L’article Expert Line fait le point sur les jetons non-fongibles est apparu en premier sur Expert Line.

L’article Découvrez le nouveau paradis des hackers … est apparu en premier sur Expert Line.

L’article Interview Dorra est apparu en premier sur Expert Line.

Retrouvez les principaux projets, dispositifs et partenariats qui ont marqué l’activité de l’ANSSI en 2021.

Consulter le rapport d’activité 2021

Télécharger le rapport d’activité 2021
Télécharger la bibliographie

73% des entreprises déclarent le phishing comme vecteur d’entrée principal pour les attaques subies (7eme Edition du Baromètre Annuel du CESIN, France en 2022)

Le studio Toei Animation qui produit notamment One Piece a récemment été victime d’une cyberattaque le 6 mars dernier. Conséquences : le studio n’a pas eu d’autre choix que de l’interrompre totalement ses diffusions. Après 1 mois et demi d’absence, la situation semble s’être enfin arrangée. En effet, la diffusion des épisodes de One Piece a repris le 17 avril.

PME comme grands groupes personne n’est épargné…

Souvent relégué au second plan de par sa complexité à organiser l’entrainement et mobiliser les équipes, l’humain reste un pilier central dans votre politique cyber. 

Comment sensibiliser de manière efficace vos collaborateurs ?

De la plateforme de sensibilisation automatisée aux formations efficaces, Expert Line vous accompagne et vous partage des solutions concrètes et immédiates pour sensibiliser vos collaborateurs.

La sensibilisation des collaborateurs : la clé de voûte de la cybersécurité ?

Qu’est-ce que la sensibilisation à la cybersécurité ?

La sensibilisation aux risques cyber permet de transmettre aux utilisateurs les connaissances en cybersécurité dont ils ont besoin pour protéger des cyber attaquants les données confidentielles de votre entreprise.

Ce champ de la sécurité s’adresse à tous sans exception, employeurs, collaborateurs, partenaires, ainsi que tous les autres individus ayant le droit d’accéder, de stocker et de partager les données de l’organisation.

Manque de sensibilisation : quel impact sur la cybersécurité ? 

À l’heure du tout digital et de processus toujours plus connectés, les entreprises sont plus que jamais exposées à des actes de cybercriminalités.

Ouverture d’un mail frauduleux, utilisation d’une clé USB corrompue, perte ou vol d’un appareil professionnel (smartphone, ordinateurs, tablette) ou encore connexion à un réseau non sécurisé, nombreuses sont les occasions d’affaiblir la sécurité informatique d’une entreprise.

« L’erreur est humaine », certes, mais elle peut néanmoins entraîner de graves complications pour une entreprise. Voire, dans les plus fâcheuses situations, son déclin complet.

• 255% d’augmentation des notifications à l’ANSSI en 2020 contre 2019 (Source : l’ANSSI, 2021)
• 67% d’augmentation des brèches de sécurité (Source : Accenture Global Survey, 2019)
• 45 % des personnes réutilisent le mot de passe de leur compte de messagerie principal sur d’autres services. (Source : Centre national de la cybersécurité, 2019)

Les chiffres parlent d’eux même …

C’est pourquoi il est essentiel de sensibiliser ses collaborateurs aux risques cyber.  Mais comment faire ?

Sensibilisation aux risques cyber : Comment relever le défi ?

Identifier ses besoins en sensibilisation

La cybermenace est partout ! Les besoins ne vont évidemment pas être les mêmes en fonction de la taille de l’entreprise. Mais la finalité, elle, demeure inchangée : il faut protéger les données confidentielles et la pérennité de l’activité.

Toutes les entreprises sont concernées par cette problématique. Il ne faut pas tomber dans la facilité et croire que seuls les grands groupes sont les cibles privilégiées de cybermenaces.

Aujourd’hui, on observe une certaine prise de conscience sur le sujet, mais les actions concrètes restent encore trop rares. Mais alors que faire ?

Nos 5 recommandations d’expert

• La théorie

1. Les obligations légales liées à la sensibilisation des users 

• Code du travail

“L’employeur assure l’adaptation des salariés à leur poste de travail. Il veille au maintien de leur capacité à occuper un emploi, au regard notamment de l’évolution des emplois, des technologies et des organisations.” (L’article L.6321-1 du Code du travail)

On voit bien ce qu’il y a derrière ce texte : imposer à l’employeur une montée en compétence de ses salariés.  (…) On peut donc penser que former les collaborateurs à l’usage des outils numériques, aux spécificités du télétravail ou encore leur apprendre les règles d’hygiène de base de la sécurité informatique de l’Anssi sont des obligations pour l’employeur. (Maitre Eric Barbry Tribune Juridique 3, Expert line)

• RGPD

« Compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire ». (L’article 24, RGPD)

La formation et la sensibilisation des salariés constituent une « mesure appropriée » Au sens RGPD. (Maitre Eric Barbry Tribune Juridique 3, Expert line)

2. Informer les collaborateurs dans l’amélioration de la cybersécurité

Plus de 25 % des personnes interrogées omettaient de verrouiller leur ordinateur lorsqu’elles quittaient leur poste de travail le laissaient sans surveillance exposant ainsi leurs structures à de potentiels dangers. (Sondage de Shred-It)

Face à aux nombreuses failles dues à l’inattention humaine, un dirigeant ou responsable IT pourrait facilement se laisser décourager par l’ampleur du problème. Mais des solutions peuvent être trouvées. Mais la première reste de véritablement inclure et informer les équipes des risques cyber.

3. Accompagner ses équipes à monter en compétences

Il faut informer et inclure les collaborateurs dans l’optimisation de sa cyberdéfense mais également les accompagner à monter en compétence c’est-à-dire aller plus loin que la « simple » prise de conscience en accompagnant chacun a réellement monter en compétences afin d’éviter toute erreur ou faille dangereuse pour l’entreprise.

Compliance, Implication et Accompagnement de ses collaborateurs ? Oui mais comment ?

• La pratique

4. Les formations en sécurité informatiquesont des solutions pertinentes pour renforcer la défense informatique d’une entreprise.

Expert Line est un organisme de formation et propose un enseignement de qualité animé par des experts certifiés. Ces derniers considèrent que la formation et la sensibilisation sont essentielles à la performance car les logiciels et les systèmes évoluent constamment.

5. Une solution concrète et hyper « friendly » de training dédié aux salariés : Cyber Ready.

Cette plateforme cloud d’entrainement et de sensibilisation à la sécurité pour mieux appréhender les sujets liés aux cybermenaces comme le Phishing vous permettra de former les salariés aux bons réflexes. Notre méthodologie consiste à former en permanence vos collaborateurs.

Nous nous occupons de TOUT pour vous… ce qui signifie que vous n’avez pas à consacrer de ressources informatiques à la formation de vos employés. Cela signifie qu’à tout moment… 100% de vos employés seront formés et prêts.

Besoin d’aide pour sensibiliser vos collaborateurs ? Echangez avec nos équipes d’expert cyber 15 min juste ici. 👈

L’article La sensibilisation des collaborateurs : pour ou contre ? Quelles bonnes pratiques ? est apparu en premier sur Expert Line.

Formation en Cybersécurité : Quels sont les débouchés ? 

Une formation en cybersécurité offre de nombreuses opportunités professionnelles. Découvrez l’état du marché de la cybersécurité, et les meilleurs métiers de cette industrie en plein essor face aux nouvelles menaces.

Jamais auparavant la cybersécurité n’avait été si menacée. Au fil des dernières années, les menaces se multiplient avec l’essor des ransomwares, du cryptojacking ou encore des fuites de données.

La pandémie de Covid-19 n’a fait qu’amplifier ce danger, notamment par la généralisation du télétravail. En travaillant à domicile, chacun doit assurer la sécurité de ses propres appareils informatiques.

La guerre en Ukraine représente un nouveau cap, et les entreprises occidentales vont devoir faire face à de nombreuses cyberattaques russes en représailles des sanctions économiques infligées par plusieurs pays, en majorité membres de l’OTAN.

Dans ce contexte, la protection des systèmes d’exploitation, des réseaux, des ordinateurs et des données contre les malwares et autres cyberattaques est une priorité pour toutes les industries. Une formation en cybersécurité permet de se lancer dans une carrière d’avenir, et ouvre de nombreuses opportunités professionnelles.

En quoi consiste une formation en cybersécurité ?

Une formation en cybersécurité permet d’acquérir une expertise en protection des systèmes informatiques. Les programmes varient fortement d’un cursus à l’autre, mais couvrent généralement l’analyse de données de sécurité, la programmation, la connaissance des cybermenaces et des techniques de défense, les grands principes de conception de sécurité, l’assurance informatique, la cryptographie et l’aspect éthique ou légal.

Au moment de choisir une formation de cybersécurité, il est essentiel de bien passer en revue son programme. Les travaux pratiques et la prise en main des logiciels sont très importants, afin de s’entraîner à travailler en conditions réelles. Dans le passé, les plus grands experts en cybersécurité apprenaient directement sur le terrain en se confrontant aux hackers.

Face à la forte demande des entreprises, les universités proposent désormais des diplômes de cybersécurité. En parallèle, les formations en cybersécurité en ligne proposent d’excellents programmes tournés vers la pratique et le concret.

Comment se porte le marché du travail en cybersécurité ?

Les métiers de la cybersécurité sont exigeants, et requièrent beaucoup d’implication. Le paysage du piratage et de la cybercriminalité évoluent sans cesse, et se tenir à jour demande d’importants efforts. Toutefois, ces métiers sont très recherchés en entreprise et permettent de profiter d’un haut salaire.

En 2022, selon Cybersecurity Ventures, la lutte contre le cybercrime coûtera plus de 6 billions de dollars aux entreprises à l’échelle mondiale. À l’heure actuelle, on déplore une pénurie de talents face à ce fléau.

Un total de 2,93 millions de postes de professionnels de la cybersécurité est à pourvoir, selon ISC2. Et d’après le Bureau of Labours Statistics des États-Unis, le nombre d’emplois dans ce secteur augmentera de 28% d’ici 2026.

Les experts en cybersécurité sont nécessaires dans tous les secteurs, et notamment la finance, la santé et l’éducation. Leur tâche est de protéger les actifs, les transactions et les données des organisations de ces industries.

Actuellement, le salaire moyen des spécialistes en cybersécurité est de 97 000 dollars par an aux États-Unis. Le minimum s’élève à 67 000 dollars par an, et le maximum dépasse les 200 000 dollars par an.

Les possibilités d’évolution sont illimitées à condition d’avoir les compétences adéquates. Le secteur de la cyber se développe très rapidement, et les opportunités se multiplient pour les professionnels.

Quels sont les métiers de la cybersécurité ?

Il existe déjà une large variété de métiers, et de nouveaux rôles apparaîtront au fil des années à venir. Quel que soit le métier, la cybersécurité demande des compétences techniques, une attention aux détails, une capacité à résoudre les problèmes, et la capacité à analyser les risques.

Le spécialiste en sécurité est l’un des postes les plus accessibles dans le domaine de la cybersécurité. Son rôle est de protéger les logiciels et les systèmes de sécurité. Il supervise le fonctionnement des outils et s’assure de leur mise à jour, tout en développant des systèmes pour répondre aux besoins spécifiques de l’organisation.

L’analyste en sécurité se charge d’analyser les données et la stratégie de cybersécurité de l’entreprise. Il doit mener l’enquête pour découvrir d’éventuelles failles dans le système de défense, et détecter toute tentative d’intrusion ou activité suspecte. Son salaire va de 90 000 dollars à 160 000 dollars par an aux États-Unis.

Le cryptographe est un spécialiste du chiffrement. Il crée des systèmes et des algorithmes permettant de protéger les données contre les accès non autorisés et les fuites. En moyenne, aux États-Unis, un cryptographe gagne entre 70 000 et 100 000 dollars.

Un incident responder a pour mission de réagir aux piratages informatiques et autres situations d’urgence. Ce professionnel est sur le front du champ de bataille, et intervient lorsque le système ou le réseau d’une entreprise est compromis. Il contribue aussi à réduire le risque d’attaque, et doit être capable d’identifier les vulnérabilités et les activités suspectes. Il effectue aussi des tests d’intrusion et des analyses de risque. Le salaire annuel moyen dépasse les 110 000 dollars aux États-Unis.

Le testeur d’intrusion ou pentester, aussi appelé hacker éthique, a pour mission d’essayer de pirater le système informatique d’une entreprise. Le but est tout simplement de mettre ses défenses à l’épreuve. Cet expert en code informatique simule des attaques, et rédige des rapports pour partager les résultats de ses expériences. Le salaire annuel moyen atteint 84 000 dollars.

Enfin, le Chief Information Security Officer (CISO) ou directeur de la cybersécurité supervise toutes les règles et procédures de défense d’une entreprise. Cet expert doit rester au fait de toutes les tendances industrielles, du comportement des criminels aux dernières évolutions technologiques. C’est l’un des plus hauts postes du secteur de la cybersécurité, avec un salaire moyen dépassant les 220 000 dollars par an aux États-Unis.

Avec près de 3 millions de postes à pourvoir dans le monde, la cybersécurité n’attend que vous. Pour lancer votre carrière, suivez une formation en cybersécurité pour être opérationnel immédiatement. Vous pourrez profiter de nombreuses opportunités d’emploi, et contribuer à la lutte mondiale contre le cybercrime.

L’article Formation en Cybersécurité : Quels sont les débouchés ?  est apparu en premier sur Actualité Informatique.

Plusieurs entreprises ont déjà été victime de fraude financière et de cyberattaques car un ou plusieurs employés sont tombés dans le piège d’un simple e-mail de phishing.

Il est impossible de savoir quelles entreprises sont encore potentiellement soumise à ce risque. Il est très important de prendre des mesures

Communiqué de presse: https://news.belgium.be/fr/les-cybercriminels-exploitent-les-boites-mail-dentreprises-belges-pour-voler-des-mots-de-passe

Lien vers Cybersecurity Kit: https://www.cybersecuritycoalition.be/fr/outils/

Hey ! Bonjour à toutes et à tous ! Nous voici ensemble de nouveau afin d’aborder un sujet qui est de plus en plus d’actualité, mais qui est également devenu un terme que nous entendons ou utilisons au quotidien, et parfois même sans savoir ce que ça sous-entend vraiment, la sauvegarde. Qu’est-ce qu’une sauvegarde concrètement …

L’article Pourquoi est-il impératif de faire des sauvegardes ? est apparu en premier sur Tech2Tech | News, Astuces, Tutos, Vidéos autour de l'informatique.

« Bonjour Mamam » « C’est mon nouveau numéro de téléphone, j’ai eu un soucis avec l’ancien. Tu peux l’ajouter dans tes contacts ». Et voila comment quelques minutes plus tard, vous allez certainement être allégé de 3000 euros. Cette fraude au faux ami ou faux membre de famille n’est pas vraiment nouvelle. Pourtant, elle fait encore des victimes quasiment tous les jours.

La vidéo sur YouTube : https://youtu.be/ASPGRczihXA

La vidéo sur Instagram (Le_Fraudeur_Le_Hacker_Et_Vous) : https://www.instagram.com/le_fraudeur_le_hacker_et_vous/

À l’origine, la cryptographie a pour but de permettre à deux intervenants (traditionnellement dénommés Alice et Bob) d’échanger des messages sans qu’un autre intervenant (traditionnellement appelé Ève) puisse en prendre connaissance. Alice et Bob vont donc se mettre d’accord sur une méthode pour échanger chaque message M sous une forme chiffrée C. Ève peut observer le médium par lequel transitent les chiffrés C, et prendre connaissance de chacun d’entre eux, mais elle ne peut pas retrouver les informations échangées sans la connaissance du secret adéquat, qu’on appelle généralement clé.

C’est un exercice très ancien, puisque l’on parle par exemple du « chiffre de Jules César ». Il a cependant pris une très grande importance ces dernières années, en raison de la nécessité croissante d’échanger des informations. La cryptographie est ainsi devenue un élément essentiel de notre vie quotidienne. Au-delà de l’échange de messages, les mécanismes cryptographiques sont utilisés dans de nombreux objets du quotidien, pour identifier et authentifier les utilisateurs et leurs transactions. On trouve ces mécanismes dans les téléphones, pour chiffrer et authentifier les communications entre le téléphone et les antennes radio, ou encore dans les clés de voiture, les cartes bancaires, etc.

Internet a aussi popularisé le cadenas dans les navigateurs, pour indiquer que les communications entre le navigateur et le serveur sont protégées par des mécanismes cryptographiques. Pour fonctionner correctement, ces mécanismes nécessitent d’utiliser des nombres aléatoires, dont la qualité (plus précisément leur non-prédictibilité) participe à la sécurité des protocoles.

Les algorithmes cryptographiques

Pour transformer un message M en chiffré C par le biais d’un algorithme A, on utilise des clés. Dans les algorithmes dits symétriques, on parle de clés secrètes (Ks), qui sont partagées et gardées secrètes par Alice et Bob. Dans le cadre d’algorithmes asymétriques, on trouve des paires de clés publiques (KPu) et privées (KPr). Pour chaque utilisateur, KPu est connue de tous, alors que KPr doit être conservée précieusement par son possesseur. L’algorithme A est également public, ce qui signifie que le secret de la communication repose uniquement sur le secret des clés (secrètes ou privées).

Parfois, le message M transmis n’est pas important en soi, et le chiffrement d’un message M donné a pour but de vérifier que son correspondant peut le déchiffrer. Cette preuve de la possession de Ks ou KPr peut servir dans certains schémas d’authentification. Dans ce cas, il est important de ne jamais utiliser plusieurs fois le même message M, puisque cela permettrait à Ève de connaître des informations relatives aux clés. Il est donc nécessaire de générer un message aléatoire NA, qui changera à chaque fois qu’Alice et Bob voudront entrer en communication.

L’exemple le plus connu et vraisemblablement le plus utilisé de ce mécanisme est l’algorithme de Diffie-Helman. Cet algorithme permet à un navigateur (Alice) et un site web (Bob) d’obtenir une clé secrète Ks identique, différente à chaque connexion, en ayant échangé leurs KPu respectifs au préalable. Ce processus s’exécute par exemple lors d’une connexion à un site marchand. Cela permet au navigateur et au site web d’échanger des messages chiffrés avec une clé qui sera détruite à la fin de chaque session. Cela signifie qu’on n’a pas besoin de la conserver (simplicité d’utilisation, sécurité car il y a moins de chance de perdre cette clé). Cela implique aussi qu’on ne chiffrera pas beaucoup de trafic avec une même clé, ce qui rend les attaques par cryptanalyse plus difficiles que si on utilise toujours la même clé.

La génération des nombres aléatoires

Pour qu’Ève ne puisse pas obtenir la clé secrète, il est très important qu’elle ne puisse pas deviner le message NA. En pratique, ce message est souvent un grand nombre aléatoire utilisé dans les calculs définis par l’algorithme choisi.

Initialement, la génération d’aléa a été utilisée pour de nombreux travaux de simulation. Pour obtenir des résultats pertinents, il est important de ne pas répéter la simulation avec toujours les mêmes paramètres, mais de répéter la simulation avec des paramètres différents, et ce des centaines voire des milliers de fois. On cherche alors à générer des nombres qui respectent certaines propriétés statistiques et qui ne permettent pas de différencier la suite de nombres d’une suite qui serait obtenue par des tirages de dés, par exemple.

Pour générer un nombre aléatoire NA utilisable dans ces simulations, on utilise généralement des générateurs dits pseudo-aléatoires, qui appliquent un algorithme de retraitement à une valeur initiale, dénommée « semence ». Ces générateurs pseudo-aléatoires ont pour but de produire une suite de nombres qui ressemble à une suite aléatoire, d’après ces critères statistiques. Cependant, en utilisant deux fois la même semence, on obtient deux fois la même suite.

L’algorithme du générateur pseudo-aléatoire est généralement public. Si un attaquant est capable de deviner la semence, il est capable de générer la séquence aléatoire, et donc d’obtenir les nombres aléatoires utilisés par les algorithmes cryptographiques. Dans le cas précis de la cryptographie, l’attaquant n’a même pas nécessairement besoin de connaître exactement la valeur de la semence. S’il est capable de deviner un ensemble de valeurs, cela suffit pour calculer rapidement toutes les clés possibles et casser le chiffrement.

Dans les années 2000, les programmeurs ont utilisé des semences qui pouvaient être facilement devinées, basées sur le temps par exemple, rendant les systèmes vulnérables. Depuis, pour éviter cette capacité à deviner la semence (ou un ensemble de valeurs de cette semence), les systèmes d’exploitation se basent sur un mélange d’éléments physiques du système (température du processeur, connexions sur le bus, etc.). Ces éléments physiques sont impossibles à observer pour un attaquant, varient fréquemment, et donc forment une bonne source de semence pour les générateurs pseudo-aléatoires.

Quid des vulnérabilités ?

Bien que le domaine soit aujourd’hui bien compris, les générateurs de nombres aléatoires font encore parfois l’objet de vulnérabilités. Ainsi, entre 2017 et 2021, les chercheurs en cybersécurité ont trouvé 53 failles de ce type (CWE-338). Cela ne représente qu’un petit nombre des failles logicielles (moins de 1 pour 1 000). Plusieurs de ces failles sont cependant de niveau élevé ou critique, indiquant qu’elles peuvent être assez facilement utilisées par des attaquants, et qu’elles sont largement répandues.

Un exemple emblématique en 2010 est l’erreur de Sony sur le système de signature des logiciels de la PS3. Dans ce cas, la réutilisation d’un aléa pour deux signatures distinctes a permis à un attaquant de retrouver la clé privée du fabricant : il devient alors possible d’installer n’importe quel logiciel sur la console, y compris des logiciels piratés ou des malwares.

Sur la période 2017-2021, des failles ont également touché des composants physiques : les processeurs Intel Xeon, les puces Broadcom utilisées pour les communications, et les processeurs Qualcom SnapDragon embarqués notamment dans les téléphones portables. Ces failles affectent la qualité de la génération des nombres aléatoires. Par exemple, CVE-2018-5871 et CVE-2018-11290 concernent un générateur de semence dont la périodicité est trop courte, c’est-à-dire qui répète la même suite de semences rapidement. Ces failles ont été corrigées et elles ne touchent que certaines fonctions du matériel, ce qui limite le risque.

La qualité de la génération des nombres aléatoires est donc effectivement un problème de sécurité. Les systèmes d’exploitation s’exécutant sur des processeurs récents (moins de 10 ans) disposent de mécanismes de génération de nombres aléatoires basés sur le matériel. Cela permet en général d’assurer une bonne qualité de ceux-ci et donc un bon fonctionnement des algorithmes cryptographiques, même si des vulnérabilités ponctuelles peuvent survenir. En revanche, la difficulté est spécialement marquée du côté des objets connectés, dont les capacités matérielles ne permettent pas d’implémenter des générateurs aléatoires aussi performants que ceux disponibles sur ordinateurs et smartphones, et qui s’avèrent souvent plus vulnérables.

Hervé Debar a reçu des financements de l'Agence Nationale de la Recherche (ANR), de l'Agence Innovation Défense (AID), de BPI France et de l'Union Européenne.

Olivier Levillain a reçu des financements de l'Agence Nationale de la Recherche (ANR), de l'Agence Innovation Défense (AID) et de l'Union Européenne.

Le succès des parcours de cybersécurité a démontré l’importance d’accompagner les collectivités territoriales pour renforcer leur cybersécurité. Un nouveau mécanisme, destiné en priorité à aider les communes et communautés de communes les plus petites, est aujourd’hui proposé.

Son but : soutenir l’acquisition, par les structures en charge de la transformation numérique des collectivités, de produits et services mutualisés pour leurs adhérents. Ces produits et services doivent renforcer le niveau de cybersécurité des structures bénéficiaires de manière simple et en adéquation avec leurs besoins immédiats de cybersécurité.

Qui est concerné : le dispositif est accessible aux structures de mutualisation en charge de l’accompagnement à la transformation numérique des collectivités territoriales. Il s’agit par exemple des opérateurs publics de services numériques, des centres de gestion départementaux, des syndicats mixtes en charge du numérique. Seuls les structures publiques, associatives ou les groupements d’intérêt public pourront être subventionnés.

Comment candidater : chaque candidat dépose un projet sur la plateforme Démarches simplifiées, détaillant son projet, les bénéficiaires, le coût et le calendrier du projet. Le soutien se fait au travers d’une subvention calculée selon le nombre d’habitants concernés par collectivité adhérente, plafonnée pour les communes les plus importantes, et incluant un soutien pour le déploiement et la mise en service.

Retrouvez toutes les informations sur l’appel à projet ci-dessous !

Dans le contexte actuel en Ukraine, les autorités françaises nous mettent en garde contre de potentielles cyber attaques et nous alertent sur l’utilisation à long terme des logiciels de sécurité de l’éditeur russe Kaspersky.

Si beaucoup d’entreprises choisissent aujourd’hui de changer de fusil d’épaule, parfois rapidement … le sujet est bien entendu technique mais pas que …

Décryptage et recommandations d’Expert Line au cœur de l’actualité …

__________________________

L’utilisation de Kaspersky représente-t-il une réelle menace cyber ?

L’ANSSI nous invite à réfléchir sur l’usage à long terme de l’antivirus Kaspersky. Conseil formel ou simple recommandation ?

Aujourd’hui de plus en plus d’enjeux géopolitiques s’invitent dans notre quotidien. Dans un « espace numérique sans frontières », l’invasion de l’Ukraine par la Russie n’est pas sans conséquences et engendre des effets dans le cyberespace.

L’Agence nationale française de sécurité des systèmes d’information (ANSSI) a souligné le risque lié aux cyberattaques dans ce conflit. Mais qu’en est-il vraiment ?

La guerre en Ukraine : Kaspersky dans le collimateur de l’ANSSI

C’est dans ce contexte-là, que le 2 mars dernier, l’ANSSI publie une note dans laquelle elle met en garde les utilisateurs des produits Kaspersky : « Dans le contexte actuel, l’utilisation de certains outils numériques, notamment les outils de la société Kaspersky, peut être questionnée du fait de leurs liens avec la Russie ».

Simple suggestion ou conseil formel ?

L’ANSSI tempère son propos en ajoutant qu’il n’y a « A ce stade, aucun élément objectif ne justifie de faire évoluer l’évaluation du niveau de qualité des produits et services fournis. »

 Néanmoins certains risques sont clairement identifiés à court terme !

Le risque lié à la fin des mises à jour des logiciels Kaspersky

Le risque soulevé par l’ANSSI est : la fin des mises à jour des logiciels Kaspersky. En effet, elle s’inquiète surtout de “la capacité de ces entreprises à fournir des mises à jour de leurs produits et services et donc de les maintenir à l’état de l’art nécessaire pour protéger leurs clients. À moyen terme, une stratégie de diversification des solutions de cybersécurité doit par conséquent être envisagée »”.

Le principal intéressé n’a pas tardé à réagir officiellement à la note publiée par l’ANSSI :
« Les équipes de Kaspersky examinent activement tous les risques liés à la situation actuelle et procèdent en permanence aux évaluations nécessaires des impacts potentiels liés aux restrictions des processus internationaux d’échange de données sur les produits et services de l’entreprise. »

De plus, elle ajoute que les services de données de Kaspersky « ont fait l’objet d’une certification indépendante IS027001 par TÜV AUSTRIA et ont été recertifiés en 2022 sur un périmètre étendu, de sorte que les services de données pour le traitement des données liées aux cybermenaces et des statistiques sont couverts par la certification. »

Nos recommandations d’expert :

Même protégé par une certification, la question se pose.

D’autant qu’2017, Kaspersky avait déjà fait l’objet d’accusations de la part des États Unis.  En effet, l’entreprise avait été soupçonnée de servir de passerelle pour l’espionnage et l’exfiltration de données. Cela étant, les solutions de Kaspersky ont été bannies des administrations américaines.

Notre avis sur le sujet est assez clair. Il paraît évident que si vous n’utilisez pas encore Kaspersky, il vaut mieux l’éviter et privilégier des solutions d’éditeurs comme Trend Micro.

Si vous utilisez Kaspersky, mieux vaut continuer à l’utiliser, du moins le temps de déployer une solution alternative plutôt que de rester sans protection !

Malheureusement c’est ce que l’on constate lorsque nous échangeons avec nos clients. Certains font le choix de tout débrancher d’un coup ! Ce choix est le pire des scénarios car la menace cyber est bien réelle et cela peut-être bien plus préjudiciable que de garder Kaspersky à court terme.

Il n’en va pas moins que les entreprises se posent également une question plus « éthique »

Quand l’éthique s’invite dans le choix des solutions cyber …

Chez Expert Line, nous avons aujourd’hui de nombreux appels. Et si bien entendu les risques liés à l’efficacité de la protection de l’éditeur Kaspersky est mise en cause à court terme, le débat s’anime rapidement autour de l’éthique.

Aujourd’hui, les entreprises font particulièrement attention à leurs communications et notamment leurs engagements pour la planète, la diversité, la laïcité … le fameux RSE ! (Responsabilité sociétale des entreprises).

Face à la guerre Russo Ukrainienne, les entreprises sont soucieuses de l’image qu’elles véhiculent à travers les produits qu’elles utilisent. Mais pas que …

Beaucoup d’entreprises s’associent à l’Ukraine et souhaitent soutenir l’Ukraine d’une manière ou d’une autre.

C’est une des raisons majeures de remise en cause de l’utilisation des solutions Kaspersky.

Nos recommandations d’expert :

Si l’éthique de l’entreprise est un sujet majeur, il est important de ne pas réagir à chaud et de prendre « des précautions élémentaires ». Il est important d’anticiper toutes ces questions pour ne pas se retrouver sans solution.

Nous conseillons nos clients au quotidien sur ces sujets et au-delà de la question technologique Trend Micro il est primordial de prendre des décisions adaptées à votre contexte et vos besoins.

L’article Kaspersky dans la tourmente … est apparu en premier sur Expert Line.

Depuis avril 2019, l’ANSSI et le ministère de l’Éducation nationale, de la Jeunesse et des Sports (MENJS) s’associent dans le but commun d’œuvrer au développement de la formation des élèves à la cybersécurité – en tant que domaine d’apprentissage – au-delà de leur sensibilisation au risque numérique et aux bonnes pratiques en la matière (en savoir plus).

En permettant aux jeunes de se former à la cybersécurité, l’ANSSI et le MENJS souhaitent également permettre l’émergence de vocations pour le domaine, notamment chez les jeunes filles, moins nombreuses à choisir les carrières cyber.
Conçu par le Laboratoire d’innovation publique de l’ANSSI et le 110bis, CyberEnJeux est un kit destiné aux enseignants souhaitant former des élèves de collège (cycle 4) et de lycée à la cybersécurité en les accompagnant dans la conception de jeux sérieux sur ce thème. Dans le cadre de CyberEnJeux, la création de jeux par les élèves eux-mêmes constitue donc un moyen d’apprentissage et non un objectif en soi.

À cette fin, le kit CyberEnJeux inclut :
– des informations pratiques pour guider les enseignants dans la conception d’une séquence pédagogique de création de jeux sérieux avec les élèves ;
– 14 fiches thématiques dédiées à différents enjeux de cybersécurité destinées prioritairement aux enseignants afin de les aider à acculturer leurs élèves à ces enjeux ;
– 14 fiches “objectifs pédagogiques” ayant vocation à être sélectionnées par les élèves en vue de guider la thématique de leur jeu ;
– du matériel de prototypage de jeux et une vidéo de présentation de l’usage possible de ce matériel.

Avec CyberEnJeux, l’ANSSI et le MENJS entendent agir sur trois volets importants du développement de l’enseignement à la cybersécurité chez les jeunes :
– L’élaboration de ressources pédagogiques permettant de développer la formation des élèves à la sécurité numérique, au travers d’enseignements adaptés.
– La formation des enseignants à la cybersécurité afin de leur permettre de guider les élèves dans ces apprentissages.
– Le développement d’outils d’apprentissage innovants, aptes à intéresser les enseignants et les élèves à la formation à la cybersécurité.

Une première expérimentation au sein de 10 établissements

En juin 2021, un appel à volontaires a été lancé à la communauté éducative en vue de tester CyberEnJeux auprès d’élèves de collège et de lycée dès la rentrée 2021-2022. Dix enseignants ont répondu présent et ont testé entre octobre 2021 et janvier 2022 une séquence axée sur la création de jeux sérieux sur la cybersécurité basée sur CyberEnJeux au sein de leur établissement. Au total plus de 300 élèves ont participé à l’expérimentation et plusieurs dizaines de jeux ont ainsi été créés.

Lors de l’expérimentation, l’ANSSI et le MENJS souhaitaient tester plusieurs hypothèses, au premier rang desquelles :
– L’intérêt des enseignants au regard de leurs enseignements pour la formation de leurs élèves à la cybersécurité et pour un format d’apprentissage innovant (la création de jeux).
– L’utilité des ressources pédagogiques élaborées à leur profit et leur capacité à les restituer aux élèves.
– L’intérêt des élèves pour le domaine de la cybersécurité.

Bilan de l’expérimentation : des retours positifs et le lancement d’une nouvelle version en vue d’une diffusion plus large à l’échelle des académies de métropole et d’outre-mer.

Un bilan détaillé de l’expérimentation a été élaboré dans un rapport, faisant, pour commencer, état des retours enthousiastes des enseignants et des élèves ayant participé à la séquence CyberEnJeux. Plusieurs séquences pédagogiques ont également fait l’objet de valorisation, via les réseaux sociaux, au travers d’articles rédigés par les enseignants relatant l’expérimentation, une vidéo de présentation ou encore dans la presse.

L’expérimentation a, en outre, permis de valider les principales hypothèses posées au départ :
– Les élèves ont montré un intérêt très vif pour les enjeux de cybersécurité, en particulier sur les sources de menaces et les moyens de se protéger mais aussi sur des thématiques plus politiques comme les enjeux de paix et de sécurité internationale.
– Les enseignants ayant participé à CyberEnJeux confirment avoir acquis de nouvelles connaissances au sujet de la cybersécurité au travers des fiches pédagogiques considérées comme intéressantes et utiles. Lorsque des temps de formation dédiés ont été prévus, les enseignants sont également parvenus à acculturer les élèves à ces enjeux.
– La séquence CyberEnJeux a trouvé une place naturelle dans le cadre de l’enseignement de seconde des sciences numériques et technologie mais également dans d’autres enseignements en pouvant se raccrocher à plusieurs référentiels de compétences, permettant l’évaluation des élèves.
– Le format pédagogique innovant d’implication des élèves dans la création de jeux sérieux a été très apprécié et a suscité, au-delà des hypothèses initiales, d’autres développements positifs : autonomie des élèves, auto-organisation, auto-formation. À titre d’anecdote rapportée par un enseignant, un élève de seconde en situation de décrochage s’est, au travers de CyberEnJeux, réinvesti dans son parcours scolaire.

Plusieurs axes d’amélioration de CyberEnJeux ressortent des retours détaillés collectés auprès des enseignants, notamment sur le temps de préparation et de pilotage de la séquence par les enseignants, la formalisation des modalités d’évaluation de la participation des élèves au regard des référentiels de compétences existants, ainsi que le conseil aux enseignants sur l’accompagnement des élèves dans les différentes étapes de conception d’un jeu sérieux.

Fort des résultats positifs de l’expérimentation et des axes d’amélioration identifiés, le MENJS et l’ANSSI ont décidé d’élaborer une nouvelle version de CyberEnJeux en vue de le diffuser plus largement à l’échelle des académies de métropole et d’outre-mer.

Télécharger le bilan de l’expérimentation
Télécharger les annexes du bilan de l’expérimentation

Pour en savoir plus :

Conçu sous licence Etalab 2.0, le kit CyberEnJeux est accessible dans sa version Bêta. Une version mise à jour de CyberEnJeux est en cours de conception. CyberEnJeux est accessible à tout curieux souhaitant approcher de manière ludique la cybersécurité, qu’il s’agisse d’agents publics gravitant dans les sphères éducatives et/ou sécurité numérique, de membres d’une collectivité territoriale, d’une association, etc.
Télécharger le document dans sa version bêta (format PDF)

N’hésitez pas à informer le laboratoire d’innovation de l’ANSSI et du 110bis de vos utilisations du kit : nous serons ravis de récolter vos retours en vue de l’améliorer ! Contactez-nous à lab-innov[at]ssi.gouv.fr et à 110bis[at]education.gouv.fr.