Orange sanctionné pour défaut de sécurité sur les données de plus d'un million de clients "Avertissement public" à l'encontre d'Orange. Dans une délibération du 7 août, la Commission nationale de l'informatique et des libertés (Cnil) a sanctionné le groupe télécoms français suite à une faille de sécurité concernant les données de plus d'un million de clients. C'est le premier grade des sanctions prononcées par l'autorité, avant la sanction pécuniaire. Dans son communiqué, la Cnil explique qu'Orange lui a signifié, en avril dernier, une violation de données personnelles de près d'1,3 million de clients (nom, prénom, date de naissance, adresse électronique et numéro de téléphone fixe ou mobile) suite à une défaillance technique de l'un de ses prestataires.
GESTION DES DONNEES PERSONNELLES Le cabinet Forrester pense que la délégation de gestion des données personnelles sera un marché prometteur. Deux tendances fortes s'opposent depuis des années. D'un côté, les consommateurs ne veulent plus être harcelés par des propositions commerciales incessantes et donc ne plus transmettre d'informations sur eux permettant de les solliciter. Le cabinet Forrester vient de publier une étude baptisée « Personal Identity Management ». Mutualiser les systèmes d'identification Il existe déjà des systèmes d'identification mutualisés qui permettent à des individus de se connecter à de multiples services avec un seul couple identifiant/mot de passe : Google ID, Twitter Sign In, Yahoo Identity, Facebook Connect... Or, après l'Europe et ses directive sur la protection de la vie privée, les Etats-Unis envisagent sérieusement de légiférer à leur tour sur le droit des consommateurs à voir leurs données collectées avec respect de leur vie privée et de leur volonté. Partage mais contrôle des accès
Le système de paiement des hôtels Hyatt touchés par un malware Après les Hilton en novembre dernier, c'est au tour des Hyatt d'être victime d'un piratage de données bancaires. (crédit : Wikipedia/Ville Miettinen) Hyatt s'ajoute à la liste des hôtels piratés. Après avoir découvert un malware dans son système de paiement, la chaîne conseille à ses clients de vérifier leurs relevés de cartes de crédit. Le groupe d'hôtels Hyatt a demandé à ses clients de vérifier soigneusement leurs relevés de carte de crédit à la suite de la détection, il y a trois semaines, d’un malware sur les ordinateurs utilisés pour les paiements dans ses établissements. Selon Reuters, Haytt a demandé à la firme de sécurité FireEye de l'aider à enquêter. Il s'agit du dernier en date d'une série de groupes hôteliers ayant subi un piratage de leurs systèmes informatiques.
Le droit à l’oubli numérique : un vide juridique ? Par Jean-Christophe Duton et Virginie Becht, Avocats Le rapport d’information du Sénat relatif au respect de la vie privée à l’heure des mémoires numériques a invité récemment le Sénat à réfléchir à la création d’un droit à l’oubli. Le caractère relativement perpétuel des données mises à disposition sur Internet, que ce soit volontairement par l’individu concerné ou par des tiers, ou involontairement, sous forme de traces laissées par la navigation comme les cookies, participe à une hypermnésie collective. Cette dernière devient de plus en plus préjudiciable à mesure que les technologies et les usages évoluent et que la diffusion et l’accès à ces données s’accroissent (plus grande exposition sur les réseaux sociaux notamment et, parallèlement, consultation des données par les recruteurs, assureurs ou organismes sociaux). Le droit à l’oubli ne peut être invoqué en tant que tel, mais des moyens de permettre l’oubli sont présents dans le cadre juridique actuel. 1.1 La loi informatique et libertés 1.2 La LCEN et la loi HADOPI II
Comment une société pétrolière a été piratée à cause de la vulnérabilité du fournisseur de son restaurant d’entreprise Piratage des grandes entreprises : le maillon faible reste l’humain et … les PME de leur écosystème ! Le piratage récent d’une grande société pétrolière et gazière a exposé de précieuses données. Comment une entreprise dotée d’une sécurité renforcée peut-elle être piratée ? Facilement. Dans le cas présent, les pirates ont exploité la faiblesse de la sécurité informatique d’un traiteur local qui prenait les commandes en ligne des déjeuners du personnel de la compagnie pétrolière, et s’en sont servis comme point d’entrée dans son réseau. Cela met en évidence deux problèmes de la sécurité d’aujourd’hui : les humains comme maillon le plus faible et les petites entreprises qui ne prennent pas la sécurité suffisamment au sérieux. Les petites et moyennes entreprises pensent encore qu’elles sont à l’abri face à la cybercriminalité et croient que leurs données n’ont aucune valeur pour les pirates. Les PME doivent adopter une nouvelle approche de la sécurité informatique…
Cyberguerre et cybercriminalité : Internet, champ de bataille des temps modernes ? Cyberguerre et cybercriminalité : Internet, champ de bataille des temps modernes ? Emmanuel Le Bohec, Regional Manager chez Corero Network Security 1ère partie : Quelques attaques récentes… DDoS en série en représailles contre Sony Fin mars 2011, Sony engage une action en justice contre des développeurs ayant modifié le logiciel de sa console PlayStation 3. Mais ce n‘est que la partie émergée de l’iceberg ! Selon Sony, l’attaque était très sophistiquée. Piratage de MySQL, l’envers de la manipulation Lundi 26 septembre 2011, des pirates compromettent MySQL.com, le site officiel de la base de données open source du même nom. RSA et les dessous du vol de données Espionnage de Lockheed-Martin En avril 2009, une intrusion ayant permis de copier et détourner des téra-octets de données liées à la conception du nouvel avion de chasse F-35 Lightning II - un projet ultra-confidentiel de près de 300 milliards de dollars dirigé par Lockheed Martin - est détectée. Une guérilla de mercenaires La cible ?
Starwood : une cyberattaque, ayant débuté il y a un an, a touché une cinquantaine d’hôtels Il aura fallu 1 an pour s’en apercevoir… Starwood, un important groupe hôtelier et de loisirs avec plus de 1 200 sites dans plus de 100 pays et 180 400 salariés, a annoncé ce vendredi 20 novembre une attaque de son système informatique en Amérique du nord visant à obtenir les données bancaires de clients. 54 lieux sont affectés, et à regarder de près, la trace de la première infection remonte au 5 novembre 2014, la dernière se finissant le 23 octobre. Les pirates ont pénétré le système informatique d’un « nombre limité » d’hôtels du groupe en y installant un logiciel malveillant, ce qui leur a permis de voler des informations sur des cartes bancaires de clients, indique Starwood dans un communiqué. Des restaurants, des boutiques de souvenirs et des points de ventes d’hôtels Starwood ont été particulièrement visés. Outre les marques Sheraton et W, Starwood exploite notamment le St Regis, le Westin et Le Méridien. Auteur : Juliette Paoli avec AFP Auteur : Juliette Paoli
Cybersurveillance - La méconnaissance de la Charte informatique constitue une faute grave (Cass soc 5 juillet 2011 n°10-14.685) Bref rappel : l’employeur a la faculté de mettre en place une Charte d'utilisation du matériel informatique. L’intérêt de rédiger une telle charte est en effet de permettre de fixer des règles d'utilisation de l’outil informatique (opérations interdites, règles de confidentialité etc..), d’informer le salarié concernant la mise en place éventuelle de moyens de surveillance de leur activité professionnelle, de prévenir des pratiques illégales voire illicites etc.. Si le défaut de mise en garde sur l'utilisation répréhensible des outils informatiques dans le Règlement Intérieur ou la Charte informatique n'interdit pas de retenir en cas de licenciement la faute grave (Cass. soc., 16 mai 2007, no 05-43.455, Eve c/ Sté Info Mag), a contrario l’existence d’une telle Charte permet à l’employeur de la caractériser plus aisément. Or l’enjeu est de taille. C’est l’illustration de l’arrêt commenté.
Cour de cassation, criminelle, Chambre criminelle, 20 mai 2015, 14-81.336, Publié au bulletin | Legifrance Références Cour de cassation chambre criminelle Audience publique du mercredi 20 mai 2015 N° de pourvoi: 14-81336 Publié au bulletin Rejet M. Guérin , président Mme Chaubon, conseiller rapporteur M. Desportes, avocat général SCP Piwnica et Molinié, avocat(s) Texte intégral LA COUR DE CASSATION, CHAMBRE CRIMINELLE, a rendu l'arrêt suivant : Statuant sur le pourvoi formé par : - M. contre l'arrêt de la cour d'appel de PARIS, chambre 4-10, en date du 5 février 2014, qui, pour maintien frauduleux dans un système de traitement automatisé de données et vol, l'a condamné à 3 000 euros d'amende ; La COUR, statuant après débats en l'audience publique du 11 mars 2015 où étaient présents dans la formation prévue à l'article 567-1-1 du code de procédure pénale : M. Avocat général : M. Greffier de chambre : M. Vu le mémoire produit ; "en ce que l'arrêt infirmatif attaqué a déclaré M. "et aux motifs enfin que lors de ses auditions par les enquêteurs, M. "5°) alors qu'en reprochant à M. Analyse
Le harcèlement sur internet en questions Chiffres clés A ce jour, 68 911 176 de véhicules immatriculés sont enregistrés dans le SIV. A quoi sert ce fichier ? Mis en place en avril 2009, en remplacement du FNI, le SIV a pour objet la gestion des pièces administratives exigées pour la circulation des véhicules ou affectant leur disponibilité. 1. l’attribution d’un numéro d’immatriculation à vie pour chaque nouveau véhicule mis en circulation ; 2. la simplification de la gestion par les services de l’Etat des pièces administratives pour la circulation des véhicules ; 3. la simplification des démarches administratives pour les usagers via des téléprocédures ; 4. la gestion des habilitations des professionnels du commerce de l’automobile, des huissiers de justice, des experts, des assureurs, des démolisseurs-broyeurs et des sociétés de crédit. Qui est responsable de ce fichier ? Le Ministère de l’Intérieur. Que contient ce fichier ? Le SIV est constitué des données suivantes : Qui peut consulter ce fichier ? Textes encadrant ce fichier
Droit et (surtout) devoirs des objets connectés Le Consumer Electronic Show (CES) 2016 vient de se tenir à Las Vegas. Après les smartphones, ce sont les montres, bracelets, réfrigérateurs, les véhicules … les puces sous-cutanées ou sur les objets eux-mêmes qui deviennent des objets "intelligents" ou "connectés". Les innovations se multiplient autour de ces objets qui collectent et analysent une partie ou l’ensemble des données produites. Selon une étude du Gartner, ce marché concernera plus de 20 milliards d’objets connectés d’ici 2020 avec un chiffre d’affaires global atteignant 1 500 milliards d’euros. Ces objets permettent d‘établir un diagnostic "fiable" et en temps réel qui peut être médical ou mécanique, voire en relation avec la domotique. Par ailleurs, l’internet des objets ("IoT") constitue une sorte de réseau où via leur connexion entre eux et à l’internet. Sécurité des informations générées L’identification des risques s’analyse en termes juridique, opérationnel et de conformité. Analyse d'impact sur la vie privée
L'utilisation de l'image des personnes D'une manière générale, la reproduction et la diffusion de l'image ou la vidéo d'une personne doivent respecter les principes issus du droit à l'image et du droit à la vie privée. Les principes issus du droit à l'image Le droit à l'image permet à toute personne de s'opposer - quelle que soit la nature du support utilisé - à la reproduction et à la diffusion, sans son autorisation expresse, de son image. L'autorisation de la captation ou de la diffusion de l'image d'une personne doit être expresse et suffisamment précise quant aux modalités de l'utilisation de l'image (pour quelle finalité l'autorisation a-t-elle été donnée, quelles sera la durée de l'utilisation de cette image ?). Dans le cas d'images prises dans les lieux publics, seule l'autorisation des personnes qui sont isolées et reconnaissables est nécessaire. La protection de la vie privée Les principes de la loi "informatique et libertés"
Le Conseil de l'UE rend sa copie sur la directive cybersécurité L’Europe ouvre la voie à une gestion communautaire de la cybersécurité et annonce un accord entre le parlement et le Conseil de l’UE autour de la directive NIS. Cette directive en négociation depuis plusieurs mois est chargée d’harmoniser le cadre légal des pays membres autour des dispositions relatives à la sécurité des systèmes jugés critiques. La directive était en discussion au conseil depuis le mois d’octobre 2014, après une validation du parlement et à l’époque, les négociations s’annonçaient serrées. Le texte initial s’accordait sur la nécessité pour les opérateurs « critiques » de faire remonter auprès des responsables et autorités les incidents de sécurité qui pouvaient affecter leurs systèmes. Mais le texte revu et corrigé par le Conseil de l’UE va plus loin et propose d’étendre la régulation des plateformes en ligne à l’instar de Google, Amazon ou Ebay.