Pour Wikipedia un Indicateur de Compromission ou IOC (Indicator of Compromise) est un artefact observé sur un réseau ou dans un système d’exploitation qui indique, avec un haut niveau de certitude, une intrusion informatique.

Les Indicateurs répondent à la question ‘Comment détecter’ une attaque. Voici quelques exemples d’Indicateurs :

• Spécification du modèle (pattern) d’un ensemble spécifique de caractéristiques statiques ou dynamiques (hash d’un fichier, connexions de réseau, valeur des cés de registre, etc.) qui sont uniques d’une famille de malware particulière et qui indique sa présence
• Spécification du modèle (pattern) d’un ensemble spécifique de caractéristiques statiques ou dynamiques (i.e. traces spécifiques dans les logs) qui indiquent l’exécution d’un modèle d’attaque particulier
• Spécification du modèle (pattern) d’un ensemble particulier d’adresses IP utilisées comme infrastructure C2 (Commande et Contrôle) du malware

Toutefois, nous allons voir qu’une défense informatique basée sur la détection des IOC est une approche plus fragile car ces IOC risquent d’être changés facilement par les attaquants.

Par le passé, uniquement les attaquants avec des moyens importants ou appartenant à des états étaient en mesure de pénétrer des systèmes de détection basés sur les IOCs, mais l’accès à des outils plus performants et moins coûteux, permettant de muter lessignatures des attaques, empêche que la protection basée sur des IOCs soit encore une défense très solide.

Nous devons donc mettre en place un autre type de défense, ou du moins, mettre en place un complément à la défense basée sur les IOC. C’est ici qu’intervient l’approche TTPs, une défense basée sur les Tactiques, Techniques et Procédures.

Les TTPs analysent le fonctionnement d’un acteur malveillant, elles décrivent comment les cyber attaquants orchestrent, exécutent et gèrent les attaques opérationnelles. Les TTPs contextualisent une menace. Elles révèlent les étapes ou les actions prises par des acteurs malveillants lors de l’attaque.

• Tactique: Ensemble des moyens coordonnés que l’on emploie pour parvenir à un résultat. Une tactique serait par exemple l’ingénierie sociale qui a pour but d’accéder aux données sensibles à travers des accès non autorisés, afin de compromettre un site internet ou de réaliser des mouvements latéraux dans un réseau.
• Technique: outils et compétences utilisés. Par exemple, si l’objectif est de compromettre un site internet, alors la technique peut être SQL injection.
• Procédure: séquence des actions réalisées par les attaquants pour exécuter l’attaque.

Dans notre exemple du site internet cité précédemment, la procédure peut être celle de scanner le site internet à la recherche de vulnérabilités, exécuter une injection SQL avec du code malicieux dans un formulaire non sécurisé, pour obtenir le contrôle du serveur web.

Les TTPs ont une nature descriptive et nous aident à répondre aux questions liées au comportement de l’attaquant « Comment et Quoi » : Qu’est-il en train de faire et comment il le fait.

Quelques exemples de TTPs:

• Caractérisation particulière d’une certaine famille de malware
• Caractérisation d’une forme particulière d’attaque (i.e. utilisation de certaines variables d’environnement pour exploiter une vulnérabilité)
• Caractérisation du choix des victimes (i.e. réseaux sociaux)

L’Attaque

Les IOCs sont détectés pendant la phase d’analyse après une attaque (forensics), ce qui implique qu’il y a eu déjà une compromission des systèmes. Les IOCs trouvés par les équipes de sécurité permettent de comprendre le type d’attaque et l’étendue de la compromission. Ces artefacts sont partagés avec la communauté de la sécurité et les organisations pour mettre à jour les systèmes de détection et antivirus, afin d’essayer de contrer les nouvelles attaques.

Mais quel est donc le problème associé aux IOCs dans la lutte contre les attaques informatiques?

Les systèmes de détection et les antivirus peuvent être configurés, mis à jour avec les informations relatives aux empreintes des outils des attaquants mais ceux-ci ont aussi la possibilité de modifier ces IOCs relativement facilement, par exemple changer les IPs, les valeurs hash et les signatures.

Les attaquants peuvent aussi utiliser les IOCs  pour détourner l’attention de la véritable attaque, celle menée avec des outils plus sophistiqués et complexes. Une équipe sécurité qui n’utilise que des IOCs statiques pour protéger l’organisation croira avoir trouvé et contré l’attaque alors qu’en réalité ce n’est pas du tout le cas.

Et les TTPs dans tout ça?

L’approche TTP nous apporte l’identification des éléments de comportement associés à une attaque, parce que justement, ces éléments sont beaucoup plus difficiles à modifier par les attaquants, à différence des IOCs mentionnés plus haut.

Avant une attaque, les cyber criminels préparent et mettent en place la stratégie, les techniques et les procédures à suivre pendant l’attaque et ceci en fonction des outils à leur disposition. Changer ces éléments sera donc beaucoup plus difficile pendant l’attaque, même lors d’une nouvelle attaque car ce changement demande beaucoup de ressources et de temps (i.e. développer un nouvel outil d’attaque).

Il est vrai que les attaquants ont habituellement plus d’un outil dans leur arsenal mais le nombre d’outils reste limité et en développer de nouveaux leur pose des problèmes. Le process utilisé par les attaquants pour développer de nouveaux outils n’est pas plus différent que celui utilisé par le développeur de logiciel traditionnels. Dans tous les cas de figure, il faut entreprendre une phase de recherche et développement, création d’un POC ou d’un prototype, réaliser des tests et packager le résultat final. Ceci peut prendre très longtemps et beaucoup de ressources (humaines, matériels et financières). Ces efforts sont aussi vrais pour la mise en place des TTPs associées au nouvel outil.

Pour consolider leur défense, les équipes sécurité devront alors tenir compte des ‘comportements’ des cybercriminels pour identifier les attaques. Ceci passe par une compréhension des différentes combinaisons de TTPs : des informations sont disponibles auprès des organismes de recherche en sécurité de l’information (OWASP : Open Web Application Security Project, CTA : Cyber Threat Alliance) qui vous aideront à concevoir une réponse automatisée avec vérification humaine.

Pour illustrer ces concepts, prenons comme exemple APT19, un groupe de cyber criminels basé en Chine qui a ciblé ses attaques dans les secteurs de la défense, finance, énergie et pharmaceutique parmi d’autres.  Si vous êtes une entreprise de l’un de ces secteurs, vous allez vous intéresser aux techniques utilisées par ce groupe (Informations Groupe APT19).

L’une des techniques utilisées par APT19 est Registry Run Key/Startup Folder, qui est une variante de malware http qui établit une présence dans la cible en configurant une clé du registre (Registry Key). L’équipe sécurité prendra connaissance de cette technique et supervisera le Registre pour la présence de cette clé ou de nouvelles clés qui ne sont pas attendues.

Maintenant, trouvons le comportement de l’attaquant. Certaines IPs à partir desquelles sont réalisées les attaques sont connues mais bien évidemment elles peuvent changer. Nous nous focaliserons plutôt sur l’établissement des connections SOCKS5, car établir ce type de connexion est un comportement associé à cet attaquant. Traduisons ensuite ce comportement en tactique, il y a environ 12 tactiques à partir desquelles nous pouvons choisir (Reconnaissance, Ressource et développement, Commande et contrôle, Collecte, etc.). Pour la connexion SOCKS5 nous parlons de Commande et contrôle. Pour SOCKS5, la technique est Standard Non-Application Layer Protocol (T1095). Des attaquants peuvent utiliser Non-Application Layer Protocol pour communiquer entre un serveur hôte et un serveur C2 ou entre des hôtes infectés à l’intérieur d’un réseau.

Les équipes sécurité vont mapper les informations d’intelligence collectées et mettront en place les actions nécessaires à l’identification des menaces et leur élimination.

MITRE ATT&CK est une base de connaissances globale de tactiques et techniques basée sur des observations réelles. Cet outil aide les équipes de sécurité à identifier et gérer les TTPs rencontrés. Il définit la manière dont les équipes de sécurité peuvent superviser l’activité des systèmes IT, détecter des comportements anormaux associés à des TTPs connus et l’arrêter avant qu’il ne devienne une attaque complète.

Ce que nous avons décrit précédemment est aussi applicable aux vecteurs d’attaque (i.e. ingénierie sociale), pas très facile à changer par les attaquants sans adapter les outils employés.

Les équipes sécurité doivent concentrer leurs défenses sur les éléments qui ne sont pas facilement évolutifs, les IOCs le sont (i.e. des cartes de crédit volées, des IPs, etc.), les TTPs ne le sont pas.

Les Tactiques, Techniques et Procédures fournissent aux équipes sécurité des organisations, des informations sur la manière dont les attaquants opèrent et se déplacent dans nos infrastructures et systèmes. Elles nous donnent les moyens de perturber les maillons de la chaîne d’attaque et de l’arrêter avant qu’elle ne se matérialise.

En conclusion, l’introduction de TTPs dans la stratégie de défense des organisations, en collaboration avec des IOCs, permettra de redonner l’initiative aux défenseurs, les TTPs permettent le basculement d’une défense passive à une défense active, d’initiative forçant les attaquants soit à abandonner soit à réaliser des investissements significatifs dans la modification des techniques, tactiques et procédures d’attaque. Cette approche réduit significativement l’exposition à une attaque.

Cet article Chronique d’une attaque annoncée : IOCs vs TTPs est apparu en premier sur iDNA.

Agence Nationale de la Sécurité des Systèmes d’Information – ANSSI

Essayons d’apporter une définition générale de ce qu’est une analyse de risque :

Une analyse de risque est un ensemble d’activités visant à identifier, classifier et agir sur des risques potentiels menaçant des actifs.

L’analyse de risque est un composant d’un processus d’évaluation de risque plus large.

L’évaluation de risques inclut d’habitude les activités suivantes :

• Identifier des problèmes qui contribuent au risque
• Analyser leurs significations et impacts
• Identifier des options pour gérer le problème associé au risque
• Déterminer quelle option est la meilleure solution
• Communiquer les résultats et adresser des recommandations aux décideurs

L’analyse des risques est associée aux actions d’analyse de la signification et impact et à l’évaluation des options pour faciliter leur comparaison (en gras dans la liste précédente).

Pour être en mesure de prendre des décisions financières par exemple, les décideurs ont besoin d’éléments quantitatifs sur lesquels s’appuyer, prendre des décisions rentables (Cost-Effective), les analyses qualitatives sont plus limitées dans ce sens.

Concrètement, deux approches sont possibles : les analyses de risques qualitatives et les analyses de risques quantitatives.

Décrivons brièvement les deux méthodes d’analyse et ensuite nous vous présenterons les lignes générales associées à leur déroulement.

Évaluation quantitative du risque

Une évaluation quantitative du risque est une approche formelle et systématique permettant d’estimer la probabilité et les conséquences d’évènements et d’exprimer les résultats de manière quantitative en tant que risque pour les personnes, l’environnement ou l’entreprise.

Ceci revient à analyser et quantifier le risque en termes financiers.

Elle répond à la question : combien peut coûter financièrement un incident de sécurité.

Évaluation qualitative du risque

L’évaluation qualitative du risque permet d’étudier un évènement ou un contrôle réglementaire et comprendre la qualité de son implémentation.

Les évaluations qualitatives de risques sont excellentes pour informer le Manager Risque ou les Consultants Risques au sujet de la qualité de l’implémentation du contrôle en utilisant une échelle de valeurs qualitative, de 1 à 5 par exemple.

En utilisant la méthode qualitative d’évaluation des risques, vous pouvez évaluer votre entreprise sur la base d’une norme spécifique. Vous pouvez décrire les contrôles que la norme recommande et évaluer l’implémentation de ces contrôles (sur une échelle de 1 à 5), puis déterminer le pourcentage de mise en œuvre du contrôle.

Elle répond à la question : quel est mon niveau de conformité du point de vue politique de sécurité.

Les analyses de risques qualitatives et quantitatives sont complémentaires, elles adressent des problématiques différentes et fournissent des informations de nature différente.

La réalisation des analyses de risques

Réaliser une évaluation de risques qualitative

Commençons par identifier les actifs IT ou systèmes, puis appliquons les contrôles associés. À titre d’exemple un actif peut être un serveur de base de données et un contrôle associé à ce serveur, la vérification que la procédure de gestion des patchs du système opérationnel est bien implémentée, le serveur est donc bien à jour.

Ensuite, procédons à une valorisation de ces actifs. Une méthode de valorisation consiste à comparer nos actifs en fonction de certains critères tels que la Confidentialité, l’Intégrité, la Disponibilité et le Volume, CIDV (CIAV en anglais). À chaque critère nous attribuons une valeur numérique qui représente son importance, par exemple : Haute (3), Moyenne (2) et Basse (1).

• Confidentialité : La confidentialité signifie que les données, les objets et les ressources sont protégés contre des accès non autorisés, mais la valorisation de ce critère a pour but d’indiquer l’impact sur notre entreprise d’un accès non autorisé.
• Intégrité : Les mesures d’intégrité protègent l’information contre des modifications non autorisées, mais la valorisation de ce critère correspond au niveau d’impact sur notre organisation d’une modification non autorisée de l’information.
• Disponibilité : La disponibilité concerne les mesures garantissant l’accès ininterrompu et à temps des systèmes contenant l’information, mais la valorisation de ce critère indiquera le degré d’indisponibilité toléré pour les systèmes contenant l’information.
• Volume : Le volume apporte un élément additionnel aux critères précédents en valorisant la quantité d’information traitée par les actifs.

Une fois les critères précédents valorisés, nous allons les additionner et les comparer avec les autres actifs pour identifier les actifs qui ont le plus de ‘valeur’. Celle-ci est la valeur du profil.

Le pas suivant consiste à identifier les menaces potentielles sur les actifs. Nous devons aussi déterminer la Probabilité qu’une menace donnée devienne réalité de même que son Impact. Nous pouvons attribuer une valeur à la Probabilité et à l’Impact (de 1 à 5 ou de 1 à 3 par exemple) et multiplier ces deux valeurs pour obtenir un Score de Menace (Threat Score), par exemple Probabilité 3 x Impact 5 = 15.

Quantifier le risque

Présentés d’une manière simplifiée dans cet article, nous calculons le Risque Inhérent et le Risque Résiduel pour nos actifs.

Pour obtenir le Risque Inhérent, nous multiplions la valeur du profil de l’actif et le Score de Menace, aucun contrôle de mitigation a été réalisé sur cet actif.

L’obtention de la valeur associée au Risque Résiduel vient après avoir implémenté les contrôles sur l’actif, nous recalculons le Risque Inhérent après soustraction des valeurs des contrôles.

Dans notre exemple nous allons assumer l’implémentation d’un contrôle dans le serveur de base de données, disons le chiffrement de la base de données. Ce chiffrement réduit l’impact de la menace car si les données sont exfiltrées, elles seront chiffrées et inutilisables. L’impact est réduit à 2.

Le Score de Menace est donc réduit à 6.

Recalculons à nouveau le Risque Inhérent, cette fois-ci appelé Risque Résiduel, avec la nouvelle valeur associée au Score de Menace :

Réaliser une évaluation de risques quantitative

Dans cette section nous présentons les lignes générales de la réalisation d’une analyse de risque quantitative en utilisant le standard FAIR. La méthode FAIR permet d’estimer les risques en termes financiers.

Le standard FAIR (Factor Analysis of Information Risk – Analyse Factorielle des Risques Informatiques) est un standard de l’Open Group.

Le risque associé au scénario est désormais décomposé en variables : Fréquence d’incident, Fréquence des évènements de menace, Niveau de Vulnérabilité, etc. (voir diagramme ci-dessous).

Fig. 1- Les facteurs FAIR

Comment renseigner les facteurs est décrit de manière générale dans les sections suivantes.

Il est important de noter que dans la méthodologie FAIR, le risque est défini comme la fréquence probable et l’ampleur probable d’une perte future.

Déroulement de la méthode

Le diagramme suivant décrit les étapes à suivre lors du déploiement de la méthode :

Pour illustrer le déploiement de la méthode, nous utiliserons le même scénario d’analyse que sur l’analyse qualitative précédente : déterminer le niveau de risque associé à l’accès d’un employé non autorisé (sans privilèges) au serveur de base de données clients.

Élaboration des scénarios

Nous allons commencer par la définition des différents scénarios à analyser et pour les définir nous allons décomposer les informations associées aux scénarios en facteurs. Ces facteurs sont décrits dans la liste à continuation :

• Actifs
• Communauté de menace
• Type de menace
• Impact

Actifs : Les droits associés aux comptes utilisateurs permettent l’accès à la base client composée de n données personnelles.

Communauté de menace : La notion de communauté de menace essaie de regrouper plusieurs agents de menace qui partagent un certain profil. Dans notre exercice, les communautés de menace concernées sont : des internes avec privilèges, des internes sans privilèges et des cybercriminels.

Type de menace : Avec le type de menace, nous essayons de définir la nature de la menace. Nous avons dans notre exemple : malintentionné et curieux.

Impact : Nous définissons le type d’impact potentiel sur notre actif en termes de Confidentialité, Intégrité et Disponibilité.

Nous complétons cette étape avec la mise en place du périmètre de l’analyse qui regroupe les informations précédemment identifiées sous forme de tableau (non exhaustif) :

Les variables FAIR, l’estimation des experts et l’estimation PERT

Ces étapes consistent à collecter les informations associées à chaque scénario défini dans notre table de contexte (étape précédente) et ensuite à affiner les informations collectées par des estimations des experts et des estimations PERT.

Dans notre diagramme de la Fig. 1, les facteurs sont divisés en deux branches, à gauche nous décrirons les facteurs qui composent la fréquence d’un incident et à droite les facteurs qui composent l’ampleur financière de la perte lors d’un incident.

La fréquence d’incident est exprimée en occurrence d’évènements / an, la perte, elle, est exprimé en euros, dollars, etc.

Les facteurs sont renseignés à l’aide de trois mesures, la valeur minimum, la valeur maximum et la valeur la plus probable.

Le tableau ci-dessus montre pour une fréquence d’incident, qu’il peut survenir au moins une fois par an, au plus 5 fois par an et le plus probable est qu’il survienne 1.5 fois par an.

Dans cet article nous ne rentrerons pas dans le détail de la description de tous les facteurs.

Les ateliers avec les responsables business et métiers sont les moyens privilégiés pour réaliser la collecte de ces informations qui permettront de renseigner les valeurs des différentes variables FAIR.

Les mesures FAIR sont faites à l’aide des distributions de la forme PERT, pour rappel, en probabilité et statistique, une distribution PERT est une famille de distributions de probabilité définie par la valeur minimum, la valeur la plus probable et la valeur maximum, qu’une variable (facteur) peut prendre.

Les estimations collectées sont exprimées sous forme de distributions PERT qui deviennent les données d’entrée à la méthode Monte-Carlo (Excel ou outil commercial disponibles, i.e. http://www.montecarlito.com/, ou https://opensourcelibs.com/libs/monte-carlo-simulation).

La méthode Monte-Carlo (https://fr.wikipedia.org/wiki/M%C3%A9thode_de_Monte-Carlo) désigne une famille de méthodes algorithmiques visant à calculer une valeur numérique approchée en utilisant des procédés aléatoires, c’est-à-dire, des techniques probabilistes. La méthode de simulation Monte-Carlo d’introduire une approche statistique du risque dans une décision financière, objet justement de notre analyse.

Variables relatives à la fréquence de la menace :

Quelques variables relatives à l’estimation des pertes avec des estimation minimum et maximum :

Nous n’allons pas rentrer dans le détail de l’évaluation des valeurs de toutes les variables FAIR et leur signification, si vous souhaitez connaitre davantage sur la méthode FAIR vous pouvez consulter le livre ‘Measuring and Managing Information Risk, a FAIR’s approach par Jack Freund et Jack Jones.

Le moteur Monte Carlo

Dans cette phase nous devons procéder à l’utilisation d’un outil qui utilise une fonction Monte Carlo. « La méthode Monte Carlo, désigne une famille de méthodes algorithmiques visant à calculer une valeur numérique approchée en utilisant des procédés aléatoires » (Wikipedia.fr).

Exemple de résultat issu de la fonction Monte Carlo :

Avec les résultats présentés dans un tableau comme celui-ci, il devient plus clair l’identification des scénarios avec un potentiel de perte très important et le scénario de perte qui se ‘produira’ le plus souvent.

Risque

Les résultats issus de l’outil Monte Carlo peuvent être présentés sous forme de graphe (voir Fig. 2- Résultats de l’analyse). Ce graphe nous montre l’exposition aux pertes annualisée (ALE, Annualized Loss Exposure) en fonction de la probabilité de l’évènement.

Le risque présenté étant la fréquence probable et l’ordre de grandeur probable d’une perte future.

Fig. 2- Résultats de l’analyse

La lecture des résultats de l’analyse montre que, grâce à l’utilisation de plages de valeurs dans la description des facteurs (minimum, maximum et le plus probable), nous pouvons interpréter le risque comme étant dans une fourchette entre le minimum attendu de perte pour la fréquence d’évènement décrite ($0) et le maximum attendu ($2.0M) avec aussi une moyenne estimée de perte ($300.6k).

Il est possible de visualiser aussi, grâce au graphe de la Fig. 2, la relation entre la probabilité d’une perte versus une l’ampleur de la perte, par exemple, il y a 20% de probabilité d’avoir une perte d’environ $800.000.

Il est possible aussi de distinguer les résultats entre l’ampleur des pertes primaires ou directes et celles liées aux parties prenantes externes, appelées aussi pertes secondaires.

Fig. 3- Résultats relatifs à l’ampleur des pertes primaires et secondaires

Dans la Fig. 3-, nous obtenons un détail plus précis sur l’ampleur et la fréquence des pertes primaires et secondaires. La fréquence d’une perte primaire n’étant pas nécessairement la même que celle associée à une perte secondaire (impact sur une partie prenante externe).

Dans notre exemple, en moyenne, nous aurons 0.54/an incidents entrainant une perte directe ou primaire d’environ $47.1k, et 0.27/an incidents ou impact secondaire avec une perte de $1.0M.

La valeur de la perte secondaire nous indique qu’il est plus prioritaire de mettre en place des mesures de réduction du risque au niveau des partie prenantes externes (pertes secondaires) que dans les primaires, ce qui montre l’utilité de la méthodologie FAIR dans l’identification et réduction du risque

Conclusion

En fin de compte, la méthodologie d’évaluation des risques que vous utilisez doit dépendre de ce que vous essayez de mesurer et des résultats que vous souhaitez obtenir de cette mesure.

Une méthodologie de gestion des risques quantitative est la mieux adaptée pour un examen détaillé des menaces dans votre organisation exprimé en termes financiers, tandis qu’une évaluation des risques qualitative est meilleure pour évaluer la mise en œuvre d’un cadre qui n’a pas intrinsèquement de valeurs prédéfinies.

Par contre, du point de vue complexité et temps de déroulement des méthodes, la méthodologie quantitative demande un investissement en temps et ressources plus important que les méthodologies qualitatives, en effet, la collecte des données et informations demandent beaucoup d’interviews avec les responsables métiers et du calibrage des informations reçues. Les méthodologies qualitatives, par exemple EBIOS, sont conçues pour être déroulées très rapidement avec la possibilité d’itérations rapides.

Quelques méthodes d’analyses de risque qualitatives : La technique Delfi, L’analyse SWIFT, L’analyse Fly.

Quelques méthodes d’analyse de risque quantitatives : La simulation Monte Carlo, L’analyse d’arbre décisionnel, L’analyse de sensibilité.

Cet article Analyses des risques : Qualitative ou Quantitative ou les deux ? est apparu en premier sur iDNA.

Rappelons que le Règlement Général sur la protection des données, RGPD, fait référence à la restriction du transfert de données personnelles vers des pays en dehors de l’Union Européenne. La raison de cette restriction est d’empêcher l’évasion de cette protection en envoyant les données vers un pays tiers.

Il y a un certain nombre d’exceptions à cette règle, telles que le transfert des données vers un pays avec des lois adéquates à sa protection, où les personnes concernées par les données personnelles ont donné leur consentement explicite au transfert. Sinon, la solution passe par l’utilisation de Clauses Contractuelles Standards ou Types, CCTs.

Le/La responsable du traitement devra s’assurer de la sécurité des données. Ceci est fait par la mise en place d’une annexe de sécurité au contrat. Dans cette annexe de sécurité, le fournisseur présente les mesures techniques et organisationnelles qui protègent les données dans un Plan d’Assurance Sécurité (PAS). Ce PAS est analysé et validé avant la signature du contrat et bien entendu avant le transfert des données.

Le point central de la décision de la Cour de Justice Européenne tourne autour du fait que les Clauses Contractuelles Types définissent la relation et les responsabilités entre les deux parties, l’exportateur et l’importateur des données. Mais les clauses ne lient pas toute autre partie pouvant obtenir les données transférées, telles qu’une organisation gouvernementale ou un pays tiers.

Malgré le fait que l’exportateur des données vérifie la sécurisation de celles-ci par l’importateur, il devra aussi s’assurer, avec l’aide de l’importateur, des protections existantes contre les accès des tiers et ceci au cas par cas.

Quel est l’intérêt de l’analyse d’impact du transfert des données personnelles hors UE ?

Il est de la responsabilité des exportateurs des données d’implémenter une Analyse d’Impact du Transfert. Cette analyse d’impact doit évaluer les lois en vigueur dans le pays tiers, l’existence ou non d’organismes indépendants de supervision, l’existence de traités ou des accords liant le pays à la protection de données personnelles ou la véritable application de la loi.

Ce TIA permet certainement une évaluation du risque plus complète.

Il ne faudra faut pas oublier que ce TIA doit être maintenu à jour en fonction des évolutions des législations des pays en matière de protection des données.

Qu’est-ce qu’une décision d’adéquation (adequacy decision) :

La Commission Européenne a le pouvoir de déterminer si un pays en dehors de l’Union Européenne offre un niveau adéquat de protection de données.

La Commission Européenne a reconnu parmi d’autres les pays suivants : Andorre, Argentine, Canada (organisations commerciales), Les Îles Féroé, Nouvelle Zélande, Suisse, Uruguay comme des pays fournissant protection adéquate aux données. Des discussions sont en cours avec la Corée.

Le Royaume Uni a quitté l’Union Européenne le 31 janvier 2020 et est entré dans une période de transition qui s’est finalisée le 31 décembre 2020.

Des transferts de données à partir du Royaume Uni vers l’Union Européenne ou d’autres pays sont assujettis aux règles de transfert de données du régime du Royaume Uni. Le gouvernement britannique a déjà reconnu l’UE comme adéquat, et a adopté les déterminations existantes d’adéquation de l’UE.

En ce qui concerne l’Union Européenne, il y a des clauses qui permettent le transfert de données vers l’UE et qui sont couvertes par la décision d’adéquation de la Commission Européenne. Cette décision est revue périodiquement par le Royaume Uni.

Pour des transferts à partir de l’Union Européenne vers le Royaume Uni, les règles RGPD de l’Union Européenne sont applicables. Le Royaume Uni est à la recherche d’une décision d’adéquation de la part de l’Union Européenne qui permettrait un flux de données libre sous l’égide de ces règles.

Le 19 février 2021, La Commission de l’Union Européenne a émis une proposition de décision d’adéquation pour des flux de données entre l’Union Européenne et le Royaume Uni. Cette décision engage un processus devant conduire à l’adoption de deux décisions relatives à l’adéquation du niveau de protection des données pour les transferts de données à caractère personnel vers le Royaume-Uni, une dans le cadre du règlement de la protection des données et l’autre dans celui de la directive en matière de protection des données dans le domaine répressif.

Cette décision rassurera certainement les entreprises et les organisations des deux côtés de la Manche.

Lire l’article sur la décision rendue par la CJUE au sujet du privacy shield

Cet article L’Analyse d’Impact du Transfert des données personnelles hors UE est apparu en premier sur iDNA.

Du Safe Harbour au Privacy Shield: L’arrêt Schrems de la CJUE d’octobre 2015 n’a pas seulement déclaré invalide la décision de la Commission européenne concernant le régime de transfert de données du « Safe Harbour » UE–États-Unis, il a également statué sur le nombre d’exigences cruciales constituant les fondations de la protection des données de l’Union européenne. L’accord du Safe Harbour (sphère de sécurité) reposait sur l’affirmation que les transferts de données personnelles d’Europe vers les Etats-Unis étaient possibles car ce pays présentait des garanties suffisantes pour la protection de la vie privée. Les révélations sur les programmes de surveillance de masse de la NSA (National Security Agency) américaine montraient que les données personnelles des Européens n’étaient pas protégées, dès lors qu’elles étaient stockées aux Etats-Unis.

Les principes de privacité derrière le Privacy Shield comprenaient : le principe information sur les types de données personnelles collectées, le principe du choix d’accepter de partager ses données à des tiers, le principe d’intégrité des données, l’obligation d’assurer la sécurité des données, l’obligation de protéger les données lorsque celles-ci sont transférées, le droit d’être informé(e) des transferts, le droit d’accès, de rectification et de suppression des données transférées.

Privacy Shield: Les cadres Privacy Shield EU-US et Suisse-US ont donc été conçus par le Département de Commerce des États-Unis, la Commission Européenne et le gouvernement Suisse, pour fournir aux entreprises des deux côtés de l’Atlantique un mécanisme pour être conforme avec les exigences de protection de l’information. Il s’agit de l’information à caractère personnel, contenue dans les échanges à partir de l’Union Européenne et La Suisse vers les Etats-Unis, en support du commerce transatlantique.

Mais le citoyen autrichien Max Schrems, oui, le même Monsieur Schrems de l’arrêt Schrems de la CJUE de 2015, défenseur de la privacité des données personnelles, a contesté l’accord Privacy Shield en argumentant que les lois américaines sur la sécurité nationale ne protégeaient pas les citoyens de l’Union Européenne contre l’espionnage du gouvernement américain.

La motivation de cette affaire a été en partie provoquée par des fuites de l’ex-analyste de la CIA Edward Snowden, qui ont révélé l’étendue de la surveillance américaine.

Quant à la loi européenne sur la protection des données, elle stipule que les données ne peuvent être transférées hors de l’UE – aux États-Unis ou ailleurs – que si des garanties appropriées sont en place (Art. V du RGPD).

Dans l’arrêt de l’affaire C-311/18 Data Protection Commisionner/Maximilian Schrems et Facebook Ireland, publié dans le communiqué de presse No. 91/20 du 16 juillet 2020, la CJUE indique :

Selon la Cour, les limitations de la protection des données à caractère personnel qui découlent de la réglementation interne des États-Unis portant sur l’accès et l’utilisation, par les autorités publiques américaines, de telles données transférées depuis l’Union vers ce pays tiers, et que la Commission a évaluées dans la décision 2016/1250, ne sont pas encadrées d’une manière à répondre à des exigences substantiellement équivalentes à celles requises, en droit de l’Union, par le principe de proportionnalité, en ce que les programmes de surveillance fondés sur cette réglementation ne sont pas limités au strict nécessaire.

Et maintenant …

Selon l’Institut Européen University College London, plus de 5,300 entreprises utilisent le bouclier Privacy Shield, 65% d’entre-elles sont des PME.

Les entreprises concernées devront désormais signer des « clauses contractuelles types », des contrats juridiques non négociables établis par l’Europe, qui sont utilisés dans d’autres pays que les États-Unis.

Monsieur Schrems avait également contesté la validité des CCT (Clauses Contractuelles Type), mais la CJUE a choisi de ne pas les abolir. Mais elle a averti que ces contrats devraient être suspendus par les régulateurs (CNIL en France) de la protection des données si les garanties qu’ils contiennent ne sont pas respectées.

D’après la CNIL, « Les Clauses Contractuelles types sont des modèles de contrats de transfert de données personnelles adoptés par la Commission Européenne ».

On distingue les Clauses Contractuelles Types encadrant les transferts

• Entre deux responsables de traitement;
• Entre un responsable de traitement et un sous-traitant.

Etapes de la mise en place des Clauses Contractuelles Types

• Identifiez les parties : Cartographiez les différents transferts de données personnelles effectuées et identifiez les Clauses Contractuelles Type adaptées à votre cas (CCT de responsable de traitement à responsable de traitement ou de responsable de traitement à sous-traitant ?)
• Complétez les Clauses Contractuelles Types : Complétez les Clauses Contractuelles Types (notamment les Annexes sur la description des transferts)
• Effectuez les démarches nécessaires auprès de La CNIL : Transmettez les clauses à la CNIL uniquement dans le cas où vous avez modifié le contenu des modèles officiels de l’Union Européenne.

Les clauses contractuelles types (CCT) seront désormais examinées beaucoup plus attentivement.

En Août 2020, le Département du Commerce des Etats-Unis et Commission Européenne ont initié des discussions pour évaluer le potentiel d’un accord Privacy Shield amélioré qui serait conforme à la décision de Juillet 2020.

Vous souhaitez vous faire accompagner dans la mise en conformité réglementaire ? Les équipes iDNA peuvent vous aider.

Cet article Privacy Shield versus La Cour Européenne de Justice est apparu en premier sur iDNA.

Il n’y a pas si longtemps, pouvoir identifier de manière automatique les personnes qui transitaient par une rue, les suivre, tracer leurs mouvements et dépenses à travers leurs achats, connaître leurs états d’âme, leurs origines, leur genre, relevait de la science fiction. Cette technologie qui permet tout cela aux autorités, et pas uniquement, est parmi nous : nous rentrons dans l’ère Big Brother. Faut-il se cacher?

Cet article La reconnaissance faciale est-elle le nouveau Big Brother? est apparu en premier sur iDNA.

En effet, la présence toujours possible de vulnérabilités potentielles dans les systèmes d’information et la sophistication toujours grandissante des cyber-attaques font que la sécurité des clés de chiffrement, point d’entrée vers les données sensibles, est devenue vitale. Les algorithmes cryptographiques modernes deviennent de plus en plus résistants aux attaques mais, malgré tout, une vulnérabilité majeure reste présente: les clés de chiffrement.

C’est ainsi que les clés de chiffrement deviennent les valeurs les plus précieuses de l’entreprise, leur valeur étant équivalente à celle de l’information qu’elle protège : aussi il est indispensable de s’assurer de leur protection par différents moyens

Cet article Sécurité des clés de chiffrement dans le Cloud est apparu en premier sur iDNA.

Cet article Comment gérer les Faux-Positifs dans un SOC est apparu en premier sur iDNA.

Cet article Le Cloud et la sécurité orientée événements (Event Driven Security) est apparu en premier sur iDNA.