programmes - Manipulations sur le terminal- Manipulations à l’entrée ou à la sortie du terminal- Utilisation abusive des services informatiques- Manipulations de données à saisir à l’entrée du système- Espionnage- Vol de données/d’informations- Destruction ou altération de données- Atteintes aux logiciels



• Les principales manœuvres ou attaques Les principales manœuvres ou attaques

Exemples:- Couper l’accès du réseau (déni de service).- Ecouter la bande passante: Un pirate peut écouter le

trafic réseau aux heures de connexion du personnel, il pourra lire tous les noms d'utilisateurs ainsi que leur mot de passe, le sniffing est facilité par le WIFI;

- Analyser les flux « in » et « out » des machines à l’aide d’un scanner;




Exemples:- Accès au réseau sous couvert de maintenance par

un tiers - Trouver les mots de passe et code d’accès (les

fournisseurs privés connaissent très souvent les mots de passe de leurs clients, il existe des logiciels dits « routines »)



• Les principales manœuvres ou attaques Les principales manœuvres ou attaques Exemples:• Usurpation de l'adresse IP • En changeant d'adresse IP, on peut se faire passer pour un

autre ordinateur et obtenir des informations sensibles qui ne nous sont pas destinées.

• Usurpation de l'adresse e-mail • Lors de la réception d'un courrier électronique, nous pouvons

lire l'adresse de l'expéditeur. Mais, il est possible de changer l'adresse. Ainsi, un pirate peut vous envoyer un mail en usurpant l'adresse de votre supérieur.

• Usurpation WEB • Phishing ou création de sites miroirs…




Exemples:- Intrusion d’une machine entre deux machines

connectées (Man in the middle)- Attendre que la victime se connecte au réseau

pour… prendre sa place sur la session- Etc…



• Les réponses juridiques aux manœuvres Les réponses juridiques aux manœuvres

- L’intrusion dans un système de traitement informatisé de données:

• Les actes d'intrusion informatique sont sanctionnés pénalement par l’article 323-1 du Code pénal qui incrimine le fait « d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données »(STAD).

• Questions ouvertes: Le scannage des ports est–il interdit?• Certaines actions peuvent ainsi être effectuées de manière parfaitement

légitime (un administrateur scanne ses machines pour identifier les logiciels utilisés dans son entreprise, dans le cadre de la réalisation de tests d’intrusion - ou par de simples curieux notamment des

• personnes soucieuses de la sécurité qui souhaitent vérifier qu’une machine hébergeant des données est bien sécurisée).



• Les réponses juridiques aux manoeuvresLes réponses juridiques aux manoeuvres• La destruction de données est également pénalement

réprimée• Il faut prendre des précautions (expert accompagnant

l’huissier) pour ne pas altérer les machines que l’on souhaite auditer.



• Les réponses juridiques aux manoeuvresLes réponses juridiques aux manoeuvres

• Les atteintes aux biens• REPONSE PENALE• - Escroquerie: Cyberbraquage du président• - Abus de confiance• - Vol: problème du caractère immatériel des données




• Les atteintes aux biens• REPONSE CIVILE• Article 1382 C. Civ• Code de la propriété intellectuelle (contrefaçon)




• Les atteintes aux personnes

• Pédophilie, risques d’enlèvements etc…




• Les atteintes aux bases de données (Loi du 1er juillet 1998)

• Les infractions propres à la CNIL• La CNIL redoute la centralisation en « une seule main »

par un identifiant unique des données relatives à un individu ou un groupe.




• Les infractions propres à la CNIL- Délit de création de fichiers clandestins- Délit d’enregistrement ou de conservation illicite

d’informations nominatives- Divulgation illicite d’informations nominatives- Contravention d’entrave au droit d’accès et de

communication de la CNIL



• MERCI!

• QUESTIONS?

Appréhension de la sécurité informatique par le droit: une approche imparfaite Jacques – Louis...

Documents

Transcript of Appréhension de la sécurité informatique par le droit: une approche imparfaite Jacques – Louis...