background preloader

L'AFCDP attend le futur règlement européen sur les données personnelles de pied ferme

L'AFCDP attend le futur règlement européen sur les données personnelles de pied ferme
Paul-Olivier Gibert est président de l'AFCDP (Association française des correspondants à la protection des données personnelles). Cette association a tenu son université annuelle le 27 janvier 2015, une occasion de détailler les enjeux pour les CIL. CIO : Pouvez-vous nous présenter l'AFCDP ?Paul-Olivier Gibert : L'Association française des correspondants à la protection des données personnelles a été créée en 2004. Elle réunit, au 31 décembre 2014, 1589 personnes physiques pour 596 adhérents. Ceux-ci sont d'une part 138 personnes physiques adhérents directs et d'autre part ... Article rédigé par

Affaire Snowden : comment contrôler les droits d'administration Edward Snowden, auteur des révélations faites sur les programmes d'espionnage de la NSA, avait pu accéder simplement aux informations critiques de l'agence grâce à ses droits administrateurs. Si les administrateurs des systèmes d'informations se doivent de posséder un accès étendu aux machines, leurs droits d'entrée doivent être impérativement contrôlés et régulés. Une leçon mise en évidence par l'affaire Snowden. L'affaire Snowden est pleine de leçons pour les responsables de la sécurité des systèmes d'information. 20% des organisations ne connaissent pas le nombre de compte administrateurs ouverts La firme a ainsi approché 340 participants de la conférence FOCUS 13 de McAfee pour en apprendre un peu plus sur la question. La solution réside donc peut-être dans une approche repensée de l'attribution des droits étendus.

Guide de bonnes pratiques pour les Administrateurs Systèmes et Réseaux Résumé : Le Guide des Bonnes Pratiques tente de recenser les spécificités majeures du métier Administrateurs Systèmes et Réseaux (ASR). Il formalise un ensemble de comportements qui font consensus dans la communauté des ASR pour élaborer un corpus de bonnes pratiques d'organisation. Ce guide peut contribuer à rendre les missions du métier plus lisibles, améliorer l'organisation et la technicité mises en œuvre au sein de nos services vis à vis de nos utilisateurs, de nos directions et de nos tutelles. Ce projet de guide est né à l'initiative de RESINFO à partir d'une réflexion générale liée aux différents contextes de travail de notre métier dans lesquels on assiste à une intensification des tâches d'exploitation des systèmes informatiques et des réseaux, et des responsabilités attenantes, la plupart du temps à moyens humains constants.

TF1, Sony et Morgan Stanley : qu’est-ce que le vol de données ? Par Yaël Cohen-Hadria, Avocate. Une actualité 2014 qui ne semble pas ralentir en 2015… D’une part TF1 a été victime de pirates informatiques, Linker Squad, qui auraient volé des données à caractère personnel de près de 2 millions d’abonnés à TF1. Il s’agirait a minima de noms, prénoms, coordonnées mais probablement aussi de données bancaires voir de profils d’accès aux abonnements presse du groupe TF1. D’autre part le piratage des bases de données de Sony Pictures Entertainment a également été dévoilé à la fin du mois d’octobre 2014, concernant près de 50 000 employés de Sony et leurs données personnelles (identité, coordonnées, fichiers confidentiels et correspondance privée dévoilée).Autre exemple, aux Etats-Unis, la banque Morgan Stanley a été victime d’un vol de données concernant près de 350 000 clients et certaines données auraient même été publiées sur le net. Une sanction pénale du vol de données dans le contexte de BIG DATA et de valorisation des données des entreprises.

LES ASPECTS JURIDIQUES DU METIER D’ASR « Guide de Bonnes Pratiques pour les Administrateurs Systèmes et Réseaux Ce chapitre rédigé par le groupe de travail GBP a été réalisé à partir de diverses formations et conférences juridiques données par Maître BARBRY du cabinet Bensoussan [22]. Référentiel légal du métier d’ASR Il n’existe pas de référentiel légal concernant le métier d’ASR. Deux points sont tout de même à noter. La jurisprudence nous apporte également quelques précisions sur le régime juridique des ASR. La seconde [26] confirme le licenciement de l’ASR d’une association qui a téléchargé 24h/24 et 7j/7 environ 6 Go d’images, de sons et de vidéos considérant qu’il avait abusé de ses droits privilégiés au système informatique. L’ASR, de par sa fonction, a des accès privilégiés aux ressources et systèmes de son unité. [forum : annoter le chapitre] Ne pas ignorer le droit. Cette première bonne pratique peut se résumer ainsi : « En savoir assez pour ne pas en faire trop ». Faire de la veille juridique L’environnement dans lequel évolue l’ASR évolue de façon permanente à trois niveaux : Informer Agir

Le CERN exploite ses données sensibles en conformité avec ses règles Le CERN (Conseil européen pour la recherche nucléaire) a mis en place un nouvel outil décisionnel unique, basé sur Pentaho, pour traiter toutes ses données. PublicitéLe CERN est un office de droit international spécialisé dans la recherche nucléaire, surtout connu dans le grand public pour son LHC (Grand Collisionneur de Hadrons). Ses 2500 collaborateurs ainsi que les étudiants, stagiaires et visiteurs scientifiques, soit un total de 15 000 utilisateurs, ont chacun des droits particuliers qui doivent être pris en compte par les services administratifs mais la productivité des équipes suppose une utilisation aisée et rapide des données. Pour y parvenir, le CERN a déployé la solution de Pentaho. Le projet a été achevé fin 2015. Article rédigé par Franck Salien, Journaliste Partager cet article

Cour de Cassation, Chambre sociale, du 16 mai 2007, 05-43.455, Inédit Références Cour de cassation chambre sociale Audience publique du mercredi 16 mai 2007 N° de pourvoi: 05-43455 Non publié au bulletin Rejet Président : M. CHAUVIRE conseiller, président Texte intégral LA COUR DE CASSATION, CHAMBRE SOCIALE, a rendu l'arrêt suivant : Sur le moyen unique : Attendu, selon l'arrêt attaqué (Paris, 12 mai 2005), que M. Attendu que M. Mais attendu, d'abord, que la cour d'appel, qui n'avait ni à procéder à une recherche que ses constatations rendaient inutile ni à répondre à des conclusions inopérantes sur l'appellation usuelle d'un dossier informatique, a fait ressortir que les fichiers dont le contenu était reproché au salarié n'avaient pas été identifiés par lui comme personnels, ce dont il résultait que l'employeur pouvait en prendre connaissance sans qu'il soit présent ou appelé ; D'où il suit que le moyen n'est pas fondé ; REJETTE le pourvoi ; Condamne M. Vu l'article 700 du nouveau code de procédure civile, rejette les demandes ; Analyse

Une charte de l'administrateur de système et de réseau Complexité en expansion, risques multipliés La multiplication de questions de plus en plus complexes liées à la sécurité des systèmes et des réseaux, l’imbrication de plus en plus intime des aspects techniques et juridiques de ces questions et le risque accru de conséquences judiciaires en cas d’erreur incitent à la rédaction, au sein de chaque entreprise ou organisation, d’une charte de l’administrateur de système et de réseau qui rappelle les devoirs, les pouvoirs et les droits des ingénieurs et des techniciens qui administrent la sécurité des réseaux, des ordinateurs et en fin de compte du système d’information. Cette activité d’administration de la passerelle de messagerie de l’entreprise lui permet de détecter les usages contraires à la loi qui pourraient en être faits par des employés indélicats, dont les exemples les plus courants sont, non limitativement : Règles de conduite Secret professionnel Mots de passe « - Non ! Proposition de charte Préambule Définitions Surveillance et audit

Starwood : une cyberattaque, ayant débuté il y a un an, a touché une cinquantaine d’hôtels Il aura fallu 1 an pour s’en apercevoir… Starwood, un important groupe hôtelier et de loisirs avec plus de 1 200 sites dans plus de 100 pays et 180 400 salariés, a annoncé ce vendredi 20 novembre une attaque de son système informatique en Amérique du nord visant à obtenir les données bancaires de clients. 54 lieux sont affectés, et à regarder de près, la trace de la première infection remonte au 5 novembre 2014, la dernière se finissant le 23 octobre. Les pirates ont pénétré le système informatique d’un « nombre limité » d’hôtels du groupe en y installant un logiciel malveillant, ce qui leur a permis de voler des informations sur des cartes bancaires de clients, indique Starwood dans un communiqué. Des restaurants, des boutiques de souvenirs et des points de ventes d’hôtels Starwood ont été particulièrement visés. Outre les marques Sheraton et W, Starwood exploite notamment le St Regis, le Westin et Le Méridien. Auteur : Juliette Paoli avec AFP Auteur : Juliette Paoli

Cadre juridique des administrateurs réseaux Les administrateurs réseaux assurent le fonctionnement normal et la sécurité du système informatique de leur employeur. Ils sont susceptibles d’avoir accès, dans l’exercice de cette mission, à des informations personnelles relatives aux utilisateurs (messageries, logs de connexion, etc.). L’accès par les administrateurs aux données enregistrées par les salariés dans le système d’information est justifié par le bon fonctionnement dudit système, dès lors qu’aucun autre moyen moins intrusif ne peut être mis en place. Ils doivent dès lors s’abstenir de toute divulgation d’informations qu’ils auraient été amenés à connaître dans le cadre de l’exercice de leur mission, et en particulier les informations relevant de la vie privée des employés ou couvertes par le secret des correspondances, dès lors qu’elles ne remettent pas en cause le fonctionnement technique ou la sécurité des applications, ou encore l’intérêt de l’employeur.

JURISPRUDENCES  | Tribunal de Grande instance de Créteil 11ème chambre correctionnelle Jugement du 23 avril 2013   mardi 23 avril 2013 Tribunal de Grande instance de Créteil 11ème chambre correctionnelle Jugement du 23 avril 2013 Ministère public / Olivier L. accès frauduleux - cybercriminalité - fraude informatique - sécurité - système de traitement automatisé de données - données - vol - maintien frauduleux - mot de passe Une convocation à l’audience du 23 avril 2013 a été notifiée à L. Conformément à l’article 390-1 du code de procédure pénale, cette convocation vaut citation à personne. L. Il est prévenu : Sur l’action publique Le 6 septembre 2012, l’Agence Nationale de sécurité sanitaire de l’alimentation, de l’environnement et du travail (Anses) représentée par Monsieur Nin K., informaticien, déposait plainte auprès des services de police de Maisons-Alfort (94) pour intrusion dans son système informatique et vol de données informatiques. La Direction Centrale du Renseignement Intérieur était chargée de la poursuite des investigations, l’Anses étant un opérateur d’Importance Vitale (OIV). .

Informatique et libertés : l'accès aux messages personnels des salariés très encadré Le respect de la vie privé : un droit supérieur à protéger Les problématiques liées à l’utilisation de l’outil informatique au bureau – par nature, un outil professionnel -, à des fins personnelles, ont pris de nombreuses configurations. Dénigrement des supérieurs par e-mail, consultation de site internet sans rapport avec l’activité professionnelle, utilisation d’une boîte mail professionnelle à des fins personnelles, entre autres, la liste est longue et va certainement encore s’allonger. Les juges ont, de manière générale, considéré que les fichiers ou les documents détenus sur un ordinateur sont présumés avoir un caractère professionnel, sauf s’ils ont été clairement identifiés comme « personnels ». En ce qui concerne l’accès aux messages personnels des salariés, les juges ont posé la règle suivante : « le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée ». La sécurité : une entrave justifiée au principe du respect de la vie privée

L’intrusion dans un système informatique et ses conséquences juridiques. Il existe différents types de pirates informatiques : du hacker classique, qui s’introduit dans les systèmes par des moyens illégaux sans détruire les données ni utiliser les informations données, mais dans le seul but de faire savoir qu’il existe des failles de sécurité au cracher (casseur), appellation qui désigne le pirate le plus dangereux qui détruit dans un but précis ou pour le plaisir. Or, aux yeux de la loi, chacun d’entre eux peut être poursuivi au regard des dispositions du Code pénal en matière de fraude informatique. L’intrusion peut s’effectuer par le biais d’un programme qui se cache lui-même dans un programme « net » (par exemple reçu dans la boite aux lettres ou téléchargé). Après la prise de contrôle, souvent indécelable, le pirate peut introduire des programmes de corruption (virus, bombe etc), modifier des données (par exemple défigurer une page web), installer des programmes espions (Sniffer). I. a) La responsabilité pénale i. Accès frauduleux Le maintien frauduleux

CYBERSURVEILLANCE ET ADMINSTRATEURS RESEAUX Pouvant être sujet d'attaques internes comme externes, les entreprises et leurs réseaux ont besoin d'une cybersurveillance des administrateurs de réseaux. Cependant la cybersurveillance et les administrateurs de réseaux doivent obéir à différentes règles notamment le respect à la vie privée et le secret des correspondances. Avant de pouvoir rentrer dans les détails, nous allons définir la cybersurveillance et les administrateurs de réseaux dans un premier temps. Dans un second temps, nous allons présenter les obligations qui pèsent sur les administrateurs réseaux lorsqu'ils font de la cybersurveillance. généralisée de réseaux au sein des entreprises. Plus précisément, la cybersurveillance regroupe les voies et moyens aboutissant à l’accès des données ou signaux transmis par voie électronique ainsi que le contrôle des moyens techniques permettant ces transmissions. La surveillance et l’interception de courriers électroniques sont considérése comme de la cybersurveillance. I. II. III. VI.

Related: