Category Archives: TPE

#sécurité #vieprivée #Europe #croissance

La GDPR : au-delà des obligations, une opportunité pour les entreprises

Le nouveau règlement européen relatif à la protection des données personnelles (GDPR) a pour objectif de simplifier, d’harmoniser mais également de renforcer la protection des données personnelles dans les 28 pays de l’Union. Il contient des obligations, prévoit des sanctions potentiellement lourdes, mais constitue une véritable opportunité de générer de la confiance et donc de la croissance auprès de consommateurs aujourd’hui particulièrement inquiets.

Qu’est-ce donc que le GDPR ?

Le GDPR, ou General Data Protection Regulation, est le nouveau règlement européen décidé en décembre 2015 qui s’appliquera dès 2018 à toute entreprise qui collecte, traite et stocke des données personnelles dont l’utilisation peut directement ou indirectement identifier une personne. Il s’appliquera à tous les acteurs économiques, voire sociaux : les entreprises bien sûr, mais également les associations, administrations, collectivités locales et syndicats d’entreprises.

Le GDPR et ses obligations pour les entreprises

Avec le nouveau règlement, les entreprises devront, dès 2018, s’assurer de la bonne collecte et du bon traitement des données consenties par les consommateurs. Elles veilleront également à ce que ces données soient à tout moment et en tous lieux sécurisées contre les risques de perte, de vol, de divulgation ou contre toute autre compromission. Si, malgré tout, un tel événement se produisait, alors l’entreprise en question devrait le notifier rapidement (idéalement sous 72 heures) à l’autorité compétente, la CNIL en France, informer les personnes concernées en cas de risque réel d’atteinte à la protection de leur vie privée, le tout avec une obligation de documentation de toutes les mesures et procédures utiles pour assurer à tout moment cette protection. Qui dit obligations dit sanctions : celles-ci peuvent aller jusqu’à 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros, sans compter l’indemnisation de toute personne lésée matériellement ou moralement. Les obligations du GDPR supposent qu’une entreprise doit à tout moment savoir de quelles données elle dispose, leur localisation, l’objectif de leur collecte et leur mode de gestion, stockage, sécurisation, transfert et effacement. Au-delà de cette quasi omniscience, elle doit être en mesure de déceler si leur intégrité a été compromise et y remédier promptement, tout en consignant et notifiant l’événement.

Plus qu’une contrainte, une opportunité de confiance et de croissance

En simplifiant, harmonisant et assainissant la gestion des données dans les différents pays de l’Union Européenne, le GDPR entend permettre plus de transparence et donc de confiance dans le monde numérique. Et ce facteur confiance est un élément décisif dans le développement des activités en ligne, tout autant, voire plus que la qualité d’un produit ou d’un service, ou que son service client. S’y conformer est certes une obligation ; c’est également et surtout un investissement dont le retour s’avèrera à la fois rapide et pérenne.

Par Laurent Heslault, Directeur des stratégies de sécurité, Symantec

La paléontologie appliquée à l’extorsion numérique a trouvé les toutes premières manifestations de ransomware à 1989, quand ce qu’on a appelé « le cheval de Troie du SIDA » se diffusait via des disquettes 5’’1/4 envoyée par courrier, chiffrait des fichiers sur l’ordinateur infecté et demandait un paiement pour son déchiffrement. Le principe du ransomware était né.

Etape suivante : le faux antivirus. Ce type d’arnaque a connu son apogée en 2009 : Symantec avait alors répertorié quelques 43 millions tentatives de téléchargement de 250 programmes différents. Le coût pour les victimes allait de 30 dollars US à 100 dollars US à chaque fois. A force d’éducation et de médiatisation, les particuliers se sont plus méfiés et le retour sur investissement des faux antivirus a chuté.

Il était temps de passer à autre chose : passer du faux antivirus au ransomware, puis au crypto-ransomware (qui chiffre les données du terminal infecté). Le ransomware quant à lui bloque et restreint l’accès au terminal infecté. Il affiche alors un message demandant le paiement d’une somme qui allait, en 2012, de 50€ à 100€. Les PC sous Windows continuent d’être une plateforme lucrative pour les auteurs de ransomware. Néanmoins, ces derniers ont commencé à cibler de nouveaux systèmes en développant de nouveaux outils : mobiles Android depuis 2014, terminaux NAS.

Touchant au départ uniquement les particuliers, les premiers cas d’entreprises victimes d’extorsion numérique par chiffrement ont été répertoriés l’an dernier. Désormais, les objets connectés offrent de nouvelles plateformes et opportunités d’infection (et de rétribution).