High-Tech

Les entreprises doivent obligatoirement sécuriser la gestion des données personnelles qu’elles récupèrent, sous peine de sanctions prononcées par la CNIL. En 2022, près d’un tiers des sanctions visaient des manquements à cette obligation. Or, de plus en plus d’entreprises font appel à des fournisseurs de solutions informatique en nuage (cloud), ce qui ne les exonère pas de cette obligation. Elles sont donc amenées à s’interroger face aux nombreuses offres sur le marché avec des prestations différentes. Pour les aider dans leur choix et leur permettre de trouver l’approche en matière de sécurité la plus adaptée à leurs besoins, la CNIL vient de publier des fiches de conseils.

Des outils pour sécuriser le cloud

La première fiche est consacrée au chiffrement des données sur le cloud. Elle détaille les différents types de chiffrement (chiffrement au repos, chiffrement en transit, chiffrement en traitement, chiffrement de bout en bout…) et indique pour chacun les enjeux et problématiques spécifiques. La deuxième fiche s’intéresse aux outils pour sécuriser un service cloud. Sont ainsi passés en revue les différents produits de sécurité nécessaires pour sécuriser un service cloud, avec les points de vigilance pour ces différents produits. D’autres fiches devraient suivre, toujours dans l’objectif de donner des clés de compréhension aux entreprises pour mieux choisir leurs solutions numériques.

www.cnil.fr/

Expliciter les enjeux de la remédiation, proposer les principaux piliers doctrinaux, fixer les bases de l’organisation et des actions techniques associées, tels sont les objectifs que poursuivent les Guides proposés par l’Agence nationale de la sécurité des systèmes d’information (ANSSI). Selon elle, même si la remédiation d’un incident cyber majeur modifie pendant plusieurs semaines, voire pendant plusieurs mois, le cycle de vie du système d’information et touche de nombreux métiers, une action bien pilotée peut donner l’opportunité à l’entreprise de s’améliorer significativement.

Un guide pour chaque étape

C’est pourquoi l’ANSSI vient de publier trois guides téléchargeables gratuitement qui s’articulent autour de 3 étapes :
– le volet stratégique : les enjeux de la remédiation pour une organisation affectée par un incident de sécurité ;
– le volet opérationnel : les principes du pilotage et de la mise en œuvre du projet de remédiation ;
– le volet technique : les exigences techniques pour une opération spécifique dans un projet de remédiation.

Ces guides intègrent les retours de la communauté cyber provenant d’un appel à commentaires public. Ils devraient s’enrichir progressivement de nouveaux contenus.

Les guides sont téléchargeables sur le site cyber.gouv.fr/

La nouvelle norme Wi-Fi 7, basée sur la technologie IEEE 802.11be, proposera des vitesses maximales de 40 Gbit/s, soit 4,8 fois plus rapides que le Wi-Fi 6 (9,6 Gbit/s). C’est une nouvelle bande de fréquence de 6 GHz qui permettra d’atteindre ces vitesses élevées. En plus de vitesses améliorées et d’une plage plus longue, la latence sera aussi réduite par rapport au Wi-Fi 6. Et selon la Wi-Fi Alliance, son efficacité sera accrue, même dans les réseaux denses, de même que sa robustesse et sa fiabilité. Autre atout, elle devrait réduire la consommation d’énergie nécessaire.

Peu d’appareils encore compatibles

Sont concernés tous les appareils qui peuvent prendre en charge le Wi-Fi 7, qu’il s’agisse de smartphones, d’ordinateurs portables, de tablettes, de téléviseurs, d’appareils de streaming, d’appareils intelligents pour la maison, de consoles de jeux… Cette nouvelle version du Wi-Fi permettra ainsi d’améliorer l’utilisation des vidéos en streaming 8K et 10K, des jeux en streaming, de la réalité virtuelle et de la réalité augmentée, des objets connectés… Pour l’instant, seuls quelques appareils sont compatibles avec le Wi-Fi 7, comme les smartphones Google Pixel 8 et 8 Pro ou le Samsung Galaxy S23 Ultra, ou encore les routeurs TP-Link Deco BE85 ou Netgear Orbi 970.

La vérification d’identité permet de garantir la sécurité, la confidentialité et la confiance dans les interactions sur internet. Elle contribue à prévenir les fraudes, le vol d’identité et l’utilisation abusive des données personnelles. À ce titre, différentes méthodes et technologies (reconnaissance faciale, utilisation de bases de données publiques ou privées…) peuvent être utilisées pour comparer et corroborer les informations fournies. Et compte tenu des enjeux, il est aujourd’hui primordial d’évaluer et de garantir l’intégrité de ces moyens d’identification numérique à distance.

Les risques liés à la biométrie

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Office fédéral allemand pour la sécurité de l’information (Bundesamt für Sicherheit in der Informationstechnik – BSI) viennent de publier un rapport sur ce thème. Cette publication conjointe aborde les risques liés à la biométrie et aux documents d’identité, les vecteurs d’attaque et les menaces à distance qui doivent être pris en compte ainsi que les systèmes d’information des prestataires de services de vérification d’identité (y compris les applications web et mobiles utilisées dans le processus de vérification).

Pour consulter le rapport (en anglais) : https://cyber.gouv.fr

En 2020, le trafic Internet avait déjà connu une progression impressionnante de 50 %, passant de 18,4 Tbit/s fin 2019 à 27,7 Tbits/s fin 2020. Une envolée due principalement aux confinements successifs et à l’accroissement de l’utilisation des services en ligne comme le streaming. Selon la Fédération française des télécoms (FFT), une croissance exponentielle du trafic Internet devrait intervenir dans les prochaines années, avec une augmentation moyenne de 21 % par an pour atteindre 1035 Go mensuels en 2030 contre environ 200 Go aujourd’hui.

Augmentation de la consommation de données mobiles

Cette explosion est principalement alimentée par l’augmentation de la consommation moyenne de données mobiles, qui est passée de 11 Go par mois par personne en 2021 à 14,3 Go en 2022 (+26 %). Ce chiffre pourrait être multiplié par 6 et passer à 89 Go par mois par utilisateur d’ici 2030. Outre les changements dans les habitudes de consommation, cette augmentation s’explique par la popularité croissante des smartphones et l’amélioration des réseaux mobiles avec la 4G et la 5G. À ce titre, l’étude alerte sur la capacité des opérateurs qui, selon elle, ne seraient pas en mesure d’absorber une telle augmentation avec les infrastructures actuelles.

Pour consulter l’étude : www.fftelecoms.org

Les services de prévention et de santé au travail (SPST) sont amenés à collecter de très nombreuses données personnelles sensibles, notamment dans le cadre de la constitution du dossier médical en santé au travail (DMST). Or, jusqu’à présent, ils ne disposaient pas d’outil leur permettant de mettre en conformité leurs pratiques avec le RGPD et interrogeaient régulièrement la CNIL à ce sujet. Pour les accompagner dans leur démarche, cette dernière vient de publier un guide dédié qui rappelle le cadre juridique de la protection des données, agrémenté d’exemples pratiques issus de situations concrètes rencontrées par les SPST.

Des modèles de fiches de registre

Ce guide comprend :

– un rappel des notions clés ;

– neuf fiches thématiques portant sur les principes Informatique et Libertés communs aux différents fichiers constitués par les SPST (DMST, fichiers des adhérents des SPST interentreprises, fichiers des fournisseurs, etc.) ;

– quatre fiches thématiques dédiées au DMST, aux recherches, études, évaluations et enquêtes menées par les SPST et à la télésanté ;

– plusieurs annexes, notamment des modèles de fiches de registre des activités de traitement, un modèle de notice d’information à utiliser pour la gestion du DMST ainsi qu’un cahier des charges pour évaluer la conformité du DMST au RGPD.

Ce guide est à télécharger sur le site de la CNIL.

L’AIAct s’est donné pour objectif de créer une législation garantissant que l’écosystème de l’IA en Europe se développe selon une approche centrée sur l’humain, respectant les droits fondamentaux et les valeurs humaines. Et si le consensus paraissait difficile à obtenir entre ceux qui voulaient freiner le développement fulgurant de cette technologie et ceux qui ne voulaient pas entraver l’innovation, un accord a finalement été trouvé entre députés, qui prévoit un certain nombre de garde-fous et de règles. L’Europe devient ainsi le premier espace au monde où le développement de l’IA sera encadré.

Un soutien à l’innovation et aux PME

Parmi les mesures contenues dans l’AIAct, il est notamment prévu d’interdire l’utilisation de la surveillance en temps réel et des technologies biométriques, y compris la reconnaissance émotionnelle, sauf en cas de menace d’attaque terroriste inattendue, de recherche de victimes ou dans le cadre de poursuites judiciaires pour des crimes graves. Autre disposition, chaque système d’intelligence artificielle sera évalué selon une échelle de risques qu’il représente. Et même si une IA est classée comme présentant peu de risques, elle sera soumise à plusieurs obligations comme celle de publier les données utilisées pour son apprentissage.

Enfin, l’accord prévoit des mesures de soutien à l’innovation et aux PME pour que l’Europe puisse développer ses propres modèles d’IA.

L’étude réalisée récemment par Salesforce porte sur les opportunités et les risques de l’IA générative au travail (Generative AI Snapshot Research) dans 14 pays. Parmi les sondés français, seuls 18 % des employés utilisent l’IA générative au travail (contre 28 % en moyenne dans l’étude). Un chiffre encore bas mais qui devrait augmenter rapidement dans les prochaines années. Plus inquiétant, une grande majorité le fait en dehors d’un cadre défini par leur employeur. Ce qui pose plusieurs problématiques, non seulement en termes de confiance et de sécurité (ChatGPT étant, par exemple, devenue l’IA préférée des cyber criminels), mais aussi parce que les entreprises n’ont pas encore conscience que l’IA est en train de bouleverser l’organisation du travail.

Des entreprises proactives pour l’utilisation de l’IA

Si les collaborateurs réalisent déjà les bénéfices que l’IA générative peut apporter pour leur carrière, les entreprises doivent réagir rapidement et mettre en place des directives claires pour s’assurer d’une utilisation responsable, éthique et efficace de l’IA. 49 % des employés français indiquent ainsi avoir eu recours à des outils que leur entreprise a explicitement interdits (trois fois plus que les salariés britanniques). Et 71 % ont déjà présenté des travaux effectués par l’IA générative comme étant les leurs. Les entreprises ont donc tout intérêt à se pencher rapidement sur ce sujet, d’autant que 30 % des travailleurs français indiquent se sentir plus attirés par une entreprise se montrant proactive pour l’utilisation de l’IA générative.

Pour en savoir plus : www.salesforce.com/news/stories/ai-at-work-research/

Ces dernières années, des détenteurs de droits d’auteur ont demandé à Google de supprimer les URL de quelque 5 millions de domaines uniques. Un chiffre faramineux mais qui concerne souvent les mêmes sites : 20 noms de domaine représentent ainsi 10 % des adresses incriminées. Il s’agit principalement de sites pirates flagrants (The Pirate Bay…) ou de streaming légaux (Netflix et Disney+), mais aussi daft.sex et dsex.to, avec chacun près de 125 millions d’adresses signalées, ou encore de sites de partage comme 4shared.com. Même Google n’échappe pas à ce piratage et a dû examiner des requêtes pour supprimer ses propres URL de ses résultats de recherche quelque 775 500 fois.

Un examen manuel par un agent

Pour signaler l’utilisation abusive d’un nom de domaine, Google a mis en place une adresse dédiée : [email protected]. Mais avant de signaler une utilisation abusive à Google, le moteur de recherche demande à l’utilisateur de s’assurer que le nom de domaine en question est bien enregistré auprès de Google Domains (Google LLC), dans la base de données WHOIS. Chaque signalement crée une demande d’assistance qu’un agent examine manuellement. S’il s’agit bien d’un cas de non-respect des conditions d’utilisation de Google, l’auteur de l’abus est informé par e-mail d’une suspension voire d’une suppression du nom de domaine incriminé.