Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

LES COLLECTIVITÉS TERRITORIALES FACE À LA cybercriminalité EN PARTENARIAT AVEC

LES COLLECTIVITÉS TERRITORIALES FACE À LA cybercriminalité EN PARTENARIAT AVEC : Ce guide a été réalisé par Zineb Lebik, Directrice du département Gestion locale du CIG de la Grande Couronne, Christophe Chassagne, Responsable du service Conseil en informatique et télécommunications du CIG de la Grande Couronne, Stéphane Dahan, Responsable Sécurité Informatique et des Réseaux chez Securiview, Frédéric Gard, Responsable Pôle Santé chez Gras Savoye et Rémy Février, Maître de Conférences au CNAM, Responsable des Unités d’Ensei- gnement « Management et Audit des Systèmes d’Information », ancien Lieutenant-Colonel de la Gendarmerie Nationale. / EDITION 2016 LES COLLECTIVITÉS TERRITORIALES FACE À LA cybercriminalité EN PARTENARIAT AVEC : Les enjeux de la sécurité informatique sont aujourd’hui nombreux et les collec- tivités territoriales doivent faire face à des menaces liées à l’utilisation des outils informatiques et à la dématérialisation de certaines procédures : intru- sions, vols d’informations (état-civil, plateforme marchés publics, fichiers sco- laires et périscolaires…). Les conséquences peuvent être lourdes en termes de protection des données et de gestion des services. Se trouvant démunies de repères dans la gestion des risques informatiques et face à des utilisateurs parfois imprudents, les collectivités investissent dans des protections très couteuses ou bien n’ont pas réellement conscience des réper- cussions, alors que des solutions simples peuvent être mises en place. Aussi, l’ANDCDG a souhaité mettre à leur disposition un guide leur permettant d’avoir une approche pragmatique et globale, que le lecteur soit élu ou agent territorial, de tous les risques encourus, des bonnes pratiques à adopter, ainsi que des solutions en terme d’assurance et de protection juridique. L’ANDCDG tient à remercier les experts en matière de sécurité informatique qui ont contribué à la rédaction de ce guide et pour l’enrichissement qu’ils y ont apporté : Stéphane Dahan, Responsable Sécurité Informatique et des Ré- seaux chez Securiview, Frédéric Gard, Responsable Pôle Santé chez Gras Savoye et Rémy Février, Maître de Conférences au CNAM, Responsable des Unités d’Enseignement « Management et Audit des Systèmes d’Information », ancien Lieutenant-Colonel de la Gendarmerie Nationale. Jean-Laurent Nguyen Khac Président de l’ANDCDG Avant-PROPOS 03 Sommaire Introduction ....................................................................... / P .7 Les principales menaces actives.......................................... / P . 11 Fiche n° 1 ........................................................................ / P . 17 L ’accès des utilisateurs d’un Système d’Information (SI) Fiche n° 2 ........................................................................ / P . 21 Les mots de passe Fiche n° 3 ........................................................................ / P . 25 Les sauvegardes Fiche n° 4 ........................................................................ / P . 29 Les protections physiques Fiche n° 5 ........................................................................ / P . 33 L ’infrastructure sans fil Fiche n° 6 ........................................................................ / P . 37 Les terminaux portables Fiche n° 7 ........................................................................ / P . 41 Les clés USB et autres supports flash Fiche n° 8 ........................................................................ / P . 45 Le shadow IT Fiche n° 9 ........................................................................ / P . 49 L ’informatique dans les écoles Fiche n° 10 ...................................................................... / P . 53 La formation des différents acteurs du SI Fiche n° 11 ...................................................................... / P . 57 Les organes de la sécurité Fiche n° 12 ...................................................................... / P . 67 L ’e-réputation 04 Fiche n° 13 ...................................................................... / P . 75 La conduite à tenir en cas d’attaque Fiche n° 14 ...................................................................... / P . 81 Le risque de cyberattaque : comment vous assurer ? Fiche n° 15 ...................................................................... / P . 87 Mise en place d’une Politique de Sécurité des Systèmes d’Information (PSSI) Fiche n° 16 ...................................................................... / P . 91 Le Plan Reprise d’Activité (PRA) / Le Plan Continuité d’Activité (PCA) Fiche n° 17 ...................................................................... / P . 97 La gestion des emails Fiche n° 18 .................................................................... / P . 101 Les normes régissant les systèmes d’information dans leur ensemble Glossaire informatique..................................................... / P . 105 05 Introduction Si chaque jour apporte de nouveaux exemples de cybermenaces pesant dé- sormais sur l’ensemble des organisations publiques ou privées, force est de constater que le traitement médiatique de ces dernières se limite le plus souvent à la mise en exergue d’affaires emblématiques liées à un piratage d’origine étatique (affaire Snowden…) ou d’attaques numériques touchant des entités particulièrement symboliques (TV5 Monde, Ministère des Fi- nances…). Or, ces quelques cas spécifiques ne doivent pas occulter le fait que de nombreuses autres menaces numériques existent et notamment celles visant des collectivités territoriales bien peu conscientes des risques numériques qui pèsent dorénavant sur elles. Notre thèse de doctorat consacrée au management de la Sécurité des Sys- tèmes d’Information (SSI) des collectivités territoriales françaises a mis en évi- dence le fait selon lequel la très grande majorité des élus locaux n’a toujours pas pris la mesure des menaces numériques, alors même qu’à la suite des at- tentats de janvier 2015, plusieurs centaines de sites Web de collectivités ter- ritoriales ont fait l’objet d’un défaçage. Le ciblage de ces dernières s’explique à la fois par leur importance au sein de la communauté nationale, ainsi que du fait des défis numériques auxquels elles sont dorénavant confrontées et qui constituent autant d’opportunités pour des cyberpirates cherchant à maximiser l’impact sociétal de leurs attaques. En effet, parties prenantes des évolutions de la société dans son ensemble et de l’environnement économique, le fait qu’elles soient constituées d’individus issus de toutes les classes d’âges et de tous les milieux, font des collectivités territoriales de parfaites vigies des mutations économiques et sociétales. Les élus locaux étant devenus les dépositaires d’attentes souvent divergentes, voire antagonistes, ils demeurent, plus que jamais, les garants de l’intérêt gé- néral, ce qui les contraint à une quasi-obligation de résultat, relativement à un impératif de développement harmonieux du territoire dont ils ont la charge. Or, depuis une dizaine d’années, ces territoires sont soumis à des mutations sans précédent sous l’influence conjuguée d’évolutions sociétales majeures et de restrictions budgétaires dont l’impact simultané oblige les élus locaux à re- voir en profondeur leurs processus de management ainsi que leur approche de l’environnement extérieur. 07 La recherche d’une nouvelle rationalité territoriale, illustrée par une gestion plus dynamique et prospective des ressources humaines et financières de la collectivité, ne constitue, néanmoins, qu’une étape dans le processus de prise en compte d’une nouvelle réalité. Les nouvelles technologies ont profondément modifié la définition et le champ de la citoyenneté, tout en induisant des changements majeurs dans l’exercice des responsabilités électives. L’appro- priation, par les collectivités territoriales, de l’ensemble des opportunités offertes par les Technologies de l’Information et de la Communication (TIC), s’impose donc aujourd’hui comme un impératif absolu, que ce soit en tant que vecteur communicationnel extérieur ou comme axe organisationnel stra- tégique. Cependant, la prise en compte des TIC par les collectivités territoriales ne constitue pas uniquement un choix raisonné, fondé sur la volonté de dialoguer avec l’environnement extérieur et les administrés ou d’améliorer leur gestion interne : plusieurs impératifs s’imposent à elles en termes de mise en place et d’utilisation de nouveaux vecteurs de communication. Sous la pression conjointe d’un continuum gouvernemental soucieux d’améliorer la qualité des prestations rendues aux citoyens et de renforcer les liens entre les acteurs éco- nomiques locaux et les instances européennes privilégiant les TIC pour amé- liorer la démocratie participative, les collectivités territoriales sont dorénavant amenées à relever trois défis numériques majeurs face auxquels elles paraissent souvent démunies : l’administration électronique, l’e-démocratie et la dématé- rialisation des appels d’offres. Cette utilisation, chaque jour plus étendue des Systèmes d’Information (SI) par les collectivités territoriales, conduit à encourager ces dernières à mieux pro- téger leur SI au travers de la mise en place minimale de précautions simples et de bon sens, ainsi qu’idéalement, de la réalisation d’un véritable schéma directeur stratégique de Sécurité des Systèmes d’Information au sein de la collectivité. Ces actions de protection apparaissent dorénavant d’autant plus indispensables que la responsabilité du président de l’exécutif local peut po- tentiellement être engagée sur les plans civil et pénal (vols de données à ca- ractère personnel, utilisation illégale d’un poste de travail par un agent…) en cas d’insuffisance manifeste dans la protection du Système d’Information de sa collectivité. 08 Ce guide constitue donc une excellente initiative qui vise à mettre à disposition des élus locaux et des fonctionnaires territoriaux en charge de ces probléma- tiques, des fiches didactiques et à visée directement opérationnelle afin de commencer à prendre en main la SSI au sein de leur organisation respective. Rémy Février . 09 Rémy Février est Docteur en sciences de gestion et Maître de conférences au CNAM où il dirige les unités d’enseignement « Management et Audit des Systèmes d’Information ». Ancien officier supérieur de Gendarmerie expert en Intelligence Economique et Sécurité des Systèmes d’Information, il est également Maître de conférences à ESCP Europe et professeur affilié à l’EM Normandie en Intelligence Economique et gestion des risques numériques. 11 Les principales MENACES ACTIVES L’actualité des menaces actives est assez large et surtout non-exhaustive. Chaque jour, une nouvelle menace sur les systèmes d’information vient s’ajou- ter à celle de la veille. La protection des données est de plus en plus impor- tante à mettre en œuvre. Elle est souvent négligée au prétexte de « coûts importants » mais il s’avère dans tous les cas que les dégâts causés par uploads/Science et Technologie/ guide-cybercriminalite.pdf