Articles about corporate information security and leadership. Nothing posted on this blog relates to my work at my employer.
The views expressed here may not necessarily reflect those of my employer.
The complexity of using PGP. The bad guys don't use that tool anymore ^^ The good neither. (From XKCD)
A sorry but so plausible story of an engineer outsourcing his own job to China by himself. And comments about logging systems. (From Aaron Weiss @ eSecurity Planet)
À propos du ROI du BYOD, j'ai lu cela dans Les Échos :
La généralisation du Byod (« Bring your own device », littéralement, « Apportez votre propre matériel ») impose d'établir une ligne de conduite. Enjeu de réduction des frais pour l'entreprise - supprimer un poste informatique génère un gain de 1.500 euros par an et par salarié - l'introduction dans l'entreprise de l'équipement personnel du salarié pose la question de la confidentialité des données véhiculées et de la protection des serveurs contre les cyberdélinquants.
Et là je dis attention ! Si l'on considère généralement que le coût d'un poste informatique est de l'ordre de 1 500 €, voire plus, c'est que l'on inclut dans ce coût total bien autre chose que le matériel. Le coût d'un poste informatique est composé de l'achat du matériel, qui peut être aussi bas que 300 € dans certains cas, de l'infrastructure centrale (serveurs, stockages, licences...), de l'infrastructure de distribution (réseaux internes, WiFi, accès Internet), des salaires du personnel et d'autres éléments, tels que les prestations de sociétés de services, qui peuvent représenter davantage de quantité de travail au sein d'une DSI que celle des employés à proprement parler.
Or, c'est en supposant qu'un poste traditionnel a le même coût d'entretien qu'un poste BYOD qu'on introduit une bonne dose d'erreur dans les prévisions de réduction de frais.
En effet, qui dit BYOD dit aussi :
Nouveaux accès réseaux : extension du WiFi, mise en place systématique de VPNs...
Mise en place d'infrastructures centrales : logiciels de gestion spécifiques aux smartphones, app stores internes, web-isation d'anciennes applications métier...
Augmentation de l'hétérogénéité des terminaux du SI, entraînant une surcharge de travail dans l'administration, la maintenance, le help desk... Là où on avait une hyper-majorité de Windows, on obtient très vite : Windows (XP, Seven, Phone), Android, iOS (iPhones et iPads). Plus le Mac OSX d'un directeur qui y tient et les restants de BlackBerry d'il y a quelques années !
Nouvelles compétences d'administration à acquérir. Si on a une charge de travail, il faut avoir les compétences nécessaires pour s'en acquitter. Et là où il est très facile de recruter des gens connaissant Windows et Linux, on trouve peu de monde pour les autres OS.
Nouvelles compétences de développement à acquérir. Ce point est souvent complètement oublié par les décideurs. Tant pour l'administration que pour l'exploitation, de nombreux petits logiciels sont souvent développés par une DSI. Il va falloir acquérir les compétences sur le tas ou recourir à des formations rares ou à des prestations coûteuses.
En conclusion, je dirais que, comme le BYOD est de toutes façons inévitable, les décideurs devraient tout particulièrement bien peser le poids financier d'une bonne uniformisation des flottes de mobiles. Le coût d'achat étant mineur dans le coût total de possession d'un terminal, l'incitation, même financière, des employés à se munir d'un modèle ou d'une marque données me semble très rentable.
This Slashdot piece of news was referred to me. The funniest part is the comments. Go check.
Strangely, people tend to read this piece of news as just "Oh, the US is doing some privacy-breaking spying." whereas I read it as "Oh, Europe is going to rebel. Will be funny."
Supposons que l'on veuille écrire un ensemble de textes de conférences. On commence par poser le template. On a écrit deux fois « Penser à reprendre le PC portable aussitôt ».
Si maintenant on veut modifier ce texte, on est obligés de le modifier deux fois... Mais on peut faire mieux. Cliquer sur Insertion → Champs → Autres.
Choisir Champ d'utilisateur et Texte. Saisir un nom pour le texte, le texte lui-même, puis cliquer sur la coche « Appliquer ».
Le nouveau « champ utilisateur » apparaît dans la colonne du milieu. Le sélectionner, puis cliquer sur Insérer.
L'insérer de cette façon à tous les endroits du document où il y en a besoin et supprimer l'ancien texte.
On peut maintenant modifier en un seul endroit toutes les instances de ce bout de texte. Exemple : on ajoute « et tous les câbles » au texte.
Et on voit bien que la modification est immédiatement reportée dans toutes les instances de ce texte.
de Communication (SSI) à Moi Bonjour, L’ANSSI vient de publier le guide d’hygiène informatique. Vous pourrez le trouver sur le site Internet de l’ANSSI : www.ssi.gouv.fr/hygiene-informatique N’hésitez pas à nous contacter si vous désirez recevoir le guide au format papier. Nous vous remercions encore pour votre contribution à l'amélioration de ce guide.
Cordialement,
Le bureau communication de l’ANSSI
Alors comme ça, le guide est paru ? Histoire de mener chaque chose à son terme, je me décide à vérifier quelles remarques parmi les miennes ont été prises en compte. Il y a 28 points concrets dans mes commentaires. Résultat du parcours du nouveau guide :
64% des remarques que j'ai formulées ont été prises en compte sous une forme ou sous une autre. Il faut nuancer les 36% restants. En effet, certaines remarques s'entendent dans un contexte qui serait long à expliquer dans un tel guide. L'ANSSI doit faire des choix, aussi tout ne peut pas être retenu.
J'apprécie extrêmement le professionnalisme de certaines agences gouvernementales, notamment la CNIL et désormais l'ANSSI :
Publier un draft.
Appeler à commentaire.
Publier une version corrigée.
Remercier les personnes qui ont commenté et les inviter à télécharger le document.
Je viens d'apprendre l'histoire horrible du suicide d'Amanda Todd, cette jeune Canadienne qui a été persécutée sur les réseaux sociaux par un inconnu qui savait tout d'elle. Pour mieux comprendre l'histoire, autant l'écouter elle-même quand elle présente son cas, peu avant son suicide :
Qu'en dire ?
Le taux de suicide des jeunes est de l'ordre de 0,5 à 3 sur 10 000 dans les pays développés. Les taux de tentatives de suicide sont encore plus haut. Et ceux de comportements à risques mortels en toute connaissance de cause sont encore encore plus haut. Aussi, le suicide en soi ne m'étonne pas.
Ce qui m'étonne par contre pour cette pauvre malheureuse, c'est surtout qu'elle n'ait pas trouvé à rebondir alors que ses parents étaient au courant (déménagements, changements d'école) et qu'elle-même semblait avoir bien conscience du problème.
Facebook dans l'affaire ?
L'internet et les réseaux sociaux ne me semblent statistiquement pas un terreau digne d'un intérêt spécifique dans la lutte contre le suicide. Par contre, le rapport de cette fille en particulier à ces médias mérite d'être étudié. La mise en scène de son propre cas est un phénomène étonnant, proche de la mise en scène du suicide. Non pas un appel à l'aide mais un rejet de la honte sur les autres. Je ne suis pas médecin mais je pense que c'est un sujet d'intérêt.
Surveiller l'usage des réseaux sociaux ?
Des collègues ou des relations qui connaissent mes activités professionnelles m'ont souvent interrogé sur la façon de mieux surveiller leurs enfants. Ils sont inquiets de ce qui peut passer inaperçu sur les réseaux sociaux. La crainte du violeur ou du kidnappeur rencontré sur internet est omniprésente, la crainte aussi que l'enfant ait simplement trop de "mauvaises fréquentations" qui lui ruineraient la vie.
Ma première réaction est toujours de bien clarifier que je suis RSSI d'entreprise, pas RSSI familial. Je suis professionnel, on ne se refait pas.
Ma seconde est de rappeler que rien ne remplace une vraie relation de confiance avec l'enfant. S'il vient demander conseil, s'il ose parler de ses doutes, de ses peurs, s'il ose avouer ses maladresses avant que le pire ne soit arrivé, alors le risque sera réduit de beaucoup. (Note : c'est la même chose en entreprise entre le RSSI et l'informaticien. Une relation de confiance est primordiale.)
Et si le réseau social participait à la lutte contre le suicide ?
C'est une remarque d'informaticien : on sait faire de la publicité ciblée, on sait corréler les informations reçues de divers réseaux sociaux, pourquoi ne mettrait-on pas en place des robots, des applis iPhone, Android ou Facebook, qui préviendraient les services SOS Suicide d'une personne qui pourrait passer à l'acte ? Il y a clairement des signes avant-coureurs qui pourraient être récoltés par le cloud.
Divers cas d'usage et d'utilité peuvent être envisagés :
Détection automatisée des personnes à risque,
Premiers secours automatisés ou accélérés,
Transfert automatisé ou accéléré du cas à des contacts de proximité de la personne,
Récolte en ligne de données-clés permettant de connaître mieux et plus vite le cas de la personne,
Prévision de rechute ou de passage à l'acte pour des personnes connues,
Étude statistique des facteurs clés qui peuvent contribuer au comportement suicidaire (par recherche des similarités entre les cas).
Ainsi, le réseau social ne serait plus seulement l'outil du tortionnaire mais aussi celui du médecin. Plus seulement un lieu où le réseau amoncelé renforce la pression sociale et les préjugés mais aussi un lieu où l'on casserait les cercles vicieux en mettant à profit l'irruption possible d'un bienfaiteur anonyme.
Une remarque pour les blogueurs du Cloud qui s'appuient sur des enquêtes statistiques du type : opinion des DSI.
Il faut réinterpréter la « peur du Cloud » : quand un DSI dit que la sécurité du Cloud est sa première préoccupation, il ne veut pas dire que la confidentialité, l'intégrité ou la disponibilité du Cloud lui font peur. Il veut dire que la pérennité des habitudes, des services et des budgets de sa DSI sont menacés par le Cloud.
C'est une peur rationnelle : comme beaucoup de managers expérimentés, il a surtout peur que les choses changent trop vite et qu'elles ne soient plus contrôlables.
Alors, à mon avis, il faut nuancer les chiffres sur la peur de l'insécurité dans le Cloud.
Posts
