background preloader

Orange sanctionné pour défaut de sécurité sur les données de plus d'un million de clients

Orange sanctionné pour défaut de sécurité sur les données de plus d'un million de clients
"Avertissement public" à l'encontre d'Orange. Dans une délibération du 7 août, la Commission nationale de l'informatique et des libertés (Cnil) a sanctionné le groupe télécoms français suite à une faille de sécurité concernant les données de plus d'un million de clients. C'est le premier grade des sanctions prononcées par l'autorité, avant la sanction pécuniaire. Dans son communiqué, la Cnil explique qu'Orange lui a signifié, en avril dernier, une violation de données personnelles de près d'1,3 million de clients (nom, prénom, date de naissance, adresse électronique et numéro de téléphone fixe ou mobile) suite à une défaillance technique de l'un de ses prestataires.

http://www.usine-digitale.fr/article/orange-sanctionne-pour-defaut-de-securite-sur-les-donnees-de-plus-d-un-million-de-clients.N280201

Related:  Sécurité des données perso

La protection juridique des bases de données illustrée par les dernières jurisprudences Les bases de données sont protégées juridiquement et sauf exception, l’extraction de contenus, même librement accessibles, sur Internet par exemple, n’est pas autorisée et peut coûter très cher... Les bases de données bénéficient de deux régimes de protection juridique indépendants l'un de l'autre : la protection par le droit d'auteur et la protection par le droit des producteurs (ou droit sui generis). La protection n'est cependant pas acquise automatiquement, comme nous allons le rappeler ci-après. Quatre décisions rendues entre décembre 2009 et avril 2010 viennent illustrer l'application de ces règles par les tribunaux.

Swisslife renforce la gestion des comptes à privilège Pour renforcer sa politique de sécurité, Swisslife s'est équipé d'une solution de gestion des comptes à privilège. PublicitéAvec plus de 110 ans d'existence en France, Swiss Life, 3,8 Md€ de chiffre d'affaires en 2013, est un des acteurs majeurs sur les marchés de l'assurance patrimoniale en vie et retraite et de l'assurance santé et prévoyance. Pour faire tourner son système d'information, le groupe s'appuie une DSI composée de 300 personnes dont 200 en interne. Un administrateur condamné pour abus de privilèges AVRIL 2014 Depuis un arrêt célèbre (Arrêt Nikon du 2 octobre 2001) les tribunaux reconnaissent au salarié un droit d’usage personnel de l’outil informatique mis à sa disposition par son employeur. Ce droit est encadré de différentes manières et peut schématiquement se résumer ainsi : Tous les messages adressés ou reçus par le salarié dans sa boite aux lettres électronique sont présumés professionnels, sauf s’ils sont identifiés comme personnels. L’employeur ne peut pas avoir accès aux messages personnels, mais le salarié ne doit pas abuser du droit qui lui est reconnu, notamment en apposant systématiquement la mention « personnel » sur tous les messages qu’il émet. L’administrateur du système (c’est-à-dire l’informaticien chargé d’assurer son bon fonctionnement), peut prendre connaissance librement de tous les messages, mais ne peut en révéler le contenu à l’employeur, lorsqu’ils présentent un caractère personnel.

L'obligation de l'employeur d'assurer la sécurité des données Bien souvent, les entreprises associent – et à tort limitent – leurs obligations résultant de la Loi du janvier 1978 à des obligations déclaratives. Le fait est que la protection des données à caractère personnel, notamment dans le cadre des entreprises, ne se résume pas à une succession de déclarations de traitements de données. Il appartient également – et de manière tout aussi importante – au responsable d’un traitement de données à caractère personnel de prendre les mesures nécessaires pour sécuriser ses données. L’article 34 de la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction actuelle, dispose en effet : « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. »

Keylogger : des dispositifs de cybersurveillance particulièrement intrusifs Les " keyloggers " sont des dispositifs de surveillance, parfois téléchargeables gratuitement depuis le web, qui se lancent automatiquement à chaque démarrage de la session de l'utilisateur, à son insu. Une fois lancés, ils permettent, selon les versions, d'enregistrer toutes les actions effectuées par les salariés sur leur poste informatique sans que ceux-ci s'en aperçoivent. Toute frappe saisie sur le clavier ou tout écran consulté est enregistré avec un horodatage. Des alertes peuvent être automatiquement envoyées à la personne ayant installé le dispositif lorsque le salarié ainsi surveillé saisit sur son clavier un mot prédéterminé. Selon son paramétrage, le dispositif permet également de générer des rapports, récapitulant l'ensemble des actions faites à partir d'un poste informatique, qui sont directement envoyés sur le poste informatique de celui qui aura installé le logiciel espion.

Le système de paiement des hôtels Hyatt touchés par un malware Après les Hilton en novembre dernier, c'est au tour des Hyatt d'être victime d'un piratage de données bancaires. (crédit : Wikipedia/Ville Miettinen) Hyatt s'ajoute à la liste des hôtels piratés. Après avoir découvert un malware dans son système de paiement, la chaîne conseille à ses clients de vérifier leurs relevés de cartes de crédit. La société ORANGE sanctionnée pour défaut de sécurité des données dans le cadre de campagnes marketing En avril 2014, la société ORANGE a notifié à la CNIL une violation de données personnelles, liée à une défaillance technique de l'un de ses prestataires, ayant concerné les données de près de 1,3 million de clients dont leurs nom, prénom, date de naissance, adresse électronique et numéro de téléphone fixe ou mobile. La CNIL a alors procédé à des contrôles auprès de la société et des sous-traitants intervenant dans le cadre de ses campagnes d'emailing promotionnel. La délégation de contrôle a constaté que les dysfonctionnements ayant engendré la faille de sécurité avaient été corrigés. Toutefois, plusieurs lacunes en termes de sécurité des données ont été identifiées et ont justifié l'engagement d'une procédure de sanction. Devant la formation restreinte, la société soutenait avoir pris toutes mesures utiles afin de respecter son obligation de sécurité des données.

10 conseils pour la sécurité de votre système d’information Chiffres clés Au 1 septembre 2013, le FNAEG contenait les profils génétiques de 2 547 499 individus dont :1 911 675 personnes mises en causes 430 298 personnes condamnées 149 097 traces non identifiées Administrateurs réseau : quels sont vos droits en matière de cybersurveillance ? Si les réseaux sont des instruments formidables d´échanges de données au sein de l´entreprise comme à l´extérieur, ils en sont également le talon d´achille. L´explosion d´internet et sa propagation fulgurante nécessitent que l´entreprise se protège et protège ses données de toute intrusion interne comme externe. Dans ce contexte, l´administrateur réseau est devenu un acteur incontournable de la sécurité de l´entreprise, et parfois même son garant. Mais son rôle est difficile. Il est au centre d´intérêts divergents et parfois contradictoires.

L'affaire Bluetouff ou : NON, on ne peut pas être condamné pour utiliser Gogleu Le titre de ce billet peut paraître surprenant, mais il répond en fait à un titre d’article qu’un journal en ligne de la presse spécialisée, au demeurant excellent sur son secteur, a employé pour relater la présente affaire. Comme quoi la communauté geek sait avoir les mêmes réflexes corporatistes que n’importe quel autre groupe social ayant des intérêts communs assez forts. Heureusement, outre son goût pour les pizzas froides et la Guinness, ce qui la caractérise avant tout est le goût de comprendre, et je l’entends qui piaffe aux portes de ce blog. Faites entrer les fauves, on va faire du droit. Au-delà des aspects techniques de cette affaire, que nous allons aborder, on se retrouve dans une problématique récurrente lorsqu’on doit juger des délits commis dans un contexte technique complexe : que ce soit la finance, la médecine, la pharmacologie, ou la technologie : les prévenus regardent les juges comme des ignares car ils n’ont pas leurs connaissances, ni même parfois les bases.

Comment une société pétrolière a été piratée à cause de la vulnérabilité du fournisseur de son restaurant d’entreprise Piratage des grandes entreprises : le maillon faible reste l’humain et … les PME de leur écosystème ! Le piratage récent d’une grande société pétrolière et gazière a exposé de précieuses données. Comment une entreprise dotée d’une sécurité renforcée peut-elle être piratée ? Facilement. Dans le cas présent, les pirates ont exploité la faiblesse de la sécurité informatique d’un traiteur local qui prenait les commandes en ligne des déjeuners du personnel de la compagnie pétrolière, et s’en sont servis comme point d’entrée dans son réseau.

Related:  Veille Juridique 2014-2016ASR