10 conseils pour la sécurité de votre système d’information 1. Adopter une politique de mot de passe rigoureuse L’accès à un poste de travail informatique ou à un fichier par identifiant et mot de passe est la première des protections. Le mot de passe doit être individuel, difficile à deviner et rester secret. Il ne doit donc être écrit sur aucun support. La DSI ou le responsable informatique devra mettre en place une politique de gestion des mots de passe rigoureuse : un mot de passe doit comporter au minimum 8 caractères incluant chiffres, lettres et caractères spéciaux et doit être renouvelé fréquemment (par exemple tous les 3 mois). 2. L’accès aux postes de travail et aux applications doit s’effectuer à l’aide de comptes utilisateurs nominatifs, et non « génériques » (compta1, compta2…), afin de pouvoir éventuellement être capables de tracer les actions faites sur un fichier et, ainsi, de responsabiliser l’ensemble des intervenants. 3. 4. 5. 6. Un système d’information doit être sécurisé vis-à-vis des attaques extérieures. 7. 8. 9. 10.
LA SECURITE ET LES SYSTEMES INFORMATIQUE A) Les logiciels espions Deux hypothèses pourraient engager la responsabilité contractuelle de l'éditeur du logiciel : – Un dysfonctionnement du logiciel : Si le logiciel espion n'est pas fonctionnel, ou ne répond pas aux caractéristiques prévues par le contrat, alors comme pour tout logiciel, l'acquéreur pourra engager devant un tribunal civil la responsabilité contractuelle de l'éditeur. On pourrait s'interroger sur la possibilité pour l'acquéreur d'agir en responsabilité dans l'hypothèse d'un logiciel espion dont la légalité parait douteuse . Néanmoins, les logiciels espions ne sont pas interdits par principe, leur utilisation est juste soumise à certaines conditions. – L'introduction d'un logiciel espion au sein d'un logiciel : Il s'agit ici de l'hypothèse où un utilisateur utilise un logiciel, dans lequel l'éditeur, a à son insu, intégré un logiciel espion. Les deux parties étant liées par un contrat, on peut envisager une action en responsabilité contractuelle. B) Les antivirus
Diffamation sur Internet : la responsabilité du « producteur » - Juritravail Dans un arrêt du 30 octobre 2012, la Chambre criminelle de la Cour de cassation a jugé que le producteur d’un site de communication au public en ligne, qui propose un forum de discussion, ne peut voir sa responsabilité pénale engagéepour diffamation en raison du contenu des messages des internautes, que s’il est établi qu’il en avait connaissance avant leur mise en ligne ou que, dans le cas contraire, il s’est abstenu d’agir promptement pour les retirer dès le moment où il en a eu connaissance. Il s’agit de l’application de la loi du 29 juillet 1982 modifiée, telle qu’interprétée d’ailleurs par le Conseil Constitutionnel (décision QPC du 16 septembre 2011). L’idée est donc de limiter la responsabilité pénale du "producteur", c’est-à-dire celui qui, sur Internet, met en place un site ou forum de discussion. En effet, en principe, pour toute infraction pénale, au niveau délictuel, il faut prouver l’élément intentionnel, c’est-à-dire la conscience de violer une règle de loi.
Administrateurs de réseaux : entre sécurité informatique et protection des salariés par Me Sylvain Staub et Stéphane Marletti L'administrateur de réseaux a en charge la mise en place, la maintenance et la sécurité des systèmes d'information de l'entreprise. Il cherche notamment à éviter les risques d'intrusions ou de virus, à prévenir les fuites de savoir-faire ou de fichiers clients, et à s'assurer d'une utilisation normale par les salariés des systèmes informatiques de l'entreprise. Lorsqu'il ne prend pas les mesures nécessaires à cette mission, il risque de manquer aux obligations définies dans son contrat de travail et d'engager sa responsabilité civile et pénale, tout comme celle de l'entreprise. Pour assurer cette sécurité, il est tenu de surveiller l'usage que font les salariés de la messagerie et de l'accès à internet mis à disposition par l'entreprise. Le principe du contrôle par l'administrateur de réseaux de l'activité des salariés et du contenu des messages semble donc désormais acquis, ce qui clarifie grandement le rôle de celui-ci. [Sylvain.Staub@CliffordChance.com]
Un ingénieur réseau poursuivi pour sabotage risque 10 ans de prison Aujourd'hui en charge de la sécurité IT chez The Home Depot, Ricky Joe Mitchell encourt une peine de 10 ans de prison pour sabotage. Crédit D.R. Quand il a appris que son employeur EnerVest était sur le point de le licencier, l'ingénieur réseau Ricky Joe Mitchell a supprimé les comptes téléphoniques et certaines données de sauvegarde de l'entreprise. Il a admis les faits et risque jusqu'à 10 ans de prison. Ricky Joe Mitchell, ancien ingénieur réseau de la société pétrolière et gazière EnerVest, en Virginie occidentale aux États-Unis, est accusé d'avoir saboté les systèmes de l'entreprise au point de perturber ses activités pendant un mois. Le tribunal prendra sa décision le 24 avril prochain. L'acte d'accusation donne aussi plus de détails sur les actions menées par Ricky Joe Mitchell contre EnerVest.
La responsabilité des administrateurs système et réseaux | Web-sio.fr La responsabilité des administrateurs système et réseaux L'employeur souhaite protéger les intérêts de son entreprise en protégeant la fuite d'information stratégique en prévenant l'apparition de virus ou encore e empêchent la circulation de contenu illicite sur le réseaux cela passe par la sécurisation de son réseau. A l'inverse nombre de salarié revendique le droit à une vie privée sur le lieu de travail qui se matérialise par des connexions à internet à des fins personnels. Afin d'encadrer et de limiter un usage excessif de l'internet sur le lieu de travail, l'employeur dispose au titre de son pouvoir de direction d'un droit de contrôle et de surveillance sur ces salariés (dans les limites des principes du droit à la vie privée). L'administrateur réseau est au carrefour de ces deux logiques, il est la personne en charge d'assurer à la fois la sécurité du réseau et la sécurité des données personnel et professionnel des salariés Le rôle de l'administrateur réseaux
L’intrusion dans un système informatique et ses conséquences juridiques. Il existe différents types de pirates informatiques : du hacker classique, qui s’introduit dans les systèmes par des moyens illégaux sans détruire les données ni utiliser les informations données, mais dans le seul but de faire savoir qu’il existe des failles de sécurité au cracher (casseur), appellation qui désigne le pirate le plus dangereux qui détruit dans un but précis ou pour le plaisir. Or, aux yeux de la loi, chacun d’entre eux peut être poursuivi au regard des dispositions du Code pénal en matière de fraude informatique. L’intrusion peut s’effectuer par le biais d’un programme qui se cache lui-même dans un programme « net » (par exemple reçu dans la boite aux lettres ou téléchargé). L’un des plus connus est le Back Office qui permet d’administrer l’ordinateur à distance. En outre, le piratage peut avoir comme cible les mots de passe du système. I. a) La responsabilité pénale i. Accès frauduleux Quid, pourtant, si le système n’est pas protégé ? Le maintien frauduleux ii. iii. b.
cybersurveillance-secret-administrateur-reseau - Le Blog du Kazz Le secret professionnel de l'Administrateur Système I - Evolution de la mission de l'Administrateur Système La situation de l'Administrateur de Système informatique (A.S.)1 a considérablement évolué depuis qu'il a été admis le 19 mai 2004 par la Cour de Cassation qu'il puisse prendre connaissance de contenus, y compris courriers, stockés sur le réseau dont il a la charge2. Cependant, cette dernière jurisprudence restaure un équilibre entre le respect de la vie privée du salarié sur son lieu de travail, instauré en 2001 par la jurisprudence "Nikon"3, et la notion de détournement d'usage des équipements mis à sa disposition. Or il s'avère que l'A.S. est concrètement le mieux placé pour avoir connaissance de dysfonctionnements dont un réseau peut devenir non seulement la cible mais aussi l'outil. On peut regrouper pour simplifier ces dysfonctionnements en trois grandes catégories. II - Equilibrer respect de la vie privée et sécurité des systèmes d'information IV - Une charte collective
Administrateurs réseau : quels sont vos droits en matière de cybersurveillance ? Si les réseaux sont des instruments formidables d´échanges de données au sein de l´entreprise comme à l´extérieur, ils en sont également le talon d´achille. L´explosion d´internet et sa propagation fulgurante nécessitent que l´entreprise se protège et protège ses données de toute intrusion interne comme externe. Dans ce contexte, l´administrateur réseau est devenu un acteur incontournable de la sécurité de l´entreprise, et parfois même son garant. Mais son rôle est difficile. Il est au centre d´intérêts divergents et parfois contradictoires. Aussi doit-on légitimement se poser la question de sa marge de manoeuvre lorsqu´il détecte la présence de fichiers et de programmes non professionnels (de type sniffers ou autres) indésirables sur le(s) serveur(s) de l´entreprise ou les postes de travail du personnel. I - un texte fondamental II - des juridictions soucieuses de la protection des libertés fondamentales III - les solutions En conclusion...
Peut-on accéder à l’ordinateur d’un salarié en vacances ? Un administrateur réseau a-t-il le droit de communiquer à son employeur la liste des identifiants/mots de passe de ses employés ? NON. Même si les fichiers contenus dans un ordinateur ont un caractère professionnel, et peuvent à ce titre être consultés par l'employeur, un administrateur réseau ne doit pas communiquer de manière systématique l’ensemble des identifiants et des mots de passe des salariés de l’entreprise. Les mots de passes sont personnels et permettent de savoir ce qu’un utilisateur donné à pu faire sur le réseau de l’entreprise. Le fait d'utiliser le mot de passe de quelqu'un d'autre peut être préjudiciable au salarié. Toutefois, les tribunaux considèrent que la communication du mot de passe d’un salarié à son employeur est possible dans certains cas particuliers. Dans quels cas particuliers un employeur peut-il obtenir le mot de passe d'un salarié ? L’employeur peut-il consulter l'intégralité du contenu d'un poste de travail? Comment mettre en place des règles ?
L’administrateur réseau a le pouvoir de lire les messages personnels La Cour de Cassation, dans un arrêt du 17 juin 2009 rappelle qu’un administrateur de réseau, qui est tenu par une clause de confidentialité, a la possibilité d’accéder aux messages personnels des salariés dans le cadre de sa mission de sécurité du réseau informatique. La jurisprudence a eu l’occasion de rappeler à plusieurs reprises que la protection de la vie privée des salariés interdit aux employeurs d’ouvrir les messages qualifiés de personnel sauf risque ou événement particulier (Cf. Cass. Soc. 2 oct. 2001, Bull. civ. V, n° 291). Il appartient en effet au salarié d’identifier les messages personnels par une mention explicite car à défaut d’une telle mention, ceux-ci seront présumés professionnels et pourront être librement consultés par l’employeur. La Haute Cour vient préciser ici une distinction à opérer entre les pouvoirs de l’employeur dans ce domaine et ceux de l’administrateur réseau. S’appuyant sur l’article L.2313-2 du Code du travail qui dispose que :
La méconnaissance de la Charte informatique constitue une faute grave (Cass soc 5 juillet 2011 n°10-14.685) Bref rappel : l’employeur a la faculté de mettre en place une Charte d'utilisation du matériel informatique. L’intérêt de rédiger une telle charte est en effet de permettre de fixer des règles d'utilisation de l’outil informatique (opérations interdites, règles de confidentialité etc..), d’informer le salarié concernant la mise en place éventuelle de moyens de surveillance de leur activité professionnelle, de prévenir des pratiques illégales voire illicites etc.. Si le défaut de mise en garde sur l'utilisation répréhensible des outils informatiques dans le Règlement Intérieur ou la Charte informatique n'interdit pas de retenir en cas de licenciement la faute grave (Cass. soc., 16 mai 2007, no 05-43.455, Eve c/ Sté Info Mag), a contrario l’existence d’une telle Charte permet à l’employeur de la caractériser plus aisément. Or l’enjeu est de taille. C’est l’illustration de l’arrêt commenté.
Informatique et libertés : l'accès aux messages personnels des salariés très encadré Le respect de la vie privé : un droit supérieur à protéger Les problématiques liées à l’utilisation de l’outil informatique au bureau – par nature, un outil professionnel -, à des fins personnelles, ont pris de nombreuses configurations. Dénigrement des supérieurs par e-mail, consultation de site internet sans rapport avec l’activité professionnelle, utilisation d’une boîte mail professionnelle à des fins personnelles, entre autres, la liste est longue et va certainement encore s’allonger. En ce qui concerne l’accès aux messages personnels des salariés, les juges ont posé la règle suivante : « le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée ». Toutefois, les juges sont venus atténuer cette solution très défavorable aux employeurs. Il résulte de ces arrêts que l’employeur peut toujours consulter les e-mails reçus ou adressés sur une boîte professionnelle qui ont un caractère professionnel.