Club de la Sécurité de l’Information Régional clusirlr Gilles LUCATO Transferts LR

1. Club de la Sécurité de l’Information Régional www.clusirlr.info Gilles LUCATO Transferts LR Nov 2008 – UM3

2. Plan Sécurité Des Systèmes d’Informations • Le constat alarmant • Des exemples réels • Que faut-il protéger? • De quoi? • Comment? Nov 2008 – UM3

3. Constat FBI CSI 2007 In total, 194 responses yielded losses of $66,930,950, up from $52,494,290 (for 313 respondents) in 2006. Nov 2008 – UM3

4. Constat FBI CSI 2007 The response indicates that respondents who detected incidents tended to detect more of them than in past years, with the number who detected more than 10 incidents jumping from 9 to 26 percent. Nov 2008 – UM3

5. Attaques Nov 2008 – UM3

6. Attaques Nov 2008 – UM3

7. Affaire Dupont Nov 2008 – UM3

8. Affaire Dupont Nov 2008 – UM3

9. Affaire Duracell Nov 2008 – UM3

10. Site piégé Nov 2008 – UM3

11. Failles industrielles Nov 2008 – UM3

12. Constat CLUSIF édition 2006 Nov 2008 – UM3

13. Constat CLUSIF édition 2006 Nov 2008 – UM3

14. Constat CLUSIF édition 2006 Nov 2008 – UM3

15. Constat CLUSIF édition 2006 Nov 2008 – UM3

16. Constat CLUSIF édition 2006 Nov 2008 – UM3

17. Constat CLUSIF édition 2006 Nov 2008 – UM3

18. Constat CLUSIF édition 2006 Nov 2008 – UM3

19. Exemple 1 • Carte Bleue Banque Nov 2008 – UM3

20. Exemple 2 • Carte Bleue Essence Nov 2008 – UM3

21. Exemple 3 • Carte Bleue Vol Nov 2008 – UM3

22. Que faut-il protéger? • Bâtiments • Accès • Alimentation électrique • Téléphonie / Internet • Personnes • Sensibilisation, charte, formation • Matériels • Accès aux serveurs, PCs, … • Accès aux routers, firewalls, … • Accès aux outils de sauvegardes • Logiciels • Copies de sauvegardes • Données • Noires • Grises • Blanches Nov 2008 – UM3

23. Protéger ses données • Noires • Comptabilité : affaire Airbus • Commandes/BL : affaire Edi par le Web • Secrets de fabrications • Mots de passe • Paramétrage des routers et firewalls • Comptes web, mail, ftp, mysql, … • Grises • Liste des clients • Liste des fournisseurs • Gammes de tarifs • Bons de commandes, factures, … • Carnets d’adresses et emails échangés • Blanches • Site web • Documents commerciaux Nov 2008 – UM3

24. Se protéger de quoi? • Attaques internes • Pannes • Sabotages, chantage • Divulgations, vols • Attaques externes • Social enginering • Intrusions • Virus / Espions • Spam • Hackers • Clients / fournisseurs Nov 2008 – UM3

25. Se protéger, comment? • Aspects juridiques • Loi Informatique et Liberté 78, Art 226-17 à 24 • Loi Godfrain 88, Art 323-1 à 7 • Aspects humains • Sensibilisation • Formation • Aspects techniques • Accès • Anti vol • Informatique (sauvegardes, anti virus, anti espions, anti spam, …) Nov 2008 – UM3

26. Aspects juridiques • Loi Informatique et Liberté 78 • http://www.commentcamarche.net/droits/loi78-17.php3 • Code pénal Art 226-16 à 24 • http://www.cnil.fr/index.php?id=303 • Art. 226-17 • Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures de sécurité adéquates est puni de cinq ans d'emprisonnement et de 300.000 € d'amende. Nov 2008 – UM3

27. Aspects juridiques • Loi Godfrain 88 • http://www.commentcamarche.net/droits/loi-godfrain.php3 • Code pénal Art 323-1 à 7 • http://lexinter.net/Legislation2/atteintesinformatiques.htm • Art. 323-2 • Le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 300.000 F d'amende. Nov 2008 – UM3

28. Aspects humains • Politique de Sécurité • Que protège-t-on et comment • Système d’évaluation • Le RSSI • Le Monsieur Sécurité • Charte des employés • Plan de Reprise d’Activité • Audit de sécurité Affiche Sensibilisation Clusir-LR Nov 2008 – UM3

29. Aspects techniques informatiques • Mots de passe • outil • Sauvegardes • À distance, référentiel AFAQ • Cryptage • Compta • Mail confidentiel • Signature électronique • Tous les mails • Documents contractuels • Anti virus • Anti espions • Anti intrusions • Anti spam Cédérom Sécurité Clusir-LR http://poletiim.nerim.net Nov 2008 – UM3

30. Outils gratuits • Mots de passe • KeyPass en français • http://keepass.sourceforge.net/ • Sauvegardes • SyncBack en français • http://www.2brightsparks.com/syncback/syncback-hub.html • CDBurnerXPPro en français • http://www.cdburnerxp.se/ • Cryptage • TrueCrypt en anglais • http://www.truecrypt.org/ • WinPT en français • http://winpt.sourceforge.net/ Nov 2008 – UM3

31. Anti virus • Obligation • Mise à jour quotidienne • Difficultés • Que fait-on quand il y a un virus? • Quarantaine • Supprimer • Nettoyer • … • Les virus arrivent par mail ET web • Il y a des antivirus gratuits efficaces (en anglais) Nov 2008 – UM3

32. Anti espions • Obligation • Mise à jour mensuelle, pour l’instant • Difficultés • Aucune : toujours nettoyer • Les espions arrivent par le web • Il y a des anti espions gratuits efficaces en français Nov 2008 – UM3

33. Anti intrusions (firewall) • Obligation • Mise à jour : aucune • Difficultés • Règles de comportement • Liste rouge : bloqués • Liste orange : sous certaines conditions • Liste verte : autorisés • Station locale et port local (localhost, 127.0.0.1) • Serveur distant et port distant (80, 25, 110) • Netbios • Les « pirates » utilisent des outils automatisés • Il y a des anti intrusions gratuits efficaces (en anglais) Nov 2008 – UM3

34. Anti spam • Obligation • Mise à jour : aucune • Difficultés • Règles de comportement • Liste rouge : bloqués • Liste orange : sous certaines conditions • Liste verte : autorisés • Type : POP, Proxy • A qui sert le spam? • Il y a des anti spam gratuits efficaces en français Nov 2008 – UM3

35. Démo de Clé sécurisée • Navigateur sécurisé • Mots de passe • FTP • Mail • Agenda/contacts • PDF • Images • Nettoyeurs … Nov 2008 – UM3