Sécurité informatique

🤔 Et si la confidentialité des données de l’entreprise passait par l’information de ses salariés?
cybersécurité, Sécurité informatique par Da_pierre le 05/07/2023

En matière de sécurité informatique, « l’interface chaise/clavier » – comprendre l’utilisateur – constitue fréquemment le point d’entrée de l’incident. Pour réduire cette source de risque, différentes mesures peuvent être prises. Certaines sont d’ordre logique. Des dispositifs de contrôle et de surveillance de l’utilisation des outils informatiques, et notamment d’Internet et de la messagerie électronique, sont ainsi fréquemment mis en place. D’autres sont organisationnelles. Faut-il encore évoquer …
En savoir plus
Informatique en nuage, la doctrine de l’Etat s’affine… ou s’étiole
Confidentialité, cybersécurité, Donnée de santé, Droit de la santé, Droit des données, Hébergeur, RGPD, Sécurité informatique, SIH par Da_pierre le 14/06/2023

Destinée à actualiser la doctrine « Cloud au centre » de l’Etat, la circulaire n° 6404/SG pose 15 règles que l’Etat et les organismes placés sous sa tutelle devront respecter. Etant rattachés à l’Etat, les établissements de santé publics sont concernés. Et nul doute que c’est, au moins en partie, en considération de cela que la règle n° 9 a été élaborée. Elle commence par imposer la …
En savoir plus
L’atteinte résultant d’une consultation illicite du dossier médical suppose la démonstration d’un accès audit dossier, en dehors des règles
Confidentialité, Donnée de santé, Droit des données, Droit des patients, Droit hospitalier, RGPD, secret médical, Sécurité informatique par Da_pierre le 10/05/2023

⚖️ C’est en tout cas en ce sens qu’a statué la Cour Administrative d’Appel de Paris, dans un récent arrêt : CAA Paris, 11 avril 2023, n° 22PA01320. 📢 L’intérêt de la solution – en apparence assez logique – tient à la façon dont la Cour a rédigé sa décision : « Il ne résulte pas de l’instruction et il n’est pas soutenu que ces professionnels …
En savoir plus
Règles de sécurité OIV pour les établissements de santé
cybersécurité, Droit de la santé, Droit des données, Droit hospitalier, Sécurité informatique par Da_pierre le 24/04/2023

Les établissements supports de GHT et les quelques autres établissements de santé heureux destinataires d’un arrêté les désignant en tant qu’opérateur d’importance vitale (OIV) ont trois mois pour se conformer aux règles de sécurité fixées au terme d’un arrêté du 17 avril 2023. Elles couvrent 20 secteurs traditionnels de la sécurité : Ces règles sont complétées par les modalités de déclaration à l’ANSSI des systèmes …
En savoir plus
Rançongiciels : « Ce qu’il ne faut pas faire » (et ce qu’il faut faire) pour éviter la catastrophe
cybersécurité, Dark web, Sécurité informatique par Da_pierre le 12/04/2023

S’il y a bien une menace informatique qui est connue du grand public, c’est le rançongiciel. Récemment, c’est un autre aspect de ce type d’incident qui a été mis en évidence. GDPRHub rapporte en effet trois sanctions, deux prononcées par l’autorité de protection des données roumaine, l’autre par celle de Norvège, à l’encontre de sociétés et d’une municipalité victimes d’un rançongiciel. Evidemment, ce sont le …
En savoir plus
Clés USB perdues et données « sensibles » exposées : comment éviter les sanctions ?
cybersécurité, Droit des données, RGPD, Sécurité informatique par Da_pierre le 22/03/2023

Forces de l’ordre et juridictions, bien qu’on en parle peu, ne sont pas exonérées du respect du RGPD, ou de sa petite soeur, la directive Police-Justice. L’autorité de protection des données polonaise a ainsi prononcé une amende à l’encontre d’une juridiction, dont les membres avaient perdu trois clés USB, non chiffrées, contenant des projets de jugement. Le montant de l’amende prononcée semble – de l’ordre …
En savoir plus
Editeurs de logiciel, responsables de traitement et sous-traitants, avec ou sans « crayon », testez!
Confidentialité, Confidentialité, cybersécurité, Sécurité informatique par Da_pierre le 02/03/2023

Voici un grief fréquemment retenu, en matière de protection des données : l’absence ou l’insuffisance des tests, aussi bien quant à la conformité que pour vérifier les mesures de sécurité. Et ces contrôles doivent être reconduits périodiquement, pour éviter la sanction, comme l’ont récemment rappelé les autorités de protection des données polonaise (UODO, 2 novembre 2022, Municipality of Dobrzyniewo Duże, n° DKN.5131.8.2022) et danoise (Datatilsynet, …
En savoir plus
Sécuriser les dossiers papier, un challenge des plus délicats
Confidentialité, cybersécurité, Donnée de santé, Sécurité informatique par Da_pierre le 27/02/2023

Sauf à vivre dans « Le Bureau des Légendes » ou dans la version BCRA annoncée début février (et encore!), sécuriser l’accès à des dossiers papier constitue un challenge peut-être plus délicat encore que pour leur pendant numérique. C’est ce qu’a rappelé la CNIL roumaine en début d’année, en sanctionnant le responsable de traitement victime du vol du dossier administratif d’un salarié, entreposé sur une étagère. Loin …
En savoir plus
Le chiffrement, mesure de sécurité indispensable mais insuffisante
Confidentialité, cybersécurité, Sécurité informatique par Da_pierre le 16/02/2023

Mesure de sécurité faisant partie des « exigences élémentaires », le chiffrement du disque dur d’un ordinateur portable n’en demeure pas moins insuffisant pour assurer la confidentialité des données traitées. Dans une décision du 2 novembre 2022, la CNIL polonaise a ainsi sanctionné un responsable de traitement ayant omis, alors que sa politique le prévoyait et semblait majoritairement bien appliquée, de chiffrer le disque dur d’un terminal …
En savoir plus
Lorsqu’un escroc vide un compte bancaire, pourquoi ne pas attaquer l’opérateur de téléphonie, sur la base d’un manquement à la sécurité?
cybersécurité, RGPD, Sécurité informatique par Da_pierre le 09/02/2023

Le SIM swapping est à la mode, ces dernières années. A tel point que la Commission de Terminologie lui a fait les honneurs d’une traduction, le 19 mars 2022. Pour mémoire, cette attaque par usurpation de carte SIM consiste à détourner les SMS d’authentification double facteur (ou 2FA) pour pouvoir accéder au compte de la victime. Les victimes se retournent souvent contre leur établissement bancaire, …
En savoir plus