Le Livre Bleu PDF

SOMMAIRE
1. INTRODUCTION.......................................................................................................................
2. LES ENJEUX ET LA DIALECTIQUE...........................................................................................
2.1. PRAMBULE..........................................................................................................................
2.2. LRE NUMRIQUE : DE LGE DE PIERRE LGE DU SILICIUM ?.....................................................
2.3. DISTINGUER SECRET ET CONFIDENTIALIT ?................................................................................
2.4. LES 3 SPHRES : PROFESSIONNELLE, PRIVE, PUBLIQUE.................................................................
2.5. LES 3 GNRATIONS : BABY BOOMERS / GNRATION X / GNRATION Y..............................................
2.6. GESTION DE LA CONFIDENTIALIT ET SCURIT / SRET................................................................
2.7. QUELLE PLACE POUR LA CYBER-THIQUE ?..................................................................................
2.8. LEXEMPLE DE LA SANT..........................................................................................................
2.9. SYNTHSE.............................................................................................................................
3. CADRER LA PROBLMATIQUE................................................................................................
3.1. SECRET ET TRANSPARENCE : AU CUR DE LA GESTION DES ORGANISATIONS ?....................................
3.2. LES TEXTES DE LOI SUR LE SECRET ET LA CONFIDENTIALIT : LE TROP PLEIN ?....................................
3.3. LE RLE DES NORMES INTERNATIONALES : UN LANGAGE ENFIN PARTAG ?........................................
3.4. DES RFRENTIELS NATIONAUX : AU-DEL DU DOMAINE PUBLIC ?....................................................
3.5. SYNTHSE.............................................................................................................................
4. DU PRINCIPE LA PRATIQUE.................................................................................................
4.1. INTRODUCTION.......................................................................................................................
4.2. QUELLE IMPORTANCE POUR LES QUESTIONS DE CONFIDENTIALIT ?.................................................
4.3. COMMENT ABORDER LE PROBLME ?.........................................................................................
4.4. ET POURTANT .....................................................................................................................
4.5. POUR ALLER PLUS LOIN : LA CONTRAINTE ET LES NOUVEAUX USAGES................................................
4.6. SYNTHSE.............................................................................................................................
5. CONCLUSION..........................................................................................................................
5.1. QUOI SERT LA PROTECTION DES DONNES ?..............................................................................
5.2. UN PR-REQUIS : LA TRANSVERSALIT ....................................................................................
5.3. UNE EXIGENCE : LA CONTEXTUALISATION .................................................................................
5.4. UNE OBLIGATION : LE PRAGMATISME ET LA SIMPLICIT ...............................................................
5.5. UNE VIGILANCE : LEXTERNALISATION DES SERVICES ..................................................................
5.6. LQUILIBRE DES FORCES : DES OPPORTUNITS ET DES MENACES ................................................
5.7. LINFORMATION, LE NUMRIQUE ET LE POUVOIR............................................................................
6. ANNEXE : LCHANTILLON.....................................................................................................
6.1. SECTEURS DACTIVITS ............................................................................................................
6.2. ENTIT DAPPARTENANCE.........................................................................................................
6.3. TITRE ET FONCTIONS................................................................................................................
Livre Bleu des Assises de la Scurit et des Systmes dInformation
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Octobre 2011 Secret et confidentialit lre du numrique 1
2
4
4
6
7
9
10
12
14
14
18
19
19
22
26
28
31
34
34
35
37
43
49
54
55
55
56
56
57
57
58
59
60
60
60
61
Le secret
(Auguste Rodin 1840-1917)
1- INTRODUCTION
Depuis 2004, les enqutes du Cercle Europen de la Scurit et des Systmes dInformation analysent
lvolution des rles et des activits des professionnels de la Scurit des Systmes dInformation
(SSI). Vritable observatoire dune fonction cl des entreprises et des administrations, elles alimentent
surtout la rflexion autour de thmatiques majeures slectionnes par le Comit de Pilotage des
Assises et formalises dans les Livres Bleus. Nos travaux se sont, jusqualors, drouls en 3 grandes
phases :
Phase dexploration et dintrospection en 3 tapes :
le management stratgique des cyber-risques (2004)
les indicateurs et tableaux de bord en Scurit SI (2005)
les grands dfis des professionnels de la Scurit SI (2006)
Phase douverture et de dcouverte en 2 tapes :
les pouvoirs en scurit / sret (2007)
la scurit globale (2008)
Phase de matrise et de professionnalisation en 2 tapes :
la culture des risques informatiques / informationnels (2009)
la dimension conomique de la Scurit des Systmes dInformation (2010)
lissue de ces sept annes de travail, lensemble des documents reprsente plus de 300 pages
danalyses, de questionnements et de recommandations qui restent, pour beaucoup, dactualit et
peuvent servir de rfrence toujours utile. Les travaux de nature socio-conomique mens en 2009
et 2010 mritent aussi dtre approfondis dans le cadre du groupe de travail sur lconomie scuritaire
de la SSI mis en place en 2010 au sein du Cercle.
Pour 2011, le Comit de Pilotage des Assises a souhait quune nouvelle approche soit retenue et
quun thme la fois historique et dactualit soit trait :
Secret et confidentialit lre du numrique
Le sujet est vaste et complexe. Il dborde largement du cadre strict de lentreprise et de la fonction
SSI, qui nous intresse en premier lieu. Les dimensions sociologique et stratgique prennent une
importance accrue au regard des questions techniques, juridiques, humaines et organisationnelles.
Lactualit rcente (par exemple les affaires HSBC, Wikileaks, Bercy et News of the World) nous
indique que le secret (bancaire, dfense, diplomatique, des correspondances, etc.) na pas / plus de
sens pour certains, ni la mme porte. Quest-ce quun secret ou quune donne confidentielle au
XXI
me
sicle ?
La globalisation et le mode de fonctionnement des entreprises comme des administrations, dune
part renforcent lexigence de transparence (source de confiance des citoyens, usagers, consommateurs,
partenaires, etc.) et dautre part, obligent renforcer les contrles face des menaces de plus en
plus complexes, virtuelles et quasi-anonymes. Quel quilibre peut-on tablir entre ouverture et repli
sur soi, entre transparence et cloisonnement ?
Pour couronner le tout, linfluence de la gnration Y (personnes nes entre 1975 et 1995) nest pas
sans poser de nouveaux dfis. Les plus gs dentre eux, souvent technophiles, ont acquis des
responsabilits. Nombreux sont ceux qui, dsormais, ne font plus la diffrence entre les espaces
priv et professionnel. Que penser dun jeune mdecin qui souhaite disposer de rsultats danalyse
ou de lIRM dun patient sur sa tablette, son domicile ? Quelle rponse lui apporter ?
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2 Secret et confidentialit lre du numrique Octobre 2011
Bien sr, le march tente dapporter des solutions. La cryptographie dhier se doit dvoluer et ne
sera, de toute faon, jamais la panace. Doit-on bunkeriser dans le cloud ? Ne faut-il pas
mieux tout surveiller (logiques du SIEM
1
et du DLP
2
) ? Mais le remde nest-il pas pire que le
mal ? Et rpond-il vraiment au vritable problme, qui reste souvent comportemental voire thique ?

Chercher rpondre ces questions ne peut seffectuer sans une grande humilit, ni sans rappeler
le cadre gnral surpassant et englobant le monde des entreprises / administrations comme des
systmes dinformation et de communication. Il tient en quelques mots cls sur lesquels nous reviendrons :
globalisation, complexit, confiance.
En abordant un sujet brlant, le Livre Bleu des Assises 2011 sort du
cadre strict de la Scurit des SI des entreprises et des administrations.
Cest une volution essentielle o la psycho-sociologie prend une part
importante. Il nous faut dsormais apprhender des paradoxes majeurs
quils soient individuels ou collectifs sur louverture et le cloisonnement,
la transparence et le secret, la libert et la responsabilit.
Grard Rio
Fondateur des Assises de la Scurit et des Systmes dInformation
Poursuivant notre qute de professionnalisation du secteur de la SSI,
nous esprons que ce 8
me
volet du Livre bleu des Assises vous permettra
de mieux apprhender la gestion des informations confidentielles au
sein de vos organisations.
Nous remercions tous ceux qui participent lenqute annuelle du
Cercle, devenue au fil des ans un vritable outil de benchmarking, et
qui apportent nos travaux des lments concrets et proches du terrain.
Bonne lecture !
Pierre-Luc Rfalo
Directeur Associ, Hapsis
Le Livre Bleu des Assises 2011 reprend une structure habituelle en trois points :
Un chapitre introductif positionne les enjeux et dtermine la dialectique gnrale dans une optique
historique et sociologique.
Un chapitre central cadre la problmatique dans son ensemble en termes politiques et de management,
aux plans juridiques et mthodologiques et synthtise les questions cls pour les DSI / RSSI.
Un troisime chapitre apporte des lments de rponses en matire de SSI sur la base des rsultats
de lenqute annuelle du Cercle.
Nous nous appuierons aussi sur quelques ouvrages de rfrence, des tudes et articles spcialiss
et sur les avis de personnalits et dexperts. En particulier, les fondamentaux juridiques du secret et
de la confidentialit seront traits par Matre ric A. Caprioli et Isabelle Cantero.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
1
Security Incident and Event Management
2
Data Loss Prevention
2- LES ENJEUX ET LA DIALECTIQUE
2.1. Prambule
2.1.1. La science du secret
Le thme du secret et de la confidentialit renvoie immdiatement aux fondements historiques de
la Scurit des SI, savoir la cryptographie (secret est issu du grec kryptos qui signifie aussi cach).
Prenons cependant garde bien distinguer la science (cryptologie) de la technique (cryptographie),
le mcanisme (chiffrement ou dcryptement) de la mthode (cryptanalyse).
On constate en effet parfois des abus de langage menant lincomprhension, ou encore des erreurs
sur lusage des termes. Certains barbarismes parfois utiliss, comme le chiffrage ou lencryption,
ne facilitent pas non plus la comprhension de tous.
La question du vocabulaire est donc essentielle pour ne pas voir lidal de protection du secret se
perdre dans les mandres de la pense. Dans son ouvrage La science du secret
3
dont nous
recommandons la lecture Jacques Stern
4
prsente un aperu historique et une vision stratgique
des enjeux et des usages de la cryptologie. Il indique en particulier que :
La cryptologie constitue un paradigme pour toutes les sciences dans la mesure o le monde et
lunivers ne sont quune grande nigme quil convient de dchiffrer avec les bonnes cls.
Elle a volu en 3 tapes passant de lge artisanal (jusqu lentre-deux-guerres), lge technique
(avec la mcanisation puis linformatisation), puis lge paradoxal (depuis lavnement de la
cryptographie asymtrique dans les annes 70)
5
.
Rpondant historiquement aux besoins de confidentialit, il ne faut pas oublier que la cryptographie
aborde galement les questions didentit, dauthenticit, dintgrit.
La cryptographie est une arme dont les travaux et les dveloppements sont lis leffort de guerre.
Elle ctoie les concepts de connaissance, de vrit et de preuve et mne tout droit aux confins de
la logique, des mathmatiques et de la philosophie.
2.1.2. Lart de communiquer en toute confidentialit
Le dveloppement de la cryptographie civile a t rendu ncessaire par le dploiement de moyens de
communication et de services en ligne exigeant des mesures de protection appropries :
changes et transactions bancaires
Tlphonie mobile
Tlvision numrique
Commerce lectronique
Etc.
Ainsi, la dmocratisation de linformatique et lavnement de lInternet reprsentent pour lhumanit
une nouvelle (r) volution dans lart de communiquer. Btis au fil des sicles et des millnaires,
les moyens de communication entre les individus et les organisations ont progressivement rduit
les barrires du temps et de lespace. Lre numrique les a totalement abolies, souvent pour le
meilleur, parfois pour le pire.
3
ditions Odile Jacob - 1998
4
Cryptologue et Directeur du Dpartement dInformatique de lENS de 1999 2007
5
La cryptographie a dabord t un art. Elle est ensuite devenue une technique. Aujourdhui, cest une science. Jacques Stern -
La cryptographie fait partie de notre vie quotidienne - Futura-Science - 2007
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Dans son ouvrage dont nous recommandons aussi la lecture La grande conversion numrique
6
,
Milad Doueili
7
prsente une vision de non informaticien sur le dveloppement du numrique et
ses impacts socitaux, conomiques, politiques, etc. Il indique en particulier que :
La prminence des discours juridiques et technologiques dans les dbats sur la gestion de
lenvironnement numrique, rvle une absence qui ne saurait tre comble que par une voix culturelle,
au sens large.
Lidentit numrique est polyphonique et peut tre gre techniquement (il cite OpenID) en laissant
aux individus la possibilit de maintenir plusieurs prsences diffrentes au sein du rseau, avec
leurs propres authentifications, droits, privilges.
Les rseaux sociaux, limage de lagora grecque, proposent des centres de discussion publics
(qui sinterpntrent) sappuyant sur quelques principes : un point dentre unique et familier, une
hirarchie de droits et de privilges (entrer, lire, crire, commenter, etc.), des rgles de contrle
(modration, proprit intellectuelle), des outils de gestion (prsence, intimit) pour les membres et
une charte devant tre accepte pour tre admis.
Les questions de scurit sont abordes de manire assez originale lorsquil dfinit le numricien
lettr qui le devient, selon lui, par accident. Ce sont ceux qui sont chargs de rparer et dentretenir
plusieurs ordinateurs pour les membres de leur famille, pour leurs amis. Toujours de garde quand
il y a un problme, ils passent souvent lessentiel du dner [] configurer pour un voisin un rseau
sans fil protg, mettre niveau une machine, ou liminer les logiciels espions de lordinateur
infect dun beau frre. Bref, ils sont les membres non reconnus dun service de secourisme autogr,
qui sefforce de protger contre les cyber-dlinquants et leurs flux incessant dattaques toujours
plus sophistiques.
2.1.3. Questions cls
Lapproche culturelle et sociologique du numrique et la dimension quasi philosophique de la
cryptographie nous amnent poser dentre 4 questions cls :
Les sphres professionnelle, prive et publique sinterpntrent de plus en plus et de plus en
plus profondment : comment grer les situations conflictuelles en termes de gestion et de protection
de linformation en dveloppant, en particulier, une cyber-thique ?
Limportance de la gnration Y (voir chapitre 2.5) au sein des entreprises et de la socit conduit
certainement un rquilibrage des pouvoirs entre technophobes et technophiles : peut-on traiter
la confidentialit de manire pertinente et diffrencie selon la gnration des acteurs concerns ?
Si oui, comment ?
Les limites technologiques en termes de prvention / protection deviennent de plus en plus videntes :
le contrle et la surveillance, vont-ils se gnraliser telles des invasions barbares
8
virtuelles ?
Faute de mieux
La fonction SSI, dont il faut rappeler les origines informatiques en relation avec le monde de lassurance
(donc de la gestion des risques), est plus que jamais prise en tau : dun ct, par les questions de
conformit (par exemple CNIL et PCI DSS (Payment Card Industry - Data Security Standard)), de
lautre, par le contexte de guerre conomique et de cyber-guerre (illustr par exemple par les affaires
EDF/Greenpeace, Sony ou Bercy). Le terme mme de Scurit des SI doit-il tre abrog pour intgrer
une bonne fois pour toute la protection des informations ? Ou doit-il se recentrer sur les questions
lies aux infrastructures dans une optique purement oprationnelle ?
6
ditions Seuil - 2008
7
Titulaire de la chaire de recherche sur les cultures numriques de lUniversit de Laval Qubec
8
On comprendra le concept d invasion barbare comme tant une solution / pratique qui peut tre pire que le mal quelle combat,
mais pourtant ncessaire et aussi, pourquoi pas, porteuse de progrs.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2.2. Lre numrique : de lge de pierre lge du silicium ?
Lhumanit a travers des phases successives qui nous ont amens devenir des homo numericus
pour qui perdre son smartphone est plus dommageable que perdre sa carte bancaire
9
. Impossible
de communiquer : Inimaginable !
La communication entre les individus sinscrit dans une longue histoire nous emmenant aux confins
de lhumanit. Nous en rappelons ci-dessous les vnements cls.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Date Apparition / Invention Origine / source Objet / application
300 000 av JC Langage Homo Sapiens ?
50 000 av JC Protolangue Homo Sapiens ?
18 000 av JC Dessins Lascaux Chamanisme ?
3 400 av JC criture Msopotamie Agriculture
650 Imprimerie Chine Textes sacrs
1642 Machine calculer Blaise Pascal Finances publiques
1791 Tlgraphe optique Claude Chappe Journalisme
1834 Machine carte perfore Charles Babbage Mathmatiques
1837 Tlgraphe lectrique Samuel Morse Transports
1876 Tlphone Alexandre G. Bell
Communications
orales
1888 Film cinmatographique Louis Leprince Reportages actualits
1890 Ordinateur mcanique Hermann Hollerith
Recensement de la
population
1919 Ordinateur mcanique Frederik R. Bull Statistiques
1926 Tlvision John Baird
Diffusion dimages
animes
1936-56 Ordinateur lectrique Arme US Dfense
1960 Ordinateur transistor IBM
Dfense / Universits /
Recherche
1969 Rseau ARPANET DARPA (USA)
Dfense / Universits /
Recherche
1970
Ordinateur circuit
intgr
IBM Informatique dentreprise
1973 Ordinateur individuel IBM Professionnel et personnel
1982 Protocole TCP IP IETF
Communications en
rseau
1983 Tlphone portable Motorola Tlphonie mobile
1984 Ordinateur personnel Apple Professionnel et personnel
1991 Langage Web CERN
Information / commerce
en ligne
On constate, ds lorigine, une relation troite entre communiquer et calculer . Noublions pas
la fameuse exclamation de Pythagore (580-495 avant JC) : Tout est nombre ! . Sans calcul, sans
mathmatique, sans numrique, ni 0 , ni 1 , pas de communication la vitesse de la lumire.
On note galement une forte acclration de linnovation depuis le milieu du XIX
me
sicle, la suite
des dveloppements de lnergie lectrique. Cependant, depuis prs de 20 ans, les innovations se
situent sans doute plus au niveau de la miniaturisation, du marketing et des usages que de la technologie
proprement dite.
Ainsi, tous les domaines de la socit ont progressivement bnfici du dveloppement de nouvelles
techniques de communication pour nous faire entrer depuis une quinzaine dannes, dans lre du
numrique.
Les questions de secret et de confidentialit ont ncessairement t prsentes au cours de cette
longue histoire :
Pratique des rituels sacrs : communication avec les esprits et les Dieux
Messages cachs : crdo religieux, diplomatie, plans de bataille, etc.
Savoir-faire : agriculture, science, industrie, finance, vente, marketing, etc.
Il est dailleurs intressant de noter que les termes sacr et secret ont des racines latines
et grecques communes renvoyant aux forces divines (lat. sanctus, gr. hiros) et sparant ce qui est
inaccessible lhomme (lat. sacer, secretus, gr. hagios, kryptos). Ainsi, comme le sacr se distingue
du profane, le secret se distingue du public, ou comme nous le verrons plus loin, de la transparence.
Ce qui est sacr ne peut donc tre communiqu ou divulgu celui qui ne peut ou ne saurait le
comprendre. Parti de loralit en passant par lcrit, que devient le secret dans lre numrique ? Et
quest-ce qui distingue aussi secret de confidentiel ?
9
Une tude, ralise par Redshift Research en mai 2011 et commande par Intel, montre que 6% des personnes interroges en
France prfrent se passer de leur partenaire pendant une semaine plutt que de leur tlphone portable.
10
Extraites de Larousse.fr, LInternaute-Encyclopdie, Futura-Science.com, etc.
Lre numrique dans laquelle est entre lhumanit la fin du XX
me
sicle est porteuse
despoirs et de progrs gigantesques, mais elle perturbe aussi les quilibres historiques
du partage et de la protection de linformation.

La confidentialit concerne lcrit et loral comme le numrique. Mme si le poids de ce
dernier est devenu trs important, il ne faut cependant pas ngliger les autres !
2.3. Distinguer Secret et Confidentialit ?
Le thme du Livre Bleu des Assises 2011 nous oblige rappeler les dfinitions
10
des mots cls en
distinguant les noms le secret ou la confidentialit des adjectifs tre secret ou confidentiel.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Terme Dfinitions Synonymes
Secret
(nom)
Qui nest connu que dun trs petit nombre
de personnes et ne doit pas tre divulgu aux
autres.
Une information, ou un savoir qui se trouve
soit cach soit inaccessible.
Qui est hautement confidentiel, cach tous.
Discrtion, confidence
Confidentialit
(nom)
Proprit de ce qui est confidentiel.
Fait de garder quelque chose priv et secret
vis vis de tout le monde sauf ceux qui sont
autoriss le voir.
Confidence, secret, nigme
Secret
(adjectif)
Ce que lon tient cach.
Qui se dissimule.
Qui nest pas apparent, qui ne se manifeste
pas.
Intime, personnel, confidentiel,
priv, masqu, discret,
nigmatique, rserv, cach,
insaisissable, dissimul,
inavou, cach, voil
Confidentiel
(adjectif)
Qui se dit, se fait en confidence, contient des
informations qui doivent rester secrtes.
Caractre dune information qui ne doit pas
tre rapporte publiquement.
Qui ne sadresse qu un petit nombre de
personnes.
Qui se communique sous le sceau du secret.
Secret, peu connu, dissimul,
insaisissable, priv, personnel,
intime, officieux, impntrable
De toute vidence, les deux termes sont trs lis voire synonymes. Cependant, leur usage dans la
vie courante, comme dans lespace professionnel, est trs vari et a donn lieu de nombreuses
expressions.
Au niveau de la nation :
- Secret dtat
- Secret Dfense
- Services secrets, agent secret, top secret
- Voire fonds secrets
Au niveau priv :
- Secret de famille : non-dits sur un pass, sur des vnements vcus au sein dune mme famille
- Secret de polichinelle : connu de tous sans pour autant tre partag
- Secret maonnique : o qute de vrit et sotrisme ctoient tant de fantasmes
- Sceau du secret
Au niveau professionnel, le secret se dcline en :
- Secret de fabrique
- Secret bancaire
- Secret mdical pour les professionnels de sant
- Secret des correspondances : lorigine pour les oprateurs de la poste et du tlphone
- Secret de la confession pour les prtres
- Secret des sources pour les journalistes
- Secret de linstruction pour les forces de police et la justice, etc.
Faute de comprhension claire et partage, en particulier sur les dfinitions et le vocabulaire utiliser,
la profession risque de ne jamais rpondre lenjeu majeur qui est de protger le patrimoine
informationnel / immatriel.
Noublions pas galement que dans la guerre conomique du XXI
me
sicle comme depuis la nuit des
temps sans doute, la rumeur, la manipulation, la dsinformation sont aussi des armes largement
rpandues et quelles sortent du cadre de notre problmatique. Encore faut-il le rappeler !
La confidentialit et le secret ne se distinguent-ils pas dans la mesure o la premire doit
tre maintenue dans la dure, alors que le second peut tre lev et aurait intrinsquement
une dure de vie limite ?
Il nest point de secrets que le temps ne rvle.
Jean Racine (1639-1699)
Britannicus - 1669
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2.4. Les 3 sphres : professionnelle, prive, publique
Les infrastructures des SI et lusage des moyens de communication dans les entreprises comme
pour les administrations, ont profondment volu depuis une dizaine dannes.
Dune part, les pratiques dexternalisation donnent un accs aux sites et aux donnes de lentreprise /
organisme des tiers multiples comme les prestataires informatiques, des partenaires, des sous-
traitants (par exemple, les services de relation client).
Le dveloppement du cloud computing conduit les entreprises ne mme plus savoir o sont
ou seront prcisment stockes leurs donnes au sein de multiples datacenters externaliss. Quelles
donnes sont / seront hberges ? Pendant quelle dure ? Quelle est leur classification ? Les donnes
confidentielles voire du domaine du secret ont-elles leur place dans les nuages ? Ne serait-ce
que la messagerie dentreprise ou des donnes caractre personnel ?
Dautre part, la dmocratisation de lInternet (Web 2.0, rseaux sociaux, e-commerce, etc.) et des
outils de mobilit (portables, smartphones, tablettes) abaisse les frontires entre le monde de lentreprise
et lunivers de ses collaborateurs, des clients, des partenaires et des fournisseurs, etc.. Linformation
est de plus en plus volatile, stocke sur des quipements de plus en plus petits et performants mais
galement de moins en moins onreux. Peut-on contrler efficacement les changes dinformation
sensible entre lensemble des acteurs internes / externes du monde de lentreprise et des administrations ?
Lexercice semble prilleux voire utopique.
Enfin, pour aller plus loin encore, les individus utilisent dsormais aussi leurs outils personnels sur
leur lieu de travail pour communiquer avec lextrieur. Une rflexion sur lusage professionnel de
ces dispositifs personnels est mme engage ( Bring you own device ), source dconomie pour
lentreprise certes, mais quid de la responsabilit individuelle et collective ? De toute vidence, le
public / priv simmisce de plus en plus dans la sphre professionnelle.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
La mixit et la superposition des 3 sphres crent des zones de conflit et de tension o les questions
de confidentialit, de secret, dintimit et de transparence sont dlicates apprhender.
La matrise de linformation numrique sinscrit dsormais dans une approche plus
stratgique, la technologie submergeant le droit en entremlant fortement les intrts
collectifs et personnels et opposant parfois ceux du salari, du client, du fournisseur, du
citoyen, du parent, du consommateur
2.5. Les 3 gnrations : Baby boomers / Gnration X / Gnration Y
Les points prcdents ont mis en vidence lvolution des usages des outils de communication et
leurs impacts sur le monde de lentreprise. Ils sinscrivent aussi dans lvolution mme de la socit.
Dun point de vue sociologique, le march du travail est confront la coexistence de trois gnrations
qui ont vcu diffremment lmergence du numrique. La question nest pas de les opposer, car des
disparits existent aussi fortement au sein dune mme gnration. Cependant, force est de constater
quelles nont pas le mme vcu et surtout pas la mme relation au numrique, ses apports, ses
contraintes ou ses dangers.
Les frontires dfinies entre les 3 gnrations varient dun pays lautre, en fonction de lvolution
de la natalit et des comportements. Aussi, les dates indiques ci-dessous, sappuient sur celles
les plus communment proposes par les sociologues. On notera quil y a parfois des zones de
superposition et quainsi, certains se situent quelque part, entre deux gnrations sociologiques.
2.5.1. Les baby boomers
Les baby boomers (ns entre 1945 et 1960) ont profit de laprs-guerre et du plein emploi. En Occident,
ils seraient particulirement idalistes et gocentriques. Ils ont notamment t marqus par trois
vnements cls (personnes nes entre) :
La confrence de Yalta et la partition de lEurope
La dcolonisation et les guerres dindpendance
Laspiration la libert exprime en France par les vnements de mai 1968
Peu sont ceux qui ont dcouvert linformatique leur entre dans le monde professionnel. Les plus
jeunes dentre eux ont parfois pu partager un PC sous MS DOS au milieu des annes 80. Ils dcouvrent
aussi Internet pendant leur vie active. Pour les plus anciens, cest pendant leur retraite !
Ayant bnfici des 30 glorieuses , ils sont, pour les gnrations suivantes, en grande partie
responsables de la situation de crise actuelle (sauvegarde de la plante et dficits publics).
2.5.2. La gnration X
Cette gnration (personnes nes entre 1960 et 1975) dcouvre le chmage de masse. Elle a notamment
t marque par trois vnements cls :
Les chocs ptroliers de 1974 et 1979
La guerre froide jusqu la chute du mur de Berlin en 1989
Linnovation technologique et lavnement dInternet au dbut des annes 90
Cette gnration intermdiaire a vcu un creux de vague sur le plan professionnel, trouvant
difficilement des emplois stables et bien rmunrs. Ils sont moins fidles que leurs parents leur
entreprise. Si le numrique fait partie de leur existence, nombreux sont ceux qui conservent de fortes
rticences sur ses abus au quotidien (par exemple avec le danger de la cyber-surveillance).
De nature angoisse, elle est caractrise par laugmentation des divorces et par un sentiment fort
que rien nest impossible. Il suffit dy mettre du temps et de largent.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2.5.3. La gnration Y (ou Net Generation ou Digital Natives)
Cette gnration (ns entre 1975 et 1995) est aussi appele Net Generation dans la mesure o ses
membres grandissent dans un monde o lordinateur et Internet sont de plus en plus accessibles.
Ils ont surtout t marqus par cinq vnements cls :
Limmigration de masse (et le multiculturalisme) initie dans les annes 80
La bulle Internet de la fin des annes 90 et son explosion en 2002
Les attentats terroristes du 11 septembre 2001
Les questions cologiques et de sauvegarde de la plante
La crise financire de 2008 et ses impacts socio-conomiques
Le succs de la notion de gnration Y dans les entreprises prend appui sur le dphasage entre les
besoins et les attentes des jeunes de cette gnration et le mode de fonctionnement de lentreprise
instaur par les gnrations prcdentes. Lordre des priorits sinverse : les amis passent avant
la famille qui passe avant les responsabilits professionnelles. La hirarchie sefface au profit du
rseau . La libert de communiquer dans un monde ouvert se heurte au cloisonnement et aux
contraintes dun rglement intrieur.
Ce foss gnrationnel sexplique par une acclration du changement, lapparition des NTIC et une
hirarchisation diffrente dans les transmetteurs de valeurs. Lglise, larme, voire la famille sont
moins influents que ne le sont Internet, la tlvision, voire les rseaux relationnels. Les pairs sont
devenus plus importants que le pre ! L o lemployeur simmisait dans la vie de famille pour les
gnrations prcdentes (Comit dentreprise par exemple), cest la vie prive qui rentre dans
lentreprise avec la Gnration Y, avec une conscience des risques portant sur leur activit professionnelle
assez rduite.
Limportance accrue de la Gnration Y au sein des entreprises est-elle source de risques
en termes de confidentialit et conduit-elle une rvision fondamentale des droits et
devoirs relatifs lusage des outils de communication ?
2.6. Gestion de la confidentialit et scurit / sret
2.6.1. Gestion des risques
Grer les risques sintgre historiquement et avant tout dans une logique conomique et assurancielle.
Or, la dimension conomique de la Scurit des SI reste peu apprhende par les professionnels.
Comme lattestent les rsultats de lenqute 2010 du Cercle
11
, nous avions constat que :
Seulement 37% des rpondants affirment consolider leurs dpenses en Scurit SI.
Les impacts conomiques lis aux atteintes la confidentialit sont pourtant valus par 73% des
rpondants dont 18% systmatiquement et 29% souvent .
Le plus gros impact conomique concerne une atteinte la confidentialit pour 11% des incidents
constats (contre 45% pour un accident / panne matrielle).
Au-del de lconomie, grer les risques cest aussi respecter des principes fondamentaux et simples
desquels nous excluons celui de la prcaution, tant il participe la qute du risque zro , sans
doute encore plus risqu que le risque lui-mme !
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Grer un risque cest dabord lidentifier et lvaluer. Ce nest quensuite que des mesures (de scurit /
sret) qui rduisent sa potentialit / faisabilit comme ses consquences / impacts doivent tre
mises en place. Les questions de confidentialit nchappent pas la rgle. Il convient donc toujours
de trouver un quilibre cohrent entre les mesures :
De prvention / protection
De rgulation / sanction
De dtection / raction
Cependant, la diffrence dautres domaines de la Scurit des SI, linformation nest pas traite
uniquement sous une forme numrique. Pour tre cohrent, il faut donc associer aux mesures
juridiques (lois, chartes, clauses, engagements et accords de confidentialit, etc.) et informatiques
(chiffrement, authentification et gestion dhabilitations), des moyens humains et matriels (accueil,
gardiennage, vido-protection, destruction de supports, dtection dintrusion, etc.), le tout associ
des comportements adquats (discrtion, vigilance, observation, alerte, etc.).
Cest ici que les synergies entre les directions et les mtiers (utilisateurs / usagers), la DSI, la scurit
et la sret, les services gnraux, le juridique et les RH doivent jouer pleinement. Ensemble, ils
doivent uvrer la cration dune vritable culture du risque numrique. Transcendant la sensibilisation
et la formation, lacculturation
12
sinscrit dans une approche socioprofessionnelle et finalit rsolument
conomique.
2.6.2. Scurit et Sret
Le rappel de ces vidences, toujours utile, nous amne alors nous poser la question du champ
daction de la Scurit SI dans le cadre de la gestion de la confidentialit. Ainsi, des directions et des
quipes ont t mises en place dans plusieurs secteurs afin de soccuper de sret de linformation
ou de sret du patrimoine informationnel . Cette dmarche a sans doute t contrainte par une
sparation historique entre le numrique et le matriel dune part, et entre la gestion des risques
accidentels (en particulier pour la Scurit des SI) et celle de la fraude / malveillance (souvent en
lien avec la sret) dautre part.
Si la scurit traduit une situation dans laquelle quelquun ou quelque chose nest expos
aucun danger, aucun risque
13
, en particulier dagression physique, daccident, de vol, de dtrioration,
la sret dfinit ltat de quelquun ou quelque chose qui est labri, na rien craindre .
Comme pour le secret et la confidentialit, la scurit et la sret se rejoignent, se compltent et
parfois se recoupent.
Dans la pratique, on assimile souvent les questions de sret la malveillance plus quaux accidents.
Dans le transport arien par exemple, la sret (traduite en security) sexerce lors de lembarquement
(fouilles, scans, contrles didentit) alors que la scurit (traduite en safety) se concrtise par les
consignes appliquer en cas daccident ou de crash ( bord et par les htesses). Pourtant, scurit
et sret se recouvrent lorsquelles sadressent globalement la protection des personnes et des
patrimoines.
11
Livre Bleu des Assises 2010 : Dimension conomique de la Scurit des SI
12
Acculturation : processus par lequel un individu ou un groupe dindividus acquiert une culture qui lui est trangre.
13
www.larousse.fr
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Lenjeu reprsent par le secret et la confidentialit noblige-t-il pas lensemble
des professions de la gestion des risques et de la scurit / sret uvrer de concert
dans tous les secteurs dactivit sans exception ?
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2.7. Quelle place pour la cyber-thique ?
Peut-on rpondre ces dfis autrement que par linstauration dune relle confiance numrique et
en dveloppant une forme de cyber-thique ?
Quest-ce que lthique et comment sintgre-t-elle dans le monde du numrique ? De toute vidence,
lthique est loin dtre toujours reste identique elle-mme. Au contraire, elle a connu de nombreuses
et importantes transformations au cours de son histoire. Lthique occidentale a elle-mme connu
plusieurs grandes priodes, de lAntiquit au Moyen-ge, des Lumires Internet. Approche collective
ou individuelle ? Centre sur les droits ou les devoirs ? Vision philosophique ou dmarche pratique ?
Notre poque vit un fort dveloppement de lthique applique en rapport avec des proccupations
environnementales et sociales. Dans les activits professionnelles, la dontologie (thique collective
au sein dune profession) tablit avant tout des codes de comportements. Dans le domaine du numrique
justement, plusieurs applications pratiques de lthique sont en cours : dveloppement durable
(green IT), protection de la vie prive (privacy), intelligence conomique (business intelligence).
ce titre, nous recommandons la lecture du document publi par le CIGREF avec le Cercle dthique
des Affaires en 2006 : Dontologie des usages des Systmes dInformation . Lenjeu de la dmarche
est clairement daller au-del du droit sur les risques lis des usages juridiquement non conformes.
Il convient donc de dfinir des rgles du jeu en transposant en rgles et contrles internes les
contraintes juridiques qui psent aujourdhui sur lusage des Systmes dInformation et qui peuvent
amener les entreprises tre sanctionnes de ce fait. Une annexe de 15 pages aborde la question
du secret professionnel sur lequel revient Matre ric A. Caprioli au chapitre 3.2. Sadressant aux
grandes entreprises et cherchant avant tout sensibiliser les acteurs, louvrage semble cependant
enfermer les organisations dans un cadre juridique et organisationnel, selon une dmarche de
conformit .
La cyber-thique ne doit pas tre limite aux questions juridiques et rglementaires dans
une logique de conformit. Cest une dmarche ducative de longue haleine associant
intelligemment les mots cls : usages, risques et acculturation.
2.8. Lexemple de la sant
2.8.1. Le contexte
Aujourdhui, le secteur de la sant est un bon exemple de la prise en compte de la Scurit des SI
tous les niveaux dcisionnels et oprationnels. Les actions, initiatives et projets, intgrs dans la
direction de la loi HPST (Hpital, patients, sant et territoires) que sont le Dossier Mdical Personnel,
la Tlsant, la Carte CPS, lHpital numrique et les futurs Espaces Numriques Rgionaux de
Sant, sont associs une prise en compte quasi-vitale des risques lis aux SI.
Nous reprenons ci-dessous, une synthse des avis et positions de personnalits et de professionnels
publis dans le recueil Scurit et Confidentialit des Systmes dInformation paru en mai 2011
avec la contribution de Nora Berra, Secrtaire dtat charg de la Sant dans le cadre de la confrence
HIT 2011 Paris. Matre duvre de louvrage, Jean-Pierre Blum, Prsident de lIISIST
14
et du Ple
Sant des Assises, mentionnait dans son ditorial que cest la premire fois que lensemble des
dcideurs, politiques, administrations centrales, collges des DSI et des RSSI, accepte de livrer,
dans un mme temps, leurs visions sur la scurit des systmes dinformation de sant.
Le recueil propose une quarantaine de tribunes dont nous avons extrait des passages cls complts
par quelques avis complmentaires.
2.8.2. Les positions institutionnelles
Pour Nora Berra Secrtaire dtat charge de la Sant, Les informations de sant touchant par
essence lintime, la garantie de la confidentialit des donnes personnelles de sant doit tre au
cur de la scurit des systmes dinformation.
Selon Annie Podeur - Directrice de la Direction Gnrale de lOffre de Soins, La confidentialit
des donnes mdicales pose la question du partage de linformation : ce que lon partage et avec qui,
dans un objectif constant, celui de la confiance des patients.
Pour Jacques Lucas Vice-prsident charg des SI de sant du CNOM
15
, la qualit dontologique,
respectant le droit des patients, la confidentialit et au secret qui protgent leurs donnes personnelles
de sant, se superpose la qualit des exercices mdicaux. Ces deux aspects se compltent et ne
sopposent pas. Les mdecins doivent simpliquer dans la dfinition de la politique de confidentialit
de ltablissement, comme dans les formations des professionnels de sant et les auxiliaires avec
lesquels ils exercent. La scurit dontologique est une premire marche fondamentale dans la
scurit de linformation dans son ensemble.
De son ct, Pierre Lasbordes - Dput de lEssonne, Prsident de la Commission Tlsant missionn
par le Premier Ministre, rappelle que La dernire recommandation de [son] rapport
16
insistait plus
particulirement sur cette ncessit dinformer et de gnrer lintrt et la confiance dans lutilisation
de la tlsant, do la ncessit de garantir des critres de confidentialit et de responsabilit.
Enfin, le Snateur Alex Turk - Prsident de la CNIL, insiste pour sa part sur les enjeux lis lusage
des cartes CPS Le dcret Confidentialit du 15 mai 2007, impose lutilisation de la CPS ou dun
certificat logiciel quivalent pour identifier et authentifier toute transmission ou accs aux donnes
de sant, y compris au sein dune mme structure. Lon sait pourtant que la gnralisation de la
carte CPS nest pas effective ce jour dans de nombreux tablissements de sant, faute de moyens
financiers et techniques, alors mme que son utilisation est obligatoire depuis le 15 mai 2010.
Ces positions, centres sur les questions de confidentialit (objet de notre travail), ne doivent pas
faire perdre de vue que la continuit de lactivit et des services mdicaux reste autant sinon plus
critique. En effet, la Scurit des SI ne doit pas aller lencontre de la scurit de la prise en charge
des patients, finalit ultime des tablissements de sant et des soignants.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
14
Institut International des Systmes dInformation de Sant et de la Tlsant
15
Conseil National de lOrdre des Mdecins
16
La tlsant : un nouvel atout au service de notre bien-tre 15 octobre 2009
17
Carte des Professionnels de Sant
2.8.3. Points de vue de fonctionnels
Les points de vue des acteurs fonctionnels de la Scurit des SI apportent des clairages complmentaires.
Pour ric Grospeiller - Fonctionnaire SSI des Ministres de la Sant et des Affaires Sociales, dans
le monde de la sant, la disponibilit revt un caractre vital. Il est possible que certaines mesures
de confidentialit soient des freins cette exigence. Il convient donc de pouvoir temporairement dgrader
la confidentialit sans pour autant la supprimer. On passe alors dune confidentialit priori (mesures
maximales), une confidentialit posteriori (contrle des actes). Le renforcement des moyens de
contrle intgre alors les mesures de traabilit.
Selon Patrick Pailloux - Directeur Gnral de lANSSI
18
, le schma de confidentialit du DMP est
particulirement ambitieux. Comment grer 60 millions de cls de confidentialit tout en autorisant,
en cas durgence, le bris de glace (passe-partout pour les professionnels de sant) ? Car la disponibilit
des donnes peut tre plus importante que leur confidentialit lorsque le personnel mdical doit
faire face un pronostic vital.
En termes de gouvernance, Pascal Forcioli Directeur Gnral adjoint de lARS
19
du Nord-Pas-de-
Calais, plus particulirement charg de la Scurit et de la Tlsant, considre que le choix du
RSSI est stratgique. Il faut privilgier la dsignation dun professionnel qui ne soit pas seulement
un technicien comptent, mais aussi et surtout un manager, proslyte et pdagogue.
Christian Huart - Sous-directeur en charge des SI de lARS de Picardie, rappelle aussi que la
rglementation impose de respecter intgrit, intgralit, haute disponibilit, authentification,
identification de linformation sur la base de comportements respectueux des chartes internes. Il
sagit bien de continuit dactivits mdicales, ncessitant un haut niveau dexigences sur la disponibilit
des dispositifs qui les supportent.
Vision complmentaire, pour Franois Tesson - RSSI du GCS
20
e-Sant Pays de la Loire, la pyramide
des ges des mdecins en activit indique que dans les 3 ans venir
21
, les membres de la gnration X
seront au cur de la rvolution numrique. La confidentialit des donnes mdicales est ancre
dans leur quotidien principalement par lapplication du code de dontologie. Mais la numrisation
des usages vient bouleverser son application. Par contre, lusage numrique fait partie, au moins
dans leur vie prive, de la culture de la gnration Y. Ne serait-il pas opportun et plus efficace de
former cette gnration appliquer les mesures de scurit sur la protection des donnes numriques
sensibles pour assurer le passage vers les NTIC de leurs pairs ?
2.8.4. Visions des tablissements de sant
Il nous faut aussi confronter ces positions avec celles des acteurs de terrain, au sein mme des
tablissements de sant.
Pour Serge Bernard - Directeur Gnral du CH Rgional dAnnecy, des actions de sensibilisation
et de culturation doivent tre conduites au sein des tablissements et figurer dans les plans de
formation des tablissements. Elles doivent runir les professionnels toutes catgories confondues et
donner lieu des exercices pdagogiques au sein des quipes de soins et de tous services. Les cls
du changement sont celles des portes qui souvrent vers lextrieur !
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
18
Agence Nationale de la Scurit des Systmes dInformation
19
Agence Rgionale de Sant
20
Groupement de Coopration Sanitaire
21
La dmographie mdicale lhorizon 2030 - dossiers Solidarit et Sant DREES 2009
Mylne Jarossay - DSI adjointe et RSSI de lInstitut Curie Centre Ren Huguenin, estime qu avant
mme de poser un problme aux RSSI, le dveloppement du numrique est en soi dj un challenge
pour les DSI qui doivent produire un SI efficace, complet, consolid et toujours accessible malgr ou
grce aux nouveaux usages. Le RSSI doit revoir en profondeur ses mthodes de scurisation, mais
avant lui, le DSI doit redfinir ce quest son systme dinformation, o il se niche, et o sont les enjeux.
Les RSSI gagnants seront ceux qui sauront transformer les nouveaux contextes de scurit en atout,
qui sauront faire de la dlocalisation de linformation une parade, une astuce plutt quun risque.
Guillaume Deraedt - Responsable de la SSI du CHRU de Lille, indique de son ct que les mtiers
de lurgence requirent une disponibilit optimale associe des plans de continuit dactivit, rapides
mettre en place, et prouvs. Les patients souffrant de longues maladies sont singulirement
soucieux de la confidentialit de leurs donnes. Le RSSI aspire changer la vision dune scurit
technique contraignante en une dmarche qualit permettant un espace numrique performant de
confiance. Le RSSI est aujourdhui un pilier du dploiement de nouvelles fonctionnalits, de louverture
vers les Espaces Numriques Rgionaux de Sant et le Dossier Mdical Personnel.
Enfin, Vincent Trly - DSIO du Centre Hospitalier du Mans considre que la confidentialit des
informations concentre la majorit des questions, parce que dans le monde de la sant et de lhpital,
elle va de soi... Le mdecin a prt serment et le patient ne doute pas du rapport de confidentialit
avec son praticien. Le systme dinformation na donc pas droit lerreur, puisquil fait aujourdhui
en quelque sorte partie du mdecin et de son rapport avec le patient. La confidentialit est donc
vue comme lenjeu majeur . Ceci tant dit, lorsque lon explique ce que signifient disponibilit (et
surtout consquences dindisponibilit...) et intgrit (et surtout consquences de la fausse information),
tout redevient important !
2.8.5. Limplication dun assureur
ric Doyen, RSSI de Generali, indique pour sa part que la scurit SI collabore avec les mtiers via
un rseau de correspondants, experts mtiers et ambassadeurs de la protection de linformation. Il
encadre les dmarches propres la rduction des risques par la mise en place de processus et de
mesures de scurit adaptes. Concernant plus particulirement la confidentialit des informations,
et tant dans le monde de lassurance, les directions sont bien sensibilises la protection des
informations, en particulier pour les donnes caractre mdical (cadre de la convention AERAS -
accs lAssurance et lEmprunt des personnes prsentant un Risque Aggrav de Sant). Nous
associons des mesures de protection de la confidentialit de ces donnes au plan logique mais galement
au plan physique avec la mise en place de zones spcifiques ddies et protges nommes zones
AERAS. www.aeras-infos.fr .
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
En prsence des matres de cette cole et de mes chers condisciples et
selon la tradition dHippocrate, je jure et je promets dtre fidle aux lois de
lhonneur et de la probit dans lexercice de la mdecine.
Je donnerai mes soins gratuits lindigent et nexigerai jamais un salaire
au-dessus de mon travail.
Admis lintrieur des maisons, mes yeux ne verront pas ce quil sy passe,
ma langue taira les secrets qui me seront confis et mon tat ne servira pas
corrompre les murs ni favoriser le crime.
Respectueux et reconnaissant envers mes matres, je donnerai leurs enfants
linstruction que jai reue de leur pre.
Que les Hommes maccordent leur estime si je suis fidle mes promesses.
Que je sois couvert dopprobre et mpris de mes confrres si jy manque.
Je jure ! Je jure ! Je jure !
2.9. Synthse
Sappuyant sur ces rappels et cette dialectique densemble, le Livre Bleu des Assises 2011 cherche
ouvrir le champ de la rflexion des professionnels de la Scurit des SI. Quelques questions cls
mritent ainsi dtre poses :
Faut-il dissocier les notions de secret et confidentialit dans le monde numrique ? Si oui, comment ?
Classifier en termes de confidentialit, une information numrique de plus en plus partage et
volatile, a-t-il un sens ?
Les dirigeants et les managers prennent-ils rellement en compte les volutions sociologiques et
technologiques dans leur gestion de la confidentialit ?
Les questions psychosociologiques ne doivent-elles pas prendre une importance accrue dans la
gestion des risques SI, en particulier dans la gestion de la confidentialit ?
Quelles sont les vritables risques couvrir en relation avec les nouveaux usages des systmes
dinformation et de communication, en particulier lmergence du Cloud computing et du Web 2.0 ?
Comment devra sadapter, en consquence, la gouvernance des risques SI ?
Et enfin, ne doit-on pas dpasser le concept de sensibilisation pour tendre vers une acculturation
sur les risques numriques dans chaque contexte spcifique ?
Nous sommes bien conscients que les questions poses nauront pas une rponse unique, tant elles
dpendent du secteur dactivit et de la maturit des organismes et entreprises. Mais elles mritent
dtre poses. A lui seul, le secteur de la sant prsente des challenges trs particuliers touchant
chacun de nous, parent ou ami de patient, voire patient potentiel
Pour approfondir ces lments de dpart, nous conservons la forme des ditions prcdentes et
une approche rsolument pdagogique, posant plus de questions quapportant de rponses et de
vrits.
Les chapitres suivants prsentent :
Dune part, un approfondissement de la problmatique sous les angles stratgique / politique,
juridique / rglementaire et normatif,
Dautre part, la restitution des rsultats de lenqute annuelle du Cercle traduisant la position dun
chantillon de prs de 220 professionnels ayant rpondu 13 questions.
Garder un secret consiste ne le rpter qu une seule personne
la fois.
Michel Audiard (1920-1985)
Les 3 mousquetaires 1953
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3- CADRER LA PROBLMATIQUE
Sur la base de ce rappel la fois historique et sociologique, il nous faut maintenant nous recentrer
sur le fond de notre problmatique. Pour ce faire, nous allons reprendre dans ce chapitre les principes
fondamentaux sur lesquels nous devons btir lapproche :
Le dveloppement de la transparence au sein des entreprises et de la socit
Les textes de loi (franais) sur le secret et la confidentialit
Les normes internationales sur la Scurit des SI
Trois documents de rfrence propres au secteur public national
Leur analyse permet de dgager des points invariants et des questions cls qui seront approfondis
au chapitre 4 en relation avec les rsultats de lenqute du Cercle.
3.1. Secret et transparence : au cur de la gestion des organisations ?
Nous ne pouvons pas engager notre rflexion sur le secret et la confidentialit lre du numrique
sans nous replacer dans le contexte gnral des entreprises et des administrations, voire de la
socit.
Signalons galement que nous excluons de notre rflexion les questions relatives au secret dtat et
au secret Dfense. Si certains membres du Cercle (ministres, administrations, industries sensibles)
sont concerns par le sujet, il va de soi que nous sortons ici du cadre de nos capacits danalyse.
Cultiver le secret et lnigme, cest du pass.
Les mots daujourdhui sont transparence et crdibilit.
Jean-Claude Trichet
(Prsident de la Banque Centrale Europenne)
LExpress 11 octobre 2004
3.1.1. La transparence : symptme dmocratique
En 2001, Denis Kessler (alors vice prsident du MEDEF) publiait un article
22
au titre vocateur :
Lentreprise : entre transparence et secret .
Partant du constat que le monde de lentreprise sest historiquement construit sur certaines opacits
et plus sur le secret que la transparence, de nombreux facteurs sont apparus mettant mal les
pratiques anciennes. Il en cite cinq :
Le dveloppement des technologies de la communication : le temps qui spare linstant o
linformation revt un caractre priv ou secret et linstant o cette mme information devient semi-
publique voire publique se restreint chaque jour davantage.
22
Revue Pouvoirs N97 (2001)
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Lvolution de lorganisation des entreprises : le fonctionnement matriciel gnre une diffusion
plus fluide et dconcentre de linformation ainsi quune forte remise en cause des pouvoirs. Cependant,
que ce soit pour des informations sur le personnel ou des donnes financires, il a fallu dresser
des murailles de Chine (par exemple pour viter les dlits diniti) [] accompagnes par ladoption
de codes de dontologie ou de codes de bonne conduite qui portent prcisment sur le secret
observer dans telle ou telle situation.
Lvolution gnrale du droit : la prolifration de textes relatifs la transparence sous couvert de
lutte contre la corruption. Ainsi, le secret a aujourdhui mauvaise presse en entreprise : secret des
affaires, de fabrique, comme ailleurs. Il suffit de citer les atteintes constantes au secret de linstruction,
les coups de butoir de la Cour de cassation contre le secret professionnel de lavocat
Le passage dune conomie dendettement une conomie de fonds propres : linformation
financire avant tout privative devient alors essentiellement publique.
Les exigences particulires des investisseurs institutionnels renforcent encore lexigence de
transparence (notamment lorsquils sont anglo-saxons). La sanction vient alors du march et elle
est particulirement svre lorsquil apparat que le management a sciemment cach des informations
sensibles au march, ou quil a donn des informations errones.
Ainsi, le champ du secret tend se rduire quasi-mcaniquement sous leffet dune dmocratisation de
la gouvernance et de la pression des marchs.
La transparence rige comme nouvelle vertu ne risque-t-elle pas de porter atteinte aux
intrts conomiques des tats (donc des citoyens) et des entreprises (donc des salaris)
si les rgles du jeu ne sont pas partages par tous ?
3.1.2. Le numrique : rupture de lespace-temps
Dans cette volution fondamentale, le numrique joue un rle majeur. Dans un article de la Revue
franaise de gestion
23
, Aurlien Colson (professeur de science politique lESSEC), dcrit avec pertinence
comment cette aspiration dmocratique la transparence est facilite par lessor des technologies
de linformation.
Les mcanismes concrets permettant linjonction de transparence de se raliser sont les fruits
des rvolutions successives des technologies de linformation et de la communication. Radio et tlvision
sont dsormais presque universellement diffuses. Avec lInternet, lessor du haut-dbit et la puissance
exponentielle des systmes informatiques, le fait de produire, transporter, diffuser et stocker de
linformation ne cote plus grand-chose. Cela entrane deux effets supplmentaires.
Dune part, la segmentation de lespace svapore : les barrires linformation sestompent. Ce
qui devait rester clos dans un espace contrl menace tout moment de fuir vers lextrieur. Ce
qui tait de linformation interne devient plus facilement de linformation externe, publique. Dautre
part, le temps sacclre : la circulation de linformation devient de plus en plus rapide. Ce qui hier
mettait du temps se diffuser au sein dune population peut aujourdhui ltre instantanment.
Concrtement, lusage gnralis des systmes de messagerie comme des blogs ou rseaux sociaux
(professionnels et personnels) disponibles sur des terminaux multiples et dsormais mobiles, facilite
la publication instantane et la diffusion sur le Web, dun texte, dune conversation, dune vido ou
dune photo, qui peuvent aussi tre manipuls et sortis de leur contexte.
23
Colson Aurlien, Grer la tension entre secret et transparence Les cas analogues de la ngociation et de lentreprise
Revue franaise de gestion, 2004/6 n) 153, p 87-99
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3.1.3. La tension secret-transparence
La transparence gnralise rompt la dissymtrie propre au secret. Elle traduit une forme dgalit et
de rciprocit. Je suis transparent si lautre lest aussi. Je garde le secret si lautre fait de mme.
Elle entretient aussi une relation positive et intressante avec la confiance. Confiance et confidence
cest--dire le fait de rvler une information secrte ont dailleurs la mme tymologie
24
.
En labsence de ce systme obligatoire de partage dinformation, les acteurs seraient tents de
choisir des comportements comptitifs esprant bnficier dasymtries dinformation.
Pourtant, peut-on imaginer un monde sans secret et totalement transparent ? videmment non.
Nous sombrerions dans une nouvelle dictature.
Aurlien Colson prend lexemple intressant de la ngociation qui sadresse potentiellement chaque
individu au cours de sa vie que ce soit entre salari / employeur, acheteur / vendeur, parent / enfant,
tats / ONG, ministre / syndicats, etc. Le secret conserve en effet un grand intrt pour tout ngociateur !
Au sein de lentreprise, celle-ci se doit de maintenir la confidentialit sur certains de ses objectifs,
de ses choix stratgiques. La sensibilit extrme des marchs la moindre rumeur justifie que la
plus grande discrtion soit de mise sur certaines informations.
Un paradoxe veut ainsi que dans un march o linformation circule de faon plus transparente,
le secret acquiert une valeur plus importante encore quauparavant.
Prenant enfin lexemple dune ngociation entre Hubert Vdrine (alors ministre des Affaires trangres)
et Madeleine Albright (alors secrtaire dtat des tats-Unis), il indique que chaque point de la ngociation
tait class selon les quatre catgories suivantes :
nous sommes daccord et nous souhaitons le rendre public
nous sommes daccord mais nous le garderons secret
nous sommes en dsaccord et nous le dirons
nous sommes en dsaccord mais nous le garderons secret
Observez la loi suprme ! Le secret.
Honor de Balzac
Les illusions perdues
24
Confiance est un substantif qui appartient la famille de foi, qui va donner se fier ou se dfier, mais aussi confier. Jusquau XVII
me

sicle, confiance et confidence sont des doublets, cest--dire quils ont le mme sens. partir du XVII
me
sicle, confidence commence
prendre le sens de communication dun secret.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3.2. Les textes de loi sur le secret et la confidentialit : le trop plein ?
3.2.1. Dfinitions
Pour faire face aux atteintes la confidentialit et aux secrets des donnes, aux fraudes, aux accs
non autoriss et lespionnage, les entreprises souhaitent mieux protger linformation industrielle
et commerciale. Ces connaissances, de nature technique, commerciale, administrative, financire
ou autre, constituent le savoir-faire des entreprises et leur assurent un avantage concurrentiel dont
la valeur doit tre protge ; elles constituent leur patrimoine informationnel.
Lun des moyens de protection repose sur la confidentialit des informations transmises aux salaris
ou aux partenaires. La notion de confidentialit peut tre dfinie comme le Caractre de ce qui est
confidentiel (le terme confidentiel tant entendu comme ce qui a t communiqu quelquun
sous linterdiction, pour celui-ci, de le rvler quiconque, qui est livr par crit ou oralement sous
le sceau du secret (en confiance et confidence) ; qui doit tre accompli en secret. ) (G. Cornu, Vocabulaire
juridique, VConfidentialit).
Lautre moyen de protection est le secret professionnel, une obligation lgale sanctionne pnalement
en vertu de larticle 226-13 du Code pnal. Selon ce texte, La rvlation dune information caractre
secret par une personne qui en est dpositaire soit par tat ou par profession, soit en raison dune
fonction ou dune mission temporaire, est punie dun an demprisonnement et de 15 000 euros
damende .
Il se dfinit comme l obligation, pour les personnes qui ont eu connaissance de faits confidentiels
dans lexercice ou loccasion de leurs fonctions, de ne pas les divulguer hors les cas o la loi impose ou
autorise la rvlation du secret ; obligation, sanctionne par la loi pnale, qui pse sur les mdecins,
chirurgiens, pharmaciens, sages-femmes, mais galement sur toutes autres personnes, dpositaires
par tat, profession ou fonctions (temporaires ou permanentes), des informations caractre secret
quon leur confie (avocats, notaires, ministres du culte, etc.) et qui dispense de celle de dposer sur
les faits appris dans ces conditions (G. Cornu, Vocabulaire juridique, VSecret professionnel).
La conscration du secret professionnel a pour consquence de faire encourir, outre la condamnation
des dommages et intrts, des sanctions pnales aux personnes tenues au secret qui auront
donn des renseignements, hors les cas o la loi les y autorise ou les y oblige. La condamnation
suppose naturellement que soit reconnu llment intentionnel du dlit (Cour dappel de Grenoble,
ch. corr., sect. B, 9 fvr. 2000).
Par consquent, contrairement la confidentialit qui est de nature contractuelle, le secret professionnel
est dordre public et tabli dans lintrt des clients de certains professionnels qui, pour le bon
exercice de leur activit, ont la qualit de confidents ncessaires . Son but est donc dassurer la
confiance dans certaines professions (avocats, mdecin, assistante sociale, notaires, banquiers, ).
Mais le secret professionnel couvre uniquement ce qui est secret et seule
la rvlation dune information caractre secret est punissable.
Matre ric A. Caprioli
Avocat la Cour
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Toute apprhension des secrets de lentreprise ne constitue pas automatiquement une faute. Non
seulement lentreprise peut tre tenue de rvler certains de ses secrets, mais surtout ces derniers
ne font pas lobjet dun droit privatif (CA Paris 3 juillet 1975 ; Cass. Com. 18 janvier 1982, Bull. civ.,
IV, n 14). Ainsi, partir du moment o une information de nature confidentielle a t acquise de
manire lgitime, elle peut en principe tre librement utilise. Lentreprise conserve cependant le
droit de classer certaines de ses informations comme tant strictement confidentielles (politique
de confidentialit). Par consquent, lorsque lentreprise manifeste sa volont de conserver secrtes
des donnes et, par consquent quelle en interdit ou encadre strictement laccs et la divulgation
(Politique dIAM
25
ou de gestion des droits et des accs), le tiers non autoris commet une faute
(concurrence dloyale), voire un dlit (abus de confiance, ) sil cherche obtenir les informations
protges.
Enfin, il faut galement citer les exigences de la loi n 78-17 du 6 janvier 1978 Informatique, Fichiers
et Liberts dont larticle 34 soumet le responsable du traitement des donnes caractre personnel
lobligation de prendre toutes prcautions utiles, au regard de la nature des donnes et des risques
prsents par le traitement, afin de prserver la scurit des donnes tout en interdisant la communication
de ces informations des personnes non autorises, et sous peine de sanctions pnales, (Cour
dappel de Rennes, ch. corr., 13 janv. 1992, X c/ Proc. Rp. Guingamp et autres,). Ces obligations sont
reprises aux articles 226-21 et suivants du Code pnal.
En vertu du nouvel article 34Bis de la loi de 1978 (ordonnance n 2011-1012
du 24 aot 2011) les fournisseurs au public de services de communications
lectroniques sur les rseaux de communications lectroniques ouverts
au public, doivent notifier la CNIL les violations de donnes personnelles.
Isabelle Cantero
Cabinet Caprioli Avocats
3.2.2. Secret bancaire et secret mdical
Sagissant du secteur bancaire, larticle L.511-33 du Code montaire et financier dispose que tout
membre dun conseil dadministration et selon le cas, dun conseil de surveillance et toute personne
qui un titre quelconque participe la direction ou la gestion dun tablissement de crdit ou qui
est employe par celui-ci, est tenu au secret professionnel dans les conditions et sous les peines
prvues larticle L. 571-4 du Code montaire et financier .
Par ailleurs, larticle 154 de la loi n2008-776 du 4 aot 2008 de modernisation de lconomie a
tendu le secret bancaire aux entreprises dinvestissement. Il rsulte du texte modifi que les
tablissements de crdit peuvent, dans les cas prvus par la loi, sans avoir obtenir le consentement
du client, faire circuler des informations normalement couvertes par le secret bancaire. En dehors
de ces cas, le consentement du client doit tre obtenu. Ainsi, par exemple, la chambre commerciale
a jug, le 18 septembre 2007, que lobligation au secret professionnel laquelle sont tenus les
tablissements de crdit leur interdit de fournir un client qui en formule la demande des rensei-
gnements autres que simplement commerciaux dordre gnral et conomique sur la solvabilit
dun autre de leurs clients (Cass. com., 18 sept. 2007, no 06-10.663.).
25
Identity and Access Management
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Dans le domaine de sant, le droit au secret et la confidentialit fait partie des droits gnraux
du malade. De manire plus particulire, de nombreux articles du Code de dontologie mdicale
concernent directement ou indirectement le secret professionnel applicable au personnel de sant.
Par exemple, larticle 4 de ce texte impose au mdecin une obligation de secret de tout ce qui est
venu sa connaissance dans lexercice de sa profession cest--dire non seulement ce qui lui a t
confi, mais aussi ce quil a vu, entendu ou compris (art. R.4127-4 du code de sant publique). Dans
le mme sens, la loi n 2002-303 du 4 mars 2002 relative aux droits des malades vise notamment
favoriser laccs du patient aux donnes mdicales, tout en prservant leur confidentialit. cet
gard, elle a introduit larticle L.111-8 du Code de la sant publique qui dfinit les grandes lignes de
lencadrement de lactivit de lhbergement des donnes de sant caractre personnel et pose
les prmisses du dossier mdical personnel (DMP), instaur par la loi n 2004-810 du 13 aot 2004
relative lassurance maladie.
Chaque hbergeur doit ainsi tre agr pour son activit, son dossier de demande dagrment mettant
laccent sur les garanties de scurit et de confidentialit. Ces garanties stendent plus particulirement
au respect des droits des personnes concernes par les donnes hberges et la scurit de
laccs aux informations (art. R.111-14 du Code de sant publique). Dans la continuit de cette
rglementation, le dcret confidentialit (dcret n 2006-6 du 4 janvier 2006 relatif lhbergement
de donnes de sant caractre personnel) codifi aux articles R.1110-1 et suivants du mme code
est venu prciser les mesures techniques et organisationnelles mettre en uvre de sorte que
lchange et le partage des donnes garantissent la mme scurit et confidentialit aux donnes
que lhbergement de celles-ci. Ce texte rend donc obligatoire lutilisation de la carte de professionnel
de sant pour laccs, lchange et le partage de donnes de sant caractre personnel, cette
carte permettant notamment dauthentifier son porteur et de tracer ses actions.
Ainsi, le secret bancaire, la diffrence du secret mdical, nest pas absolu mais relatif.
3.2.3. Secret des correspondances
Selon larticle 226-15 du code pnal, latteinte au secret des correspondances se dfinit comme
le fait commis de mauvaise foi, douvrir, de supprimer, de retarder ou de dtourner des corres-
pondances arrives ou non destination et adresses des tiers, ou den prendre frauduleusement
connaissance.
Le terme correspondances doit tre compris de faon gnrale et sentend de tous messages ou plis
ferms ou non adresss par une personne une autre personne dnomme ; ce qui englobe les
messages lectroniques et les tlcopies. La peine encourue est fixe un an demprisonnement
et 45 000 euros damende.
Latteinte ce secret peut galement tre commise par un fonctionnaire ou assimil, avec une aggravation
des sanctions larticle 432-9 du Code pnal qui prvoit une peine de trois ans demprisonnement
et de 45 000 euros damende. la diffrence de larticle 226-15, larticle 432-9 ne reprend pas les
termes de mauvaise foi pour dsigner la teneur de llment intentionnel de linfraction.
3.2.4. Les hypothses datteintes
Le respect de la confidentialit est soumis des intrts contradictoires, mais aussi des exigences
contradictoires (protection de la vie prive dune part, et ncessits de ladministration fiscale
dautre part ; protection des intrts de lentreprise dune part, et la libert dexpression des salaris
dautre part, etc.).
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Le jugement rendu par le TGI de Bthune le 14 dcembre 2010 apporte une nouvelle illustration des
enjeux juridiques relatifs aux clauses de confidentialit figurant dans les contrats de travail ainsi
qu leurs consquences sur la protection des informations et de la rputation de lemployeur.
En lespce, lancien salari dune entreprise a t condamn un montant symbolique dun euro
(en raison de limpossibilit dvaluer le prjudice subi par lemployeur) pour avoir publi sur Internet
des contenus dnigrant son ex-employeur en violation dune clause contractuelle antrieurement
signe. Par ailleurs, la question de confidentialit est aussi souvent aborde sous langle du rglement
intrieur de lentreprise ou de codes dthique (V. TGI Nanterre, 2e ch., 19 oct. 2007).
La violation du secret professionnel comporte des sanctions importantes. Dune part, sur le plan
pnal, elle engage la responsabilit personnelle de la personne qui dvoile linformation couverte
par le secret. Par exemple, en matire bancaire, la mconnaissance du secret professionnel est
sanctionne par les peines prvues aux articles 226-13 du Code pnal. Dautre part, sur le plan civil,
cest la responsabilit dlictuelle et quasi-intellectuelle qui peut tre retenue en vertu des articles
1382 1384 du Code civil. Par exemple, ltablissement de crdit, civilement responsable de son
employ, peut tre condamn payer, la personne victime de lindiscrtion, des dommages intrts
destins compenser le prjudice matriel ou moral quelle a subi.
Dans le domaine bancaire, la communication un autre tablissement bancaire des informations
couvertes par le secret bancaire et en violation de la charte informatique a t rprime dans une
dcision du conseil des prudhommes de Nanterre du 15 septembre 2005 (RD bancaire et fin. 2006,
comm. 82, note ric A. Caprioli).
En matire de sant, les juges ont eu loccasion de prononcer lengagement de la responsabilit
civile sur le fondement de larticle 1382 du Code civil dun mdecin traitant qui, dans le cadre dune
procdure contractuelle de conciliation, a communiqu des informations dordre mdical sans laccord
ou la demande de son patient au mdecin-conseil dune compagnie dassurances. Limmixtion dans
un litige opposant le patient avec son assureur ainsi constat a t aggrav par la violation flagrante
du secret mdical. Les juges ont estim que la faute du mdecin a caus un prjudice moral certain
au patient anormalement dpossd dinformations mdicales, donc dessence intime, et a eu pour
effet de conforter lassureur dans son refus de prendre en charge le sinistre et finalement de donner
une nature judiciaire au litige entre lassureur et son assur. Les dommages et intrts ont t valus
3 000 euros. (Cour dappel de Metz, 13 mars 2002).
Dans le domaine des correspondances, en vertu dun arrt de la Cour dappel de Paris du 17 dcembre
2001 : un administrateur rseau et le chef dun laboratoire de recherche ont t condamns sur le
fondement de larticle 432-9 du Code pnal en raison de la divulgation du contenu des messages
lectroniques privs dun chercheur du laboratoire.
3.2.5. Quelles perspectives ?
Le systme juridique franais comporte de nombreuses qualifications qui peuvent entraner des
sanctions pnales pour la diffusion des informations confidentielles : labus de confiance, le vol,
le recel, les contrefaons de droits dauteur, les atteintes au secret de fabrique ou civiles pour les
violations de clauses de confidentialit.
Toutefois, en matire pnale, qui demeure le meilleur endiguement, les affaires Valo (TGI Versailles,
18 dc. 2007) et Michelin (TGI Clermont-Ferrand du 21 juin 2010) ont largement mis en vidence le
manque de moyens juridiques pour sanctionner les cas datteinte au patrimoine informationnel de
lentreprise et nous amnent penser que la qualification dabus de confiance semble tre la seule
disposition pnale applicable en matire despionnage par un salari et de divulgation de secrets
daffaires, lexclusion de toute autre et notamment du vol de donnes dmatrialises qui na t
retenu que par quelques jurisprudences isoles.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Dans le premier de ces litiges, une stagiaire de lentreprise qui avait reproduit des documents confi-
dentiels sur son disque dur personnel a t condamne sur le fondement de labus de confiance
pour des agissements qui taient manifestement contraires lengagement de confidentialit et au
rglement intrieur mis en place par lemployeur. Sa peine slevait un an demprisonnement dont
dix mois avec sursis, accompagn de 7 000 euros de dommages et intrts.
Dans laffaire Michelin, un salari a t retenu coupable dactes dabus de confiance sur la base de
larticle 314-1 du Code pnal en tant que dtenteur titre prcaire des donnes couvertes par la
confidentialit vise dans son contrat de travail qui a fait usage desdites informations des fins sans
rapport avec son activit professionnelle.
Par consquent, ltat franais et ses entreprises gagneraient ce que soit adopt un cadre juridique
spcifique la protection du secret des informations conomiques pour contrer les actes de mal-
veillance et les atteintes au patrimoine informationnel des entreprises. Tel est dailleurs le sens de
la proposition de loi dpose nouveau en janvier 2011, suite laffaire Renault, par le dput
Bernard Carayon qui, en renvoyant linfraction dabus de confiance, punit de trois ans demprisonnement
et 375 000 euros damendes le fait pour toute personne non autorise de sapproprier, de conserver,
de reproduire ou de porter la connaissance dun tiers non autoris une information caractre
conomique protge ou de tenter de sapproprier, de conserver, de reproduire ou de porter la
connaissance dun tiers non autoris une information caractre conomique protge .
Mais finalement, tant donn que le droit pnal nintervient qua postriori, la meilleure des rponses
reste encore et toujours lanticipation de la survenance des risques et la mise en place de mesures
techniques, organisationnelles, encadres par des documents valeur juridique (contrats, engagement
du salari ou des prestataires, ).
La scurit des donnes de lentreprise repose sur un travail dquipe impliquant les directions
informatiques, de la scurit et du juridique.
3.3. Le rle des normes internationales : un langage enfin partag ?
Ainsi, depuis prs de 25 ans, le monde de la Scurit des SI est fortement impact par un ensemble
de lois rpondant pour beaucoup la protection des donnes en termes de confidentialit alors
quen mme temps les obligations de transparence deviennent aussi plus fortes. Tout ceci sinscrit
dans un contexte international quon ne peut pas ignorer.
Le monde de la Scurit des SI a aussi t peu peu envahi par des normes internationales
de toutes natures et aux finalits nombreuses. Ds 1996, les normes ISO/IEC 10181 1-7 ont statu
sur les 7 grands axes que sont : la disponibilit, lintgrit, la confidentialit, lauthentification, le
contrle daccs, la non rpudiation, laudit.
Depuis 15 ans, la confidentialit est dfinie par la norme ISO/IEC 10181-5 comme
le fait de sassurer que linformation nest seulement accessible qu ceux dont
laccs est autoris.
La confidentialit est prsente ici comme un objectif (et non un tat) sappuyant sur des rgles de
contrle daccs linformation.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3.3.1. ISO/IEC 27002
La srie des normes ISO/IEC 2700x est le fruit de travaux initis en Angleterre la fin des annes 90.
La norme BS 7799 est devenue une norme internationale en 2000 (ISO 17799 puis ISO 27002). Cet ensemble
de bonnes pratiques (on en dnombre plus de 130) sinscrit dans la gestion de la scurit de linformation
et non de linformatique ou des systmes dinformation. La nuance est dimportance. Mais dans le
fond, les thmes abords sadressent essentiellement aux systmes dinformation.
Linformation y est prsente comme un bien essentiel tout organisme. Il est donc important
quelle soit protge de toute menace interne ou externe. Lenjeu est den prserver la disponibilit,
lintgrit et la confidentialit. Cette dernire demeure ici encore une finalit.
Pour ce faire, lorganisme doit mener un ensemble dactions et mettre en place les processus requis
en termes :
De politique (rgles et directives) et dorganisation (acteurs et processus)
Dinventaire et de classification des actifs : informations, logiciels, matriels physiques, savoir-
faire) via une fonction de propritaire
De formation et sensibilisation des utilisateurs sur les risques et menaces pesant sur linformation
De communication
De gestion et contrle de laccs aux donnes
De dveloppement et maintenance des systmes dinformation
De dtection et traitement des incidents de scurit
Dtablissement de plans de continuit de lactivit
De conformit au regard des lois, des rglementations et de la politique de scurit
Lensemble de ces considrations doit tre pris en compte ds le lancement dun projet puis tre
suivi et contrl tout au long de son cycle de vie.
3.3.2. ISO/IEC 27005
la diffrence de la norme ISO/IEC 27002, la confidentialit est traite non pas en tant quobjectif
concret mais dans le cadre des analyses de risques pouvant conduire une perte de confidentialit .
En relation avec la norme ISO/IEC 27002, une mthodologie doit tre respecte en sappuyant sur
linventaire et la classification des actifs. Sont prsents 6 chapitres touchant la gestion des atteintes
la confidentialit des informations :
Chapitre 7 : tablir le contexte de lanalyse des risques
Chapitre 8 : dfinition de lapprciation des risques
Chapitre 9 : quatre choix du traitement du risque
Chapitre 10 : acceptation du risque
Chapitre 11 : communication du risque
Chapitre 12 : surveillance et rexamen des risques
On constate donc que cette norme en reste au niveau des principes et ne fournit pas dlment
concret sur les scnarios datteinte la confidentialit des informations.
Il nous faut rechercher dans dautres travaux ou documents de rfrence, des lments de rponses
sur le lien entre atteinte la confidentialit et analyse de risques .
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3.4. Des rfrentiels nationaux : au-del du domaine public ?
Il est frappant de constater que des textes, quon qualifiera de rfrence, existent mais quils demeurent
parfois mconnus
26
. Nous retiendrons ici trois documents rcents particulirement instructifs :
La mthode EBIOS (Evaluation des Besoins et Identification des Objectifs de Scurit) produite par
lAgence Nationale la Scurit des Systmes dInformation.
Le Rfrentiel Gnral de Scurit (RSG) publi par arrt du Premier Ministre le 10 mai 2010.
Linstruction gnrale interministrielle sur la protection du secret de la Dfense Nationale (IGI
1300) signe par le 1
er
Ministre le 23 juillet 2010.
3.4.1. La mthode EBIOS
Loin de nous lide de prsenter ou de promouvoir ici la mthode EBIOS. Nous nous focaliserons
sur un de ses apports essentiels sous la forme dune base de connaissances. Elle comble ici un
manque important de la norme ISO 27005 savoir les scenarii de risques ou de menaces prendre
en compte dans les analyses de risques.
Ainsi, sur un ensemble de 51 menaces structures en 9 catgories, 27 (soit plus de la moiti) sont
lies aux questions de confidentialit. Le tableau ci-dessous indique les typologies de menaces proposes
par la mthode EBIOS.
Catgorie Type de menace Moyens requis
Menaces sur le matriel
Dtournement de lusage
prvu dun matriel
Sans objet
Espionnage dun matriel
Modification dun matriel
Perte dun matriel
Menaces sur les logiciels
Dtournement de lusage
prvu dun logiciel
Sans objet
Analyse dun logiciel
Modification dun logiciel
Disparition dun logiciel
Menaces sur les canaux
informatiques et de tlphonie
Ecoute passive dun canal
informatique ou de tlphonie
Sans objet
Menaces sur les personnes
Espionnage dune personne
distance
Sans objet
Influence sur une personne
Dpart dune personne
Menaces sur les supports
papier
Espionnage dun support
papier
Sans objet
Perte dun support papier
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
26
www.ssi.gouv.fr
Catgorie Type de menace Moyens requis
Menaces sur les canaux
interpersonnels
Espionnage dun canal
interpersonnel
Sans objet
Sources humaines agissant
de manire dlibre
Interne et malveillante
Faibles
Importants
Illimits
Externe et malveillante
Faibles
Importants
Illimits
de manire accidentelle
Interne sans intention
de nuire
Faibles
Importants
Illimits
de manire accidentelle
Externe sans intention
de nuire
Faibles
Importants
Illimits
Sources non humaines
Code malveillant dorigine
inconnu
Sans objet
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Ainsi, la perte, lerreur ou la manipulation ctoient le vol, la malveillance et lespionnage avec
systmatiquement, une mise en danger des informations sensibles.
3.4.2. Le Rfrentiel Gnral de Scurit
labor par lANSSI et publi par arrt le 6 mai 2010, le Rfrentiel Gnral de Scurit sadresse
toutes les Autorits Administratives ainsi qu leurs prestataires impliqus dans la Scurit des SI.
Il sinscrit avant tout dans le cadre de la modernisation de ltat et du dveloppement de la confiance
numrique.
Il dfinit un ensemble de rgles et de bonnes pratiques en matire de scurit des systmes dinformation
sur lesquelles nous ninsisterons pas et qui sinspirent des normes ISO 2700x.
Les questions de confidentialit sont abordes dans le document trois niveaux :
En termes denjeux : la perte de confidentialit via laccs par une personne non autorise des
donnes confidentielles
En termes de fonction de scurit (au mme titre que lauthentification, la signature lectronique
et lhorodatage)
En annexe, en ce qui concerne la mise en uvre pratique du chiffrement et des mcanismes
cryptographiques
Le chapitre 3.4 consacr la confidentialit reprend les dfinitions cls et pose les bases des
bonnes pratiques oprationnelles du chiffrement. Il est prcis dans son introduction que :
La confidentialit est le caractre rserv dune information dont laccs est limit aux seules
personnes autorises la connatre . Le chiffrement ainsi que des mesures de gestion des accs
(droits de lecture, criture, modification) permettent de prserver la confidentialit des donnes.
Le chiffrement est un procd cryptographique garantissant la confidentialit des donnes chiffres
contre toute personne ne possdant pas la cl de dchiffrement. Il sagit du mcanisme essentiel de
protection de la confidentialit.
Par ailleurs, la confidentialit des informations peut aussi tre protge par des mesures compl-
mentaires de gestion des droits daccs de chacun, en lecture, en criture ou en modification, aux
donnes contenues dans le systme dinformation. Ces droits daccs sont dtermins, en fonction
du strict besoin den connatre des usagers et de celui des agents dans le cadre de leurs missions.
cet effet, il est recommand que des mcanismes techniques soient mis en place pour sassurer
que seules les personnes autorises puissent accder aux donnes en fonction de leur besoin den
connatre. Il est recommand galement que ces mcanismes soient robustes et implments au
plus prs du lieu de stockage des donnes.
Dans tous les cas, les mcanismes de chiffrement et les mcanismes techniques de gestion des
droits daccs, ds lors quils font appel des mcanismes cryptographiques, doivent respecter les
exigences fixes dans les rfrentiels mentionns au chapitre 3.4.1.
3.4.3. LIGI 1300
Bien quindiquant en prambule de ce chapitre que nous excluions le Secret de la Dfense Nationale
de notre analyse, il nous a sembl intressant de faire rfrence un document qui pourrait sans
doute tre adapt dautres contextes.
Ce texte publi le 26 juillet 2010, sous forme dinstruction gnrale interministrielle, sadresse la
protection du secret de la Dfense Nationale.
Au-del des enjeux nationaux quil couvre, il contient des principes et des pratiques applicables dans
tout domaine dactivit.
Toute information ou support, dont la diffusion doit tre matrise et limite afin de ne pas nuire la
Dfense Nationale, est classifi selon trois niveaux :
Niveau de classification Dfinition
Trs Secret Dfense
rserv aux informations et supports dont la
divulgation est de nature nuire trs
gravement la dfense nationale
Secret Dfense
divulgation est de nature nuire gravement
la scurit nationale
Confidentiel Dfense
divulgation est de nature nuire la scurit
nationale ou pourrait conduire la dcouverte
dun secret classifi au niveau Trs Secret
Dfense ou Secret Dfense
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Seules les personnes, dont la fonction ou laccomplissement de leur mission ncessite la connaissance
dinformations classifies, y ont accs. Elles sont alors soumises des obligations de confidentialit.
La dcision de classifier rsulte de lanalyse de limportance de linformation au regard de son
contexte . Ce choix est important : il faut viter de sur-classifier, ce qui altrerait la valeur du secret,
ou de sous-classifier, ce qui nuirait la scurit nationale.
Notons quune dure de classification est prcise lors de la classification dun document. Ce dlai
peut tre rvalu.
Ds lors que linformation est traite sous forme numrique, des mesures de scurit sont requises
trois niveaux :
En termes dorganisation : mise en place dune politique de scurit qui dfinit les principes et
exigences de scurit du systme ainsi que la gestion des incidents
En termes de moyens techniques : protections techniques du systme ainsi que la gestion
et le contrle des accs
En termes de dfense en profondeur, base autour de cinq axes : prvenir (viter lapparition
de failles de scurit), bloquer (empcher les attaques), contenir (limiter les consquences
dune attaque), dtecter (pouvoir identifier les incidents) et rparer (remettre le systme en
fonctionnement suite une attaque).
3.5. Synthse
Grer la confidentialit des informations peut sembler une utopie au regard du contexte dvolution
de nos socits.
Dune part, la transparence est rige comme valeur incontournable de la dmocratie. Le secret
devient suspect ! Dj en 1498, Jean de la Vprie nonait que :
Secret de deux, secret de Dieu ; secret de trois, secret de tous.
Dautre part, les entreprises et les administrations se sont ouvertes et interconnectes entre elles,
avec leurs clients, usagers, partenaires et fournisseurs. La fermeture cest la mort ! En 2004, Alain
Juillet alors en charge des questions dIntelligence conomique auprs du Premier Ministre affirmait
aussi que les secrets dentreprise sont de plus en plus rares .
Tandis que les jeunes gnrations vivent en connexion permanente avec les nouveaux Dieux que
sont iPhone et Facebook, linformation prend une valeur nouvelle quelle soit vraie ou fausse, prive
ou publique, peu importe. Il faut la possder et la consommer. Revisitant Descartes et son Je pense
donc je suis , le XXI
me
sicle dcouvre le Je communique donc jexiste ! Mais, un proverbe turc
affirme depuis longtemps que Tu dis ton secret un ami, mais ton ami a un ami aussi. !
Alors, quest-ce que le secret et la confidentialit lre du numrique ?
Un rapport dinformation parlementaire a t produit par lAssemble Nationale le 22 juin 2011. Son
titre : Les droits de lindividu dans la rvolution numrique . Fort de 384 pages, le document
aborde lensemble des aspects politiques et socitaux mais aussi trs pratiques concernant les
citoyens comme les entreprises et les administrations.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Quen retenir dintressant pour notre Livre Bleu ?
Une dfinition du numrique : Lensemble des techniques de communication qui utilisent des
signaux numriques, notamment dans la reproduction des images.
Un focus trs important sur le poids de 2 acteurs cls que sont Google et Facebook et sur la
problmatique du Cloud Computing
Un chapitre de 115 pages sur Le droit une protection dans lunivers numrique
Les questions de secret et de confidentialit ne sont pas absentes de la dialectique :
Le secret est abord une vingtaine de fois dont la moiti sur le thme des rseaux sociaux
La confidentialit est cite une vingtaine de fois dont la moiti pour les rseaux sociaux
Mais il est particulirement impressionnant de constater que le terme vie prive apparat prs
de 300 fois dans le document
Au regard des lments proposs, nous pouvons tablir un premier constat en quatre points :
1. Dun ct, le secret est trs prsent dans les textes de loi alors que la confidentialit y est quasi
inexistante
27
. De lautre, les normes ISO 2700x nabordent pas du tout le secret et se concentrent
exclusivement sur lobjectif de confidentialit.
2. Une distinction juridique en termes de responsabilit contractuelle / civile ou pnale est possible
comme semble lindiquer Matre ric A. Caprioli.
3. Une distinction pratique de nature temporelle (un secret peut tre lev, sans pour cela rendre
linformation publique) pourrait aussi tre propose.
4. Plus simplement, le nombre de ceux qui ont le droit den connatre nest-il pas tout simplement
trs limit pour le secret (quelques-uns), plus large pour le confidentiel ?
Nous pouvons aussi dgager quelques points fondamentaux et des questions cls qui orienteront
lanalyse du chapitre 4 reprenant les rsultats de lenqute du Cercle.
3.5.1. Les trois points fondamentaux
Si nous partons de lhypothse que notre idal dmocratique ne steint pas, un quilibre doit tre
trouv entre la libert de communiquer, de partager et dchanger et les exigences de secret / confidentialit
dans le cadre de la scurit numrique.
Ainsi, la confidentialit et le secret doivent tre garantis par la Loi et les rglements pour pouvoir
sanctionner tout abus ou malveillance. Ils doivent aussi tre maintenus dans la dure en sadaptant
aux volutions de la socit. De plus, lusage des politiques, des chartes, des clauses et accords
de confidentialit, des codes dthiques sur le Web voire des messages dalerte des courriels doit
se dvelopper et se renforcer au regard des enjeux viss. Mais ils ne seront jamais suffisants. En
particulier, le concept de Politique de Scurit du SI couvrant les 4 objectifs DICT
28
, ne doit-il pas
tre revu ?
Par ailleurs, lexercice de classification ne doit pas tre nglig et encore moins ignor. Dfinir une
typologie de donnes confidentielles selon diffrents degrs demeure fondamental. Cependant, des
difficults demeurent. Comment sont dfinis les seuils dimpact en termes de secret / confidentialit ?
Par qui ? Comment aller au-del de la norme de classification ? Et quoi sert-elle finalement ?
Enfin, garantir le secret et la confidentialit lre du numrique ne peut pas soprer uniquement
dans la sphre des systmes dinformation et de ses normes.
27
Par exemple, aucune citation avec confidentiel ou confidentialit na pu tre propose.
28
Disponibilit, Intgrit, Confidentialit, Traabilit
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Plus que jamais les synergies et les travaux doivent se drouler en impliquant tous les acteurs
concerns au plus prs des propritaires , dpositaires , hbergeurs , utilisateurs ,
destinataires , etc. dans une logique de flux plus que de fichier ou de traitement . Lenjeu
est bien sr dassocier systmatiquement et intelligemment, scurit informatique et scurit physique,
mesures techniques, juridiques et comportementales.
3.5.2. Les questions en suspens
Si nous partons de ces trois points pour btir la dmarche de gestion du secret et de la confidentialit,
des questions demeurent nanmoins en suspens.
1. Comment aller au-del de lidentification et de la classification des informations confidentielles ?
En effet, les processus de gestion des informations sont devenus complexes, nombreux et varis.
La confidentialit doit tre aborde de lamont (cration) jusqu laval (archivage / destruction). Les
efforts et les cots pour traiter lensemble de la question pourront sembler trop importants pour
certains Place au pragmatisme ?
Par exemple : Doit-on toujours proposer une classification en fonction de seuils dimpacts (gravit
dune perte ou divulgation) ? Comment sont dfinis ces seuils en termes mdiatiques, financiers,
juridiques ? Et par qui ? Quest-ce qui distingue alors le secret du confidentiel ? Uniquement le nombre
de ceux qui ont en connatre ? Et surtout, comment minimiser la part de la subjectivit ?
2. Comment dtecter et inventorier les atteintes aux donnes confidentielles ?
En effet, autant les vulnrabilits et les attaques logiques se dnombrent par centaines de milliers,
autant les atteintes la confidentialit des donnes apparaissent marginales telle une partie immerge
de liceberg, faute daller voir sous leau ! Comment dvelopper les processus dalerte permettant
dinventorier et de notifier les atteintes la confidentialit ?
Ici encore, lthique prend une importance fondamentale. Quels sont les outils vraiment ncessaires
et comment seront-ils mis en uvre et exploits (DLP et gestion des traces par exemple). Devra-t-on
aller jusquaux pratiques de whistleblowing amricaines ? La notification ou lalerte devra seffectuer
auprs de qui ? Et surtout comment ?
3. Comment dvelopper une cyber-thique en termes de confidentialit avec des rgles du jeu
partages ?
Ceci sentend aussi bien au sein dune entreprise ou dune administration (employeur / salari) que
dans le cadre de partenariats (entreprise / fournisseurs et partenaires), de relations commerciales
(client / fournisseur) comme des relations entre tats (ngociations).
Peut-on imaginer des rgles du jeu partages, formelles, comprises et rciproques partant du principe
de Confucius Ne fais pas aux autres ce que tu naimerais pas quon te fasse. ?
Ces diffrents aspects seront apprhends au chapitre suivant la lumire des rsultats de lenqute
annuelle du Cercle.
Dire le secret dautrui est une trahison, dire le sien est une sottise.
Voltaire (1694-1778)
LIndiscret - 1725
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4. DU PRINCIPE LA PRATIQUE
4.1. Introduction
Partant des orientations et des questions cls des chapitres prcdents, les rsultats de lenqute
annuelle du Cercle Europen de la Scurit et des Systmes dInformation vont apporter un clairage
plus concret sur la dialectique, centr sur le monde de lentreprise, des administrations et des
services publics.
Nous appliquons ici quatre principes :
Principe N1 : Exploitation des rponses apportes par un chantillon de 223 professionnels une
srie de 13 questions.
Principe N2 : Analyse des rponses structure en 4 thmatiques.
Importance accorde aux questions de secret et de confidentialit de linformation
Typologie des atteintes au secret et la confidentialit constates
Nature et efficacit des moyens mis en place pour protger linformation
Perspectives lies aux usages des technologies de linformation
Principe N3 : Prsentation des rsultats pour 3 secteurs si les enseignements sont intressants
(carts significatifs).
Banques / Assurances
Industries / Services
Administrations / Services publics
Par ailleurs, un zoom sant sera galement propos sur certaines questions en mettant profit
la participation dune quarantaine de professionnels du secteur. Les questions de secret (mdical) et
de confidentialit (lies la carte CPS) mritent une attention particulire dans un secteur marqu par
de nombreuses initiatives comme la tlsant, lhpital numrique, le dossier mdical personnel, etc.
Principe N4 : Conclusions factuelles et peu prospectives laissant aux lecteurs la libert dapprcier
dans leur contexte particulier, leur pertinence ou leur utilit.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Les 3 secteurs
dactivit
Banques
Assurances
Industries
Services
Administrations
Services publics
4.2. Quelle importance pour les questions de confidentialit ?
La rgle implicite qui a longtemps prvalu dans le monde
des entreprises tait le secret.
Denis Kessler (Ancien vice Prsident du MEDEF)
Lentreprise entre secret et transparence Pouvoirs n97, 2001
Trois questions ont t poses lchantillon pour apprcier si les questions de secret et de confidentialit
taient ou deviennent importantes dans leur contexte historique et dans leur domaine dactivit. De
toute vidence, le sujet est important pour une large majorit de rpondants.
Question pose : Pour vos dirigeants, la confidentialit des informations, au sein de votre entreprise /
organisme est de manire gnrale et historiquement
Une analyse par secteur dactivit apporte un clairage diffrent et plus intressant. Les Industries /
Services se diffrencient des deux autres secteurs avec une importance moindre accorde au sujet.
61 rpondants 72 rpondants 83 rpondants
Trs important 52 % 24 % 48 %
Assez important 38 % 47 % 39 %
Peu important 10 % 26 % 10 %
Pas du tout important 0 % 3 % 1 %
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Ce constat peut paratre surprenant mais il est pourtant corrobor par de nombreux tmoignages
indiquant quau-del des grandes entreprises industriels, une majorit dacteurs des Industries /
Services naccorde pas la confidentialit une importance majeure, privilgiant la continuit. On
peut aussi imaginer que les rpondants des Industries / Services appartenant une DSI parlent
exclusivement des donnes numriques.
La question est cependant de savoir si cette importance volue dans le temps et pour qui. Est-ce
plus marqu pour les dirigeants ou pour les managers au sein des mtiers ?
Questions pose : Aujourdhui, la confidentialit des informations, au sein de votre entreprise / organisme
devient-elle une proccupation plus importante pour les dirigeants / au sein des mtiers ?
Ainsi, la proccupation tend se renforcer significativement (entre 70 et 90%) avec une perception
lgrement diffrente selon quon est dirigeant (perception suprieure) ou au sein dun mtier (perception
moins importante).
Nous ne constatons pas dcart significatif pour les dirigeants selon les 3 secteurs dactivit. Cependant,
au sein des mtiers, le secteur Industries / Services apparat ici aussi, en retrait par rapport aux
deux autres.
Au sein des mtiers
Oui, beaucoup 40 % 17 % 39 %
Oui, un peu 43 % 56 % 46 %
Non, pas du tout 17 % 27 % 15 %
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
La confidentialit prsente une importance accrue la fois
pour les dirigeants et les mtiers.
Cette vision ne signifie-t-elle pas que, loin de devoir llargir ou la renforcer,
lenjeu est de mieux la circonscrire des environnements / contextes cibls
et des proccupations plus prcises ?
4.3. Comment aborder le problme ?
La question du format de linformation et de son support est essentielle pour des raisons de pertinence
et defficacit de laction (avant tout en termes de prvention et protection). Si nous nous adressons
ici aux donnes numriques, nous ne devons pas oublier que les supports sont aussi bien matriels
(informatiques ou non) quintellectuels (savoir, connaissances).
Ainsi, indpendamment de ce support, il est essentiel de pouvoir classifier linformation selon diffrents
degrs qui caractrisent son importance, au regard des impacts (voir schma ci-dessous) de toute
perte, divulgation, vol, accs ou copie illicite.
4.3.1. La classification en question
Classifier les informations en termes de confidentialit nest pas lexercice le plus difficile qui soit,
mais il faut aussi le faire correctement, efficacement, avec pertinence et de manire utile. Nombre
dentreprises possdent des politiques et procdures en la matire. Mais pas toutes En effet, 23%
des rpondants affirment ne pas possder de rgles de classification en confidentialit.
Question pose : La classification des informations seffectue au sein de votre entreprise / organisme
selon les niveaux
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Pour les autres, les pratiques savrent trs varies et il est remarquable que seulement 37% des
rpondants intgrent une classification au niveau secret qui peut tre aussi assimil trs
confidentiel (19%).
Par ailleurs, 28% des rpondants indiquent utiliser dautres critres que ceux proposs. On peut
imaginer le trs secret gouvernemental, voire le public qui ntaient pas explicitement indiqus.
Une analyse par secteur dactivit apporte un clairage intressant et montre quelques diffrences
notables mentionnes dans le tableau ci-dessous.
Secret 33 % 49 % 31 %
Trs Confidentiel 22 % 14 % 21 %
Confidentiel 91 % 95 % 79 %
Ici aussi, le secteur des Industries / Services se distingue avec un usage plus important des classifications
secret et confidentiel , alors quil apporte une importance moindre au sujet.
Aucune norme de classification ne se distingue concrtement
et chacun semble dfinir ses propres rgles en la matire.
Loin dtre un exercice de style, ne doit-on pas exploiter plus largement
lIGI 1300 dans le domaine priv en ladaptant aux types dinformation
spcifiques chaque secteur dactivit ?
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Une des questions essentielles rside dans lusage que lon fait de la classification des informations.
Par nature, celle-ci est indpendante des mesures de prvention ou de protection, mais elle doit
aussi tre fondamentalement lie aux conditions dusage et de manipulation de linformation.
ce titre, il ne peut tre fait lconomie de dfinir les mesures de scurit appropries :
pour chaque niveau de classification : secret, confidentiel, etc.
pour chaque type de support : numriques, imprims, intellectuels, etc.
pour chaque contexte de gestion : cration, stockage, accs, change, impression, destruction,
copie, archivage, etc.
Et noublions pas que le marquage des documents / supports contenant linformation classifie
comme lhabilitation des personnes la dtenant ou y accdant sont deux aspects essentiels de la
protection.
On voit alors que les conditions dune gestion rigoureuse de la confidentialit ncessite dune part de
bien se concentrer sur les informations les plus importantes (en termes denjeux pour un dirigeant
ou un mtier), et dautre part dimpliquer voire de responsabiliser individuellement chaque acteur
concern, pour quil ne soit pas lui-mme une source de vulnrabilit par des comportements inap-
propris.
4.3.2. Une bote outils lefficacit incertaine
Les mesures de prvention et de protection visent rduire les risques et les impacts de toute
atteinte la confidentialit. Si historiquement, la cryptographie a rpondu au besoin de protection
de lcrit puis des communications orales, la discrtion voire le silence ne demeurent-ils pas les
meilleurs garants du secret sous toutes ses formes ? Dans le numrique, cela signifierait une limitation
drastique de la communication, du partage et des changes. Le prix payer
Cest lorsquon procde par ce quon appelle la scurit par lobscurit,
cest--dire que lon met en uvre un algorithme quon ne publie pas, quon
garde secret, que lon risque de se trouver confront des problmes.
Jacques Stern
Ce qui est secret est vulnrable La Recherche, 2008
Dsormais, tout se combine et le numrique est devenu le mdia le plus simple et le plus rapide
pour communiquer et changer que ce soient textes, vidos, sons et images. Cependant, les mesures
appropries ne peuvent pas tre uniquement de nature technologique et informatique, mais aussi
comportementale et organisationnelle. Le schma ci-dessous prsente la position des rpondants.
Question pose : Parmi les mesures suivantes, quelles sont, selon vous, les plus efficaces pour
garantir la confidentialit des informations ?
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
La combinaison de la sensibilisation (gnrale et cible) avec des techniques de base (chiffrement et
contrle daccs) apparat comme la solution la plus pertinente et la plus efficace.
Dautres mesures techniques, ncessitant cependant des procdures qui peuvent tre trs contraignantes
et coteuses (gestion des correctifs, habilitations, gardiennage, etc.), compltent ce 1
er
arsenal.
Mais elles napparaissent quen 2
me
niveau.
Une analyse par secteur dactivit apporte un clairage diffrent sur quelques rponses proposes
avec des carts significatifs.
Sensibilisation
gnrale des
collaborateurs
86 % 78 % 80 %
Chiffrement
des donnes
87 % 88 % 58 %
Sensibilisation cible
pour les populations
risque
72 % 78 % 65 %
Contrles daccs
logiques
75 % 66 % 62 %
Cloisonnement
de rseau dtection/
prvention dintrusion
69 % 44 % 59 %
Destruction des
donnes
41 % 51 % 17 %
Sensibilisation
gnrale des
collaborateurs
86 % 78 % 80 %
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
On retiendra que :
Les rponses apportes pour les actions de sensibilisation sont globalement homognes
Les Banques / Assurances priorisent moins les mesures proposes et portent une plus grande
importance aux outils techniques
Les Banques / Assurances et les Industries / Services ciblent les actions de sensibilisation sur les
populations risque
Les Administrations / Services publics apportent une importance moindre au chiffrement et la
destruction des donnes
Le secteur de la sant considre les contrles daccs logiques comme
plus efficaces (79%) par rapport aux autres secteurs, sans doute
en raison des enjeux lis la Carte CPS et au DMP.
4.3.3. La cl du chiffrement : pour quels usages ?
Parmi les mesures proposes, le chiffrement est un lment cl de la protection de la confidentialit
et du secret. Nanmoins, son usage qui sest trs largi au-del des mondes tatique, militaire,
industriel et bancaire, pose la question de son adaptation des environnements plus ouverts (complexit
de la gestion des cls, obligations lgales, etc.) et de son acceptation par les utilisateurs (performance,
ergonomie, etc.).
Le chiffrement rpond de nombreux besoins potentiels de protection des donnes comme lindiquent
les rsultats prsents au schma ci-dessous.
Question pose : Quel usage faites-vous du chiffrement aujourdhui, en termes de mdias ?
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Sans surprise, les quipements de mobilit (portables, cls USB) et la messagerie arrivent en tte.
Les autres usages tant globalement ponctuels ou marginaux. Pour Jacques Stern, Les algorithmes
de cryptographie ne sont quun lment de la chane permettant la transmission scurise de donnes.
lheure actuelle, ils ne constituent pas le maillon faible de cette chane : lorsquils sont publics,
leur fiabilit est largement prouve. Les fonctions de hachage demandent cependant un effort de
recherche pour continuer de garantir lavenir le contrle dintgrit. Quant la menace dun ordinateur
quantique capable de venir bout des algorithmes, elle reste trs hypothtique.
29

Une analyse par secteur dactivit apporte un clairage diffrent sur quelques rponses proposes.
Portables 68 % 71 % 38 %
Pices jointes
de mails
47 % 53 % 42 %
Cls USB 45 % 43 % 27 %
Messagerie
lectronique
38 % 35 % 34 %
Bases de donnes 32 % 18 % 20 %
On retiendra :
Des carts peu significatifs entre les Banques / Assurances et les Industries / Services lexception
des bases de donnes
Un usage moindre du chiffrement au sein des Administrations / Services publics et des Industries /
Services pour les bases de donnes
29
Jacques Stern, Ce qui est secret est vulnrable La Recherche, 2008
Le secteur de la sant apparat encore plus en retrait dans lusage
du chiffrement pour les portables (21%) mais est plus avanc
pour la messagerie lectronique (51%), sans doute en raison
des usages spcifiques de ces outils.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4.4. Affronter la ralit
Limportance accorde la confidentialit des donnes et lampleur des mesures mises en uvre
nvitera jamais quune erreur, une ngligence, une attaque bien mene ne conduisent une perte
ou une divulgation aux consquences plus ou moins graves.
Quelques tudes et publications indiquent les points cls ne jamais perdre de vue. Selon une note
blanche de la DCRI (Direction Centrale du Renseignement Intrieur) de 2009, sur une priode de 3
ans, plus de 3000 entreprises franaises ont t vises des fins dintelligence conomique.
Quelles sont les cibles ?
- Les entreprises de toutes tailles dont les PME reprsentent prs des trois quarts.
Quelles sont les informations vises ?
- Les donnes financires, le savoir-faire et les secrets industriels
Quels sont les modes opratoires ?
- Souvent lgaux, ils sappuient sur lintrusion physique ou logique et les manipulations (visiteurs
autoriss et intrusions consenties (17%), atteintes aux savoir-faire (12%), risques informatiques
(11%), atteintes physiques sur sites (11%), exploitation des vulnrabilits humaines (5%))
Une tude plus rcente de Verizon nous indique quen 2010, le nombre de pertes de donnes est
quivalent celui des 6 annes prcdentes cumules. On objectera ici que plus on cherche, plus
on trouve ! Mais aussi que les obligations de notification des atteintes aux donnes personnelles
en vigueur, notamment aux tats-Unis et dsormais en Europe, ont un rel impact. Dans le rapport
de 2011, on constate une inflexion la baisse du nombre denregistrement de donnes personnelles
compromis, en mme temps quune augmentation des compromissions : plus dattaques, plus simples,
plus cibles et avec moins dimpacts ?
Enfin, selon une tude de KPMG
30
les secteurs les plus touchs par les atteintes aux donnes sont
par ordre dimportance, les services financiers, la sant et lassurance. On objectera ici que on ne
trouve que l o on cherche ! Bizarrement, le secteur industriel est absent de ce bilan
4.4.1. Cest le monde rel
Lactualit sur ce type dvnement est dsormais quasi quotidienne. Elle ne reprsente sans doute
que la partie immerge de liceberg, tant une certaine forme domerta rgne toujours sur le sujet
31
.
Toute publicit sur une divulgation volontaire ou non, comme le vol ou la disparition de donnes
confidentielles aura un impact immdiat sur limage de lorganisme ou de lentreprise concern.
Quelques exemples marquants mritent pourtant dtre rappels.
En 1996, le Docteur Gubler, ancien mdecin de Franois Mitterrand, publie un ouvrage intitul Le
grand secret , consacr la dcouverte, lvolution et au traitement de la maladie du Prsident. Il
sera condamn quatre mois de prison avec sursis pour violation du secret professionnel .
En 2005, le Groupe Valeo dposait plainte contre une stagiaire chinoise pour intrusion informatique
et vol de donnes. Elle sera condamne et fera 53 jours de dtention en prventive. Dans lindustrie
dautres affaires ont dfray la chronique : Coca Cola / Pepsi (2006), Ferrari / Mac Laren (2007),
Michelin / Bridgestone (2008)

30
Data Loss Barometer KPMG, 2009
31
Voir les rsultats de ltude de lInstitut Ponemon en conclusion
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
En 2008, lors dun transfert dinformations entre son sige au Royaume-Uni et une filiale en Afrique
du Sud, lassureur Zurich a gar les donnes personnelles et bancaires de prs de 36000 clients.
La Financial Services Authority (UK) sanctionnera Zurich une amende de 2,3 M.
En 2008, un ordinateur contenant onze annes de dossiers mdicaux (plus de 15 000 dossiers) a t
vol dans un cabinet mdical de lOise.
En 2009, une liste de 3 000 noms de ressortissants franais possdant des comptes bancaires en
Suisse non dclars ladministration fiscale tait communique Bercy par un ancien informaticien
de HSBC.
En 2009 toujours, des collaborateurs dEDF sont souponns davoir commandit depuis 2004, des
intrusions informatiques des fins de collecte dinformation sur lassociation Greenpeace.
En 2010, le site www.wikileaks.com publie des dossiers confidentiels de nature militaire et diplomatique
faisant trembler plusieurs tats occidentaux. Certaines informations sont communiques au site
par un informaticien, militaire amricain bas en Irak. Les dmls du fondateur de wikileaks avec
la justice sudoise et le systme de paiement en ligne Paypal, conduit ses dfenseurs pirater le
site en ligne de ce dernier via des cyber-attaques.
En 2010 aussi, laffaire Bettencourt clate avec comme point de dpart lenregistrement dune
conversation prive par un employ de maison linsu de sa patronne.
En mai 2011, des pirates informatiques ont accd aux informations personnelles de plus de 77 millions
dutilisateurs du site de jeux en ligne Playstation Network (PSN). Longue ragir et informer ses
clients, peu prcise sur les donnes concernes (bancaires notamment), Sony est vise par des
class actions aux tats-Unis.
En juin 2011, les exercices du sujet de mathmatiques du BAC S sont mis en ligne avant lpreuve,
via une photo prise avec un smartphone dans un site dimprimerie suppos scuris. Lemploy,
auteur de la photo, comme les internautes ayant publi le document sur un blog, ne se rendaient
visiblement pas compte des consquences de leur acte
En juin 2011 encore, un scandale clate en Angleterre au sujet du recours par le journal News of the
World, des dtectives privs et des tlphones pigs permettant daccder aux botes vocales de
personnes notamment impliques dans des affaires denlvement denfants. Le journal a ferm ses
portes. Depuis dautres rvlations sur la cyber-surveillance de personnalits dont des membres de
la famille royale, laffaire drive en scandale politique et lempire News Corp est menac
Cette longue liste pourrait encore tre complte et nous ne doutons pas que nos lecteurs disposent
aussi dhistoires similaires, plus ou moins graves, vcues au sein de leur organisation.
Lenjeu est simplement de montrer ici la ralit du monde qui nous entoure, dinsister sur la multiplicit
des modes opratoires et limportance fondamentale du facteur humain.
Quelque soit le contexte, il est essentiel de rappeler les quatre grandes motivations des escrocs,
pirates, fraudeurs, etc. Des invariants de toute gestion de risque.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4.4.2. Une autre vision du monde
Nous avons propos lchantillon de lenqute 8 types datteintes la confidentialit. Et ce ntait
pas suffisant !
Question pose : Quels sont les types datteintes la confidentialit des informations dont a t
victime votre entreprise / organisation depuis 2 ans ?
Environ un quart des rpondants sont victimes dattaques diffrentes de celles proposes. Et encore
plus significatif aussi, 29% ne savent pas si ces vnements sont une ralit au sein de leur organisation
On notera que :
Les divulgations involontaires sont les plus frquentes (66% des rpondants en cumul)
Les divulgations volontaires sont une ralit (30% des rpondants en cumul)
Les actes despionnage conomique et industriel ne sont pas anodins (16% des rpondants en
cumul)
Une analyse par secteur dactivit apporte un clairage diffrent avec des carts significatifs pour
trois des rponses proposes.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Divulgation
involontaire de
donnes de clients
48 % 33 % 46 %
Divulgation volontaire
de donnes de
collaborateurs
10 % 20 % 25 %
Espionnage
conomique
5 % 22 % 5 %
On retiendra que :
Les Industries / Services sont, sans surprise, les plus concerns par les actes despionnage avrs
et relativement moins par la divulgation involontaire de donnes clients.
Les Banques / Assurances possdent apparemment de meilleurs comportements de leurs collaborateurs
en termes de fuites dinformation volontaires.
Dans le secteur de la sant, la divulgation involontaire
de donnes patients est plus frquente (55%)
que dans les autres secteurs dactivits.
4.4.3. Du vol de portable lingnierie sociale
Les modes opratoires des atteintes la confidentialit sont eux aussi varis et nous nous tions
concentrs sur les sept qui semblent les plus communs. Une part significative de lchantillon (16%)
affirme ne pas connatre ce type dvnement et 20% constatent dautres formes dattaques dont
on peut imaginer que les interceptions / coutes ou des copies illicites de donnes font sans doute
partie.
Question pose : Quels sont les incidents / attaques portant atteinte la confidentialit des informations
dont est la cible votre entreprise / organisation depuis 2 ans ?
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Le vol de portable apparat trs nettement en tte (78%) sachant que le contenant est peut-tre
autant vis que le contenu. Selon lInstitut Ponemon, environ 80% des portables contiennent des
donnes sensibles (protges ou non) et 10% sont vols ou perdus au cours de leur cycle de vie.
Enfin, lInstitut indique aussi que limpact conomique de la perte / vol dun ordinateur portable
contenant des donnes confidentielles non chiffres svalue environ 50 000 US$.
Au regard de la baisse du cot des quipements, linformation a plus de valeur que la machine. Et
noublions pas que lon constate aussi des pertes ou des vols dclars par des collaborateurs transmettant
leur outil de travail professionnel un enfant ou un ami et pouvant disposer ensuite dune machine
dernier cri
Les autres types dattaques ont des taux de rponses significatifs mais moindres et on insistera
principalement sur lingnierie sociale (voir page suivante).
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
deux des rponses proposes relatives au vol.
Vol de support 47 % 33 % 32 %
Vol de document 12 % 37 % 25 %
On retiendra que :
Les Banques / Assurances constatent plus de vols de supports numriques au contraire des
Industries / Services pour qui les vols de documents sont les plus frquents.
Les Administrations / Services Publics se situent globalement dans la moyenne globale.
Stigmatise voire diabolise, lingnierie sociale est en ralit utilise dans des situations
quotidiennes, par des gens ordinaires. Cette pratique nest ni bonne ni mauvaise par nature,
cest son utilisation, mauvais escient, qui peut la rendre dangereuse. Les mthodes utilises
ne sont pas nes avec linformatique. De tout temps, des personnes malhonntes se sont
servies de lingnierie sociale pour mettre en uvre des escroqueries ou des arnaques.
Les dfinitions de lingnierie sociale confirment son caractre universel : une forme
dacquisition dloyale dinformation et descroquerie qui exploite les failles humaines et
sociales de la structure cible, afin dobtenir dautrui un bien, un service ou des informations
32
.
Les risques quencourent les entreprises via des attaques dingnierie sociale sont extrmement
importants comme lindiquent quelques affaires rcentes (Sony, RSA, etc.).
Lingnierie sociale permet gnralement une conomie de temps et defforts (il est plus
rapide et souvent plus facile dobtenir le code secret dune personne en lui demandant plutt
quen piratant son ordinateur). Contrairement une attaque technique, les victimes sont
manipules et souvent inconscientes de limportance des informations quelles ont fournies.
Autre point important : chacun peut tre vis par une attaque dingnierie sociale. Tout individu
possde une information qui, un jour ou lautre, intressera un tiers, connu ou inconnu.
Lescroc jouera alors principalement sur lenclin naturel ou culturel des personnes partager
de linformation, rendre service et obir des injonctions. Il pourra alors, en fonction de la
cible, prendre le rle dun confident, dun ami ou dun suprieur hirarchique.
Contrairement aux attaques techniques, il nexiste pas de processus prtabli pour contrer
une attaque dingnierie sociale. Un travail de sensibilisation et de formation est ncessaire
pour informer les employs sur la ralit de la menace, afin que ceux-ci soient en mesure
de prvenir, de dtecter et de ragir rapidement en cas dattaque. Ce sont souvent de simples
pratiques quotidiennes qui font la diffrence : ne jamais divulguer son mot de passe, ne
rpondre aucun email dun contact inconnu, ne divulguer aucune information sous linsistance
dune personne, mme bienveillante comme sur les rseaux sociaux, etc. Les amis de mes
amis sont-ils bien mes amis ?
Bien que la formation et la sensibilisation soient essentielles, dfinir et prciser les directives
de scurit de lentreprise, classifier linformation et ses modes daccs, sont galement
des processus importants, qui permettent dviter des fuites de donnes.
En 2011, le Gartner Group a positionn lIngnierie Sociale comme le risque majeur dans
le monde IT pour la dcennie venir. Il est sans doute indispensable que les entreprises et
administrations mettent en uvre un vritable plan daction en la matire.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Zoom Ingnierie sociale
par Marion Lemperire (Consultant Hapsis)
32
Dfinition de lIngnierie Sociale, Wikipedia, 2011
Le secteur de la sant est moins concern que les autres secteurs par
le vol de supports (24%) et par les vols de documents (18%),
lexception des Banques / Assurances cependant.
4.5. Pour aller plus loin : la contrainte et les nouveaux
usages
4.5.1. De limportance de la rglementation
Comme nous lavons abord au chapitre 3.2, la rglementation est foisonnante, complexe et volutive.
Elle est un levier essentiel de la protection du secret et de la confidentialit. Mais elle ne rgle pas
tout, loin de l.
Question pose : Quels sont les facteurs cls qui poussent votre entreprise / organisme renforcer
la confidentialit des informations ?
Renforcer la confidentialit des informations nest pas fondamentalement peru comme une exigence
business . Sauf, peut-tre, pour les 15% des rpondants indiquant laugmentation de la concurrence
et les 9% indiquant le choix autres .
Les membres de lchantillon agiraient, dans leur contexte, plutt sous la contrainte lie la protection
des donnes personnelles avec comme perspective lobligation de notifier toute atteinte aux donnes.
Lobligation de secret napparat quen 6
me
position avec 31% des rponses.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
On retiendra :
Dans les Banques / Assurances, le poids de la sensibilisation mene en interne et lexploitation
des vnements externes sont plus significatifs.
Dans les Industries / Services, lexploitation des vnements internes et le poids de la concurrence
sont plus importants.
Dans les Administrations / Services publics, les obligations lgales sur la protection des donnes
personnelles sont majeures au dtriment des actions de sensibilisation par les quipes scurit.
Le secteur de la sant accorde une importance encore plus grande
que les autres secteurs aux questions rglementaires (95%).
Inversement, les actions de sensibilisation par les quipes scurit (21%),
les vnements internes (19%) et externes (14%) sont moins considrs
(car moins prsents et peu identifis).
En deuxime lieu, ce sont les usages lis la mobilit (55%) qui obligent renforcer la protection
des donnes. Des quipements plus petits et plus performants, plus conomiques et plus largement
utiliss pour rpondre un des enjeux majeurs : inform et connect en tout lieu, tout instant, sur
tous les mdias (Intranet, Internet, Extranet).
Enfin, cinq des choix proposs, moins porteurs, se situent entre 10 et 15%. Deux dentre eux, les
rseaux sociaux et la gnration Y napparaissent pas encore significativement comme des facteurs
de renforcement de la confidentialit. Pourtant, les risques inhrents ces deux paramtres ne sont
pas anodins.
cinq des rponses proposes.
Protection des
donnes personnelles
79 % 64 % 84 %
Actions de
sensibilisation par
les quipes Scurit
54 % 44 % 23 %
vnements externes
rcents mdiatiss
41 % 30 % 39 %
vnements internes
rcents
26 % 44 % 28 %
Augmentation de
la concurrence
12 % 30 % 2 %
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
La gnration Y a grandi lre du numrique. Elle matrise donc toutes les subtilits des
nouvelles technologies. Cette aisance se rvle tre la fois un atout et un risque pour eux-
mmes et leurs entreprises.
Avec un tlphone greff loreille et un clavier entre les mains, cette gnration a boulevers
les codes de lentreprise. Un seul mot dordre : communiquer .
Il nest pas rare de les surprendre, pendant leurs heures de travail, en train denvoyer un SMS
ou un email personnel, de rserver des billets de trains sur Internet, tlcharger des applications
sur leur ordinateur professionnel ou de se connecter des rseaux sociaux. Ces gestes,
presque anodins pour la gnration Y, peuvent choquer certains de leurs collgues.
Ces pratiques mettent srieusement en jeu la scurit des donnes de lentreprise. Reprenons
lexemple des rseaux sociaux. Les plus nafs diront quils bnficient aux organisations :
source de valorisation de produits, promotion dimages ou recrutement. Mais peut-on rellement
contrler linformation vhicule sur de tels sites communautaires ?
Daprs une tude ralise par le site demploi MyJobGroup.co.uk, 55% des salaris britanniques
(toutes gnrations) accdent un rseau social sur leur lieu de travail. Rgulirement, des
internautes divulguent certaines de leurs informations personnelles (nom, prnom, adresse
mail, numro de tlphone, donnes bancaires), mais aussi professionnelles (description
de leur poste, de leurs missions, dun dossier en cours), de manire consciente ou inconsciente.
Mais savons-nous rellement ce que deviennent les donnes collectes ?
La politique de confidentialit de Facebook indique que les utilisateurs sengagent accepter
que leurs donnes personnelles soient transfres et traites aux USA . Dans la continuit,
la dclaration des droits et responsabilits affirme : Nous ne garantissons pas que Facebook
soit sr et scuris . Rien de trs rassurant
Une utilisation abusive du matriel et des donnes professionnels sont parfois lorigine de
fuites aux consquences mal apprhendes. Afin de les limiter, une sensibilisation du personnel
la gestion de linformation semble essentielle et doit tre en adquation avec le public vis.
Rien ne sert de redire ce que les chartes affirment, en fonction de la gnration, du poste
et de lducation de chaque employ, une formation plus individualise et mieux cible doit
tre propose.
Sous linfluence du numrique dInternet, de la tlphonie mobile,
la socit est en train de changer sous nos yeux sans quon en mesure
spontanment la profondeur.
Maurice Levy (PDG du Groupe Publicis)
Lentreprise.com - 2010
Zoom Gnration Y
par lonore Grandemange (Tlcom Sud Paris)
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Une analyse par secteur dactivit apporte un clairage diffrent avec des carts significatifs pour le
secteur Banques / Assurances. Une vision plus pessimiste que pour les autres secteurs
Oui, mme impossible 16 % 7 % 7 %
Beaucoup plus
difficile
61 % 71 % 71 %
4.5.2. Mission : Impossible ?
Lultime question de lenqute cherche mesurer si lvolution des technologies, essentiellement
autour de la dmatrialisation (e-business, e-commerce, e-administration), de la mobilit (tablettes
notamment), des rseaux sociaux (professionnels et personnels) et du cloud computing rend la
gestion de la confidentialit plus difficile.
De lavis unanime, la partie nest pas gagne. Pour 10% de lchantillon, cest mme mission impossible !
Question pose : Selon vous, lvolution des technologies et de leur usage (mobilit, cloud computing,
rseaux sociaux, bring your own device , etc.) rend-elle la gestion de la confidentialit des informations
plus difficile ?
On retiendra que :
Si la somme des deux premiers choix se situe autour de 80%, les participants des Banques /
Assurances apparaissent les plus pessimistes.
titre dexemple, le Cloud Computing bnficie dun battage marketing important. Noublions pas
quil nest quun emballage de plusieurs types de pratiques dexternalisation (applications, infrastructures,
services) bnficiant dune volution des modles conomiques rduisant les investissement au
profit de charges de fonctionnement la demande .
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Zoom Cloud computing
(Dclarations de confidentialit)
SalesForce Microsoft Amazon Google
Label TRUSTe Safe Harbor
x
x x x
Types
de
donnes
Donnes personnelles x x x x
Numros de cartes bancaires x x
Emails x x
Navigation Web x x x x
Localisation x
Usages
des
donnes
Services / transactions
demands
x x x x
Paiements x x
Suggestions de produits /
services
x x
Communication x
Marketing x
Publicit
Informatique sociale x
Amlioration du Site x x x
Partages
des
donnes
Socits affilies x x x
Partenaires x x x
Prestataires de services tiers x x
Fournisseurs x x
Socits externes pour
paiements
x
Annonceurs x
Si la loi loblige x x x x
En cas dactivits frauduleuses,
atteintes la scurit, ou
problmes techniques
x x
Mesures
de
scurit
Chiffrement des donnes (SSL) x x x x
Environnement scuris x x x x
Contrle daccs aux donnes x x x x
Scurisation des paiements x
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
4.6. Synthse
Lenqute annuelle du Cercle Europen de la Scurit et des Systmes dInformation rvle des
pratiques htrognes et finalement trs variables en matire de secret et confidentialit dans le
numrique.
Des carts significatifs sont mis en vidence entre secteurs dactivit. Les Industries / Services, a
priori plus matures dans le domaine, savrent parfois en retrait. Privilgiant la continuit et les
aspects matriels, la confidentialit des donnes numriques reste en jachre pour de nombreux
acteurs. Nous devons cependant modrer ce propos car la taille de lentreprise et son secteur dactivit
prcis, peuvent bien sr affecter ce bilan.
titre dexemple, la libralisation, trs tardive en France, de lusage du chiffrement, na pas facilit
le dveloppement du march. Par ailleurs, les questions dIntelligence conomique ont t abordes
avec une approche trs dfensive et de repli sur nos patrimoines dfendre. lheure de la
globalisation et de la cooptition (coopration avec ses comptiteurs) gnralise, tout cela nest-il
pas fini ?
Face lampleur de la tche, il semble fondamental pour de nombreux professionnels des SI et de
la SSI de participer la cration dun contexte favorable une vritable rflexion densemble, en
synergie avec lensemble des acteurs concerns. Celle-ci sappuiera sur une approche nouvelle de
la classification (plus cible, plus pragmatique) associe un vritable processus dacculturation
impliquant en premier lieu, les dcideurs.
Le tableau de la page prcdente prsente, titre dexemple, les dclarations de confidentialit de
quatre acteurs cls du secteur. Cette vision publique et transparente doit bien sr tre complte
par des engagements contractuels et des actions de contrle / audit.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
5- CONCLUSION
Nous avions termin le Livre Bleu 2010 sur une citation du philosophe Luc Ferry qui fait lhonneur de
sa participation ldition 2011 des Assises. Nous avons limpression que les forces conomiques,
les marchs financiers, les nouvelles technologies transforment notre vie de tous les jours bien
davantage que nos ministres ou nos parlementaires.
Notre propos consacr au secret et la confidentialit dans lunivers numrique semble en phase
avec cette tendance. Les atteintes la confidentialit des donnes et laffaiblissement du secret sont
davantage lis aux nouveaux usages du numrique dans la socit qu lexigence de transparence
dmocratique inscrite dans la loi. Initie par les questions financires et de gouvernance des entreprises,
la tendance se poursuit sur les questions de consommation, dalimentation, dcologie, dnergie,
de sant, de transport, etc. Partout, les donnes numriques sont au cur de la problmatique et
tous les secteurs se doivent dagir dans le domaine.
Par exemple, la suite de lenqute du crash du vol Rio-Paris , une proposition denregistrement
de toutes les conversations dans la cabine de pilotage des avions a t effectue. Exagration motionnelle
lie au drame ou tendance de fond tout enregistrer ( logger ) au cas o ?
Il semble aussi dsormais que ce nest pas seulement qui fait quoi ou qui sait quoi voire qui
dit quoi qui est le plus sensible mais, de plus en plus, qui est qui ? et qui est o . La vido-
protection et la go-localisation associes lidentit numrique sinscrivent fondamentalement
dans le champ du secret et de la confidentialit qui rejoignent ainsi trs troitement les questions
de traabilit.
5.1. quoi sert la protection des donnes ?
Concentrons-nous sur les points qui concernent plus prcisment les acteurs de la Scurit SI au sein
des entreprises et des administrations et par voie de consquence les offreurs de services et de solutions.
En quoi, la protection des informations sous-entendu en termes de confidentialit contribue-t-elle
latteinte des objectifs des entreprises et organisations. Une tude de lInstitut Ponemon
33
auprs de
140 dirigeants britanniques apporte un clairage intressant sur ce point (voir schma ci-dessous).
Incontestablement, les implications externes comme latteinte la rputation, la confiance des
clients et le respect de la rglementation sont les plus importantes.
Nous proposons maintenant, en guise de conclusion, quelques axes de rflexion qui resteront
approfondir lors des travaux du Cercle. Pour cela, nous devrons sans doute nous ouvrir dautres
acteurs de la gestion des risques et de la Scurit / Sret.
33
Business case for data protection (mars 2010)
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
5.2. Un pr-requis : la transversalit
Inutile dimaginer rgler les questions de confidentialit au sein dune DSI avec des contrles daccs
logiques par ci, un peu de chiffrement par l et du DLP au cas o. Toute Politique Scurit des SI
affirme rpondre aux objectifs de Disponibilit, Intgrit, Confidentialit et Traabilit. Le RSSI, qui
est le garant de sa mise en uvre, essaie autant quil le peut, de faire accepter les contraintes de ses
mthodes et outils que de faire utiliser les solutions quil propose. Pourtant, ne faut-il pas sortir la
confidentialit de la dmarche politique de la SSI ? Certains, notamment dans lIndustrie le font dj
tre transversal consisterait donc :
tablir une Politique de confidentialit qui cible mieux les enjeux, les objectifs et les moyens
(notamment via une norme de classification avec des seuils dimpacts valids par les dirigeants)
dfinir les rles et responsabilits en la matire notamment entre Scurit et Sret, entre scurit
physique et informatique, entre conformit et juridique, entre gestion des risques et contrle / audit
identifier, responsabiliser et impliquer les propritaires , dpositaires , destinataires ,
gardiens , hbergeurs , etc. en contrlant mieux leurs pratiques
34
consolider les atteintes la confidentialit qui ne sont pas toutes de nature informatique mais
dont les origines comme les consquences peuvent concerner les usages des SI (ex : ingnierie sociale).
Cest justement parce que le champ du secret se rduit quil faut le traiter au bon niveau et de manire
efficace, plus pertinente aussi, en tenant mieux compte du facteur humain.
5.3. Une exigence : la contextualisation
Une fois une vritable Politique de confidentialit tablie au niveau de lentreprise / organisme, il
convient de la contextualiser . Quel rapport y a-t-il entre la protection des donnes des clients ou
des collaborateurs avec le plan stratgique et les ngociations commerciales ? Comment prendre
en compte au bon niveau et de manire trs spcifique les exigences rglementaires lies au secret
et la transparence entre la finance, les RH, la stratgie et le marketing, les systmes dinformation
eux-mmes, etc. ?
34
Fin 2010, la CNIL a mis en vidence que des hbergeurs de donnes de sant ne respectaient pas leurs obligations voire ntaient
pas agrs au titre du dcret paru en 2006
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
Contextualiser consisterait donc :
dfinir une responsabilit formelle au sein des Directions en termes de mise en uvre de la
politique, de son contrle et du reporting.
mener une rflexion locale par Direction ou Service (ou dans le cadre dun projet) sur limportance
accorde la confidentialit. Lenjeu nest pas de faire un audit interne mais un diagnostic terrain
par ceux qui sont les plus concerns, le cas chant avec une assistance.
sintgrer dans tout projet structurant comme lexternalisation, la go-localisation, la traabilit,
la cyber-surveillance, etc.
communiquer au Comit de Direction, ou au Comit des Risques sil existe, le bilan de cette
rflexion associ une proposition dactions, si ncessaire.

5.4. Une obligation : le pragmatisme et la simplicit
En relation avec llaboration dune Politique de confidentialit mieux cible quune PSSI vaste et
complexe, voire lourde et souvent trs partiellement applique, il semble plus que jamais ncessaire
de revenir une approche bottom up et non top down beaucoup plus pragmatique. Ainsi, la
dmarche consisterait :
Poser chaque membre de comit de direction une seule et unique question : Quelle est linformation
dont la divulgation un acteur ou un tiers non autoris vous empcherait de dormir pendant une
semaine ? voire menacerait votre fonction ? .
Effectuer des contrles voire des tests sur les conditions de gestion de cette information, sous
toutes ses formes et dfinir les possibles scnarios datteinte sa confidentialit.
Dfinir (ou redfinir) la classification de cette information et revoir ou mettre en uvre les mesures
et outils de scurit appropris notamment en termes de stockage, daccs, dchange comme de
destruction.
Marquer les documents, supports, sites voire pages web, fichiers contenant des donnes selon
leur degr de classification.
Cadrer juridiquement les relations et changes avec les tiers.
Mener des actions de sensibilisation voire de formation cibles auprs des personnels dtenteurs
ou destinataires de cette information, ds lembauche et jusquau dpart de lentreprise / organisme.
Le cas chant, faire signer un engagement de responsabilit individuel.
Et ne pas omettre de la rflexion la dure de classification !
5.5. Une vigilance : lexternalisation des services
Le mode de gouvernance des entreprises est progressivement pass de la verticalit lhorizontalit
et au rseau. Facilitant la communication, dveloppant la transparence et renforant la transversalit,
cette volution a aussi t associe la multiplication des projets et un management par processus.
Lensemble a ainsi gnr une plus grande complexit o chacun peut parfois avoir du mal se
retrouver. Et les Systmes dInformation ont jou un rle cl dans ces volutions.
La tendance lourde concerne aujourdhui lexternalisation des activits et processus qui ne sont pas
au cur de la stratgie de lentreprise / organisation. Le cloud computing devient une ralit et au-del
de leffet marketing, il repose sur une double proccupation : conomies et transfert de risques.
Cette qute dconomies et ce transfert de risques vers des prestataires spcialiss dans la mise en
uvre de SI et dinfrastructures complexes, doivent renforcer le degr de vigilance des professionnels
de la scurit, essentiellement en termes de protection des donnes. En effet, on nlimine videmment
pas le risque et les questions de confidentialit sont au cur de la problmatique.
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
5.6. Lquilibre des forces : des opportunits et des menaces
Nous terminerons sur un double constat en appelant la vigilance de la profession. Opportunits et
menaces se combinent dans une conjonction de forces antagonistes (voir schma ci-dessous).
Dune part, lentre dans lre numrique associe aux exigences scuritaires
35
des individus et au
poids des rglementations renforcent limportance de la fonction SSI au sein des entreprises et des
administrations. Le march est en croissance, de plus en plus de secteurs se proccupent du sujet
et embauchent des experts en SSI. Si les questions de continuit sont globalement prises en charge
et alors que le champ du secret se rduit, la gestion de la confidentialit devient alors sans doute
plus stratgique, plus cruciale dans le cadre dune scurit numrique globale.
Dautre part, les acteurs ne doivent pas tre ignorants de forces centriptes qui menacent ce constat
quelque peu idyllique. La scurit numrique sinscrit aussi dans un conflit 3 dimensions o la
Scurit des SI pourrait se diluer : dune part avec la conformit (ex : protection des donnes personnelles,
PCI DSS, etc.), et dautre part avec les questions de Dfense (ex : intelligence conomique et protection
du patrimoine, veille et cyber-surveillance), enfin avec la gestion du risque au sens large (ex : gestion
dincidents, aspects conomiques, etc.).
35
Voir le Livre Bleu des Assises 2009 : Dveloppement de la culture des risques informatiques / informationnels
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
5.7. Linformation, le numrique et le pouvoir
Osons pour conclure, une ouverture. Cest un lieu commun de rappeler que la possession de linformation
a longtemps confr un pouvoir dinfluence ou de dcision. lheure de la globalisation et du numrique,
est-ce que ce paradigme va seffondrer ou perdurer ? Dans quel format de gouvernance ?
Les principes dmocratiques tels que nous les connaissons en Occident, qui donnent le pouvoir
lindividu, dveloppent la transparence et la libert de communiquer, perdureront-ils lre du
numrique ? La question se pose au niveau plantaire, lchelle dun continent ou dune nation,
pour une entreprise, une quipe, un projet, une association, et pourquoi pas au sein dune famille,
dun rseau ou dune communaut
Que restera-t-il du secret et de la confidentialit dans 15 ans, quand les gnrations X et Y seront
associes la suivante (qui commence prparer son BAC) ? O sexerceront les pouvoirs, alors
que lempire News Corp chancelle, que Steve Jobs quitte Apple (plus grosse capitalisation boursire),
que la solvabilit des banques est plus que chancelante, que des tats occidentaux sont en situation
de faillite et que les peuples arabes smancipent de leurs dictateurs ?
La vrit sera un jour la force.
Savoir, cest pouvoir
36
est le plus beau mot quon ait dit.
Ernest Renan
Extrait de Dialogues et fragments philosophiques
36
Citation de Francis Bacon (1561-1626), philosophe anglais
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
6- ANNEXE : LCHANTILLON
Lchantillon de lenqute de 2011 est constitu de 223 professionnels. Leurs principales caractristiques
sont prsentes ci-dessous.
6.1. Secteur dactivit
Une reprsentation stable danne en anne avec cependant une forte progression du secteur de la
sant qui passe de 8% 20%.
6.2. Entit dappartenance
Une proportion importante de professionnels des SI (64% en 2010).
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
6.3. Titre et fonction
Une rpartition qui est sensiblement identique lanne dernire, avec une importante proportion
de Directeurs / Responsables Scurit des SI (38% en 2010).
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
NOTES
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
LA kO1C1ION D VOs INrOkMA1IONs
DANs UN NVIkONNMN1 COMLX
CniL
int:anet
uobl|lt
no:mes
C|oud
oL
kseaux soclaux
sxOo
iAu
Lols
inte:net
ki
inte:natlona|
siLu
stcuait ots si t coutttit
uut ttaocut tu 2 ts
uaist
ots cos
xteroa||sat|oo
serv|ce +
Do |t better
C|ooJ scor|t
DL, oo| ma|s
s|goatore
par mob||e
Mob|||t
itoct
Cooveroaoce
1ab|eaox Je borJ
C|ass|cat|oo
Aoa|yse et
cartograph|e
Jes r|sqoes
uuuiu
seos|b|||sat|oo :
Les seos|packs
Iogo|er|e soc|a|e :
s Camp
s kespoose 1eam
www.haps|s.fr
12
e
dition
Pour lo 12
e
edilion, les lssises de lo Securile el des Syslmes
d`nformolion vous proposenl de vcus immerger ou cour des
problemoliques securiloires, dbattre sur des lhmes forl en|eu,
renccntrer les meilleurs experls el dveIcpper volre nelworking.
Ne rolez pos lèvenemenl le plus prise des Responsobles de
lo Securile des Syslmes d`nformolion qui rossemble, en un lieu
unique, les decisionnoires des gronds comples slrolegiques
des secleurs public el prive.
Lèvenemenl de lònnee, ce nèsl pos le 0rond Prix.
Rendez-vous Monoco du 3 ou oclobre 2O12.
Pour plus dìnformolions . O1 /1 ?3 O7 O7
www.lesossisesdelosecurile.com
un vnement

Le Livre Bleu PDF

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Le Livre Bleu PDF

Загружено:

Авторское право:

Доступные форматы

SOMMAIRE

Вам также может понравиться