Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

18/04/2023

Cybersecurity Insights

TO PAY, OR NOT TO PAY : Derrière la loi Lopmi quel régime assurantiel de la rançon ?

Alors que la loi d’orientation et de programmation du ministère de l’Intérieur (ou LOPMI), a été adoptée le 24 janvier 2023, les débats parlementaires qui l’ont animée ont fortement relancé la question de l’assurabilité des rançongiciels, mais aussi de leurs paiements toujours plus nombreux en France[1]. A ce sujet, la vice-procureure en charge de la lutte contre la cybersécurité au Tribunal de Paris, déplorait en 2021 les paiements trop nombreux des entreprises françaises, pointant notamment du doigt les assureurs mais également les stratégies d’étouffement d’entreprises soucieuses de préserver leur réputation[2].

Ce débat soulève plusieurs questions quant au pouvoir d’action des victimes face à des attaques engageant parfois leur survie. Relativement peu assuré[3], le risque cyber revêt un enjeu de souveraineté numérique. Si le droit ne prohibe pas explicitement le paiement des cyber-rançons, de telles polices vont de facto à l’encontre de la doctrine de l’Etat souvent répétée : ne payez pas pour ne pas nourrir l’appétit d’attaquants toujours plus voraces et organisés.

Pourtant, parmi les entreprises ayant versé une rançon dans le monde en 2022, 19% sont françaises, faisant du pays le troisième payeur mondial. [4] Si l’ensemble du secteur s’accorde à réprouver de tels paiements, force est de constater que bien peu résistent à la tentation lorsqu’une attaque majeure affecte leurs systèmes.

Mais alors, payer ou ne pas payer ? Quels enjeux économiques, juridiques et politiques révèlent ces chiffres ? Une chose est sûre, la question de la rançon reste trop peu encadrée et les incertitudes juridiques autour des questions assurantielles interrogent et confrontent les entreprises à une inquiétude toujours plus grande dans leur réponse à donner aux cyberattaques.

Mais pourquoi une entreprise paie ?

Si la plupart des experts et autorités déconseillent unanimement de s’acquitter des rançons, ce choix n’est pas forcément évident lorsque les entreprises activent leur dispositif de gestion de crise. S’il est évident d’en faire un calcul coût/bénéfice, quelles sont les principales raisons économiques qui poussent les entreprises à payer ?

L’ultimatum comme jeu

La logique économique derrière le rançongiciel n’est pas nouvelle. Elle s’analyse d’ailleurs très bien au regard des modèles hérités de la théorie des jeux et des comportements économiques de la deuxième moitié du XXe siècle où chaque agent économique maximise son profit ou minimise son coût malgré un niveau d’information inégal.

Le jeu est initié par le cyberattaquant lorsqu’il envoie la demande de rançon et ne se termine que par la restitution, la suppression des données et/ou leur diffusion. Entre temps, s’engage un jeu compétitif où les intérêts des joueurs sont strictement opposés.

Le propre du rançongiciel est de constituer un jeu asymétrique, les victimes n’ayant pas d’autres choix que de jouer (payer ou non) pour limiter une perte et les attaquants jouant pour maximiser leurs bénéfices (même relatifs)  L’information dans le jeu est dite parfaite, car l’ensemble des coups possibles sont connus à l’avance, mais elle demeure incomplète car les joueurs ne connaissent parfois en aucun cas la fonction d’utilité économique de l’autre c’est-à-dire la valeur attribuée aux données concernées.

Dans une situation où une entreprise n’aurait pas adopté de politique de sécurité, assurantielle ou de sauvegarde, l’utilité qu’il affectera aux données sera nettement plus importante et donc sa capacité à négocier nettement plus réduite. S’engage alors un jeu similaire aux théories économiques de la décision dans l’incertain : « vais-je récupérer mes données ou les perdre, même en cas de paiement ? ». Sans cette marge de manœuvre, les entreprises voient leurs fonctions d’utilité augmenter car leur dépendance aux décisions de l’attaquant leur devienne vitale.

A la différence des rançons traditionnelles (type enlèvement), les risques de perte pour les attaquants deviennent négligeables. Plus anonyme, moins facilement localisables, les réseaux n’utilisent pas les services traditionnels d’échange bancaire, de même, l’élimination du sujet de la rançon (bien souvent une vie humaine) implique un coût nettement supérieur à la suppression de données. Le cas des rançongiciels est donc intéressant car il semble en définitive plus protecteur de l’attaquant tout en sachant que les vecteurs d’attaques sont bien plus étendus que les kidnappings ou autre atteintes physiques. Le niveau de réponse au risque par les entreprises est donc plus facilement identifiable dans les schémas traditionnels d’extorsion : protection des expatriés, définition des zones à risque et surtout nature et taille de l’entreprise.

L’autre variable intéressante concerne le niveau de crédibilité associé à une attaque. Dans un modèle économique où les rançongiciels sont fréquents, les attaquants n’ont pas intérêt à supprimer les données en cas de paiement. C’est sur ce point-là que se base la plupart des doctrines étatiques concernant le non-paiement des rançons, qui n’est pourtant pas un comportement économique rationnel.  Ce chiffre est d’ailleurs résiduel, on estime par exemple qu’environ 3% des entreprises ayant payé la rançon n’ont pas récupéré leurs données en 2020[5], ce risque est d’ailleurs bien inférieur à la ré-extorsion, ou à d’autres attaques. D’après le cabinet Coverware[6], l’irruption massive des Ransomware As A Service a permis une augmentation de groupes ne se souciant plus de maintenir leur réputation, préférant viser les petites et moyennes entreprises moins couteuses en termes d’investissement et de pouvoir de négociation (et aussi moins médiatisées). Ces dernières années, le nombre d’entreprises payant diminuant, de plus en plus d’acteurs, parfois même réputés, n’hésitent pas à utiliser des techniques de ré-extorsion. En effet, les victimes étant de moins en moins disposées à payer, les attaquants sont également moins disposés à laisser partir une victime sans en tirer un maximum de gains possible. A ce titre, on observe que le marché du ransomware est en constante évolution, les grands groupes laissant de plus en plus de place à des hackers affiliés.[7]

Entre assurance, protection et législation, rendre la rançon moins attractive.

Economiquement, l’objectif principal des politiques de sécurité est donc de réduire au maximum l’utilité offerte par le paiement d’une rançon. L’existence de sauvegardes, de moyens de back-up, d’une organisation de crise et de moyens de continuité d’activité permettent de manière schématique de rendre marginale la perte associée à un ransomware. Ces dernières années, la montée en maturité des grandes entreprises en termes de cybersécurité s’est traduite par une baisse significative des paiements de ransomware. Alors qu’elles étaient 85% à envisager de tels paiements en 2019, elles ne sont plus que 22% en 2022[8]. De tels investissements pour les entreprises ont également pour avantage d’augmenter le coût de chaque opération pour les attaquants.

De l’autre côté, les politiques publiques ont également pour ambition d’augmenter ce coût notamment en agissant en amont des attaques (présence de garde-fous, pouvoir d’enquête) mais aussi en aval (dépôt de plainte, saisie des actifs numériques).

Les assurances jouent un rôle essentiel et un cadre juridique est crucial pour assurer une protection efficace des actifs numériques. Le niveau de la prime d’assurance doit ainsi pouvoir inciter les entreprises à investir dans leur sécurité informatique et dispositifs de gestion de crise. A l’inverse, l’existence d’une assurance couvrant les coûts de récupération des données (et donc la rançon) encouragerait des demandes plus élevées, déresponsabilisant de fait les victimes. Au regard de la théorie des jeux, on pourrait dès lors déterminer le montant optimal de la prime d’assurance pour inciter les victimes à investir dans le marché, tout en limitant les incitations aux attaquants de demander des rançons élevées.

Ainsi, le rapport de force entre les agents économiques né d’une demande de rançon, est nécessairement dépendant des politiques publiques et assurantielles proposées aux potentielles victimes et de l’équilibre économique qu’elles proposent.

La loi LOPMI, votée en début d’année 2023 a pour but garantir une protection efficace aux agents économiques mais peut-elle justifier de couvrir le paiement des rançons au mépris des positions de l’ANSSI ?

La Loi LOPMI, armer l’Etat contre le risque cyber plus qu’encadrer l’assurance cyber.

L’article 4 de la loi disposait à l’origine que le versement d’une clause assurantielle visant à couvrir le paiement d’une rançon était subordonné à la justification d’un dépôt de plainte. L’objectif, pour le gouvernement était alors de mieux contrôler l’état de la menace et développer sa force de frappe en matière de cybersécurité. Cet article répondait au fait que beaucoup d’entreprises renoncent à faire valoir leur droit de victime, craignant de reconnaître leur vulnérabilité et donc d’atteindre leur réputation:

« Notre difficulté actuelle est que nous ne connaissons pas exactement les modus operandi de la plupart des groupes criminels responsables de cette nouvelle menace […] contre laquelle nous devons nous protéger. Or nous devons connaître ces menaces pour mieux y répondre et, pourquoi pas, développer un système judiciaire et économique permettant de les combattre. »

Gérald Darmanin, débat parlementaire du 12 octobre 2022 (Sénat)

« Les dépôts de plainte doivent donc devenir systématiques, ce qui permettra d’enrichir les bases de renseignement non seulement des policiers et des gendarmes mais aussi des magistrats, afin de mieux combattre ces cyberdélinquants »

Gérald Darmanin, débat parlementaire du 15 novembre 2022 (Assemblée Nationale)

En somme, le gouvernement justifiait la rédaction de cet article pour assurer la cohérence des atteintes cyber au code des assurances :

« Je ne crois pas qu’il y ait, dans le droit des assurances, beaucoup de délits, notamment contre les biens – le vol de vos bijoux ou le saccage de votre voiture –, où l’assurance rembourse si l’on n’a pas déposé plainte ! »

Gérald Darmanin, débat parlementaire du 12 octobre 2022 (Sénat)

Cette disposition fait pourtant offense à la politique longtemps défendue par les autorités, l’ANSSI en tête et les nombreux débats parlementaires qui s’en sont suivi ont d’ailleurs déploré cette contradiction. L’analyse que nous en avons donné dans la première partie de cet article serait qu’une telle disposition réduirait le risque pour les entreprises d’engager des investissements coûteux en cybersécurité et au contraire garantirait une rente (et donc un gain) aux cyberattaquants. Les entreprises françaises seraient des cibles de choix pour les groupes organisés, terroristes ou les gouvernements hostiles.

Pourtant, la principale faiblesse de la rédaction d’un tel article réside dans la méconnaissance d’un préjudice cyber et de l’ensemble des coûts engagés pour y répondre :

  1. Des coûts liés au traitement de l’attaque (mobilisation des équipes et des prestataires) ;
  2. Des coûts indirects liés à la perte d’activité opérationnelle ;
  3. Des coûts liés aux amendes reçues (type RGPD)
  4. Des coûts liés aux paiements des rançons.

Dans sa rédaction finale, l’article 5[9] disposera que le dépôt de plainte conditionnement versement d’une somme en application d’une clause assurantielle couvrant l’ensemble des pertes et dommages, prenant en compte dès lors les préjudices subis en cas de fuite de données et de pertes d’exploitation. La couverture des attaques cyber vient donc se confirmer aux dispositions déjà existantes du code des assurances :

« Les pertes et les dommages occasionnés par des cas fortuits ou causés par la faute de l’assuré sont à la charge de l’assureur, sauf exclusion formelle et limitée contenue dans la police. » (Article L113-1 Code des assurances).

La loi LOPMI dans sa dernière version fait donc rentrer les cyberattaques dans le même régime que l’ensemble des atteintes aux actifs d’une personne morale ou privée. Il revient à l’assureur d’inclure dans sa police le remboursement des rançons ou de fixer des polices d’assurances garantissant la couverture la plus adaptée au regard des standards de sécurité adoptés par ses clients.

La couverture de la rançon déconseillée mais pas illégale.

En droit français, la rançon dans sa forme cyber ne bénéficie d’aucune qualification juridique. Bien sûr, les atteintes aux systèmes de traitement automatisés font l’objet de mesures pénales.[10][11] Cependant, réalisé sous la contrainte, un paiement de rançon peut s’apparenter à un délit d’extorsion (312-1 du Code Pénal), et un tel acte ne peut être répréhensible, à ce titre : « N’est pas pénalement responsable la personne qui, face à un danger actuel ou imminent qui menace elle-même, autrui ou un bien, accomplit un acte nécessaire à la sauvegarde de la personne ou du bien, sauf s’il y a disproportion entre les moyens employés et la gravité de la menace » (Article 122-7 Code Pénal).

La seule limite à un tel droit repose sur le financement ou nom d’entreprise terroriste (Art 421-2-2 du Code Pénal), encore faut-il pouvoir avoir connaissance de l’origine de l’attaque (ce qui n’est pas la caractéristique première des cyberattaques).

Assurer les rançons, un débat pas si nouveau

Les débats parlementaires ont également mis en lumière certaines assurances d’ores et déjà existantes concernant la prise en charge des risques de chantage d’extorsion et d’enlèvement notamment lors de voyages d’affaires dans des pays à risque. Ces assurances, dites K&R (pour kidnap and ransom), très fréquentes dans le monde anglo-saxon, promettent notamment de couvrir les frais de rapatriement politique, d’intervention de consultant en gestion de crise, mais également de rembourser les frais engagés pour la rançon (paiement et frais de transport).

L’irruption d’assurance cyber couvrant les risques inhérents aux ransomwares n’ouvrent de facto pas un marché inconnu et certaines compagnies n’ont pas hésité à la fin des années 2010, à couvrir les ransomwares au titre de ces polices d’assurance[12].

Ces polices d’assurance K&R faisaient déjà l’objet de discussions engagées dès le milieu des années 80 et parfois même dans les mêmes termes qu’en 2023. Créées à l’initiative du courtier en Assurance Julian Radcliffe, ces assurances répondaient à un besoin de répondre à la montée des prises d’otage en Amérique Latine. Dès 1986, le gouvernement Tchatcher accusait l’industrie de l’assurance d’alimenter les réseaux d’enlèvement en facilitant les paiements de rançons et exposant les citoyens britanniques à un risque bien plus grand[13]. Le débat, poussé jusqu’aux Parlements britannique et européen n’a fait l’objet d’aucune mesure d’interdiction. Seule l’Italie a explicitement introduit l’interdiction du paiement de telles rançons pour enlèvement (et donc leur assurabilité) en 1991[14]. Au contraire, le marché des assurances K&R a su prospérer à majorité porté par les assureurs anglo-saxons tels que Marsh, AIG ou Hiscox.

Toutefois, il est difficile de penser que les ransomwares puissent répondre aux mêmes termes que ces contrats K&R. Outre la difficulté d’attribution de telles attaques (soulevant le problème de financement du terrorisme[15]), les atteintes sur les activités des entreprises ne sont pas les mêmes : ces nouvelles polices d’assurance doivent également prendre en compte l’ensemble des coûts générés comme l’interruption plus ou moins importantes des opérations et l’atteinte directe sur les actifs de l’entreprise. Pourtant, reconnaissons que la menace des rançongiciels dépassent le périmètre des quelques entreprises pouvant mener des opérations en pays désignés à risque. Plus massif, la menace cyber ne saurait répondre à des polices d’assurance calquée sur ces assurances K&R.

Derrière la loi LOPMI, renforcer la police dans le cyberespace plus que les polices d’assurances.

Si la loi LOPMI a fait croire à un blanc-seing gouvernemental concernant la prise en charge des rançons par les assurances, la réalité en est tout autre. Sa motivation première, au-delà de légiférer sur l’encadrement assurantiel des cyberattaques, est avant tout une volonté de renforcer les capacités des services judiciaires et leur connaissance de la menace.[16] Conditionner la couverture au dépôt de plainte rend la notification des autorités automatique, les entreprises n’ayant plus le choix de dissimuler les atteintes à leurs systèmes.

A ce sujet, il est évident que l’accompagnement des entreprises victimes de cyberattaque doit permettre de s’affranchir des craintes réputationnelles. Accepter l’idée de savoir « quand » (et non « si ») notre organisation va être attaquée, c’est pouvoir anticiper ses conséquences mais aussi lever le sentiment de culpabilité engendré. A l’inverse, les stratégies de dissimulation, de silence ou de minimisation d’une attaque peuvent durablement toucher la confiance allouée aux entreprises touchées. Au contraire, ne pas communiquer, donne plus force aux menaces des attaquants de rendre public vos données, composante clef de leur modèle économique.[17]

Désormais la communication aux autorités va devenir presque obligatoire. En conditionnant la couverture à l’ensemble des pertes et dommages (et plus seulement les rançons), la loi rend le dépôt de plainte automatique dans les faits. Alors que le marché des assurances cyber est encore marginal malgré un risque cyber de plus en plus proéminent pour les TPE/PME[18], il faut s’attendre à ce que de telles souscriptions soient nécessaires si ce n’est vitales. Les assurances gardent dès lors toute liberté de garantir dans leurs politiques le remboursement des frais de rançons aux regards du profil de leur client ou des mesures de protection mises en place.

Pourtant un constat mérite d’être partagé : les conditions de souscription des contrats d’assurance cyber jouent un rôle important pour inciter les entreprises à adopter des bonnes mesures de protection cyber mais également sur la mise en place effective de ces mesures. S’assurer, c’est accepter de mettre en place des mesures adaptées de protection, limitant logiquement le nombre de cyberattaque pour un marché donné.

Hors de nos frontières, quelles politiques ?

En termes de cybersécurité, aucun pays de l’OCDE n’interdit formellement le paiement des rançons. Toutefois, certaines politiques méritent d’y porter un regard intéressé.

1. La politique restrictive américaine

Les Etats-Unis, première cible en termes de cyberattaques ont depuis quelques mois une politique très ferme vis-à-vis du paiement des rançons[19]. Se fondant sur deux lois centrales dans le régime de sanctions américain[20], l’OFAC (Office of Foreign Assets Control, dépendant du département du Trésor) a pu émettre l’interdiction formelle de contribuer financièrement ou de fournir des fonds à des personnes ayant des liens avec des activités cybercriminelles en définissant notamment une « blocked list persons » :

  • Les « sanctioned juridictions » et leur gouvernement (Crimée –Russie-, Cuba, Iran, Corée du Nord et Syrie),
  • Toute personne résidant dans l’un de ces États,
  • Toute personne figurant sur la liste « SDN » (Specially Designated Nationals and Blocked persons),
  • Toute personne détenue à 50% ou plus par l’une des personnes figurant ci-dessus

 « Les entreprises qui facilitent les paiements de rançongiciels aux cyberattaquants au nom des victimes, y compris les institutions financières, les sociétés de cyberassurance et les entreprises impliquées dans la criminalistique numérique […] encouragent les futures demandes de paiement par ransomware, mais peuvent également risquer de violer les réglementations de l’OFAC. »

Office of Foreign Assets Control, Octobre 2020

Une amende civile peut ainsi être infligée aux assurances, y compris dans les cas où elles ne savaient pas ou n’avaient pas de raison de savoir qu’elles effectuaient une transaction avec une « sanctioned person ».

L’OFAC insiste notamment sur la nécessité pour tous les acteurs économiques de se doter d’un programme de conformité visant à atténuer l’exposition au risque de sanction et liste les agences gouvernementales à contacter par toute personne impliquée dans une demande de rançon à la suite d’une cyberattaque.

En réaction à cette législation certains Etats ont pris également des mesures d’interdiction de paiement : La Caroline du Nord et Floride ont par exemple interdit le paiement aux entités gouvernementales.

2. Et des résultats :

Mais est-il possible de dresser un bilan de cette politique anti-ransomware américaine ? S’il ne nous est pas permis d’y voir un lien de causalité, force est de constater depuis 2020 un renforcement massif des investissements en cybersécurité des entreprises américaines. Moins d’attaque réussies, c’est moins de rançons payées.[21] Entre 2021 et 2022, la valeur totale des rançons a été diminuée de plus de 40% (765 millions de dollars à 457). De plus en plus de victimes sont réticentes à payer sans pour autant que le nombre global d’attaques connues ne diminuent.  Selon le cabinet d’étude Chainalaysis, les risques juridiques encourues par les entreprises suite aux publications de l’OFAC incitent de plus en plus les entreprises à investir dans les infrastructures de sécurité. De même, les cyber assurances ont été obligées de renforcer leurs exigences en matière de couverture et d’être beaucoup plus attentives au bon développement d’une culture de la cybersécurité dans les entreprises (Sensibilisation, politiques de sauvegarde, politiques de gestion de crise, communication de crise).

Revenus des cyberattaquants par ransomware entre 2017 et 2022 (Chainanalysis report 2023)
Propension des entreprises à payer des rançons (Chainanalysis report 2023)

3. Vers une interdiction européenne ?

Il est peu probable qu’une interdiction unilatérale d’un Etat membre puisse voir le jour concernant le paiement des rançons cyber. Une interdiction au niveau national qui ne s’appliquerait qu’aux seules entreprises françaises victimes de cyberattaques créerait un déséquilibre économique important au détriment de celles-ci vis-à-vis des entreprises situées dans un autre État Membre qui pourraient, elles, continuer à bénéficier d’une couverture d’assurance leur permettant d’être garanties contre le risque de ransomware. A l’heure actuelle, les directives européennes en matière de sécurité (NIS II en tête) ne proposent pas de cadre juridique concernant les rançons mais garantissent un niveau de sécurité minimal à destination des opérateurs désignés comme critiques ou importants au regard de leur activités économique.  Se pose donc la question de la possibilité pour l’UE d’adopter un texte contraignant, qui interdise ou limite l’assurabilité du risque de paiement des rançons en cas d’attaque par ransomware.

Quoiqu’il en soit, le flou entretenu concernant le paiement des rançons nous montre qu’il est compliqué d’astreindre les entreprises de ne pas se résoudre à répondre aux exigences des attaquants quand bien même leur survie n’est pas assurée. De l’autre une telle politique se doit de prendre en compte.

En conclusion

En définitive, le cadre juridique de l’assurance cyber reste encore à clarifier pour aider les entreprises à adapter leur politique et à se couvrir des potentiels risques. Le cadre offert par la loi LOPMI n’est que partiel et ne répond qu’à une logique de renforcement des capacités de l’Etat à comprendre et répondre à l’état de la menace plus qu’à une réelle volonté d’inciter les entreprises à se couvrir.

Le sujet de la couverture des assurances répond à une demande nouvelle et globale qui dépasse le cadre du risque d’extorsion traditionnel. Il parait donc important d’éclaircir les conditions de souscription des contrats d’assurance cyber car ces derniers jouent un rôle crucial pour inciter les entreprises à adopter des bonnes mesures de protection cyber mais également sur la mise en place effective de ces mesures. Cette clarification incitera également à une meilleure gestion du risque par les entreprises comme l’exemple américain nous le laisse penser.

Cette montée en puissances des assurances cyber doit pouvoir s’accompagner d’un réel engagement des entreprises en faveur des solutions techniques apportées à leurs systèmes d’information mais également des sensibilisations destinées à leurs collaborateurs sur la bonne gestion de leurs outils informatiques et des données qu’ils sont amenés à traiter. Enfin, couvrir son risque cyber incite également les entreprises à voir les atteintes à leurs systèmes comme une potentielle menace de leur continuité d’activité pour l’ensemble des métiers et fonctions supports, et à renforcer leur capacité à y répondre notamment par l’adoption de dispositifs de gestion de crise.

Liens utiles

[1] En 2021, cybermalveillance.gouv.fr a reçu 1851 demandes d’assistances pour des attaques informatiques, une hausse de 85% par rapport à 2020.

[2] LES ECHOS, Rançongiciels : les entreprises, accusées de payer trop facilement les rançons | Les Echos, 2021

[3]Estimé à environ 219 millions d’euro, le marché de l’assurance cyber ne représente que 3% des cotisations en assurance dommage (source : ministère de l’Économie, des finances et de la souveraineté industrielle et numérique.

[4] Derrière les Etats Unis (21%) et l’Allemagne (21%). HISCOX, Rapport Hiscox 2021 sur la gestion des cyber-risques, 2021 sur 21486 – Hiscox Cyber Readiness Report 2021 – France.pdf

[5] CYBERREASON, The true cost to Business on Ransomware: The True Cost to Business (cybereason.com)

[6] COVERWARE – https://www.coveware.com/blog/2023/1/19/improved-security-and-backups-result-in-record-low-number-of-ransomware-payments

[7] Op.cit

[8] THALES GROUP, Une entreprise sur cinq a payé ou serait prête à payer une rançon pour récupérer ses données, selon Thales | Thales Group

[9] Dans la rédaction de l’article débattu au Parlement, ce dernier était initialement article 4.

[10] CODE PENAL : Article 323-1 et al

[11] Depuis la LOI no 92-685 du 22 juillet 1992 portant réforme des dispositions du code pénal relatives à la répression des crimes et délits contre les biens

[12] Britain MAY, Companies use kidnap insurance to guard against Ransomware Attack, In REUTERS May 2017

[13] https://www.theguardian.com/news/2019/jan/25/business-of-kidnapping-inside-the-secret-world-of-hostage-negotiation-ransom-insurance

[14] Dans un contexte de tension politique et sécuritaire aussi appelée « Années de plomb », cette loi répond à l’augmentation des enlèvements politiques à visée terroriste menées notamment par les Brigades rouge.

[15] Art 421-2-2 du Code Pénal en France, Section 17A du Terrorism Act au Royaume Uni par exemple

[16] La loi permet en outre à un officier de Police Judiciaire d’agir sur les actifs cryptomonnaie sans attendre le juge d’instruction.

[17] Ce sujet de communication transparente fait d’ailleurs parti des points soulevés par de nombreuses entreprises ayant activé leur dispositif de crise. A ce titre, les cas de Fleury Michon (2019) ou Norsk Hydro (2019) sont intéressant à étudier. 

[18] Emilien Gomez-Cabot : « le risque de cyberattaque est plus élevé que l’incendie » alerte le patron des patron des landes »  SUD-OUEST,2 février 2023

[19] Le Département du Trésor a reçu 1489 signalements en 2021 pour un montant estimé à 1,2 milliards de dollar (contre 416 millions en 2020), sur l’Usine-Digital.fr « Ransomware : la facture s’élève à plus d’un milliard de dollars pour les Etats-Unis »

[20] L’International Emergency Economic Powers Act (IEEPA) et le Trading with the Enemy Act (TWEA).

[21] Coverware, Improved Security and Backups Result in Record Low Number of Ransomware Payments, 2023 sur Improved Security and Backups Result in Record Low Number of Ransomware Payments (coveware.com)

Pierre TRICHET

Consultant Governance, Risks & Compliance

Voir les derniers Cybersecurity Insights

10 June 2024
Cet article vise à présenter l’état du droit actuel de l’encadrement de l’intelligence artificielle par l’IA ACT. Comment les droits et les libertés des personnes physiques sont-ils garantis ?
27 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
27 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
22 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
14 May 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
13 May 2024
Cet article vise à présenter l’état du droit actuel de l’encadrement de l’intelligence artificielle par l’IA ACT. Comment les droits et les libertés des personnes physiques sont-ils garantis ?
29 April 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
17 April 2024
Nouvelles menaces cyber, nouvelles solutions : téléchargez le Threat Landscape 2022-2023 Almond !
2 April 2024
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
13 November 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023

Nous vous souhaitons de joyeuses fêtes de fin d’année hautes en couleur et à l’année prochaine pour une année 2024 exaltante ! 🎉

🎁 Merci à tous pour votre participation au quiz de l’avent, nous contacterons le gagnant très prochainement.

🎅 Chez Almond, l’esprit festif des fêtes de fin d’année est arrivé en avance !

Nos collaborateurs ont profité d’une soirée chaleureuse et joyeuse dans l’un des restaurants les plus spectaculaires de Paris, Le Cirque avec un cocktail dinatoire, des surprises et un Secret Santa.

Et un peu plus de magie de Noël ? Almond a également ouvert ses portes aux familles de nos collaborateurs pour une après-midi conviviale autour de l’arbre de Noël. Les enfants ont été captivés par des contes enchantés, de 1001 contes Constance Felix et ont savouré un goûter délicieux avec des chocolats chauds préparés par les Empotés. Le Père Noël a distribué des coloriages géants et des cadeaux pour le plus grand bonheur des enfants 🎁

Jour 23 : Quel est l’un des avantages de la communication et de la concertation des parties intéressées dans le processus de gestion des risques liés à la sécurité de l’information ?

  • Réponse 1 : La comparaison des résultats réels du processus de gestion des risques avec les résultats prévus lors de l’évaluation des risques.

  • Réponse 2 : Elle permet de prendre en compte différentes perspectives lors de l’établissement des critères de risque et l’évaluation des risques.

  • Réponse 3 : L’assurance que tous les risques soient communiqués à toutes les parties intéressées, quelles que soient la nature et la sensibilité de ces risques.

Laïus explicatif : La mise en place d’un processus de communication et de consultation en matière de gestion des risques liés à la sécurité de l’information a pour avantage l’amélioration des connaissances des employés concernant les risques et le processus de gestion des risques, la prise en compte de différentes perspectives lors de l’établissement des critères de risque et de l’évaluation des risques, l’amélioration de la gestion du changement au cours du processus de gestion des risques, et la garantie que chacun comprend son rôle et ses responsabilités.


Précision : une partie intéressée (le terme « partie prenante » est admis) est une personne ou un organisme susceptible d’affecter, d’être affecté ou de se sentir lui-même affecté par une décision ou une activité (extrait de la norme ISO 27001).
Les parties intéressées externes peuvent inclure les régulateurs et législateurs, les actionnaires, y compris les propriétaires et investisseurs, les fournisseurs, y compris les sous-traitants, consultants et partenaires d’externalisation, les associations industrielles ou autres, les concurrents, les clients et consommateurs, et les groupes d’activistes.
Les parties intéressées internes peuvent inclure les décideurs, y compris la direction générale, les propriétaires de processus, de systèmes et d’informations, les fonctions de soutien telles que l’informatique ou les ressources humaines, les employés et les utilisateurs, et les professionnels de la sécurité de l’information.

Jour 22 : CTF #4 de l'avent

Voici la solution du CTF #4 de l’avent

  • Flag : CWATCH{A_MAGICIAN_AMONG_THE_SPIRITS-HOUDINI}

Jour 21 : En communication de crise, qu’appelle-t-on l’effet « streisand » ?

  • Réponse 1 :  Une technique de réponse face aux journalistes

  • Réponse 2 :  Un phénomène médiatique involontaire

  • Réponse 3 :  Une posture de communication non-verbale

  • Réponse 4 :  Une stratégie de communication en temps de crise

Laïus explicatif : En communication de crise, l’effet « streisand » est un phénomène médiatique qui se produit lorsqu’une organisation souhaite cacher, supprimer ou censurer des informations la concernant et que cela la conduit à une augmentation involontaire de la visibilité de ces informations.

Ce phénomène fait échos à la chanteuse et actrice américaine Barbra Streisand. En effet, en 2003, Barbra Streisand avait essayé de supprimer une photographie de sa résidence en Californie et cela a conduit à une plus grande attention portée à cette photographie. Cet effet prend souvent de l’ampleur grâce à la couverture médiatique, le bouche-à-oreille ainsi que les réseaux sociaux (qui vont propager l’information encore plus rapidement).

 

Exemple d’entreprise :

En novembre 2022, la FNAC s’est retrouvée au cœur d’un débat politique lorsqu’elle a mis en vente un jeu intitulé « Antifa ». Il propose aux joueurs d’incarner des militants chargés de déjouer les « exactions d’extrême droite » en leur opposant « une résistance de force égale ou supérieure ». À la suite de cette polémique, la FNAC a décidé de retirer le produit de ses ventes le dimanche 27 novembre 2022 puis, après « analyse », de le remettre en vente le 29 novembre.

La polémique générée par les critiques d’extrême droite a permis de mettre en lumière le jeu alors qu’il aurait pu passer sous les radars.

En voulant arrêter la polémique naissante sur les réseaux sociaux, l’entreprise a pris l’option risquée de réagir très vite par le retrait temporaire du jeu afin d’analyser son contenu. Elle s’est ainsi retrouvée au cœur d’un débat politique.

 

Notre opinion :

Afin d’éviter l’effet « Streisand », il faut mettre en place des veilles médiatiques régulières pour surveiller et analyser le contexte médiatique. De plus, il faut évaluer avec soin l’information en question, en se demandant si cette information est vraiment susceptible de causer un préjudice important et si la tentative de censure est justifiée.

Néanmoins, il faut avoir en tête qu’avec l’évolution des médias et la rapidité de diffusion de l’information, chercher à supprimer une information met davantage les organisations sous le feu des projecteurs. Ainsi, il faut parfois relativiser et accepter que cette information ait été diffusée. C’est grâce à l’analyse du contexte médiatique que les entreprises pourront évaluer l’impact que peut avoir cette information dans les médias et ainsi décider de communiquer ou non.

Jour 20 : Quel type d’attaque consiste à intercepter et à lire les informations sensibles, telles que les identifiants de connexion, en transit entre un utilisateur et un site web ?

  • Réponse 1 : Attaque par déni de service (DDoS)

  • Réponse 2 : Attaque par force brute

  • Réponse 3 : Attaque par interception (Sniffing)

  • Réponse 4 : Attaque de phishing

Laïus explicatif : Une attaque par interception, également connue sous le nom de “sniffing”, est une méthode utilisée par les cybercriminels pour capturer et inspecter les données qui sont transmises sur un réseau.

L’attaquant utilise un logiciel d’interception de paquets (sniffer) pour capturer les données à mesure qu’elles passent sur le réseau. Ces données peuvent inclure des informations sensibles telles que des noms d’utilisateur, des mots de passe, des numéros de carte de crédit, etc.

Jour 19 : Quelles sont les différentes briques fonctionnelles composant habituellement les plateformes SASE (Secure Access Service Edge) ?

  • Réponse 1 : XDR (Extended Detection & Response), IDS (Intrusion detection System), CRL (Certificate Revocation List), ZTNA (Zero-Trust Network Access), anti-SPAM

  • Réponse 2 : SD-WAN (Software-Defined WAN), ZTNA (Zero-Trust Network Access), Bastion, EDR

  • Réponse 3 : SD-WAN (Software-Defined WAN), CASB (Cloud Access Security Broker), SWG (Secure Web Gateway), FWaaS (Firewall-as-a-Service), ZTNA (Zero-Trust Network Access)

  • Réponse 4 : SDS (Santa Detection System), CaaS (Chocolate as a Service), STAR (haut du sapin), CD-TTWU (Children-Defined Time to Wake Up), XMS (Extended Meals & Stomach)

Laïus explicatif : Gartner définit le SASE comme la convergence entre le réseau et la sécurité, incluant SD-WAN, SWG, CASB, NGFW et zero trust network access (ZTNA). Certains fournisseurs de plateforme SASE prévoient d’étendre leurs offres en y intégrant EDR et XDR.

Jour 18 : Quels types de données une solution DLP vise-t-elle généralement à protéger ?

  • Réponse 1 : Uniquement les données personnelles des employés.

  • Réponse 2 : Toutes les données, indépendamment de leur sensibilité.

  • Réponse 3 : Uniquement les données stockées sur des serveurs internes.

  • Réponse 4 : Les données sensibles et confidentielles, telles que les informations financières ou médicales.

Laïus explicatif : Les stratégies et solutions DLP visent généralement à protéger les données sensibles et confidentielles, telles que les informations financières, médicales, ou tout autre type de données qui, si perdues ou compromises, pourraient causer des dommages importants à une organisation.

Jour 17 : D'après Hyperproof, quel est le pourcentage moyen de non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l'entreprise et des clients, observé dans les entreprises du secteur technologique ?

  • Réponse 1 : 10%

  • Réponse 2 : 25%

  • Réponse 3 : 40%

  • Réponse 4 : 55%

Laïus explicatif : Une étude récente menée par Hyperproof (logiciel de gestion de la conformité) parmi les 1029 personnes interrogées a montré que 25% des entreprises technologiques font face à des problèmes de non-conformité chaque année. Elles ont connu au moins une violation de la conformité ou un manquement, comme un non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l’entreprise et des clients. Cela montre l’importance d’une gestion efficace des risques et de la conformité pour éviter les sanctions et maintenir une bonne réputation. Les entreprises doivent investir dans des formations, des audits réguliers et des technologies de surveillance pour s’assurer qu’elles restent dans les limites des réglementations en vigueur.

Jour 16 : Quelle fonctionnalité d’un serveur proxy permet à un administrateur réseau d’exposer des sites web hébergés sur son réseau à des utilisateurs externes ?

  • Réponse 1 : Proxy de transfert

  • Réponse 2 : Protocole HTTP

  • Réponse 3 : Protocole proxy

  • Réponse 4 : Proxy inverse

Laïus explicatif : Un proxy inverse peut être un serveur ou une application qui se place devant un serveur Web pour intercepter et inspecter les demandes entrantes des clients avant de les transmettre au serveur Web. Ce serveur permet aussi de renvoyer la réponse du serveur au client (par exemple, les navigateurs web).

Les solutions de proxy inverse sont généralement déployées pour améliorer la sécurité, les performances et la fiabilité.

Le protocole HTTP décrit la méthode de communication client/serveur afin d’échanger différentes ressources qui composeront un site Web.

Le protocole proxy décrit la méthode d’encapsulation qui permet de conserver les informations d’origine du client au sein de l’échange TCP « proxifié » entre le client et le serveur Web.

Avec un proxy de transfert, contrairement au Proxy inverse, l’utilité va être de protéger les utilisateurs et non les serveurs Web. Le proxy de transfert va intercepter les requêtes des utilisateurs à destination des serveurs Web afin de bénéficier d’une meilleure confidentialité et de contrôler l’accès à certaines catégories de contenus.

Jour 15 : CTF #3 de l'avent

Voici la solution du CTF #3 de l’avent

  • Flag : CWATCH{02/12/2021_18:50:00}

Jour 14 : Quel principe directeur d’ITIL prend en compte l’importance de la fidélisation des clients ?

  • Réponse 1 : Progresser de manière itérative grâce aux feedbacks
  • Réponse 2 : Commencer là où vous êtes
  • Réponse 3 : Optimiser et automatiser
  • Réponse 4 : Se concentrer sur la valeur

Laïus explicatif : Le principe « privilégier la valeur » implique que toute initiative de l’organisation doit être liée, directement ou indirectement, à la valeur qu’elle dégage pour les parties prenantes. Il englobe plusieurs perspectives, notamment l’expérience des clients et des utilisateurs.

Jour 13 : Qu'est-ce que l'ingénierie sociale dans le contexte de la cybersécurité ?

  • Réponse 1 : Une méthode de construction de logiciels de réseaux sociaux sécurisés
  • Réponse 2 : L’utilisation de technologies dans la sécurité des réseaux sociaux
  • Réponse 3 : Un protocole de sécurité pour les ingénieurs
  • Réponse 4 : Une méthode frauduleuse d’obtention d’informations

Laïus explicatif : L’ingénierie sociale est un processus frauduleux visant à tromper les individus pour obtenir certaines informations personnelles ou confidentielles, voire un accès direct à un système informatique. Il consiste souvent à se faire passer pour quelqu’un d’autre, tout en jouant sur des ressorts psychologiques.

Les attaques d’ingénierie sociale sont courantes et peuvent prendre différentes formes, telles que le phishing, le vol par diversion, le SMiShing (phishing par SMS), le pretexting, l’arnaque sentimentale (honeytrap), le tailgating/piggybacking etc.

Jour 11 : Parmi ces données, lesquelles seraient selon vous les plus attractives pour un cyberattaquant ?

  • Réponse 1 : Des informations de quelques clients (nom, prénom, adresse physique, email, téléphone)

  • Réponse 2 : Une liste d’une vingtaine d’emails professionnels

  • Réponse 3 : Une carte “black” avec adresse du propriétaire et CVV

  • Réponse 4 : Un numéro de carte bancaire

Laïus explicatif : La carte “black” et ses détails sera plus attractive pour un cyberattaquant car ce type de carte appartient généralement à des personnes avec un certain niveau de revenu ou des personnalités publiques. Le cyberattaquant pourra directement frauder ou vendre ces informations à un prix plus élevé qu’un numéro d’une carte bancaire lambda sur le marché noir. Les données à caractère personnel commencent à devenir rentables lorsqu’elles sont nombreuses, récentes, réutilisables et couplées à d’autres types de données (données de santé et données bancaires notamment). La donnée peut servir divers objectifs bien souvent motivés in fine par l’appât du gain :

  1. La fraude financière
  2. Le détournement pour d’autres cyberattaques (campagne de phishing, usurpation d’identité)
  3. La revente à des plateformes de marketing : filon davantage exploitée par les GAFAM

Jour 12 : CTF #2 de l'avent

Voici la solution du CTF #2 de l’avent

  • Flag : CWATCH{JAN_FABRE}

Jour 10 : Parmi ces 4 choix, lequel définit le mieux une Due Diligence IT/Cyber ?

  • Réponse 1 : un audit organisationnel et technique IT/Cyber d’une entreprise en prévision de l’entrée au capital d’un nouvel actionnaire
  • Réponse 2 : un audit organisationnel et technique IT/Cyber d’une entreprise à la suite de l’entrée au capital d’un nouvel actionnaire
  • Réponse 3 : un questionnaire IT/Cyber envoyé à une entreprise dans le cadre d’une opération d’investissement
  • Réponse 4 : un audit de conformité permettant de s’assurer que l’entreprise ciblée répond à ses obligations réglementaires

Laïus explicatif : Une Due Diligence est un audit réalisé dans le cadre d’un projet d’investissement (ex. LBO) concernent généralement des enjeux financiers, juridiques, opérationnels, RSE et IT/Cyber.

Une Due Diligence IT/Cyber est un audit permettant d’éclairer la décision d’investissement, en analysant la posture cyber de l’entreprise, ses pratiques et ses éventuelles vulnérabilités. Elle permet à l’investisseur, un fonds d’investissement par exemple, d’obtenir une appréciation argumentée de la maturité de l’entreprise, et ainsi déterminer les efforts et moyens nécessaires par la suite pour renforcer le niveau de sécurité de l’entreprise.

Almond réalise régulièrement des Due Diligence IT/Cyber pour le secteur du Private Equity, en y associant une évaluation externe automatisée avec la solution Security Rating de Board of Cyber mais également des investigations ciblées type OSINT.

Jour 9 : Quelle est la part de la consommation d'électricité globale imputable aux Datacenters ?

  • Réponse 1 : 0,01%

  • Réponse 2 : 0,1%

  • Réponse 3 : 1,5%

  • Réponse 4 : 10%

Laïus explicatif : La quantité de Datacenters à travers le monde connaît une hausse significative et cette tendance perdure. Malgré les efforts des constructeurs pour réduire et rationaliser leur consommation d’énergie, ces infrastructures sont responsables de 1,5 % de la consommation électrique globale, d’après les données de l’Agence Internationale de l’Énergie (IEA.org).

Jour 8 : Qu'est-ce qu'une "Zero Day" ?

  • Réponse 1 : Une faille informatique déjà corrigée par le fournisseur avant que vous ne le sachiez

  • Réponse 2 : Une vulnérabilité ne disposant pas de solution de mitigation

  • Réponse 3 : Une faille de sécurité qui n’affecte pas les systèmes d’information

  • Réponse 4 : Une vulnérabilité exploitée uniquement le jour de sa découverte

Laïus explicatif : Une “Zero Day” est une vulnérabilité qui n’a pas encore été corrigée ou pour laquelle il n’existe pas de mitigation possible. Potentiellement, des attaquants peuvent déjà avoir connaissance de cette faille et l’exploiter activement : certaines vulnérabilités Zero-Day sont ainsi découvertes par la communauté informatique à la suite d’une attaque qui l’exploite. Les cyber-criminels investissent beaucoup pour découvrir des vulnérabilités avant les chercheurs en sécurité, afin de maximiser les chances de réussite de leurs attaques.

Jour 7 : Selon les nouvelles recommandations de la CNIL, quelle est la meilleure pratique sur la robustesse d'un mot de passe ?

  • Réponse 1 : La longueur

  • Réponse 2 : Une dérivation des mots du dictionnaire (exemple la dérivation du mot Kangourou est k4ng0urOu)

  • Réponse 3 : L’utilisation d’une phrase de passe (7 mots minimum)

  • Réponse 4 : L’utilisation d’une combinaison de 12 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire

Laïus explicatif : Conformément aux récentes directives de la CNIL, l’approche privilégiée pour renforcer la sécurité des mots de passe repose sur une complexité évaluée par l’entropie, plutôt que sur une exigence stricte de longueur minimale. Cette approche vise à accorder une plus grande souplesse dans l’élaboration de politiques de mots de passe, adaptées à divers scénarios d’utilisation. Les trois exemples ci-dessous sont considérés comme équivalents en termes d’entropie, et ils sont tous conformes aux recommandations récentes :

  • Exemple 1 : Les mots de passe doivent comprendre au moins 12 caractères, incluant des majuscules, des minuscules, des chiffres, et des caractères spéciaux choisis parmi une liste d’au moins 37 caractères spéciaux possibles.
  • Exemple 2 : Les mots de passe doivent avoir au moins 14 caractères, incluant des majuscules, des minuscules, et des chiffres, sans obligation d’utiliser des caractères spéciaux.
  • Exemple 3 : Une phrase de passe doit être utilisée, composée d’au moins 7 mots. Cette approche permet aux utilisateurs de choisir des mots de passe répondant à des critères variés, tout en garantissant une sécurité appropriée.

Vous pouvez consulter les recommandations en suivant le lien fourni : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité | CNIL

Jour 6 : Quel sera le principe innovant principal du Wifi7 ?

  • Réponse 1 : L’introduction de la bande de fréquence 6Ghz

  • Réponse 2 : L’utilisation de largeur de bandes allant jusqu’à 640 Mhz

  • Réponse 3 : La possibilité d’utiliser deux bandes de fréquences simultanément

  • Réponse 4 : Aucune mise à jour requise sur les terminaux

Laïus explicatif : Avec le Wifi 7, il sera possible d’utiliser deux bandes de fréquences simultanément, contrairement au Wi-Fi intelligent actuel qui positionne automatiquement les appareils sur la meilleure bande de fréquences. Conséquences de cette agrégation de fréquences : des débits plus rapides et latences encore réduites. Le 6Ghz est déjà introduit depuis le wifi 6E, les largeurs de bandes ne seront “que” de 320 Mhz sur le 6Ghz avec le Wifi7.

Jour 5 : CTF #1 de l'avent

Voici la solution du CTF #1 de l’avent

  •  Flag : CWATCH{C51H79NO13} 

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Laïus explicatif : Le ransomware à triple extorsion est comme son nom l’indique une attaque durant laquelle les cybercriminels menacent de trois façons différentes leur victime.

  1. L’attaquant va demander une rançon à la victime pour qu’il puisse récupérer/déchiffrer ses données
  2. L’attaquant va demander une rançon pour ne pas publier / divulguer les données exfiltrées, il peut aussi demander une rançon pour un délai supplémentaire avant divulgation (retarder le compte à rebours)
  3. L’attaquant va mettre la pression à la victime pour augmenter les chances de paiement de la rançon via des attaques de type DDoS ou des appels téléphoniques, enfin il peut aussi demander des rançons aux victimes collatérales, dont les données auraient fuité indirectement dans l’attaque

Ce type d’attaque permet aux attaquants de maximiser le gain financier pour chaque victime, le ransomware étant déjà l’une des attaques les plus lucratives, il convient d’anticiper ce scénario et de s’en protéger convenablement.

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou “Distributed Denial of Service” est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/