Réflexions sur les formations aux TIC pour les enseignants de l`école

Sensibilisation à la Sécurité Informatique
Sensibilisation à la Sécurité
Informatique
Ecole Centrale de NANTES
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
devenue une nécessité, mais
pourquoi ?
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
une nécessité, parce que :
• les systèmes, ainsi que les informations qui y sont
stockées ont de la valeur. Il faut donc protéger
l’outil (qualité de service) et son contenu
(confidentialité, intégrité des informations)
• l’informatique est devenue communiquante : les
machines connectées entre elles via le réseau sont
devenues plus facilement accessibles
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
une nécessité, parce que :
• le réseau est ouvert sur Internet, ce qui fragilise
encore plus l’ensemble du Système d’Information
• il existe des kits de piratage, ce qui peut rendre très
dangereux le premier internaute venu. Les virus ne
sont donc pas les seuls problèmes
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
une nécessité, parce que :
• les logiciels comportent tous des failles qui sont
ensuite facilement exploitées par les pirates
• 80% des dégradations et piratages viennent de
l’interne, il convient donc d’adresser la bonne cible
• le contenu du Système d’Information doit être
conforme à la loi
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
pour pallier à quels risques ?
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
une nécessité pour :
• maintenir la confiance dans l’outil de travail
• être en règle avec la loi et éviter tout
désagrément aux responsables de l’Ecole
• éviter de détériorer l’image de marque de
l’Ecole
• éviter la remise en état de systèmes détériorés,
ce qui peut coûter cher en ressources
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
qui est concerné ?
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
c’est l’affaire de tous
• le niveau maximum de sécurité ne peut être
supérieur à celui du maillon le plus faible
• nous sommes tous concernés et à tous les niveaux
• il importe à chacun de sensibiliser le maximum de
personnes qui pourront ensuite s’impliquer
• la sécurité ne peut reposer sur une seule personne
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
c’est l’affaire de tous
• elle doit donc s’appuyer sur un réseau humain : les
correspondants informatiques, les chefs de service,
les administrateurs de machines, autre ... ?
• définir un consensus de règles applicables,
acceptées et appliquées : implication et appui de la
Direction
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
c’est l’affaire de tous
• elle doit répondre à un objectif et être indépendant
de la technique
• elle doit être sans cesse remise en cause. La
solution doit évoluer au même rythme que les
risques. Aucun acquis définitif en la matière.
• il faut se donner les moyens correspondants aux
objectifs
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
c’est l’affaire de tous
• chacun est responsable, en particulier :
- du mot de passe et des droits qui lui ont été
attribués
- de l’usage qu’il en fait
- de ses données
• chacun se doit de respecter la charte informatique
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
qu’est ce que c’est ?
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
un éternel compromis
• pas de panique, la sécurité informatique, c’est
avant tout 80% de bon sens et 20% de technique
• cela restera toujours un compromis entre la
meilleure utilisation possible du Système
d’Information que l’on cherche à protéger tout en
garantissant sa Disponibilité, son Intégrité et sa
Confidentialité
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
un éternel compromis
• compromis entre :
- un coût
- une performance
- la garantie de confiance dans le S.I.
- la convivialité, la facilité d’accès
- les ressources humaines
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
comment ?
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
conseils et recommandations
• choisir un bon mot de passe et le garder
confidentiel (90% des intrusions proviennent de
négligence en matière de mot de passe)
• après s’être connecté devant une tierce personne,
changer son mot de passe
• ne jamais donner son mot de passe à un tiers
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
conseils et recommandations
• verrouiller toute session en quittant son bureau
• pas de compte banalisé
• pas de compte inutilisé (compte d’une personne
ayant quitté l’Ecole non détruit)
• mettre à jour l’anti-virus du poste de travail
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
conseils et recommandations
• se méfier hautement des fichiers attachés aux
messages électroniques
• éviter de contribuer à propager un virus ou une
fausse alerte
• se méfier des logiciels rapatriés, non «vérifiés»
et/ou installés par un tiers
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
conseils et recommandations
• veiller à la sauvegarde de ses données, en
particulier pour tout poste nomade
• toujours passer par le CRI pour la connexion de
tout matériel sur le réseau
• aider à propager la bonne parole, en particulier
auprès des étudiants
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
conseils et recommandations
• adopter les règles de bonne conduite de l’Internet
et respecter les diverses chartes, celle de l’Ecole,
de RENATER, les règles de la Netiquette (site
web.ccr.jussieu.fr/ccr/Netiquette.html)
• prévenir de toute anomalie en envoyant un
message à : [email protected] ou
[email protected]
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
conseils et recommandations
• respecter toutes les recommandations qui s’y
rapportent, et en particulier celles qui viennent
d’être énoncées
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
aspects législatifs
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• pas de vide juridique en la matière, au contraire, il
y a pléthore de textes et de lois. La difficulté réside
dans la détermination du texte applicable
• toujours régit par le code Napoléon qui pose le
principe de responsabilité de celui qui cause un
dommage à un tiers
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• responsabilité civile : pour demander réparation
– art. 1382 : tout fait quelconque de l’homme, qui cause à
autrui un dommage, oblige celui par la faute duquel il
est arrivé à le réparer
– art. 1383 : chacun est responsable du dommage qu’il a
causé par son fait, mais encore par sa négligence ou par
son imprudence
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• responsabilité pénale : pour demander la
condamnation du contrevenant
– la faute doit faire l’objet d’une incrimination pénale :
elle doit correspondre à une infraction précise par un
texte
– l’élément intentionnel est requis pour constituer une
faute pénale : volonté de commettre l’infraction
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• responsabilité civile : elle est moins restrictive que
la responsabilité pénale
• l’élément intentionnel n’est pas requis. Il suffit que
la faute ait entraîné la survenance d’un préjudice
• la plupart du temps, la responsabilité civile oblige
à réparer par le versement de dommages et intérêts
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• responsabilité pénale : c’est une responsabilité très
restrictive
• la notion de négligence n’intervient pas
• elle fait encourir principalement des peines
d’amende et de prison
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• la responsabilité civile et la responsabilité pénale :
peuvent se cumuler
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• loi du 30 septembre 1986 sur la liberté de
communication précise que l’implication des
acteurs s’ordonne de la façon suivante :
– le directeur de publication
– l’auteur du message
– l’hébergeur : la loi du 1er août 2000 l’oblige à vigilance
mais supprime sa responsabilité pénale
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• La loi sur la liberté de communication prévoit une
responsabilité très limitée pour le fournisseur
d’accès
• est également exclu le transporteur du fait du
principe de neutralité en matière de
télécommunications
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• se rajoute un ensemble de textes et de lois :
– CNIL : commission nationale de l’informatique et des
libertés. C’est l'autorité de contrôle française en matière
de protection des données.
– respect de la vie privée / diffamation / injures
– droit de la propriété intellectuelle
– contenus illicites, etc ...
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• d’où la nécessité de rédiger une charte pour
informer les usagers
• elle a une valeur contractuelle et fixe les règles du
jeu entre les parties
• elle proscrit des comportements licites mais non
souhaités
Centre de ressources Informatiques
Juin 2001
Sensibilisation à la Sécurité Informatique
La Sécurité Informatique :
législation
• à l ’Ecole Centrale : «tout ce qui n’est pas autorisé
est interdit»
• une chose est sûre : le chef d’Etablissement est
aussi responsable
Centre de ressources Informatiques
Juin 2001