Rechercher
Fermer ce champ de recherche.

Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

27/02/2023

Cybersecurity Insights

Privacy by Design : La mise en œuvre complexe mais indispensable d’un principe prévu par le RGPD

Almond a pu accompagner différents clients sur la mise en place du processus Privacy by Design, « Protection des données dès la conception » en français, et il a été constaté qu’il existe parfois un manque de considération au regard de ce principe.

Introduction : Un principe imposé par le RGPD mais encore peu respecté

Selon certains retours :

  • « Le Privacy by Design n’est pas vraiment imposé par le RGPD, ce n’est pas une réelle obligation»
  • « Le respect de ce principe n’est pas très important, ce n’est pas ce que les autorités regardent pour sanctionner»
  • « Faisons le projet et nous nous adapterons ensuite au RGPD»

Il est en effet possible de penser que le principe de Privacy by Design, théoriquement, c’est bien, mais en pratique, c’est beaucoup de travail et des contraintes supplémentaires.
Oui mais : Le respect du principe de Privacy by Design est imposé par le RGPD. Par ailleurs, ne pas le respecter peut entraîner la mise en place de traitements qui ne respectent pas les principes du RGPD, notamment l’article 5. Le non-respect de ce principe est alors sanctionnable par les autorités de protection de données de l’Union Européenne, notamment la CNIL en France.

Le 28 novembre 2022, la société Meta (société mère de Facebook, Instagram, Whatsapp) en a d’ailleurs fait les frais : la Commission de protection des données (DPC), régulateur irlandais, a sanctionné l’entreprise d’une amende de 265 millions d’euros pour « manquement à la protection des données de ses utilisateurs ». La sanction se base notamment sur des infractions à l’article 25 du RGPD, article qui prévoit justement le principe de Privacy by Design[1].
« Les aspects matériels de cette enquête concernaient des questions de conformité à l’obligation du RGPD de prévoir la protection des données par conception et par défaut« , a déclaré le CPD.
« Le CPD a examiné la mise en œuvre de mesures techniques et organisationnelles conformément à l’article 25 du RGPD (qui traite de ce concept) ».

Il est donc indispensable de respecter le principe de Privacy by Design, non seulement afin d’être en conformité au RGPD et d’éviter une potentielle sanction de la CNIL, mais également pour s’assurer de la sécurité de ses projets et limiter les risques pour les personnes concernées.

Par ailleurs, l’importance de la prise en compte du Privacy by Design ne fait qu’accroître, dans la mesure où les principes de ce concept ont été intégrés au sein de la norme spécifique ISO 31700-1 au mois de février 2023.[2]

Mais alors, comment organiser la mise en place des mesures permettant de respecter le principe de Privacy by Design au sein de son entreprise ?

Il sera d’abord nécessaire de comprendre l’objectif du Privacy by Design et le contenu de ce principe, pour ensuite s’intéresser à l’application concrète de cette démarche au sein des projets.

L’objectif du principe de Privacy by Design : une application concrète des mesures de sécurité dès la conception des projets d’une entreprise

Concrètement, le Privacy by Design se formalise dans un document comportant plusieurs parties. Ce document doit être complété dès la conception du projet et mis à jour tout au long du projet :

  • Dans un premier temps (étape 1), il faut observer que le projet respecte les exigences fondamentales du RGPD telles que le principe de minimisation des données, ou encore la mise en place de durées de conservation limitées des données.
  • Dans un deuxième temps (étape 2), il faudra regarder les mesures de sécurité techniques et organisationnelles envisagées et/ou en place.
  • Dans un troisième temps (étape 3), il conviendra d’analyser les scénarios de risques qui pèsent sur les personnes concernées en cas de perte de confidentialité, intégrité, disponibilité des données. Des mesures de sécurité seront alors envisagées pour réduire ou traiter ces risques. Si le risque final est acceptable, le document pourra être validé par le responsable de traitement.

A titre d’exemple, un nouveau traitement pourrait être la mise en place d’une nouvelle newsletter au sein d’un service communication d’une entreprise.
Il sera alors nécessaire de différencier clients et prospects pour l’envoi de cette newsletter, de recueillir le consentement des personnes, de d’assurer du respect des durées de conservations imposées par les textes, s’assurer qu’une solution de désinscription simple et claire est proposé aux personnes concernées, et toutes autres mesures nécessaires pour garantir la sécurité du traitement de données à caractère personnel.

Il est donc essentiel de comprendre le contenu du principe de Privacy by Design en profondeur, afin que l’application concrète de ce concept soit efficiente au sein de son entreprise.

Le contenu du principe de Privacy by Design

ETAPE 1 : Le respect des exigences du RGPD

Le processus Privacy by Design permet donc de s’assurer du respect des exigences du texte, notamment du principe de minimisation des données personnelles. Ce principe prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
Ce principe va être pris en compte dès la conception du traitement avec le Privacy by Design : le responsable de traitement et le DPO s’assurent alors, avant la mise en œuvre du traitement, que les données qui seront traitées sont strictement nécessaires à la finalité du traitement et qu’aucune donnée non pertinente ne sera traitée, afin de garantir la conformité du traitement.

Autre exigence, le principe de finalité est également garanti par le respect du processus Privacy by Design. En effet, lors du processus Privacy by Design, le responsable de traitement s’assure que les données sont collectées et/ou utilisées pour une finalité précise, nécessaire et conforme au RGPD.
Cette finalité doit être déterminée dès la conception du traitement, ce qui permet alors de comprendre dans quel but un traitement est mis en place, et quelles données seront alors nécessaires à la réalisation de la finalité de ce traitement.
Pour pouvoir être mis en œuvre, chaque traitement de données doit également se fonder sur l’une des « bases légales » prévues par le RGPD. La détermination de la base légale appropriée est une étape-clé pour les entreprises et elle doit se faire lors de la conception du traitement. La base légale d’un traitement peut être le consentement, le contrat, l’obligation légale, la mission d’intérêt public, l’intérêt légitime, ou encore la sauvegarde des intérêts vitaux.

La prise en compte du Privacy by Design permettra également de respecter l’exigence d’une durée de conservation limitée en s’appuyant sur une obligation légale si possible ou en fixant une durée de conservation précise, en fonction du type d’information enregistrée et de la finalité du fichier, et ce dès la conception du traitement.
En effet, il n’est pas possible de conserver des informations sur des personnes physiques dans un fichier pour une durée indéfinie, et la définition d’une durée de conservation conforme au RGPD doit se faire lors de la mise en place du Privacy by Design.

Le respect du droit des personnes devra également être prévu dès la conception du traitement : il sera nécessaire de s’assurer que les personnes concernées ont effectivement un moyen d’exercer leur droit (droit d’accès, droit à l’effacement, …) via des moyens de contact adaptés, et qu’un processus de réponse conforme à ces demandes est prévu, avant la mise en œuvre du traitement.

ETAPE 2 : Les objectifs de sécurité du traitement et de protection des données à caractère personnel dès la conception du traitement

C’est l’essence même du principe de Privacy by Design.

Si le respect de ce principe permet de s’assurer de la conformité du traitement avant qu’il soit mis en œuvre, il permet alors d’éviter de modifier le traitement afin de le mettre en conformité, après que le traitement ait déjà été mis en œuvre.

Toutefois, cela ne veut pas dire qu’il ne faut plus du tout se soucier de la protection des données une fois que le traitement est lancé. Pour toute évolution et/ou modification du traitement, il sera nécessaire d’adapter les mesures de protection des données à ces changements. Par ailleurs, les mesures de sécurité sont prises en compte lors de la conception du traitement, mais s’appliquent évidemment pendant toute la durée de vie de ce traitement.

Mais l’objectif du Privacy by Design, c’est également et surtout la sécurité du traitement de données à caractère personnel.
En effet, les mesures à prendre lors de la mise en place du Privacy by Design garantissent, dans une certaine mesure, cette sécurité du traitement. Il peut alors s’agir de mesures techniques, telles que le chiffrement des données confidentielles, une politique de mots de passe (complexité, changement régulier), des outils de lutte contre les intrusions extérieures dans le réseau (firewall, anti-virus) ; mais aussi de mesures organisationnelles, telles que l’enregistrement du traitement dans le registre des traitements de données, le contrôle et la gestion des accès aux données personnelles, ou encore la sensibilisation de tous les acteurs du projet.

La prise en compte du Privacy by Design dans tout le cycle de vie du projet passe donc par deux éléments importants : initier la réflexion le plus en amont possible des projets et affiner l’identification des risques et la construction des réponses au fur et à mesure de l’avancement des projets ; et la gestion du changement en sensibilisant, formant et responsabilisant les équipes projets aux principes de gestion des risques qui doivent être pris en compte.

ETAPE 3 : La limitation des risques pour les personnes concernées et pour l’entreprise

La sécurité du traitement implique directement la limitation des risques pour les personnes concernées. En effet, des mesures de sécurité sont adoptées en amont de la mise en œuvre du traitement lors du processus Privacy by Design. Et la mise en place de ces mesures de sécurité permet alors de limiter les risques de violation et de fuite de données pour les personnes concernées. Cette limitation des risques est également bénéfique pour le responsable de traitement et son entreprise, puisque le risque de perdre des données importantes et un temps de travail conséquent est également limité par ces mesures. Enfin, le respect du Privacy by Design permet également de limiter les risques de sanction par une autorité de protection de données de l’Union Européenne, telles que la sanction de 265 millions d’euros au groupe Meta. Il est donc nécessaire de prendre les mesures techniques et organisationnelles appropriées au traitement des données. Celles-ci doivent s’apprécier au regard de la finalité du traitement. Mais alors, comment intégrer concrètement ce principe de Privacy by Design lors de la conception de son projet ? (Parce que personne n’a envie d’être « responsable » d’une sanction pour son entreprise, mais surtout, chacun souhaite évidemment respecter toutes les exigences en matière de protection des données à caractère personnel !)

Comment appliquer concrètement les mesures prévues par le Privacy by Design ?

Les acteurs concernés par la mise en œuvre du Privacy by Design

Afin de comprendre comment s’organise la mise en œuvre concrète du Privacy by Design, il est d’abord nécessaire de s’intéresser aux acteurs concernés par ce concept. En première ligne, le responsable de traitement ou « chef de projet », accompagné du DPO, voir même du RSSI. Derrière, tous les collaborateurs participant au projet ou au traitement de DCP seront finalement tenus de prendre en compte les mesures prévues en première ligne pour protéger les DCP.

Qui doit prendre en compte le processus Privacy by Design ?

  • Le responsable de traitement ou « chef de projet » est chargé de mettre en œuvre le Privacy by Design. Le responsable de traitement est la personne morale (entreprise, commune, etc.) ou physique qui détermine les finalités et les moyens d’un traitement, c’est à dire l’objectif et la façon de le réaliser. En pratique et en général, il s’agit de la personne morale incarnée par son représentant légal.
  • Le DPO et le RSSI sont concernés par le Privacy by Design dans la mesure où ils s’assurent du suivi de la prise en compte de ce principe par les chefs de projets, et de la conformité des mesures de sécurité envisagées pour le traitement.
  • Les collaborateurs qui traitent des données personnelles dans le cadre du projet concerné doivent également prendre en compte le processus Privacy by Design déterminé par le chef de projet en collaboration avec DPO et RSSI.

Quand doit être pris en compte le processus Privacy by Design ?

  • Dès la conception du traitement : c’est le principe de Privacy by Design. Ainsi, des mesures techniques et organisationnelles sont prévues en amont de la mise en œuvre du traitement afin que le traitement soit conforme au RGPD lors de sa mise en œuvre.
  • Pour tout traitement déjà mis en œuvre lorsque celui-ci évolue, ou lorsque le processus Privacy by Design n’a pas été pris en compte dès la conception du traitement. En effet, il est nécessaire de s’assurer régulièrement de la conformité du traitement, notamment lorsque celui-ci évolue.

Exemple de structure d’une démarche Privacy by Design :

Lors de l’accompagnement RGPD, Almond propose une structure de démarche Privacy by Design adaptée à son client. Ainsi, cela permet de comprendre qui est concerné et à quel moment, et de s’appuyer sur cette démarche dès qu’un nouveau projet est mis en place. Voici un exemple de démarche PBD :

Selon l’exemple de démarche Privacy by Design, nous identifions quatre étapes à suivre lors de la conception d’un nouveau traitement, ou lors d’une évolution de celui-ci.

Les quatre étapes à suivre lors de la mise en place du Privacy by Design

La description du projet de traitement de DCP

En vue d’identifier si le projet implique un traitement de DCP, le chef de projet (ou le « responsable de traitement ») décrit le projet avec notamment à minima les informations suivantes :

  • L’objectif du projet ;
  • La nécessité du traitement de DCP ;
  • Les catégories de données traitées ;
  • L’identification des personnes concernées et des destinataires.

Le chef de projet documente la description pour répondre aux obligations relatives à l’étude, l’implémentation et à la revue du projet de traitement de DCP.

L’étude / conception des exigences de gestion des DCP au projet

Lors du lancement de tout nouveau traitement, le chef de projet concerné s’appuie sur un outil (par exemple, un questionnaire via excel / word) permettant de décrire de quelle façon les exigences liées à la gestion des DCP seront respectées.

Les mesures décrites par le chef de projet dans l’outil permettent d’identifier si les exigences et les principes du RGPD ont été pris en compte.

Le chef de projet apporte toute la documentation nécessaire pour prouver le respect des exigences RGPD permettant d’implémenter le projet de traitement de DCP. Cette documentation constituera, avec l’outil, le dossier à transmettre pour avis au Délégué à la Protection des Données (DPO, Data Protection Officer).

Point d’attention : lors de cette phase d’étude, dans le cadre où une Analyse d’Impact relative à la Protection des Données (AIPD) est nécessaire, les résultats de cette analyse d’impact sont également intégrés au questionnaire.

Le DPO émet un avis sur le projet de traitement de DCP par rapport au respect des exigences telles que définies dans la politique.
En cas d’avis non favorable, le DPO renvoie le dossier au chef de projet qui définira les mesures à mettre en place pour respecter les exigences de la présente politique et de la politique de protection des données.

L’implémentation des exigences de gestion des DCP au projet

Le chef de projet implémente et documente les modalités d’intégration des exigences telles que définies en phase d’étude pour prouver le respect des exigences déclinées dans l’outil (ex : mentions d’information, demande de consentement, etc…).

Tout écart entre l’étude du projet et l’implémentation de celui-ci doit être documenté par le chef de projet, dans l’outil évoqué ci-dessus.


La revue de la bonne intégration des exigences de traitement de DCP au projet

Le DPO émet un avis final sur le projet de traitement de DCP permettant sa mise en production.
En cas d’avis non favorable, le DPO renvoie le dossier au chef de projet pour correction des éléments jugés non conformes aux exigences de protection des DCP.

En cas d’avis favorable, le chef de projet intègre le traitement au registre de traitement.

Chaque avis doit être conservé avec sa justification pour preuve.

En conclusion

La mise en place d’un processus Privacy by Design peut donc se révéler complexe et il est possible qu’un certain temps soit nécessaire avant que le processus soit véritablement efficace. Pour lancer la prise en compte du Privacy by Design, il est alors envisageable de commencer par une démarche réalisable même si imparfaite, ou du moins pas exactement conforme aux textes. Il est également nécessaire d’aider au plus près les métiers et la DSI dans un premier temps, notamment en faisant le lien entre ces deux parties pour que la prise en compte du privacy by Design se fasse de la manière la plus complète possible. Enfin, les parties prenantes, notamment chaque responsable de traitement (ou chef de projet), le DPO, les collaborateurs de la DSI et les collaborateurs étant concernés par des traitements de données personnelles, doivent être sensibilisés régulièrement à la protection des données et il est possible de sensibiliser également sur la prise en compte de ce sujet dès la conception de chaque traitement sans qu’un processus ne soit réellement formalisé, dans un premier temps néanmoins. Compte tenu de l’augmentation constante des sanctions appliquées par la CNIL et de l’importance du respect du Privacy By design, il est important que ce sujet soit véritablement pris en compte lors de la conception de tout nouveau projet au sein d’une entreprise. Au-delà de se conformer à une obligation légale, il est important de prendre ce sujet en compte car le respect du principe permet de s’assurer de la sécurité des données traitées, de limiter les risques de fuites/violations de données, mais aussi de travailler en amont du projet et ainsi éviter de prendre en compte le sujet une fois le traitement mis en place, un travail qui serait alors plus complexe qu’en traitant le sujet dès la conception d’un traitement de données à caractère personnel.

Liens utiles

julien vavasseur

Julien VAVASSEUR

Consultant Governance, Risks & Compliance

Voir les derniers Cybersecurity Insights

14 mai 2024
2024 is the year of elections. But how does it impact the threat landscape? Almond would like to share a new series to keep track of this year's threats.
13 mai 2024
Le règlement « Digital Operational Resilience Act », également connu sous l’acronyme DORA, a pour objectif d’amener les entités financières à évaluer puis à mitiger leurs risques de dépendances aux technologies de l’information et de la communication (TIC). Complétant les dispositifs réglementaires existants, DORA exige la mise en place d’une série de mesures, dont certaines doivent être accomplies régulièrement.
29 avril 2024
2024 is the year of elections. But how does it impact the threat landscape? Almond would like to share a new series to keep track of this year's threats.
23 avril 2024
Evènement international d’exception, loi d’exception. A l’aube des Jeux Olympiques 2024, la France est devenue le premier pays de l’Union européenne à légaliser la surveillance biométrique.
17 avril 2024
Une attaque se déroule en 7 minutes ! Connaître son ennemi, une exigence pour rester dans la course face à une menace cyber plus que jamais présente ▶ Téléchargez le Threat Landscape 2023-2024 d'Almond.
2 avril 2024
2024 is the year of elections. But how does it impact the threat landscape? Almond would like to share a new series to keep track of this year's threats.
22 mars 2024
Almond est fier d’avoir renouvelé sa qualification PASSI RGS, sous la tutelle de l’Agence Nationale de la Sécurité des Systèmes d’information.
28 février 2024
Ce Cybersecurity Insight a pour but de présenter les enjeux relatifs à la nouvelle extension de TLSv1.3 qui devrait être normalisée prochainement.
21 février 2024
Les dernières annonces de Google et Yahoo concernant le durcissement des règles de délivrabilité des emails risquent de perturber votre prochaine campagne marketing.
7 janvier 2024
Alors que l'Intelligence artificielle est de plus en plus présente aussi bien dans notre vie quotidienne que dans les systèmes d'information des organisations, les experts et les états se questionnent sur les enjeux de cette nouvelle technologie.

Nous vous souhaitons de joyeuses fêtes de fin d’année hautes en couleur et à l’année prochaine pour une année 2024 exaltante ! 🎉

🎁 Merci à tous pour votre participation au quiz de l’avent, nous contacterons le gagnant très prochainement.

🎅 Chez Almond, l’esprit festif des fêtes de fin d’année est arrivé en avance !

Nos collaborateurs ont profité d’une soirée chaleureuse et joyeuse dans l’un des restaurants les plus spectaculaires de Paris, Le Cirque avec un cocktail dinatoire, des surprises et un Secret Santa.

Et un peu plus de magie de Noël ? Almond a également ouvert ses portes aux familles de nos collaborateurs pour une après-midi conviviale autour de l’arbre de Noël. Les enfants ont été captivés par des contes enchantés, de 1001 contes Constance Felix et ont savouré un goûter délicieux avec des chocolats chauds préparés par les Empotés. Le Père Noël a distribué des coloriages géants et des cadeaux pour le plus grand bonheur des enfants 🎁

Jour 23 : Quel est l’un des avantages de la communication et de la concertation des parties intéressées dans le processus de gestion des risques liés à la sécurité de l’information ?

  • Réponse 1 : La comparaison des résultats réels du processus de gestion des risques avec les résultats prévus lors de l’évaluation des risques.

  • Réponse 2 : Elle permet de prendre en compte différentes perspectives lors de l’établissement des critères de risque et l’évaluation des risques.

  • Réponse 3 : L’assurance que tous les risques soient communiqués à toutes les parties intéressées, quelles que soient la nature et la sensibilité de ces risques.

Laïus explicatif : La mise en place d’un processus de communication et de consultation en matière de gestion des risques liés à la sécurité de l’information a pour avantage l’amélioration des connaissances des employés concernant les risques et le processus de gestion des risques, la prise en compte de différentes perspectives lors de l’établissement des critères de risque et de l’évaluation des risques, l’amélioration de la gestion du changement au cours du processus de gestion des risques, et la garantie que chacun comprend son rôle et ses responsabilités.


Précision : une partie intéressée (le terme « partie prenante » est admis) est une personne ou un organisme susceptible d’affecter, d’être affecté ou de se sentir lui-même affecté par une décision ou une activité (extrait de la norme ISO 27001).
Les parties intéressées externes peuvent inclure les régulateurs et législateurs, les actionnaires, y compris les propriétaires et investisseurs, les fournisseurs, y compris les sous-traitants, consultants et partenaires d’externalisation, les associations industrielles ou autres, les concurrents, les clients et consommateurs, et les groupes d’activistes.
Les parties intéressées internes peuvent inclure les décideurs, y compris la direction générale, les propriétaires de processus, de systèmes et d’informations, les fonctions de soutien telles que l’informatique ou les ressources humaines, les employés et les utilisateurs, et les professionnels de la sécurité de l’information.

Jour 22 : CTF #4 de l'avent

Voici la solution du CTF #4 de l’avent

  • Flag : CWATCH{A_MAGICIAN_AMONG_THE_SPIRITS-HOUDINI}

Jour 21 : En communication de crise, qu’appelle-t-on l’effet « streisand » ?

  • Réponse 1 :  Une technique de réponse face aux journalistes

  • Réponse 2 :  Un phénomène médiatique involontaire

  • Réponse 3 :  Une posture de communication non-verbale

  • Réponse 4 :  Une stratégie de communication en temps de crise

Laïus explicatif : En communication de crise, l’effet « streisand » est un phénomène médiatique qui se produit lorsqu’une organisation souhaite cacher, supprimer ou censurer des informations la concernant et que cela la conduit à une augmentation involontaire de la visibilité de ces informations.

Ce phénomène fait échos à la chanteuse et actrice américaine Barbra Streisand. En effet, en 2003, Barbra Streisand avait essayé de supprimer une photographie de sa résidence en Californie et cela a conduit à une plus grande attention portée à cette photographie. Cet effet prend souvent de l’ampleur grâce à la couverture médiatique, le bouche-à-oreille ainsi que les réseaux sociaux (qui vont propager l’information encore plus rapidement).

 

Exemple d’entreprise :

En novembre 2022, la FNAC s’est retrouvée au cœur d’un débat politique lorsqu’elle a mis en vente un jeu intitulé « Antifa ». Il propose aux joueurs d’incarner des militants chargés de déjouer les « exactions d’extrême droite » en leur opposant « une résistance de force égale ou supérieure ». À la suite de cette polémique, la FNAC a décidé de retirer le produit de ses ventes le dimanche 27 novembre 2022 puis, après « analyse », de le remettre en vente le 29 novembre.

La polémique générée par les critiques d’extrême droite a permis de mettre en lumière le jeu alors qu’il aurait pu passer sous les radars.

En voulant arrêter la polémique naissante sur les réseaux sociaux, l’entreprise a pris l’option risquée de réagir très vite par le retrait temporaire du jeu afin d’analyser son contenu. Elle s’est ainsi retrouvée au cœur d’un débat politique.

 

Notre opinion :

Afin d’éviter l’effet « Streisand », il faut mettre en place des veilles médiatiques régulières pour surveiller et analyser le contexte médiatique. De plus, il faut évaluer avec soin l’information en question, en se demandant si cette information est vraiment susceptible de causer un préjudice important et si la tentative de censure est justifiée.

Néanmoins, il faut avoir en tête qu’avec l’évolution des médias et la rapidité de diffusion de l’information, chercher à supprimer une information met davantage les organisations sous le feu des projecteurs. Ainsi, il faut parfois relativiser et accepter que cette information ait été diffusée. C’est grâce à l’analyse du contexte médiatique que les entreprises pourront évaluer l’impact que peut avoir cette information dans les médias et ainsi décider de communiquer ou non.

Jour 20 : Quel type d’attaque consiste à intercepter et à lire les informations sensibles, telles que les identifiants de connexion, en transit entre un utilisateur et un site web ?

  • Réponse 1 : Attaque par déni de service (DDoS)

  • Réponse 2 : Attaque par force brute

  • Réponse 3 : Attaque par interception (Sniffing)

  • Réponse 4 : Attaque de phishing

Laïus explicatif : Une attaque par interception, également connue sous le nom de “sniffing”, est une méthode utilisée par les cybercriminels pour capturer et inspecter les données qui sont transmises sur un réseau.

L’attaquant utilise un logiciel d’interception de paquets (sniffer) pour capturer les données à mesure qu’elles passent sur le réseau. Ces données peuvent inclure des informations sensibles telles que des noms d’utilisateur, des mots de passe, des numéros de carte de crédit, etc.

Jour 19 : Quelles sont les différentes briques fonctionnelles composant habituellement les plateformes SASE (Secure Access Service Edge) ?

  • Réponse 1 : XDR (Extended Detection & Response), IDS (Intrusion detection System), CRL (Certificate Revocation List), ZTNA (Zero-Trust Network Access), anti-SPAM

  • Réponse 2 : SD-WAN (Software-Defined WAN), ZTNA (Zero-Trust Network Access), Bastion, EDR

  • Réponse 3 : SD-WAN (Software-Defined WAN), CASB (Cloud Access Security Broker), SWG (Secure Web Gateway), FWaaS (Firewall-as-a-Service), ZTNA (Zero-Trust Network Access)

  • Réponse 4 : SDS (Santa Detection System), CaaS (Chocolate as a Service), STAR (haut du sapin), CD-TTWU (Children-Defined Time to Wake Up), XMS (Extended Meals & Stomach)

Laïus explicatif : Gartner définit le SASE comme la convergence entre le réseau et la sécurité, incluant SD-WAN, SWG, CASB, NGFW et zero trust network access (ZTNA). Certains fournisseurs de plateforme SASE prévoient d’étendre leurs offres en y intégrant EDR et XDR.

Jour 18 : Quels types de données une solution DLP vise-t-elle généralement à protéger ?

  • Réponse 1 : Uniquement les données personnelles des employés.

  • Réponse 2 : Toutes les données, indépendamment de leur sensibilité.

  • Réponse 3 : Uniquement les données stockées sur des serveurs internes.

  • Réponse 4 : Les données sensibles et confidentielles, telles que les informations financières ou médicales.

Laïus explicatif : Les stratégies et solutions DLP visent généralement à protéger les données sensibles et confidentielles, telles que les informations financières, médicales, ou tout autre type de données qui, si perdues ou compromises, pourraient causer des dommages importants à une organisation.

Jour 17 : D'après Hyperproof, quel est le pourcentage moyen de non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l'entreprise et des clients, observé dans les entreprises du secteur technologique ?

  • Réponse 1 : 10%

  • Réponse 2 : 25%

  • Réponse 3 : 40%

  • Réponse 4 : 55%

Laïus explicatif : Une étude récente menée par Hyperproof (logiciel de gestion de la conformité) parmi les 1029 personnes interrogées a montré que 25% des entreprises technologiques font face à des problèmes de non-conformité chaque année. Elles ont connu au moins une violation de la conformité ou un manquement, comme un non-respect des réglementations en matière de protection des données telles que le RGPD et des faiblesses des mesures de cybersécurité entraînant des vulnérabilités dans la protection des données de l’entreprise et des clients. Cela montre l’importance d’une gestion efficace des risques et de la conformité pour éviter les sanctions et maintenir une bonne réputation. Les entreprises doivent investir dans des formations, des audits réguliers et des technologies de surveillance pour s’assurer qu’elles restent dans les limites des réglementations en vigueur.

Jour 16 : Quelle fonctionnalité d’un serveur proxy permet à un administrateur réseau d’exposer des sites web hébergés sur son réseau à des utilisateurs externes ?

  • Réponse 1 : Proxy de transfert

  • Réponse 2 : Protocole HTTP

  • Réponse 3 : Protocole proxy

  • Réponse 4 : Proxy inverse

Laïus explicatif : Un proxy inverse peut être un serveur ou une application qui se place devant un serveur Web pour intercepter et inspecter les demandes entrantes des clients avant de les transmettre au serveur Web. Ce serveur permet aussi de renvoyer la réponse du serveur au client (par exemple, les navigateurs web).

Les solutions de proxy inverse sont généralement déployées pour améliorer la sécurité, les performances et la fiabilité.

Le protocole HTTP décrit la méthode de communication client/serveur afin d’échanger différentes ressources qui composeront un site Web.

Le protocole proxy décrit la méthode d’encapsulation qui permet de conserver les informations d’origine du client au sein de l’échange TCP « proxifié » entre le client et le serveur Web.

Avec un proxy de transfert, contrairement au Proxy inverse, l’utilité va être de protéger les utilisateurs et non les serveurs Web. Le proxy de transfert va intercepter les requêtes des utilisateurs à destination des serveurs Web afin de bénéficier d’une meilleure confidentialité et de contrôler l’accès à certaines catégories de contenus.

Jour 15 : CTF #3 de l'avent

Voici la solution du CTF #3 de l’avent

  • Flag : CWATCH{02/12/2021_18:50:00}

Jour 14 : Quel principe directeur d’ITIL prend en compte l’importance de la fidélisation des clients ?

  • Réponse 1 : Progresser de manière itérative grâce aux feedbacks
  • Réponse 2 : Commencer là où vous êtes
  • Réponse 3 : Optimiser et automatiser
  • Réponse 4 : Se concentrer sur la valeur

Laïus explicatif : Le principe « privilégier la valeur » implique que toute initiative de l’organisation doit être liée, directement ou indirectement, à la valeur qu’elle dégage pour les parties prenantes. Il englobe plusieurs perspectives, notamment l’expérience des clients et des utilisateurs.

Jour 13 : Qu'est-ce que l'ingénierie sociale dans le contexte de la cybersécurité ?

  • Réponse 1 : Une méthode de construction de logiciels de réseaux sociaux sécurisés
  • Réponse 2 : L’utilisation de technologies dans la sécurité des réseaux sociaux
  • Réponse 3 : Un protocole de sécurité pour les ingénieurs
  • Réponse 4 : Une méthode frauduleuse d’obtention d’informations

Laïus explicatif : L’ingénierie sociale est un processus frauduleux visant à tromper les individus pour obtenir certaines informations personnelles ou confidentielles, voire un accès direct à un système informatique. Il consiste souvent à se faire passer pour quelqu’un d’autre, tout en jouant sur des ressorts psychologiques.

Les attaques d’ingénierie sociale sont courantes et peuvent prendre différentes formes, telles que le phishing, le vol par diversion, le SMiShing (phishing par SMS), le pretexting, l’arnaque sentimentale (honeytrap), le tailgating/piggybacking etc.

Jour 11 : Parmi ces données, lesquelles seraient selon vous les plus attractives pour un cyberattaquant ?

  • Réponse 1 : Des informations de quelques clients (nom, prénom, adresse physique, email, téléphone)

  • Réponse 2 : Une liste d’une vingtaine d’emails professionnels

  • Réponse 3 : Une carte « black » avec adresse du propriétaire et CVV

  • Réponse 4 : Un numéro de carte bancaire

Laïus explicatif : La carte « black » et ses détails sera plus attractive pour un cyberattaquant car ce type de carte appartient généralement à des personnes avec un certain niveau de revenu ou des personnalités publiques. Le cyberattaquant pourra directement frauder ou vendre ces informations à un prix plus élevé qu’un numéro d’une carte bancaire lambda sur le marché noir. Les données à caractère personnel commencent à devenir rentables lorsqu’elles sont nombreuses, récentes, réutilisables et couplées à d’autres types de données (données de santé et données bancaires notamment). La donnée peut servir divers objectifs bien souvent motivés in fine par l’appât du gain :

  1. La fraude financière
  2. Le détournement pour d’autres cyberattaques (campagne de phishing, usurpation d’identité)
  3. La revente à des plateformes de marketing : filon davantage exploitée par les GAFAM

Jour 12 : CTF #2 de l'avent

Voici la solution du CTF #2 de l’avent

  • Flag : CWATCH{JAN_FABRE}

Jour 10 : Parmi ces 4 choix, lequel définit le mieux une Due Diligence IT/Cyber ?

  • Réponse 1 : un audit organisationnel et technique IT/Cyber d’une entreprise en prévision de l’entrée au capital d’un nouvel actionnaire
  • Réponse 2 : un audit organisationnel et technique IT/Cyber d’une entreprise à la suite de l’entrée au capital d’un nouvel actionnaire
  • Réponse 3 : un questionnaire IT/Cyber envoyé à une entreprise dans le cadre d’une opération d’investissement
  • Réponse 4 : un audit de conformité permettant de s’assurer que l’entreprise ciblée répond à ses obligations réglementaires

Laïus explicatif : Une Due Diligence est un audit réalisé dans le cadre d’un projet d’investissement (ex. LBO) concernent généralement des enjeux financiers, juridiques, opérationnels, RSE et IT/Cyber.

Une Due Diligence IT/Cyber est un audit permettant d’éclairer la décision d’investissement, en analysant la posture cyber de l’entreprise, ses pratiques et ses éventuelles vulnérabilités. Elle permet à l’investisseur, un fonds d’investissement par exemple, d’obtenir une appréciation argumentée de la maturité de l’entreprise, et ainsi déterminer les efforts et moyens nécessaires par la suite pour renforcer le niveau de sécurité de l’entreprise.

Almond réalise régulièrement des Due Diligence IT/Cyber pour le secteur du Private Equity, en y associant une évaluation externe automatisée avec la solution Security Rating de Board of Cyber mais également des investigations ciblées type OSINT.

Jour 9 : Quelle est la part de la consommation d'électricité globale imputable aux Datacenters ?

  • Réponse 1 : 0,01%

  • Réponse 2 : 0,1%

  • Réponse 3 : 1,5%

  • Réponse 4 : 10%

Laïus explicatif : La quantité de Datacenters à travers le monde connaît une hausse significative et cette tendance perdure. Malgré les efforts des constructeurs pour réduire et rationaliser leur consommation d’énergie, ces infrastructures sont responsables de 1,5 % de la consommation électrique globale, d’après les données de l’Agence Internationale de l’Énergie (IEA.org).

Jour 8 : Qu'est-ce qu'une "Zero Day" ?

  • Réponse 1 : Une faille informatique déjà corrigée par le fournisseur avant que vous ne le sachiez

  • Réponse 2 : Une vulnérabilité ne disposant pas de solution de mitigation

  • Réponse 3 : Une faille de sécurité qui n’affecte pas les systèmes d’information

  • Réponse 4 : Une vulnérabilité exploitée uniquement le jour de sa découverte

Laïus explicatif : Une « Zero Day » est une vulnérabilité qui n’a pas encore été corrigée ou pour laquelle il n’existe pas de mitigation possible. Potentiellement, des attaquants peuvent déjà avoir connaissance de cette faille et l’exploiter activement : certaines vulnérabilités Zero-Day sont ainsi découvertes par la communauté informatique à la suite d’une attaque qui l’exploite. Les cyber-criminels investissent beaucoup pour découvrir des vulnérabilités avant les chercheurs en sécurité, afin de maximiser les chances de réussite de leurs attaques.

Jour 7 : Selon les nouvelles recommandations de la CNIL, quelle est la meilleure pratique sur la robustesse d'un mot de passe ?

  • Réponse 1 : La longueur

  • Réponse 2 : Une dérivation des mots du dictionnaire (exemple la dérivation du mot Kangourou est k4ng0urOu)

  • Réponse 3 : L’utilisation d’une phrase de passe (7 mots minimum)

  • Réponse 4 : L’utilisation d’une combinaison de 12 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire

Laïus explicatif : Conformément aux récentes directives de la CNIL, l’approche privilégiée pour renforcer la sécurité des mots de passe repose sur une complexité évaluée par l’entropie, plutôt que sur une exigence stricte de longueur minimale. Cette approche vise à accorder une plus grande souplesse dans l’élaboration de politiques de mots de passe, adaptées à divers scénarios d’utilisation. Les trois exemples ci-dessous sont considérés comme équivalents en termes d’entropie, et ils sont tous conformes aux recommandations récentes :

  • Exemple 1 : Les mots de passe doivent comprendre au moins 12 caractères, incluant des majuscules, des minuscules, des chiffres, et des caractères spéciaux choisis parmi une liste d’au moins 37 caractères spéciaux possibles.
  • Exemple 2 : Les mots de passe doivent avoir au moins 14 caractères, incluant des majuscules, des minuscules, et des chiffres, sans obligation d’utiliser des caractères spéciaux.
  • Exemple 3 : Une phrase de passe doit être utilisée, composée d’au moins 7 mots. Cette approche permet aux utilisateurs de choisir des mots de passe répondant à des critères variés, tout en garantissant une sécurité appropriée.

Vous pouvez consulter les recommandations en suivant le lien fourni : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité | CNIL

Jour 6 : Quel sera le principe innovant principal du Wifi7 ?

  • Réponse 1 : L’introduction de la bande de fréquence 6Ghz

  • Réponse 2 : L’utilisation de largeur de bandes allant jusqu’à 640 Mhz

  • Réponse 3 : La possibilité d’utiliser deux bandes de fréquences simultanément

  • Réponse 4 : Aucune mise à jour requise sur les terminaux

Laïus explicatif : Avec le Wifi 7, il sera possible d’utiliser deux bandes de fréquences simultanément, contrairement au Wi-Fi intelligent actuel qui positionne automatiquement les appareils sur la meilleure bande de fréquences. Conséquences de cette agrégation de fréquences : des débits plus rapides et latences encore réduites. Le 6Ghz est déjà introduit depuis le wifi 6E, les largeurs de bandes ne seront « que » de 320 Mhz sur le 6Ghz avec le Wifi7.

Jour 5 : CTF #1 de l'avent

Voici la solution du CTF #1 de l’avent

  •  Flag : CWATCH{C51H79NO13} 

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Laïus explicatif : Le ransomware à triple extorsion est comme son nom l’indique une attaque durant laquelle les cybercriminels menacent de trois façons différentes leur victime.

  1. L’attaquant va demander une rançon à la victime pour qu’il puisse récupérer/déchiffrer ses données
  2. L’attaquant va demander une rançon pour ne pas publier / divulguer les données exfiltrées, il peut aussi demander une rançon pour un délai supplémentaire avant divulgation (retarder le compte à rebours)
  3. L’attaquant va mettre la pression à la victime pour augmenter les chances de paiement de la rançon via des attaques de type DDoS ou des appels téléphoniques, enfin il peut aussi demander des rançons aux victimes collatérales, dont les données auraient fuité indirectement dans l’attaque

Ce type d’attaque permet aux attaquants de maximiser le gain financier pour chaque victime, le ransomware étant déjà l’une des attaques les plus lucratives, il convient d’anticiper ce scénario et de s’en protéger convenablement.

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou « Distributed Denial of Service » est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/