YT YouTube2Text

YouTube2Text → Transcripts → 01b - Introduction à la sécurité

01b - Introduction à la sécurité — Transcript

by CNAM RSX112 · 6,450 words · 1,128 segments · language en · Watch on YouTube

Open in transcriber Summarize with AI Download SRT/VTT

Full transcript

0:00évoquons maintenant brièvement le droit
0:03du numérique des nouvelles technologies
0:05comme on l'appelle désormais
0:08commençons par évoquer la hiérarchie des
0:10normes en france ce qu'on appelle la
0:12pyramide de hans kelsen c'est un schéma
0:15qui est tirée du site vie publique.fr
0:19donc dans tout et à tout l'état où toute
0:22nation il ya le bloc constitutionnel ou
0:25la loi fondamentale qui constituent le
0:29socle de base qui en fête organise les
0:3310 les différentes couches additionnel
0:36donc en france le bloc de
0:39constitutionnalité comprend la
0:40constitution de 1958 fonds dont la vème
0:43république le préambule de la
0:45constitution de 1946 la déclaration des
0:48droits de l'homme de 1789 et la charte
0:51de l'environnement
0:52et donc c'est là évidemment
0:55principalement la constitution de la
0:57vème république qui documentent via les
1:00articles 55 34 35 38 les couches
1:04successives dont on va parler maintenant
1:07donc la couche suivante c'est le blog
1:08conventionnelle à savoir les traités
1:10internationaux les conventions
1:12internationales le droit européen et la
1:15raison pour laquelle les traités
1:17internationaux en préemptant et remplace
1:19les lois locales ce clapet les lois
1:21internes de l'état c'est à cause de
1:23l'article 55 de la constitution
1:25française qui dit que les traités ou
1:27accords régulièrement ratifiés ou
1:29approuvés ont dès leur publication une
1:31autorité supérieure à celle des lois
1:33sous réserve pour chaque accord ou
1:35traité de son application par l'autre
1:36partie donc c'est ce qui fait c'est le
1:39mécanisme qui fait que les traités
1:40internationaux ou que le droit européen
1:42préempte à priorités et remplace le
1:45droit interne les lois françaises votez
1:48localement en france
1:51ensuite on trouve le bloc législatif les
1:54lois organiques les lois ordinaires les
1:56ordonnances ce c'est en fait tout ce qui
1:58tous que ce qui est décrit dans
2:00l'article 34 de la constitution
2:01française qui indique que quels sont les
2:05éléments qui nécessite une loi au
2:08contraire pour tous ceux qui ne
2:10nécessite pas le vote d'une loi
2:12peut être réglée par des règlements
2:14autonome c'est l'article 37 de la
2:16constitution française donc quand une
2:18loi n'est pas nécessaire ça peut être
2:20réglée par un règlement indépendant et
2:22enfin il ya également les ambulances
2:24l'article 38
2:25voilà ce qu'on appelle le blog
2:27législatif ensuite on a les principes
2:29généraux du droit et après on a le bloc
2:31réglementaires qui sont les décrets
2:33d'application des lois les arrêtés
2:35ministériels
2:36les arrêtés préfectoraux et municipaux
2:43petit rappel de la terminologie
2:45juridique ce qu'on appelle un code en
2:48france comparé le code du travail ou le
2:50code civil ou le code pénal c'est un
2:52recueil de lois règlements et arrêtés
2:54qui sont réunis de manière cohérente et
2:56logique concernant une branche
2:58déterminée du droit et qui ont fait
2:59l'objet d'un vote par le parlement
3:00l'assemblée nationale et le sénat ou qui
3:03ont été qualifiés qui ont été réunis
3:05dans un code par décret
3:07ce qui réellement voté par le parlement
3:10ce sont les lois donc les lois c'est le
3:13texte voté par le parlement puis
3:15promulguée par le président de la
3:16république et publiée au journal
3:17officiel de la république française
3:19ce texte est dit une élite une règle qui
3:22s'applique à l'ensemble de la population
3:24et dont le non respect est sanctionné
3:26par les tribunaux
3:30ensuite on trouve les décrets notamment
3:32les décrets autonome c'est tout ce qui
3:34va réglementer
3:36ce qui les choses pour laquelle une loi
3:40n'est pas nécessaire n'est pas
3:42obligatoire conformément à la
3:43constitution française
3:45donc un des crises et un texte
3:47réglementaire signé du président de la
3:49république ou du premier ministre
3:51enfin il ya également les décrets
3:52d'application des lois en france la
3:55plupart des lois adoptées par le
3:56législateur et promulguée par le
3:58président de la république et publiée au
3:59journal officiel comporte disposition
4:01renvoyant à des décrets d'application
4:03qui vont en préciser les modalités
4:10un arrêté est une décision exécutoire à
4:13portée générale ou individuels émanant
4:15d'un ou plusieurs ministres arrêtés
4:17ministériels ou interministériel ou
4:19d'autres autorités administratives
4:21arrêté préfectoral municipale etc
4:24et une circulaire c'est une instruction
4:26écrite adressée par la direction d'une
4:28administration à l'ensemble des agents
4:29placés sous son autorité la circulaire
4:32est destiné à guider l'action des agents
4:33quant à l'application des lois et des
4:35règlements
4:38enfin tout ce qui n'est pas codifiée par
4:40des lois ou des règlements est complété
4:43par la jurisprudence la jurisprudence
4:45c'est l'ensemble des arrêts et des
4:47jugements rendus par les cours et les
4:48tribunaux pour une situation juridique
4:49donnée c'est l'habitude de juger des
4:52tribunaux qui bien que dépourvu de tout
4:54pouvoir normatif constitué en pratique
4:56une autre source du droit mais
4:58l'habitude n'exclut pas en revirements
5:00jurisprudence autrement dit un tournant
5:02dans l'interprétation d'un point du
5:03droit principalement par les
5:05juridictions suprêmes la cour de
5:07cassation et le conseil d'état pour les
5:10juridictions administratives
5:16les technologies de l'information et de
5:19la communication sont l'ensemble des
5:21technologies permettant de traiter des
5:22informations numériques et de les
5:24transmettre en anglais on appelle ça un
5:26sit in information and communication
5:28technology donc ce sont des technologies
5:31qui traite de l'informatique des
5:33télécoms de l'internet et du multimédia
5:35audio et vidéo le législateur français
5:38les normes communications électroniques
5:40mais on parle désormais de droit du
5:43numérique
5:46le droit du numérique en france est un
5:49droitier non codifié en contrairement au
5:51code du travail au code civil ou au code
5:53pénal il n'y a pas un code numérique et
5:57donc pour tout ce qui est législation du
5:59numérique il va falloir les fouiller
6:00dans tous les autres codes pour aller
6:03extraire les partis qui concerne
6:05effectivement le numérique et les
6:06nouvelles technologies donc c'est un
6:08droit complexe du cookie puisqu'il n'est
6:11pas qualifié il est situé au carrefour
6:13des autres droits par exemple il ya une
6:15partie qui relèvent du code pénal pour
6:17les infractions relatives à la
6:18protection des systèmes d'information
6:19régie par les articles 323-1 et suivants
6:23du code pénal et également par
6:27l'article 226 tiré 16 et suivants du
6:30code pénal pour les infractions
6:31relatives à la protection des données
6:33personnelles
6:34au niveau du code civil on va trouver le
6:37droit des obligations et le droit des
6:39contrats en particulier les contrats
6:40conclus par voie électronique et le
6:43droit de la preuve signature et
6:46archivage électronique
6:49dans le code du travail on va trouver
6:52les aspects juridiques de l'introduction
6:54de nouvelles technologies en entreprise
6:55et de la cybersurveillance des salariés
6:58dans le code de la propriété
7:00intellectuelle on va trouver le droit
7:02concernant la protection des logiciels
7:04des bases de données et des oeuvres
7:06numériques
7:08enfin il ya le code des postes et des
7:10communications électroniques pour tout
7:12ce qui est opérateurs télécoms
7:14fournisseurs d'accès internet etc et
7:17également le code de la défense pour ce
7:19qui concerne les opérateurs d'importance
7:21vitale les olives et dont on parlera
7:23tout à l'heure
7:28les technologies un numérique évolue
7:31très rapidement et donc le droit à du
7:33mal à suivre les évolutions des
7:35technologies les juristes considèrent
7:37généralement que les meilleures règles
7:39de droit sont celles qui sont
7:40intemporels est le parfait exemple c'est
7:43le code civil de napoléon d'une finale
7:45de 18 sont quatre et que la france a à
7:48donner un ensemble d'autres pays un pays
7:50comme la belgique et c'est là où le pays
7:53africains et dans lequel il est resté
7:55quasiment inchangé est identique au code
7:58civil français depuis
8:00les numériques en fait évolué
8:04extrêmement rapidement et donc les
8:05juristes ont du mal à suivre les
8:07évolutions et donc c'est la raison pour
8:09laquelle tout ce qui est les droits du
8:10numérique les lacunes sont compensées
8:13par une très forte construction
8:14jurisprudentielle en particulier sur
8:17tout ce qui concerne le droit de la
8:19contrefaçon de la diffamation sur les
8:20réseaux sociaux de l'e-réputation da
8:23cybercriminalité hameçonnage usurpation
8:26d'identité et les abus de données
8:27personnelles
8:31alors voici une liste non exhaustive de
8:34de quelques lois qui notamment aux
8:37technologies de l'information et de la
8:39communication au droit du numérique en
8:42général ce sont les lois sécuritaires
8:44ou ou télécoms en fait qui impacte le
8:48droit du numérique donc de nombreuses
8:51lois notamment les lois antiterroristes
8:54autant il y avoir une nouvelle loi
8:56chaque année
8:57au cours des dernières années donc je ne
9:00sais pas tout citer je n'hésitais pas
9:02mal déjà trois planches ce qui est déjà
9:03pas mal pour ce support de court mais
9:05encore une fois c'est une liste non
9:06exhaustive et qui évolue très vite à
9:08chaque fois qu'une nouvelle loi
9:09sécuritaire ou anti terroriste et voter
9:12en tout cas la première la toute
9:14première loi la plus connue pour les
9:16numériques c'est évidemment la loi
9:18godfrain de 1988 qui est relative à la
9:21fraude informatique et qui a introduit
9:23dans le code pénal les atteintes aux
9:25systèmes de traitement automatisé de
9:27données
9:28donc c'est ça qui est puni le piratage
9:31en france
9:34ensuite on trouve la loi du 1er août
9:362000 relative à la liberté de
9:39communication
9:40la loi du 21 juin 2004 pour la confiance
9:43dans l'économie numérique la lcn qui a
9:47été modifiée en 2011 2014 2015 2016 et
9:50c'est
9:53une autre loi importante pour le droit
9:56du numérique c'est la loi des atv ainsi
9:58loi de 2006 relative aux droits d'auteur
10:01droits voisins dans la société de
10:03l'information
10:05en 2009 on trouve la loi hadopi 2
10:08relative à la protection pénale de la
10:10propriété littéraire et artistique sur
10:11internet
10:12en 2011 la loppsi 2 la loi d'orientation
10:16et de programmation pour la performance
10:18de la sécurité intérieure
10:21au niveau des olives et ça c'est régi
10:24par le code de la défense et donc les
10:26lois de programmation militaire la loi
10:29qui couvre la période 2014 2019 et
10:31maintenant 2019 à 2025
10:35en 2014 il ya une nouvelle loi
10:38renforçant les dispositions relatives à
10:40la lutte contre le terrorisme
10:42en 2015 la loi renseignements en 2016 la
10:47loi renforçant la lutte contre le crime
10:48organisé au rythme et leur financement
10:50et améliorant l'efficacité et les
10:52garanties de la procédure pénale
10:54enfin il ya la loi 2016 pour une
10:57république numérique etc
10:59la liste n'est pas exhaustive
11:04le législateur français répartis les les
11:08acteurs numériques en trois catégories
11:11les opérateurs de communications
11:13électroniques a failli les fournisseurs
11:15de services de boîtes aux lettres et
11:16cetera les hébergeurs et les éditeurs
11:19sachant que ces trois catégories ne sont
11:21pas incompatibles quelqu'un peut très
11:23bien être à la fois opérateurs de
11:25communications électroniques et
11:26hébergeurs est aussi éditeur
11:29alors commençons par les opérateurs de
11:31communications électroniques
11:32ces derniers sont définies par l'article
11:34l 42 du code des postes et des
11:36communications électroniques
11:39c'est toute personne physique ou morale
11:40exploitant un réseau de communications
11:42électroniques ouverts au public ou
11:45fournissant au public un service de
11:47communications électroniques
11:49ces opérateurs sont exonérés de
11:51responsabilité civile et pénale parle à
11:53lcn la loi pour la confiance dans
11:55l'économie numérique notre viennent
11:57parler tant qu'il reste transparent
11:59vis-à-vis des contenus acheminer c'est à
12:00dire qu'il ne cherche pas à les modérés
12:02allez allez modifier etc
12:05mais ils doivent conserver les traces
12:07les log pour identifier leurs
12:09utilisateurs sur réquisition judiciaire
12:142e série d'acteurs les hébergeurs les
12:18hébergeurs sont définies par l'article 6
12:191 2 de la lcr
12:22ce sont les personnes physiques ou
12:23morales qui assurent même à titre
12:25gratuit pour mise à disposition du
12:27public par des services de communication
12:29au public en ligne le stockage des
12:31signaux d'écrits d'image de sons ou de
12:34messages de toute nature fournis par des
12:36destinataires de ces services les
12:39hébergeurs n'ont pas de responsabilité
12:40sur les contenus mais ils doivent
12:43intervenir promptement lorsqu on leur
12:44signale des contenus licites comme par
12:47exemple racistes révisionnistes et c'est
12:51pédopornographiques et autres faisant
12:53l'apologie du terrorisme
12:56enfin troisième catégorie les éditeurs
12:59sne catégorie qui est définie par la
13:01jurisprudence en particulier du tribunal
13:03de grande instance de paris le 3 juin
13:042008 la personne qui détermine les
13:07contenus qui doivent être mis à la
13:09disposition du public sur le site qu'il
13:11a créé ou dont il a la charge les
13:14éditeurs sont responsables des contenus
13:15publiés dans tous les cas prévus par les
13:17lois sur la presse notamment en cas
13:19d'injures de diffamation d'atteinte à la
13:21vie privée de provocation à la haine
13:23raciale etc ils peuvent voir leur
13:25responsabilité engagée s'ils ont mis en
13:27place un système de modération a priori
13:29des commentaires par exemple des
13:31contributions sauf s'ils sont capables
13:33d'identifier l'auteur d'un message
13:40parlons maintenant de l'obliqué on de
13:42conservation des traces autrement dit
13:44des log en anglais
13:46l'article 6.2 de la mgen
13:49guy que les opérateurs et les hébergeurs
13:51des quillanais conservent les données de
13:53nature à permettre l'identification
13:55de quiconque a contribué à la création
13:58du contenu ou de l'un des contenus des
14:00services dont elles sont prestataires
14:03la durée de rétention des log ou des
14:06traces étaient de 3 mois et elle a été
14:09passée à un an elle était montée à un an
14:12si nous sommes bien par la loi sarkozy
14:14de sécurité quotidienne est donc
14:17désormais c'est codifiée par l'article r
14:1910-13 du code des postes et des
14:22communications électroniques qui dit que
14:24la durée de conservation de données
14:25mentionnées au présent article et
14:27donnant à compter du jour de leur
14:29enregistrement
14:34focalisons-nous désormais sur la
14:36problématique de sécurité du point de
14:38vue des entreprises
14:43il y a trente ans un système
14:45informatique n'avait que quelques
14:46dizaines d'utilisateurs les programmes
14:49exécutés été développé en interne nous
14:50promener de quelques éditeurs clairement
14:52identifier les données étaient échangés
14:55par support magnétique entre locuteurs
14:57connu et les serveurs étaient enfermés
14:59dans des centres de calcul des
15:00datacenter accès contrôlé sécurité
15:02physique y avait déjà très très peu de
15:04personnes qui pouvaient approcher du des
15:08ordinateurs dans des des mainframe etc
15:11et en plus pour pouvoir s'y connecter il
15:13fallait avoir accès à une console les
15:15consoles étant elle même enfermée dans
15:17les deux center
15:21selon les chiffres de l'union
15:23internationale des télécommunications
15:24fin 2019 il y aurait environ 54% de la
15:29population mondiale qui aurait accès à
15:30internet soit environ 4 milliards de
15:34personnes sur cinq sets sur terre
15:4054 100 de la planète pour être plus
15:43précis environ 87% dans les pays
15:46développés et 47 % dans les pays en voie
15:50de développement
15:52donc à l'heure actuelle la connectivité
15:55universelle en réseau a considérablement
15:57compliqué la sécurité des systèmes
15:59informatiques
16:0054% de la population mondiale serait sur
16:03internet en 2019 d'après l'union
16:05internationale des télécommunications
16:07soit environ 4 milliards de personnes
16:09sur 7 milliards l'information du coût
16:13est partagé avec n'importe qui et du
16:16code malveillant peut s'exécuter sur
16:17votre ordinateur sans même que vous en
16:19rendiez compte il suffit de visiter une
16:21page web et ça peut suffire à déclencher
16:23l'exécution de code sur votre machine du
16:26code javascript incrustant une page web
16:28parfois du code java des modules des
16:31plugins comme flash
16:33acrobat etc des contrôles activex et c
16:37est donc une architecture de sécurité
16:39qui qui fait réfléchir le simple fait de
16:42visiter un site web on pourrait penser
16:44qu on visite une sorte de vitrine
16:45marketing de telle ou telle marque mais
16:48en fait ça déclenche l'exécution
16:50potentiellement de code sur votre
16:51machine et quand on exécute du code si
16:54un trou de sécurité un navigateur web
16:55potentiellement on peut prendre le
16:57contrôle du navigateur web et à travers
16:59un navigateur web potentiellement de
17:01votre compte utilisateur voire même de
17:03la machine
17:06le fait que tout le monde soit connecté
17:08en réseau et même avec des réseaux haut
17:10débit pour la plupart voire très haut
17:11débit fait que la propagation de
17:14l'infection peut se faire
17:15automatiquement un travail en réseau et
17:17les chercheurs qui ont modélisé le fait
17:18que à l'heure actuelle un virus
17:21informatique ce qu'on appellera on verra
17:23tout à l'heure une faille zero day
17:24pourrait potentiellement infectées
17:26quasiment toute la planète en une heure
17:28potentiellement du fait de la
17:30connectivité à très haut débit et le
17:33problème est exacerbé par le
17:35développement de la mobilité le fait que
17:37tout le monde dispose d'un ordinateur
17:38portable mais aussi d'un smartphone
17:40d'une tablette etc et donc ces objets
17:44peuvent se connecter à des réseaux
17:46peuvent être affectés mais aussi peuvent
17:47être perdus ou volés et soumis à des
17:50attaques physiques
17:51et en fait dans certains cas dans
17:53certains modèles de ses curité par
17:55exemple dans le cas des drm des mesures
17:57techniques de protection appelé
17:58également système de gestion des droits
17:59numériques vos propres utilisateurs et
18:02leurs machines peuvent constituer un
18:03environnement hostile dans le cas d'un
18:06utilisateur qui télécharge un contenu
18:07qui est protégé par un système de drm de
18:10gestion des droits numériques c'est
18:12parfois l'utilisateur qui qui veut
18:14attaquer le système de gestion de droits
18:16pour contourner les limitations qui lui
18:19sont imposées comme le fait de disposer
18:21par exemple d'un film que pendant une
18:23durée limitée ou sur un nombre
18:24d'appareils des mythes et
18:27qu'en conséquence on observe le
18:30développement de codes malveillants qui
18:32peuvent se propager soit en exploitant
18:33le débordement de tampon et peuvent
18:35faire aux bars ou dans des langages
18:36comme le sait par exemple un petit
18:39peuvent être renvoyés comme pièces
18:41jointes à des e-mails vers des cibles
18:43est également qui peuvent servir à
18:46piéger des pages web en insérant du code
18:49javascript qui va déclencher une telle
18:50faille de sécurité dans votre navigateur
18:51web c'est ce qu'on appelle la technique
18:54du water in gold donc du point d'eau
18:57dont on parlera d'ailleurs les objectifs
19:01à l'origine était le vandalisme
19:03informatique mais on verra qu'à l'époque
19:04moderne se sont vraiment le plus souvent
19:07des attaques ciblées sur les organismes
19:09spécifiques on verra l'archétype qui est
19:12le ver stuxnet de 2010 qui avaient un
19:16objectif bien précis à savoir ralentir
19:19le programme eau et saboter le programme
19:21nucléaire iranien
19:25en sécurité informatique les dégâts
19:28réels sont difficiles à estimer
19:30si on compare avec le transport aérien
19:32dans le transport aérien il y à un
19:34processus bien établie de réponse à tout
19:37incident de sécurité dans le cadre du
19:39crash de l'appareil il ya
19:41automatiquement le déclenchement d'une
19:42enquête publique ont fait intervenir
19:44présente le bureau enquête accident
19:46le constructeur de l'appareil ainsi que
19:50la compagnie d'aviation on en déduit
19:52quelles sont les causes de l'incident et
19:54on fait des préconisations
19:55de façon à ce qu'ils aient un retour
19:57d'expérience par exemple si c'était un
19:59problème duo aux sondes pitot fourni par
20:02thales qui ont gelé et donc qu'ils ont
20:03fourni des informations erronées à
20:05l'ordinateur de bord
20:07du coup les compagnies aériennes ont
20:08indigné par exemple six mois pour
20:10procéder au remplacement de toutes ses
20:11sondes sur leurs flottes et si jamais
20:14elles ne le font pas la sanction à terme
20:17ça peut être une interdiction de
20:19survoler le territoire national donc un
20:22mécanisme extrêmement bien rodée qui a
20:24eu des résultats spectaculaires si on
20:27regarde par exemple 2017 a été l'année
20:30la plus sûre pour le trafic aérien
20:32commercial civil mondial puisqu'il n'y a
20:35eu aucun mort cette année là sur la
20:37planète au contraire si on contraste ça
20:41avec la sécurité informatique en
20:43sécurité informatique la plupart des
20:45incidents de sécurité ne sont jamais
20:47divulgué parce que les entreprises qui
20:50en sont victimes ont peur de l'atteinte
20:52à leur réputation en particulier pour
20:55les entreprises dont la réputation dont
20:58le business model est centrée sur la
21:01confiance qu'ont les utilisateurs par
21:03exemple les banques
21:04donc les gens son client d'une banque
21:07tant qu évidemment ils ont confiance
21:09dans la capacité d'une banque à protéger
21:11leur argent si jamais le moindre doute
21:13s'installe et donc se doutent peut être
21:16notamment la conséquence d'un stand
21:18sécurité informatique majeur évidemment
21:20tout le monde va se précipiter pour
21:21retirer son argent et donc du coup la
21:24banque va faire faillite a
21:24potentiellement puisque évidemment elle
21:26ne dispose dans ses caisses qu'une
21:28dizaine de pourcents de l'argent qui est
21:29déposé chez elle voilà donc il ya des
21:31métiers dans la dombes vraiment le
21:33business est basée sur la confiance et
21:36donc c'est la raison pour laquelle les
21:38entreprises même d'imprévus évitez les
21:40atteintes à la réputation ont tout
21:42intérêt à
21:43étouffer les incidents de sécurité dont
21:46elles pourraient être victimes
21:48au contraire ceux qui parlent à des
21:52incidents de sécurité sont les éditeurs
21:54des solutions de sécurité les vendeurs
21:57de solutions ainsi que les experts aient
21:59eu par contre ont tout intérêt à en
22:01exagérer les coûts puisque leur coeur de
22:03métier c'est de vendre des solutions et
22:06évidemment pour revendre des solutions
22:08aux entreprises il faut toujours appuyé
22:09là où ça fait mal
22:14du point de vue de la publication
22:17les incidents de sécurité la situation
22:18est en train de changer grâce aux arrhes
22:20jpd depuis mai 2018 donc le règlement
22:24général sur la protection des données
22:26donc il s'agit d'un règlement européen
22:28c'est-à-dire d'une loi qui s'applique
22:30tel quel uniformément dans les 27 états
22:33membres et qui remplace eu toute
22:35législation qui pourraient exister
22:36localement dans le dans chacun des pays
22:39membres de l'union européenne 1
22:41contrairement à une directive qui doit
22:42être transcrites dans le droit interne
22:44de chaque pays membre le règlement c'est
22:47une loi européenne
22:48voilà donc le fait que ça remplace les
22:52lois préexistantes locale c'est en fait
22:55ce qu'on appelle la hiérarchie des
22:57normes c'est l'article 55 de la
22:59constitution française qui dit que les
23:01traités ou accords internationaux
23:02régulièrement ratifiés ont dès leur
23:05publication une autorité supérieure à
23:06celle des lois internes et donc que dit
23:10le rgp dès le règlement général de la
23:12protection des données il dit dans son
23:13article 33 que les entreprises et les
23:16organismes doivent notifier l'autorité
23:18nationale de protection donc la cnil en
23:21france en cas de violation grave de
23:24données afin que les utilisateurs
23:25impactés puissent prendre les mesures
23:27appropriées et si les entreprises ne le
23:30font pas les sanctions peuvent atteindre
23:324% du chiffre d'affaires annuel mondial
23:34ce qui est considérable on parle pas ici
23:36du bénéfice on parle du chiffre
23:38d'affaires et en plus du chiffre
23:40d'affaires mondial
23:43quels sont les enjeux économiques de la
23:46sécurité informatique
23:48même si les entreprises se plaignent de
23:5040 sécuritaire elle ne semble pas
23:52disposer à allouer des budgets
23:53spécifiques pour la sécurité à renoncer
23:55à des fonctionnalités dans leurs
23:57produits ou à déployer des mesures
23:58contraignantes pour améliorer la
24:00sécurité donc ceci sous entendrait que
24:02les pertes occasionnées par les
24:04incidents de sécurité ne serait pas
24:06suffisamment significative
24:10face à l'augmentation des menaces dans
24:12les entreprises les mesures déployées se
24:14limite souvent à installer les
24:16correctifs de sécurité déjà cime d'un
24:18style correctifs de sécurité
24:19régulièrement par exemple une fois par
24:20mois c'est déjà pas mal puisque les
24:23entreprises qui le font pas donc
24:25installer les coins intimes de sécurité
24:26le patching
24:28le système
24:29avoir un antivirus notamment sur les
24:31plateformes windows est également avoir
24:34des failles roland n'est parfait et on
24:36s'aperçoit que ces deux derniers
24:37produits de sécurité antivirus et les
24:39pare feux sont quasiment les seuls à
24:41connaître un succès commercial peut-être
24:43parce qu'ils sont conçus pour minimiser
24:44la configuration initiale requises et
24:47les interférences avec des activités
24:48l'utilisateur
24:52en pratique les systèmes de sécurité
24:55sont complexes donc rarement parfait le
24:59risque étant souvent faible les
25:00entreprises préfèrent investir dans les
25:02fonctionnalités puisque dans un système
25:04sur les fonctionnalités doivent être
25:06implémenté correctement ce qui rallonge
25:08la durée de développement
25:09et les contraintes sécuritaires sont
25:12pénibles pour tout le monde pour les
25:13développeurs et pour les utilisateurs le
25:15fait qu'il faille s'authentifier
25:16quelquefois avec une authentification
25:18forte multi-facteurs et donc du coup ça
25:21rajoute des contraintes qui sont souvent
25:23on va dire mal vécue
25:25par les utilisateurs en entreprise
25:30dans une entreprise on peut typiquement
25:32avoir 90 ou 95 % des postes de travail
25:35qui sont sous hypnose il ya peut-être 5%
25:38de mac pour les graphistes mais ce très
25:42souvent l'immense majorité des gens
25:43travaillent sous windows est donc le
25:45problème quand on perd mais confrontés
25:46c'est que s'il ya une faille de sécurité
25:48dans windows évidemment il ya 90 ou 95 %
25:51du parc informatique est potentiellement
25:52vulnérables donc on peut se demander si
25:54ça ne magnifie pas les dégâts
25:58donc est ce qu'ils voudraient pas mieux
26:00avoir uniquement 30% de windows de 30%
26:04de mac 30% de linux ou et puis d'autres
26:08d'autres choses peut-être d'android ou
26:09etc mais il faut bien voir que si on a
26:13plusieurs systèmes d'exploitation
26:13différents qu'ils acceptent tous au même
26:16système d'information le pirate a
26:18uniquement besoin de trouver une faille
26:20dans l'un des systèmes d'exploitation
26:22pour pouvoir infiltrer le système
26:24d'information donc finalement on ne
26:27gagne pas de grand chose introduire de
26:29la diversité dans les systèmes et les
26:32matériels et logiciels à hétérogènes
26:34puisqu'en fait on multiplie le nombre de
26:37systèmes qui va falloir patcher d'été
26:39etc et on multiplie potentiellement
26:41également les or en conclusion il n'ya
26:43pas vraiment de solution universelle
26:46et il faut voir également que dans les
26:49entreprises qui autorise les employés à
26:51brancher leur propre appareil sur le
26:52réseau interne par exemple leur
26:54smartphone ou leur tablette etc dans ce
26:57cas là on se retrouve sur le réseau
26:59interne avec des appareils dans la
27:00sécurité n'est pas managée par
27:02l'entreprise et qui sont pas forcément
27:04un jour des correctifs de sécurité par
27:06exemple si vous avez un vieux
27:06smartphones
27:08qui fait tourner une version d'android
27:10parce qu'il n'est pas agréable
27:12vous avez vous retrouvé avec des
27:14équipements qui sont pas à jour des
27:15correctifs de sécurité et donc ils
27:17peuvent avoir également des
27:18vulnérabilités additionnel
27:22évoquons maintenant les normes et les
27:25réglementations auxquelles sont soumises
27:26certaines entreprises avec notamment les
27:29exigences de conformité qui en découlent
27:34on a déjà évoqué le règlement général
27:36sur la protection des données
27:38ce règlement stipule dans son article 25
27:42que les organisations qui traite un des
27:44données personnelles des données
27:46personnellement identifiables sur les
27:48individus doivent intégrer des exigences
27:51de protection dès la conception de leurs
27:53produits services et systèmes et donc du
27:56coup comme elle stocke des données
27:58personnelles elles doivent disposer d'un
28:00système d'information sécurisé pour
28:02éviter les fuites ou ce que ce que le
28:04rgp des appels les violations de données
28:06et donc c'est le principe qu'on appelle
28:08en anglais privacy and security by
28:10design
28:14le r j est loin d'être la seule leurs
28:17réglementations auxquelles sont soumis
28:18les entreprises celles qui travaillent
28:20en secteurs réglementés donc les
28:22entreprises dont l'activité dépend de
28:23l'obtention d'une licence d'exploitation
28:25par exemple pour être une banque pour
28:28être un opérateur télécoms etc vous
28:30devez avoir une licence bancaire ou une
28:31licence d'opérateur télécom est donc
28:34l'obtention de cette licence est soumise
28:36à au respect de la réglementation
28:38associée et donc dans ce cas là la
28:40conformité en anglais on appelle ça
28:42compliance devient critique pour
28:44l'entreprise elle est soumise à des
28:47audits périodiques à l'issue duquel le
28:49régulateur et mais un avis et des
28:50recommandations
28:51et si l'entreprise est non conforme et
28:54reste non conformes dans la durée la
28:56sanction ultime qui peut arriver c'est
28:59tout simplement la suspension de sa
29:01licence auquel cas elle est obligée de
29:02fermer boutique du jour au lendemain
29:04donc dans ces secteurs régulés on
29:06comprend mieux la forte motivation à
29:08appliquer et appliquer le plus
29:09rapidement possible les recommandations
29:11du régulateur pour se remettre dans les
29:14clous
29:17voici deux exemples de secteurs
29:19réglementés qui nécessitent d'obtenir
29:21une licence d'exploitation préalable
29:23avant de pouvoir exercer une activité
29:26donc les opérateurs télécoms ont besoin
29:29d'une licence d'opérateur télécom émises
29:31par l'arcep l'autorité de régulation des
29:33communications électroniques et de la
29:34poste en france
29:36si vous voulez créer une chaîne de télé
29:38ou une chaîne de radio
29:41une vrai besoin d'une autorisation de
29:43diffusion ou de distribution
29:44audiovisuelle émise par le conseil
29:46supérieur de l'audiovisuel en france si
29:49vous voulez créer une banque vous avez
29:50besoin d'une licence bancaire émises par
29:53la banque de france c'est l'article l
29:55511 qui rénovent du code monétaire et
29:57financier
29:58alors les banques systémiques les
30:01banques les plus importantes au niveau
30:02européen notamment les établissements de
30:04crédit sont désormais supervisé
30:07par la banque centrale européenne dont
30:10qui supervise les 115 plus gros
30:12établissements de crédit en europe et et
30:16les banques qui sont plus petites où les
30:19systèmes et services de paiement etc qui
30:21sont moins risquées parce qu'ils ne font
30:22pas de crédit sont toujours supervisé
30:24par le international à savoir la banque
30:27de france
30:31autres exigences de conformité si vous
30:34êtes une entreprise cotée sur le marché
30:37d'actions américain
30:38vous êtes soumis à la loi fédérale
30:40américaine sarbanes oxley qui a été créé
30:43suite au scandale financier enron et
30:46worldcom dans les années 2000 est donc
30:49cette loi fédérale a été créée en 2002
30:53pour améliorer la fidélité du reporting
30:56financier de l'entreprise et c'est une
30:59loi qui est extrêmement contraignante
31:00parce que
31:01la conséquence du non respect c d un
31:05emprisonnement du pdg et du directeur
31:07financier
31:08donc il y à des audits annuels qui sont
31:11effectués de conformité avec la loi
31:14sarbanes oxley et est donc là il s'agit
31:17du reporting financier mais qui est
31:19produit par le système d'information est
31:21donc tout dans le système d'information
31:22tout ce qui contribue au reporting
31:24financier doit être sécurisé ce sont les
31:28exigences des sections 300 2 404 409 et
31:31800 de la loi sox donc notamment la
31:35section 409 qui a dicté l'obligation de
31:37dévoiler en temps réel toute
31:39modification de la santé financière de
31:40l'entreprise et l'affection 404 qui
31:44oblige à assurer tester et maintenir la
31:46sécurité des données et du système de
31:48reporting financier
31:53quelles sont les exigences de sécurité
31:55de la loi fédérale sox américaine pour
31:58les entreprises qui y sont soumis donc
32:00qui sont cotées sur les marchés
32:01d'actions américains
32:03donc la loi sox oblige à protéger
32:06d'abord les bâtiments au niveau de la
32:09protection leur sécurité physique de
32:11définir les zones à accès restreint par
32:13exemple les datacenter
32:15d'enregistrer les visiteurs de gérer les
32:18identités et les authentifications
32:20d'avoir une politique de mot de passe
32:22une authentification forte de révoquer
32:25les accès en cas de départ de l'employé
32:26de gérer les incidents de sécurité
32:30au niveau du réseau l oblige à segmenter
32:34le réseau et à avoir des pare feu
32:37firewall à contrôler les accès à
32:39internet et leur bon usage
32:41de disposer d'antivirus et de leur mise
32:44à jour de contrôler l'accès à
32:47l'information financière notamment au
32:49niveau des vrp du logiciel de interpride
32:51resource planning pour éviter tout délit
32:53d'initié
32:55de protéger les données de faire des
32:58sauvegardes régulières et surtout de
32:59tester les sauvegardes en faisant des
33:02tests de restauration au moins une fois
33:04par an
33:05de gérer les vulnérabilités et d'avoir
33:08une politique de gestion des changements
33:10avec un processus de chengdu management
33:12utile pour passer
33:15les changements aux productions
33:19autres exigences de conformité ce sont
33:22les exigences pci dss
33:24donc soit villejean ceux de l'industrie
33:27des cartes de paiement
33:28ça concerne les commerçants et les
33:31fournisseurs de services qui traite qui
33:33stocke qui transmettent les informations
33:35des titulaires d'une carte de paiement
33:36donc pis y ait des ss c'est un standard
33:39qui est qui a été établie de façon
33:41commune par les plus gros émetteurs de
33:44cartes de paiement au niveau mondial
33:46visa ou mastercard jcb au japon american
33:50express et discover et les standards
33:53pissia et non ceux six objectifs de
33:56sécurité et 12 exigences qui en
33:59découlent
34:02le premier objectif de sécurité des
34:04exigences pci dss et de maintenir une
34:07politique de sécurité de l'information
34:09forte qui permet au personnel de
34:12comprendre l'importance des données et
34:13son rôle dans leur protection
34:16construire et exploiter des réseaux et
34:18des systèmes sécurisés donc installer et
34:20gérer une configuration pare feu pour
34:22protéger les données des porteurs de
34:23cartes en scannant tout trafic réseau
34:25modifier les mots de passe et autres
34:27paramètres de sécurité par défaut des
34:28constructeurs
34:30ensuite il faut protéger les données des
34:32porteurs de cartes en chiffres en
34:34hachant masque en outre on quand le
34:35donnait en chiffrant la transmission de
34:37données de paiement à travers les
34:38réseaux publics et en n'utilisant que
34:40des clés et des certificats authentique
34:41et vérifier
34:43il faut gérer les vulnérabilités
34:46protéger tous les systèmes contre les
34:48logiciels malveillants qui peuvent
34:50provenir de l'usagé d'internet de la
34:51messagerie d'appareils mobiles ou de
34:53stockage mettre à jour régulièrement les
34:55logiciels anti viraux
34:57et développer et maintenir des systèmes
34:59et des applications sécurisées les
35:01vulnérabilités permettent d accès non
35:03autorisés et donc les correctifs de
35:05sécurité doivent être installée
35:06immédiatement pour prévenir toute
35:08compromission des données des porteurs
35:09de cartes
35:12il faut aussi renforcer le contrôle
35:15d'accès de façon à ce que seules les
35:16personnes habilitées puissent accéder
35:18aux données du titulaires des cartes de
35:19paiement et systèmes et les processus
35:21doivent restreindre l'accès aux
35:23personnes qui en ont besoin c'est le
35:24principe besoin de savoir
35:26il faut identifier authentifier les
35:29accès aux composants du système chaque
35:31personne doit va doit disposer en
35:33identifiant unique 1 permettant de
35:35retracer tout accès aux systèmes et aux
35:37données critiques de façon à assurer la
35:39traçabilité et l'imputabilité des
35:42actions
35:44il faut aussi restreindre les accès
35:46physique aux données les titulaires de
35:48cartes les accès physique aux données ou
35:50aux systèmes qui stockent ces données
35:51doivent être sécurisées afin de prévenir
35:54tout accès non autorisés ou toute
35:55altération des données
35:58enfin il faut surveiller et tester
36:00régulièrement les réseaux donc suivre et
36:02surveiller tout accès aux données de
36:03paiement et aux ressources réseau
36:05enregistré des actions critiques des
36:07utilisateurs pour prévenir détecter ou
36:09minimiser les conséquences d'une
36:10compromission de données et vérifier la
36:13sécurité des systèmes et des processus
36:14régulièrement car de nouvelles
36:16vulnérabilités sont des voiliers en
36:17permanence
36:22et beaucoup maintenant l'organisation
36:24étatique de la sécurité informatique en
36:26france sous l'autorité du premier
36:28ministre on trouve le gouvernement avec
36:31une série de ministère on va voir que
36:33chaque ministère et chargé de dresser la
36:35liste des organismes d'intérêt vital
36:36dans ce domaine de compétence
36:38est donc dépendant du premier ministre
36:40il ya un organisme spécifique qui
36:43s'appelle le jdn le secrétariat général
36:46de la défense et de la sécurité
36:47nationale qui dispose d'une agence lanci
36:50qui traite de la sécurité des systèmes
36:53d'information
36:58le gouvernement français a identifié
37:00deux cent quarante neuf opérateurs
37:02d'importance vitale en france 249 au iv
37:06ce sont des organisations identifiées
37:07par l'état comme ayant des activités
37:08indispensables à la survie de la nation
37:10ou dangereuses pour la population la
37:13liste zone iv est secrète et les olives
37:16et eux mêmes les organisations désigné
37:18ne doivent pas communiquer sur leur
37:20implication au dispositif
37:21c'est 250 au river sont répartis sur
37:25douze secteurs d'activité d'importance
37:27vitale qui sont regroupées en quatre
37:30dominante
37:33les textes de référence concernant les
37:35olives et son le code de gueule de la
37:37défense et la loi de programmation
37:39militaire m
37:40l'instruction générale
37:41interministérielle 6600 relatives à la
37:44sécurité des activités d'importance
37:45vitale du 7 janvier 2014 et une
37:48directive européenne de 2008 concernant
37:50le recensement et la désignation de
37:52l'infrastructure critique européenne
37:53ainsi que l'évaluation de la nécessité
37:56d'améliorer leur protection
38:01voici la liste des douze secteurs
38:04d'activité d'importance vitale qui sont
38:06regroupées en quatre dominante dans la
38:09dominante régaliennes on va trouver
38:10l'activité civile de l'état qui dépend
38:13du ministère de l'intérieur l'activité
38:15judiciaire l'activité militaire
38:17dans la dominante humaine tout ce qui
38:20est alimentation qui dépend du ministère
38:22de l'agriculture la gestion de l'eau qui
38:24dépend du ministère de l'écologie la
38:27santé
38:28dans la dominante économique tout ce qui
38:31est énergie transport et finance et dans
38:35la dominante technologique tout ce qui
38:37est communication électronique
38:38audiovisuel et informations industrie et
38:41espaces et recherche
38:47quelles sont les obligations des olives
38:49et en france
38:50ils doivent lister leurs points
38:53d'importance vitale
38:54leurs sites de production leur
38:56datacenter leurs centres de contrôle
38:58désigner un délégué pour la défense et
39:01la sécurité qui sera l'interlocuteur
39:03privilégié de l'administration et
39:05établir après une analyse des risques un
39:07plan de sécurité au d'opérateurs un pse
39:10qui décrit l'organisation et la
39:12politique de sécurité et des plans
39:14particuliers de protection pour chacun
39:16des points d'importance vitale qui l'ont
39:18identifié ainsi qu'un plan de protection
39:20externe ppe qui sera réalisé sous
39:23l'autorité du préfet de département
39:29évoquons maintenant les normes
39:31internationales les normes iso
39:32concernant la sécurité des systèmes
39:33d'information
39:35donc la sécurité des systèmes
39:37d'information est traitée par la série à
39:39iso 27000 est ce qu'une série qui
39:42reprend la proche qualité et
39:44d'amélioration continue de la série 9000
39:47qu'on appelle l' approche pdc à plan do
39:50check ac donc il peut être traduit en
39:53français par planifié développer ou
39:55déployer évaluer ou étudier et ajusté
39:57est donc c'est ainsi que d'amélioration
40:00continue on planifie on déploie en
40:03évaluant injuste et or boucle ainsi de
40:06façon à améliorer continuellement la
40:07qualité des systèmes ou en l'occurrence
40:09la sécurité des systèmes d'information
40:11donc cette le roux pdc a on appelle ça
40:13la route denning mais en fait des mines
40:16et un statisticien qui a qui a
40:18popularisé le concept mais en fait ce
40:20concept a réellement été inventé par
40:22walter chinois
40:26donc prenons par exemple la norme iso
40:2927002
40:31qui est le code de bonnes pratiques pour
40:33le management de la sécurité de
40:35l'information
40:35c'est une norme qui énonce 35 objectifs
40:38de sécurité et 114 mesures proposées
40:42regroupés en quatorze chapitres voici
40:44une liste partielle des chapitres
40:46traités dans ce code de bonne pratique
40:49l'organisation de la sécurité de
40:51l'information la sécurité des ressources
40:52humaines la gestion des actifs
40:54informationnels le contrôle d'accès la
40:57cryptographie la sécurité physique et
40:59environnemental la sécurité liés à
41:01l'exploitation la sécurité des
41:03communications
41:04l'acquisition le développement et la
41:06maintenance des systèmes d'informations
41:08les relations avec les fournisseurs et
41:09sous traitants la gestion des incidents
41:12liés à la sécurité de l'information
41:13les aspects de la sécurité de
41:15l'information la gestion de la
41:16continuité de l'activité et la
41:18conformité
41:22le vocabulaire utilisé dans la gestion
41:25des risques de la sécurité des systèmes
41:27d'information inclut la notion de risque
41:29d'exposition de menaces et de
41:32vulnérabilité pour illustrer sa de
41:34manière humoristique
41:35voici un exemple où on voit que le
41:38risque lorsqu'on exposé la nature et
41:40qu'il est possible d'être confronté à la
41:42faune sauvage qui constituent la menace
41:44lorsqu'on laisse des portes ouvertes
41:46autrement dit lorsqu'il existe des
41:48vulnérabilités
41:53voici le vocabulaire qui est défini dans
41:55la norme iso/cei 27001 et que j'aurai
41:59utiliserait dans la suite du court donc
42:02quand on parle de de sécurité
42:04informatique on a des menaces dont il
42:07faut évaluer la vraisemblance qui cible
42:10les actifs informationnels de
42:11l'entreprise donc on verra que chaque
42:15actifs informationnels dans l'entreprise
42:17doit avoir un responsable par exemple le
42:19chef de service
42:20etc menace donc cible ses actifs et
42:24elles exploitent leur vulnérabilité
42:26et c'est ce qui fait qu'on n'a
42:29potentiellement un impact
42:30qui a des conséquences ou qui induit un
42:33préjudice pour entreprises

About this transcript

This page contains the full transcript of 01b - Introduction à la sécurité by CNAM RSX112, generated from the public captions YouTube serves with the video. The transcript has 6,450 words across 1,128 segments, with the original timestamps preserved so you can click any line to jump to that moment in the embedded player.

What you can do with it

Use the transcript to take notes, quote the speaker, build a study guide, generate a summary with ChatGPT or Claude via the YouTube Summary tool, or export it as a timed subtitle file with YouTube to SRT. You can also re-open it in the transcriber to choose a caption track available on the video.

Free YouTube transcript tool

YouTube2Text is a free YouTube transcript generator — no signup, no daily limit. Paste any YouTube link and get the full transcript instantly, with timestamps, click-to-jump, caption language selection, AI prompts for ChatGPT, Claude, and Gemini, and exports to TXT, SRT, VTT, or Markdown.