Ladministrateur rseau : un voltigeur sans filet Laurence Freyt-Caffin GIP Renater Responsable des affaires juridiques 151 Boulevard de lHpital 75013 Paris laurence.freyt@renater.fr 14.10.2003 Rsum Ladministrateur rseau : un voltigeur sans filet Ladministrateur rseau est ce jour lhomme de toutes les situations. Il lui appartient dassurer la scurit du rseau au risque de voir sa responsabilit engage. Il doit en outre oprer ce contrle tout en veillant au respect des donnes personnelles des salaris couvertes par le secret des correspondances et par le droit la vie prive. Cest pourquoi la jurisprudence lui a confr un statut particulier. Il doit toutefois agir dans la transparence, la loyaut et avec cohrence et reste soumis une obligation stricte de confidentialit mme vis vis de sa hirarchie sur les donnes auxquelles il pourrait avoir accs dans le cadre de sa mission. La mise en place dune charte interne, si elle ne permet pas de solutionner la lourde mission qui incombe ladministrateur, permet tout de mme de rappeler le cadre juridique existant et les usages pratiqus dans lentreprise. Mots clefs : Administrateur rseau, droit, statut, donnes personnelles, CNIL, divulgation, secret professionnel, cybersurveillance, vie prive, divulgation, responsabilit, scurit, loyaut, transparence, contrle, secret, correspondances, fichiers. Introduction Des intrts antinomiques mais lgitimes sont grer dans une entreprise. Lemployeur souhaite protger les intrts de son entreprise en protgeant la fuite des informations stratgiques, en prvenant lapparition de virus ou encore en empchant la circulation de contenus illicites notamment racistes ou pornographiques sur le rseau. Cela passe par la scurisation de son rseau. A linverse nombre de salaris revendiquent le droit une vie prive sur leur lieu de travail qui se matrialise par une connexion Internet des fins personnelles. Cette opportunit est pour eux la contre-partie de la porosit entre la sphre professionnelle et la sphre prive intensifie par lutilisation des nouvelles technologies. Afin dencadrer et de limiter un usage excessif de lInternet sur le lieu de travail, lemployeur dispose au titre de son pouvoir de direction dun droit de contrle et de surveillance sur ses salaris1. Mais ce pouvoir reconnu lemployeur ne doit pas mconnatre les principes du droit la vie prive et du secret des correspondances. En effet, la Commission Nationale de lInformatique et des Liberts (CNIL) a reconnu au salari le droit une vie prive au travail en soulignant quil tait la fois irraliste et disproportionn dinterdire strictement une utilisation dInternet des fins personnelles. Ladministrateur rseau est au carrefour de ses deux logiques. En effet, il est la personne en charge dassurer la fois la scurit du rseau, la demande de son autorit hirarchique qui voit en lui un moyen de faire face aux situations prilleuses, et la scurit des donnes professionnelles et personnelles des salaris.

1 Cass. Soc 14 mars 2000 Dujardin c/ St Instinet

1.Rle de ladministrateur rseau 1.1 Missions de ladministrateur rseau Ladministrateur rseau est charg de la mise en place du systme dinformation, de son suivi. Il prvient lintrusion de virus, veille lutilisation optimale du rseau et assure la scurit des donnes de lentreprise. Les directives communautaires2 comme la Loi Informatique et Libert 3 lui confrent lobligation dassurer la scurit des traitements informatiques. Au regard de larticle 29 de la loi prcite, il sengage, vis--vis des personnes concernes, prendre toutes les prcautions utiles afin de prserver la scurit des informations et notamment d`empcher quelles ne soient dformes, endommages ou communiques des tiers non-autoriss4. La loi prvoit donc une obligation de moyen alors que la directive 95/46 dans son article 17 semble noncer une obligation de moyen renforce dans la mesure o le responsable scurit doit mettre en uvre les mesures techniques et dorganisation appropries pour protger les donnes caractre personnel contre la destruction accidentelle ou illicite, la perte accidentelle, laltration, la diffusion ou laccs non autoriss, notamment lorsque le traitement comporte des transmissions de donnes dans un rseau, ainsi que contre toute autre forme de traitement illicite . La question de la nature de lobligation nest pas solutionne dans la directive 2002-58 du 12 juillet 2002 qui linvite dune part prendre les mesures appropries pour assurer la scurit de leurs services et dautre part un devoir dinformation des risques encourus par les utilisateurs . 1.2 Le statut de ladministrateur rseau Il est incontestable que ladministrateur rseau ne peut garantir la scurit du rseau ou des outils informatiques sil ne dispose pas cet effet des moyens ncessaires la ralisation de sa mission. Cela implique que celui-ci ait accs toutes les donnes contenues dans les messageries ou les fichiers des utilisateurs. La Cour dappel dans un arrt du 17 dcembre 2001, ESPCI (l'cole suprieure de physique et chimie industrielle), a nonc quil est dans la fonction des administrateurs rseaux dassurer le fonctionnement normal de ceux-ci ainsi que leur scurit ce qui entrane entre autre, quils aient accs aux messageries et leur contenu, ne serait-ce pour dbloquer ou viter des dmarches hostiles . Pour garantir la scurit du rseau ou sa bonne utilisation, ladministrateur peut donc avoir accs aux informations des utilisateurs savoir leur messagerie, leurs connexions Internet, les fichiers logs ou de journalisations. Il dispose de plusieurs moyens de contrle pour vrifier lutilisation loyale du rseau ou des outils informatiques. Il peut contrler les dbits, identifier la dure des connexions, rpertorier les sites les plus frquemment visits ou les tentatives de connexion. Il peut galement contrler les extensions des pices jointes dun fichier, leurs volumes. Il possde cet effet un mot de passe administrateur qui lui permet daccder aux serveurs de fichier, aux serveurs web, aux serveurs de messagerie. Il peut par consquent avoir accs lensemble des informations mises, reues, cres par un salari. La CNIL a galement soulign que la possibilit pour les salaris ou agents publics de se connecter Internet des fins autres que professionnelles peut saccompagner de prescriptions lgitimes dictes par lexigence de scurit de lentreprise et que des exigences de scurit, de prvention ou de contrle de lencombrement du rseau peuvent conduire les entreprises ou les administrations mettre en place les outils de mesure de la frquence ou de la taille des fichiers transmis en pices jointes aux messages lectroniques ou encore larchivage des messages changs 5

2 Directives 95/46/CE relative la protection des donnes personnelles et la libre circulation de ces donnes et Directive 2002/58 concernant le traitement des donnes caractre personnel et la protection de la vie prive dans le secteur des communications lectroniques (directive "vie prive et communications lectroniques"). 3 Loi n 78-17 du 6 janvier 1978 relative linformatique, aux fichiers et aux liberts. 4 Article 29 de la loi n 78-17 du 6 janvier 1978 relative linformatique, aux fichiers et aux liberts 5 Rapport du 5 fvrier 2002 de la CNIL sur la Cybersurveillance sur les lieux de travail

La CNIL a galement rappel6 le statut particulier des administrateurs qui sont conduits par leurs fonctions mme avoir accs lensemble des informations relatives aux utilisateurs et quun tel accs, tout comme lutilisation de logiciels de tlmaintenance, nest contraire aucune disposition de la Loi Informatique et Liberts du 6 janvier 19787. Il appartient ladministrateur rseau duser des moyens techniques mis sa disposition pour assurer la scurit du rseau et il est tout fait lgitime que ce dernier sen serve afin de dterminer la cause du problme. Par consquent la jurisprudence comme la CNIL reconnaissent un statut particulier ladministrateur rseau en convenant que par la nature mme de sa fonction il peut avoir accs aux messageries ou connexions Internet afin de garantir la scurit du rseau mission dont il est le garant. Toutefois ce statut atypique est limit par le secret professionnel et par des modalits de contrle encadres. 2. Un contrle limit et encadr 2.1 Lobligation de confidentialit Qui dit confidentialit, dit donnes confidentielles cest dire vie prive. Larrt Nikon de la cour de cassation du 2 octobre 20018 a reconnu le droit au salari, mme au temps et lieu de travail, au respect de lintimit de sa vie prive ; que celle-ci implique en particulier le secret des correspondances ; que lemployeur ne peut ds lors sans violation de cette libert fondamentale prendre connaissance des messages personnels mis par le salari et reus par lui grce un outil informatique mis sa disposition pour son travail et ceci mme au cas o lemployeur aurait interdit une utilisation non professionnelle de lordinateur . La Cour se fonde sur les principes de larticle 8 de la Convention europenne de sauvegarde des Droits de LHomme et des Liberts fondamentales9, de larticle 9 du Code civil10, de larticle 9 du Nouveau code de procdure civile et larticle L120-2 du Code du travail. La Cour applique aux messages lectroniques les dispositions de larticle 226-15 du Code pnal11. Ladministrateur est soumis au secret professionnel et ne peut divulguer les donnes personnelles auxquelles il a accs. Cette obligation de confidentialit qui pse sur lui concerne aussi bien le contenu dun message personnel dont les dispositions sont couvertes par le secret des correspondances quun fichier personnel dont les dispositions relvent de la vie prive des utilisateurs. Si la jurisprudence reconnat la possibilit ladministrateur de lire les contenus des messages, il nest pas en revanche autoris les divulguer mme ses suprieurs hirarchiques12. La question que tout administrateur est alors lgitimement en droit de se poser est comment ragir face une situation grave et prjudiciable pour lentreprise ? . Larrt ne formule pas de rponse prcise en autorisant celui-ci prendre les dispositions que la scurit impose . Ainsi la dlicate mission de ladministrateur sera de mettre fin au comportement frauduleux ou prjudiciable sans en informer son suprieur hirarchique qui dispose pourtant de lautorit et du pouvoir de dcision.

6 Rapport du 5 fvrier 2002 de la CNIL concernant la Cybersurveillance sur les lieux de travail 7 Loi n 78-17 du 6 janvier 1978 relative linformatique, aux fichiers et aux liberts. 8 Cass. Soc. 2 octobre 2001 Nikon France SA c/ M. O 9 Toute personne a droit au respect de sa vie prive et familiale, de son domicile et de sa correspondance 10 (Loi n 94-653 du 29 juillet 1994 art. 1 I Journal Officiel du 30 juillet 1994) Chacun a droit au respect de sa vie prive. Les juges peuvent, sans prjudice de la rparation du dommage subi, prescrire toutes mesures, telles que squestre, saisie et autres, propres empcher ou faire cesser une atteinte l'intimit de la vie prive : ces mesures peuvent, s'il y a urgence, tre ordonnes en rfr. 11 (Ordonnance n 2000-916 du 19 septembre 2000 art. 3 Journal Officiel du 22 septembre 2000 en vigueur le 1er janvier 2002) Le fait, commis de mauvaise foi, douvrir de supprimer, de retarder ou de dtourner des correspondances arrives ou non destination et adresses des tiers, ou den prendre frauduleusement connaissance, est puni dun an emprisonnement et de 45000 euros damende. Est puni des mmes faits, le fait commis de mauvaise foi, dintercepter, de dtourner, dutiliser ou de divulguer des correspondances mises, transmises et reues par la voie des tlcommunications ou de procder linstallation dappareils conus pour raliser de telles interceptions. . 12 CA Paris, 17 dcembre 2001, ESPCI

La Cour dAppel a sanctionn un administrateur pour avoir inform ses suprieurs sur le contenu des messages auxquels il a eu accs. Larrt prcise que la divulgation du contenu des messages ne se rattache pas aux objectifs de scurit des rseaux et doit tre sanctionne sur le fondement de larticle 432-913 du Code pnal. La Cour dappel na pas sanctionn en tant que tel linterception du message mais la divulgation de la correspondance prive bnficiant ce titre de la protection de la loi du 10 juillet 1991 sur les tlcommunications. En cas de divulgation des informations, ladministrateur rseau risque dengager sa responsabilit pnale au titre de larticle 216-15 du code pnal qui condamne le fait douvrir ou de prendre connaissance de mauvaise foi des correspondances destines autrui. 2.2 Le contrle doit tre loyal, transparent et proportionn. Pour remplir son obligation de scurisation sans entraver les droits des salaris, ladministrateur doit veiller oprer un contrle loyal, transparent et proportionn. Un contrle loyal La dmarche de ladministrateur doit tre impartiale et sincre. Il doit agir dans le cadre de ses fonctions et son action ne doit pas dcouler dune initiative personnelle ou dun ordre hirarchique mais dune ncessit justifie par des impratifs de scurit. Il appartient ladministrateur dagir dans le respect de la vie prive des salaris. Mais o commence la vie professionnelle et o sarrte la vie prive ? Comment distinguer le mail personnel du mail professionnel ? La Cour de cassation a reconnu quun rpertoire de messagerie intitul personnel est prsum contenir des donnes personnelles et bnficie ce titre de la protection de la vie prive. Il ne saurait tre contrl par lemployeur. Dans laffaire Nikon, la socit a licenci un employ en produisant comme lment de preuve un fichier intitul personnel rcupr dans sa messagerie. La Cour de Cassation a sanctionn la socit. La CNIL considre quun message est prsum professionnel sauf s'il est manifestement indiqu dans son intitul quil sagit dun message personnel ou sil a t archiv dans un rpertoire identifi comme tel. Un contrle transparent La dmarche de ladministrateur doit se faire dans une logique de transparence vis vis des salaris. Ces derniers doivent tre informs par lemployeur de la mise en place dun dispositif de contrle soit en le spcifiant dans le contrat de travail soit au moyen dune charte informatique14. Le comit dentreprise, ou dfaut les dlgus du personnel, devra avoir t inform et consult pralablement la mise en place dun tel dispositif de contrle15. Si le dispositif de contrle constitue un traitement automatis de donnes personnelles alors il doit faire lobjet dune dclaration simplifie auprs de la CNIL pralablement sa mise en uvre. A ce sujet, la CNIL recommande un contrle statistique des sites Internet les plus visits par service sans quil soit ncessaire de faire un contrle nominatif individualis des sites. A dfaut dinformation pralable, la preuve rapporte ne sera pas licite et le mode ne preuve constatant labus du salari ne pourra justifier les sanctions prises par lemployeur.

13 (Ordonnance n 2000-916 du 19 septembre 2000 art. 3 Journal Officiel du 22 septembre 2000 en vigueur le 1er janvier 2002) Le fait, par une personne dpositaire de l'autorit publique ou charge d'une mission de service public, agissant dans l'exercice ou l'occasion de l'exercice de ses fonctions ou de sa mission, d'ordonner, de commettre ou de faciliter, hors les cas prvus par la loi, le dtournement, la suppression ou l'ouverture de correspondances ou la rvlation du contenu de ces correspondances, est puni de trois ans d'emprisonnement et de 45000 euros d'amende. Est puni des mmes peines le fait, par une personne vise l'alina prcdent ou un agent d'un exploitant de rseau de tlcommunications autoris en vertu de l'article L. 33-1 du code des postes et tlcommunications ou d'un fournisseur de services de tlcommunications, agissant dans l'exercice de ses fonctions, d'ordonner, de commettre ou de faciliter, hors les cas prvus par la loi, l'interception ou le dtournement des correspondances mises, transmises ou reues par la voie des tlcommunications, l'utilisation ou la divulgation de leur contenu.

14 Article L.121-8-1 du Code du Travail : aucune information concernant personnellement un salari ou un candidat ne peut tre collecte par un dispositif qui na pas t port pralablement sa connaissance . 15 Article L 432-2-1 du Code du Travail Article L 432-2 du Code du travail : le comit dentreprise est inform et consult pralablement tout projet important dinstruction de nouvelles technologies, lorsque celles-ci sont susceptibles davoir des consquences sur les conditions de travail du personnel Article 432-2-1 du Code du travail : le comit dentreprise doit tre inform et consult pralablement la dcision de mise en uvre dans lentreprise, sur les moyens ou techniques permettant un contrle de lactivit des salaris .

Un contrle proportionn Le contrle quil soit effectu par le suprieur hirarchique en vertu de son pouvoir hirarchique ou par ladministrateur rseau dans le cadre de sa fonction doit tre proportionnel au but recherch16. Il appartient ladministrateur dutiliser les moyens permettant de remplir sa mission sans aller au-del. Il ny a pas lieu pour ladministrateur rseau de contrler le contenu mme des messages mis ou reus si le seul contrle du volume des pices jointes ou des extensions des fichiers joints lui permet de vrifier lutilisation optimale du rseau. Son action doit sinscrire dans une logique cohrente. A titre dexemple, linscription des forums de discussion ou le tlchargement des fichiers non autoriss ne requirent pas louverture des mails pour prouver le manquement du salari. Ainsi afin doprer un contrle efficace, ladministrateur doit suivre les principes numrs ci-dessous. 3. La mise en place dune charte ? La mise en place dune charte, si elle ne permet pas dans labsolu de clarifier le statut mme de ladministrateur rseau, a toutefois pour objet dinformer les salaries sur le dispositif lgal et sur lusage tolr dans lentreprise ou lorganisme. Cette charte permet de formuler des recommandations. Le contenu des chartes est trs variable dune entreprise lautre selon lobjectif recherch. Certaines constituent un rappel des textes lgaux alors que dautres vont plus loin et dictent une ligne de conduite. Elles sont alternativement annexes au rglement intrieur, portes la connaissance des salaris. Selon les cas de figures, lentreprise demande lacceptation par le salari des stipulations intgres dans la charte ou elle se contente de mettre leur porte linformation. Toutefois, il est important de souligner que seule une charte tablie selon les modalits du rglement intrieur peut donner lieu des sanctions disciplinaires. Les prescriptions impratives dune charte doivent tre adoptes selon les mmes formalits que le rglement intrieur dans la mesure o elle en constitue un additif 17. Par consquent la charte doit tre soumise au comit dentreprise pour avis ou dfaut lavis des dlgus du personnel voire au comit dhygine et de scurit. Elle doit galement faire lobjet de publicit et tre transmise linspecteur du travail18. Toute modification la prsente charte doit seffectuer selon le mme processus. Conclusion En cas de constat de pratique illicite ou non conforme du rseau ou de doutes srieux, ladministrateur rseau devra constituer un dossier suffisamment complet pour attester de cette illgalit ou pour justifier la prsomption dutilisation illicite du rseau. Il avertira ensuite son employeur sans toutefois lui rvler le contenu des messages ou fichiers qui demandera par requte au tribunal comptent lautorisation de faire procder la lecture et /ou la saisine des fichiers viss. En pratique, comment pourra-t-il susciter lintrt de sa hirarchie en lui prsentant seulement des bribes dinformations ? Telle est la dlicate mission de ladministrateur car sil dvoile le contenu dun fichier personnel, il verra sa responsabilit pnale engage. Si lemployeur pense que linfraction commise par un de ses salaris au moyen de loutil mis disposition par lentreprise est dordre pnale, il se tourner avers la voie pnale. Une plainte au procureur de la Rpublique, si elle repose sur des lments srieux, entranera une enqute prliminaire19. Au cours de cette enqute, la police judiciaire des perquisitions, des interrogatoires, ou la saisine de pices. Le forum des droits dans son rapport du 17 septembre 2002 sur la cybersurveillance, recommande que la loi reconnaisse ladministrateur rseau un vritable secret professionnel. Ce secret ne devrait pas couvrir le secret des correspondances mais lensemble des contenus personnels du salari comme ses fichiers. Lobjectif tant de dfinir un rel statut de la fonction mme dadministrateur en clarifiant de faon expresse ses droits et obligations la fois vis vis des salaris et de son suprieur hirarchique.

16 Art L 120-2 du Code du Travail : nul ne peut apporter au droit des personnes et aux liberts individuelles et collectives des restrictions qui ne seraient pas proportionnes au but recherch 17 Article L.122-36 du Code du travail. 18 Article L. 122-36 du Code du travail 19 Article 75 et s. du Code de procdure pnale

La CNIL recommande la dsignation dun dlgu la protection des donnes en concertation avec les reprsentants du personnel . Ce dlgu serait en charge des questions relatives aux mesures de scurit, au droit daccs et la protection des donnes personnelles. Il pourrait travailler conjointement avec ladministrateur rseau. La CNIL recommande aux salaris de distinguer leurs fichiers personnels de leurs fichiers professionnels car en dpit de toute mention expresse du caractre personnel dun message (ou fichier), celui-ci est prsum professionnel et pourra alors tre contrl par lemployeur. De plus, une telle dmarche facilite la tche de ladministrateur qui, sil peut contrler lesdits fichiers, procdera de faon vrifier en dernier lieu le contenu des donnes personnelles. Rfrences

Textes de lois et rglements franais: http://www.Legifrance.fr Les journaux officiels : http://www.journal-officiel.gouv.fr/ http://www.cnil.fr/index.htm http://www.droitdunet.fr/ http://www.foruminternet.org http://www.clic-droit.com http://www.droit-ntic.com/ Rapport du 5 fvrier 2002 de la CNIL concernant la Cybersurveillance sur les lieux de travail La lettre des Juristes dAffaires, n5094-5097, pp970-971 Semaine sociale Lamy, 15 octobre 2001-n1046, pp 462-465 Entretien avec Ariane Mole Jurisprudence : CA Paris, 11me chambre, A, 17 dcembre 2001, n00/07565, Franoise V., Marc F. et Hans H. / ministre public, Tareg Al B. Cass. soc., 2 octobre 2001, pourvoi N99-42.942 Nikon France SA c/ M. O

http://www.journal-officiel.gouv.fr/http://www.cnil.fr/index.htmhttp://www.droitdunet.fr/http://www.clic-droit.com/http://www.droit-ntic.com/

Version 1.0 - juillet 2012 1/6

Charte des Administrateurs Systmes, Rseaux et systmes dinformation des tablissements Universitaires du PRES Universit de Grenoble

Universit Joseph Fourier Universit Pierre Mendes-France Universit Stendhal Institut polytechnique de Grenoble Institut dtudes Politiques de Grenoble Universit de Savoie PRES Universit de Grenoble

Version 1.0 - juillet 2012 2/6

Sommaire

Article I. Dfinitions .......................................................................................................................... 3

Section I.1 Administrateur ............................................................................................................... 3

Section I.2 Correspondant scurit ou charg de scurit ......................................................... 3

Section I.3 Responsable fonctionnel de systme informatique .................................................. 3

Article II. Droits et devoirs spcifiques des administrateurs ........................................................ 4

Section II.1 Tout administrateur a le droit : .................................................................................... 4

Section II.2 Tout administrateur a le devoir : ................................................................................. 4

Section II.3 Le Correspondant Scurit du Systme dInformation a le droit : .......................... 5

Section II.4 Le Correspondant Scurit du Systme dInformation a le devoir : ....................... 5

Section II.5 Le responsable fonctionnel de systme informatique a le droit : ........................... 5

Section II.6 Le responsable fonctionnel de systme informatique a le devoir : ........................ 5

Annexe 6

Principales rfrences lgislatives ....................................................................................................... 6 (a) Infractions prvues par le Nouveau Code pnal .......................................................................... 6 (b) Infractions de presse (loi 29 juillet 1881, modifie) ...................................................................... 6 (c) Infraction au Code de la proprit intellectuelle ........................................................................... 6

Acronymes utiliss : SSI Scurit du Systme dInformation RSSI Responsable de la Scurit du Systme dInformation

Version 1.0 - juillet 2012 3/6

Prambule

La prsente Charte des administrateurs systmes, rseaux et systmes dinformation des tablissements Universitaires du PRES Universit de Grenoble est destine prciser les devoirs et les droits de toutes personnes charges de la gestion de ressources informatiques, de tlcommunication ou logicielles des dits tablissements. Il sagit dune charte dontologique, elle na pas pour but de dcrire les mtiers dadministrateurs systmes, rseaux ou systmes dinformation.

Cette charte est promulgue en rfrence la Charte dusage du Systme dInformation des tablissements Universitaires du PRES Universit de Grenoble, quelle complte.

Par tablissements Universitaires du PRES Universit de Grenoble sentendent collectivement les Universits Joseph Fourier, Pierre Mendes-France, Stendhal, lInstitut polytechnique de Grenoble, lInstitut dtudes Politique de Grenoble, lUniversit de Savoie et le PRES Universit de Grenoble dsigns individuellement par ltablissement .

Article I. Dfinitions

Section I.1 Administrateur

Ladministrateur systmes, rseaux et systmes dinformation est toute personne, employe ou non par ltablissement, laquelle a t confie la responsabilit dun systme informatique, dun rseau, d'quipements de tlphonie, de la maitrise d'uvre dapplication ou d'un traitement de donnes, administrs par une entit de ltablissement, ou de plusieurs de ces lments. Une personne qui a t confre une telle responsabilit sera dsigne dans la suite de ce document par le terme administrateur . Lensemble des lments sur lesquels sexerce cette responsabilit constitue le primtre dactivit de ladministrateur. Ladministrateur est une personne possdant une comptence reconnue pour grer tout ou partie des systmes dinformation ou de tlcommunications. Il possde des droits tendus quant lutilisation et la gestion des moyens informatiques ou de tlcommunication. Dans le cadre de son activit, il pourra tre amen avoir accs aux informations des autres utilisateurs, informations parfois confidentielles.

Section I.2 Correspondant scurit ou charg de scurit

Le correspondant scurit (parfois nomm charg de scurit) du systme dinformation est la personne relais du responsable de scurit du systme dinformation (RSSI) de ltablissement pour son entit. Suivant la taille de lentit, un ou plusieurs collaborateurs peuvent lui tre adjoints. De par son rle dans la chane de scurit du systme dinformation, il pourra tre amen avoir accs des informations des autres utilisateurs, informations parfois confidentielles. Les rgles de dontologie dfinies pour ladministrateur sentendent galement pour le correspondant scurit.

Section I.3 Responsable fonctionnel de systme informatique

Le responsable fonctionnel est la personne en charge administrative de lentit (directeur de laboratoire, directeur dUFR, chef de service), et par extension, il a la responsabilit fonctionnelle du systme informatique de lentit. En revanche cette responsabilit nentrane aucunement la dtention de droits dadministrateurs, et gnralement, le responsable fonctionnel nentre pas dans la chane de scurit du systme dinformation, sauf sil a le rle de correspondant SSI de lentit.

Version 1.0 - juillet 2012 4/6

Article II. Droits et devoirs spcifiques des administrateurs

Section II.1 Tout administrateur a le droit :

Dans le cadre du respect de la Politique de Scurit du Systme dInformation dtablissement ;

dtre inform par sa hirarchie des implications lgales de son travail, en particulier des risques quil court dans le cas o un utilisateur du systme dont il a la charge commet une action rprhensible ;

de mettre en place des moyens permettant de fournir des informations techniques dadministration de rseau (mtrologie, surveillance) ;

de mettre en place toutes procdures appropries pour vrifier la bonne application des rgles de contrle daccs aux systmes et aux rseaux dfinies dans la Politique de Scurit du Systme dInformation, en utilisant des outils autoriss ;

daccder, sur les systmes quil administre, tout type dinformations, uniquement des fins de diagnostic et dadministration du systme, en respectant scrupuleusement la confidentialit de ces informations, en sefforant - tant que la situation ne lexige pas - de ne pas les altrer ;

dtablir des procdures de surveillance de toutes les tches excutes sur la machine, afin de dceler les violations ou les tentatives de violation de la prsente charte et de la charte dusage du systme dinformation, sous lautorit de son responsable fonctionnel et en relation avec le correspondant scurit informatique ;

de prendre des mesures conservatoires si lurgence limpose, sans prjuger des sanctions rsultant des infractions aux diffrentes chartes. Mesures telles que restriction de la connectivit, suppression de fichiers (aprs sauvegarde sur support isol) quil estimerait susceptibles de porter atteinte lintgrit, la disponibilit, la confidentialit et la scurit des systmes dinformation ;

de ne pas intervenir sur du matriel n'appartenant pas l'tablissement, sauf l'isoler du systme dinformation et du rseau de l'tablissement en cas de non-respect des consignes.

Section II.2 Tout administrateur a le devoir :

de respecter les dispositions lgales et rglementaires concernant le systme dinformation1, et

pour se faire, de se renseigner, si ncessaire, auprs de sa hirarchie, de la chaine fonctionnelle SSI, ou des services juridiques de ltablissement.

de respecter la confidentialit des informations auxquelles il accde lors de ses tches dadministration ou lors daudit de scurit, quel qu'en soit le support (numrique, crit, oral...), en particulier :

les donnes caractre personnel contenues dans le systme dinformation, les fichiers utilisateurs, les flux sur les rseaux, les courriers lectroniques, les mots de passe, les sorties imprimantes, les traces des activits des utilisateurs ;

de neffectuer des accs aux contenus marqus comme privs quen prsence de lutilisateur ou avec son autorisation crite, lexception des cas datteinte la scurit sous couvert dautorisation de la chaine SSI ou de lutilisation doutils automatiques qui ne visent pas individuellement lutilisateur (antivirus, inventaire logiciel) ;

dtre transparent vis--vis des utilisateurs sur ltendue des accs aux informations dont il dispose techniquement de par sa fonction ;

dinformer les utilisateurs et de les sensibiliser aux problmes de scurit informatique inhrents au systme, de leur faire connatre les rgles de scurit respecter, aid par le responsable fonctionnel ;

1 Loi Informatique et Libert, LCEN, Code des postes et des communications lectroniques, CPI, DADVSI, HADOPI

Version 1.0 - juillet 2012 5/6

de garantir la transparence dans l'emploi d'outils de prise en main distance ou toute autre intervention sur l'environnement de travail individuel de l'utilisateur (notamment en cas d'utilisation du mot de passe de l'utilisateur) : limitation de telles interventions au strict ncessaire avec accord pralable de l'utilisateur ;

de s'assurer de l'identit et de l'habilitation de l'utilisateur lors de la remise de tout lment du systme dinformation (information, fichier, compte d'accs, matriel...), en collaboration avec le responsable fonctionnel ;

de se conformer la politique de scurit des systmes dinformation de ltablissement ;

de rpondre favorablement, et dans les dlais les plus courts, toute consignes de surveillance, de recueil dinformation et daudit mis par le RSSI ;

de traiter en premire priorit toute violation des rgles SSI et tout incident de scurit quil est amen constater, puis dinformer sans dlai le correspondant de scurit informatique ou le RSSI selon la procdure prvue par la chaine fonctionnelle de scurit, et dappliquer sans dlai les directives du RSSI pour le traitement de l'incident. L'administrateur peut ainsi tre conduit communiquer des informations confidentielles ou soumises au secret des correspondances dont il aurait eu connaissance, si elles mettent en cause le bon fonctionnement des systmes dinformation ou leur scurit, ou si elles tombent dans le champ de larticle 40 alina 2 du code de procdure pnale

2.

Section II.3 Le Correspondant Scurit du Systme dInformation a le droit :

daccder toutes donnes du systme dinformation, notamment les journaux informatiques des applications ou des systmes, lorsque cet accs est rendu ncessaire par le traitement dun incident de scurit ou sur demande de la chaine de scurit du systme dinformation ;

de requrir toute laide ncessaire des administrateurs dans le droulement de sa tche de charg de scurit. (cf Section II.1), lorsque cela savre indispensable (droit daccs, loignement, temps de raction, technicit).

Section II.4 Le Correspondant Scurit du Systme dInformation a le devoir :

De respecter tous les devoirs des administrateurs lorsquil a accs au systme dinformation. (cf. Section II.2).

Section II.5 Le responsable fonctionnel de systme informatique a le droit :

dinterdire temporairement ou dfinitivement laccs aux ressources informatiques un utilisateur qui ne respecte pas la charte dusage du systme dinformations, ainsi qu un administrateur qui ne respecte pas la prsente charte ;

de saisir lautorit hirarchique des manquements graves rsultant du non respect de cette charte pouvant dclencher des procdures disciplinaires ou judiciaires.

Section II.6 Le responsable fonctionnel de systme informatique a le devoir :

dinformer tous les acteurs, de diffuser la prsente charte par tous moyens appropris; de veiller la bonne application de cette charte par tous les acteurs des systmes dinformations.

2 Toute autorit constitue, tout officier public ou fonctionnaire qui, dans l'exercice de ses fonctions, acquiert la connaissance d'un

crime ou d'un dlit est tenu d'en donner avis sans dlai au procureur de la Rpublique et de transmettre ce magistrat tous les renseignements, procs-verbaux et actes qui y sont relatifs.

Version 1.0 - juillet 2012 6/6

Annexe

Principales rfrences lgislatives

(a) Infractions prvues par le Nouveau Code pnal

Crimes et dlits contre les personnes

Atteintes la personnalit : (Respect de la vie prive art. 9 du code civil)

Atteintes la vie prive (art. 226-1 al. 2 ; 226-2 al. 2, art.432-9 modifi par la loi n2004-669 du 9 juillet 2004) ; atteintes la reprsentation de la personne (art. 226-8)

Dnonciation calomnieuse (art. 226-10)

Atteinte au secret professionnel (art. 226-13)

Atteintes aux droits de la personne rsultant des fichiers ou des traitements informatiques (art. 226-16 226-24, issus de la loi n 2004-801 du 6 aot 2004 relative la protection des personnes physiques l'gard des traitements de donnes caractre personnel et modifiant la loi n 78-17 du 6 janvier 1978 relative l'informatique, aux fichiers et aux liberts

Atteintes aux mineurs : (art. 227-23 ; 227-24 et 227-28).

Loi 2004- 575 du 21 juin 2004 (LCEN) Crimes et dlits contre les biens

Escroquerie (art. 313-1 et suite)

Atteintes aux systmes de traitement automatis de donnes (art. 323-1 323-7 modifis par la loi n 2004-575 du 21 juin 2004).

Cryptologie

Art. 132-79 (insr par loi n 2004-575 du 21 juin 2004 art. 37)

(b) Infractions de presse (loi 29 juillet 1881, modifie)

Provocation aux crimes et dlits (art.23 et 24)

Apologie des crimes contre lhumanit, apologie et provocation au terrorisme, provocation la haine raciale, ngationnisme contestation des crimes contre lhumanit (art. 24 et 24 bis)

Diffamation et injure (art. 30 33)

(c) Infraction au Code de la proprit intellectuelle

Contrefaon dune uvre de lesprit (y compris dun logiciel) (art. 335-2 modifi par la loi n 2004-204 du 9 mars 2004, art. 34 - et art. 335-3)

Contrefaon dun dessin ou dun modle (art. L521-4 modifie par la loi n 2004-204 du 9 mars 2004, art. 34)

Contrefaon de marque (art. L716-9 - modifi par la loi n 2004-204 du 9 mars 2004, art.34 -et suivants)

Il est rappel que cette liste n'est qu'indicative et que la lgislation est susceptible d'volution.

Veille juridique : la responsabilit des administrateurs systmes et rseaux

Dfinition : RESPONSABLE DES SERVEURS, CHARG DE LA MISE EN PLACE ET DE LA CONFIGURATION DES DIFFRENTS RSEAUX DE LENTREPRISE, ET GARANT DE LEURS PERFORMANCES, LADMINISTRATEUR SYSTMES & RSEAUX EST POLYVALENT. Le primtre de ses responsabilits est plus ou moins tendu, en fonction : de la taille de lentreprise, de leffectif de la Direction des Systmes Informatiques (DSI) et le du recours ou non de lexternalisation. Df : lexternalisation consiste demander une socit externe, spcialise en informatique, de prendre en charge la gestion de linformatique dune entreprise). Dans une petite ou moyenne structure, ce spcialiste devra souvent faire preuve de beaucoup de polyvalence, en remplissant par exemple des missions gres dans de plus grandes entreprises par le support utilisateurs. L'administration de rseaux est une discipline de l'informatique qui peut ventuellement s'tendre la tlphonie. En bon gestionnaire de l'informatique, l'administrateur rseau veille ce que tous les utilisateurs aient un accs rapide au systme d'information de l'entreprise. Il cre le rseau informatique pour lentreprise et est souvent assist d'un architecterseau. Au jour le jour, il gre l'utilisation du rseau. C'est lui qui donne l'autorisation aux nouveaux utilisateurs de se connecter. Lune de ses missions les plus importantes est de veiller la scurit et la sauvegarde des donnes sur le rseau complet. Pour exercer ce mtier, il faut avoir un sens de la logique, tre minutieux et trouver une solution des problmes rapidement et le plus souvent distance. Un administrateur na gnralement pas dhoraire fixe. Il travaille le plus souvent dans son bureau, cest de l qu'il gre les problmes qui surviennent dans lentreprise. Il doit ragir de toute urgence pour identifier la cause de l'incident, puis effectuer les rparations ncessaires dans les plus brefs dlais. Il doit assurer une constante mise jour technologique, et tester des nouveaux matriels pour les insrer, si besoin, dans son systme. Il travaille avec un ou plusieurs techniciens informatiques. Ce mtier est constitu en majorit dhommes. Les demandes sont en forte hausse, notamment avec le complment comptence en scurit. Exemples de tches qui peuvent tre rattaches lAdministrateur Systmes et Rseaux : Installation et paramtrage des quipements et logiciels rseaux et tlcoms Supervision et dpannage des systmes et applications rseaux Conduite et participation des projets relevant de son primtre Gestion de la scurit en labsence de RSSI ou dingnieur ddi Dploiement et gestion des terminaux mobiles

Polyvalent, ladministrateur systmes & rseaux doit possder des connaissances de base dans de multiples domaines de linformatique (Systmes dexploitation, rseau, scurit, stockage et sauvegarde). Les comptences requises sont : Connaissances matrielles (hardware) Couches du modle OSI dfinissant les couches d'un rseau Protocoles de communication (TCP/IP tant le plus connu) Systmes dexploitation PC, serveurs et routeurs (Windows, Linux, Unix) Rseaux (protocoles, routage, virtualisation, Wi-Fi) Scurit (contrle daccs, pare-feu, supervision) Tlphonie sur IP Stockage (SAN, NAS, rplication)

Qualits humaines et savoir-tre : Compte tenu de la place croissante des rseaux dans les systmes dinformation, ladministrateur est trs sollicit, notamment sur des questions de performances et de disponibilit. Mais sa rsistance au stress nest pas la seule aptitude ncessaire ce professionnel : coute et capacit au dialogue Polyvalence Rigueur et capacit dorganisation Dynamisme

Avec ses comptences techniques diversifies, ladministrateur systmes et rseaux peut voluer dans diffrents domaines de la technique et tendre avec lexprience vers des postes darchitecte, de directeur technique, ou encore de responsable de datacenter. Mais il peut aussi se spcialiser sur certains aspects, par exemple le stockage et la scurit, ou bien voluer vers une fonction de responsable informatique ( dimension trs oprationnelle) dans une petite ou moyenne structure.

Reproduction interdite sur site web ou blog

Y. Barrau, L. Bernard Reproduction interdite sur tout autre site, blog ou plateforme

THME D6 La responsabilit des prestataires internes et externes du SI

D 6.3 La responsabilit des administrateurs systmes et rseaux

Mots cls : Responsabilit lgale ; administrateurs systme

Fiche synthse

Ide cl

La responsabilit des administrateurs systmes et rseaux est engage sils ne respectent pas le

cadre lgal de leur activit

Donner du

sens

Ladministrateur systme et rseau dispose de prrogatives tendues au sein de lorganisation. Il

peut mettre en uvre tous les moyens utiles au soutien du systme dinformation.

1. Les missions de ladministrateur systme et rseau (ASR) au sein de lorganisation

LASR est charg de la mise en place et du suivi du SI au sein des grandes entreprises, des SSII ou des

administrations (la responsabilit des agents publics nest pas aborde ici). Il a prcisment pour mission de grer

lutilisation du rseau de lorganisation (performances, optimisation, migration, volution, scurit),

les postes de travail (accs internet, mots de passe, sauvegardes), dintgrer les nouveaux quipements

au rseau. Il est important pour lui didentifier clairement ses missions et ses responsabilits afin de

prendre toutes les mesures utiles pour ne pas encourir de risques.

LASR doit :

Informer, former, conseiller, alerter les acteurs de lorganisation pour tout ce qui concerne le systme informatique et notamment les risques encourus (atteinte aux fichiers, captation de donnes

caractre personnel ). Il a en charge les bonnes pratiques informatiques. Une directive europenne

de 2002 prcise le devoir dinformation de ladministrateur systme et rseau.

Scuriser le systme (article 29 de la LIL 2004). Il doit tout mettre en uvre pour prvenir : toute intrusion susceptible de dtruire les donnes, de les modifier ou de les rvler des tiers

non habilits (la Directive 200258 du 12/7/2002 prcise que lASR doit prendre toutes les

mesures appropries pour assurer la scurit,

toute introduction de programmes malveillants. Contrler lactivit sur le rseau afin de prvenir les risques ( son initiative ou la demande de

lemployeur).

Pratiquer une veille juridique (loi, directive europenne,jurisprudence, recommandations Cnil) afin dtre toujours en conformit. Il doit galement pratiquer une veille technique (volution des outils et

des risques : biomtrie, RFID).

LASR bnficie dun statut particulier qui peut tre attest par une charte ddie rdige par

lemployeur. Celle-ci prcise les responsabilits de lASR et prvoit les moyens spcifiques (on parle

mme de moyens privilgis ) dont il disposera pour accomplir sa mission (accs administrateur,

droits tendus en matire de connexion internet).

2. Les obligations classiques de lASR

LASR dispose certes de moyens dinvestigation (contrle du dbit, dure des connexions, sites web,

accs en sa qualit dadministrateur aux serveurs de fichiers, aux serveurs web et aux serveurs de

messagerie) mais il doit nanmoins agir en respectant des principes :

de loyaut : sa dmarche doit tre impartiale, sincre et tre uniquement justifie par un impratif de scurit. Elle doit tre conforme la finalit pour laquelle le contrle a t dcid. Dans le cas

contraire, il engagerait sa responsabilit pnale et professionnelle.

de transparence : les acteurs internes lorganisation ainsi que les tiers doivent tre informs de lventualit dun contrle. Le rglement intrieur et la charte informatique informent les acteurs de

lentreprise des dispositifs de contrle mis en uvre. Les conditions dintervention, de contrle et les

Fiche

D 6.3

Reproduction interdite sur site web ou blog

Y. Barrau, L. Bernard Reproduction interdite sur tout autre site, blog ou plateforme

moyens utiliss par lASR pour investiguer doivent galement et spcifiquement tre ports la

connaissance des institutions reprsentatives du personnel (CE, dlgus du personnel).

de confidentialit : lASR est tenu au secret professionnel : il a linterdiction de diffuser quiconque, les informations quil aurait eu connatre dans le cadre de ses fonctions. Larticle 432-9 alina 2 du

code pnal prvoit en effet que, si lASR peut accder aux donnes caractre personnel des salaris,

il nest cependant pas autoris les divulguer. dfaut, il mettrait en uvre sa responsabilit pnale

en vertu de larticle 226.15 du code pnal. Cette obligation de confidentialit de ladministrateur

systme et rseau fait galement lobjet dune clause dans son contrat de travail.

Remarque : LASR doit la fois concilier les impratifs de lorganisation (impratifs de scurit

notamment) et les droits des collaborateurs et des tiers (respect de la vie prive, protection des donnes

caractre personnel. Son rle est complexe.

3. Les obligations spcifiques de lASR

Des circonstances particulires ou certains vnements peuvent contraindre lASR agir :

En cas datteinte la scurit du rseau et aux intrts de lorganisation : lASR a lobligation davertir le salari lorigine de latteinte afin de lui proposer des solutions. Il a galement le droit

de supprimer des fichiers, mmes personnels, illicites. Dans un second temps, lemployeur sera

inform et pourra prendre des sanctions lencontre du salari ngligent.

En cas de contenus illicites (atteinte lordre public, la scurit intrieure du pays, menace dactes terroristes, contenus caractre pdophile, incitation la haine raciale), lASR a une obligation de

dnonciation :

o auprs de son employeur, o auprs des autorits : services de police, de justice, CNIL.

Un arrt de la Cour dappel dAix-en-Provence (17/12/2002) renforce le rle des administrateurs

systmes quant la ncessit de surveiller le trafic sur les rseaux de leurs entreprises. La dcouverte

de la consultation par un salari, de sites pdophiles s'est faite l'occasion d'une opration ordinaire

de maintenance par l'administrateur systme. Celui-ci a immdiatement inform son suprieur

hirarchique ce qui a permis de mettre en uvre une procdure disciplinaire* de licenciement

(Source : www.cadresonline.com) lencontre du salari fautif lequel encourt galement des poursuites

pnales.

En rsum :

LASR occupe une place dterminante dans lentreprise dont lobjectif est doptimiser lutilisation des

ressources informatiques lesquelles sont perues comme des outils de la comptitivit. Il dispose de

pouvoirs trs tendus pour scuriser le systme informatique mais doit, dans le cadre de ses contrles,

respecter le secret des correspondances ainsi que la vie prive de ses salaris. Son rle et ses responsabilits

voluent du fait de lexternalisation des SI.

Un exemple pour illustrer :

Rcemment, laudit du rseau dune association a rvl la prsence sur le poste de lASR, de fichiers en

provenance dinternet. La taille des fichiers stocks sur le disque dur du salari tait telle quelle laissait

prsager dun tlchargement 24 h/24 et 7 jours/7 Lors de cet audit, il a t dcouvert la prsence dun

logiciel de partage de donnes baptis GNUTELLA qui a permis ladministrateur de tlcharger des

logiciels et fichiers MP3 en quantit impressionnante. Laudit a galement rvl que ladministrateur avait

modifi les procdures de scurit du rseau informatique de lassociation afin de mettre en place ce type de

programme (Ces modifications avaient mis en pril la scurit du SI)... Lassociation a donc licenci son

administrateur rseau pour faute grave. La cour dappel a confirm le licenciement au motif que

ladministrateur rseau avait profit de ses fonctions et de l'accs privilgi au systme informatique de son

employeur pour, l'insu de celui-ci, utiliser ce systme des fins personnelles trangres l'activit de

l'association . www.alain-bensoussan.com

http://Source:%20www.cadresonline.com

Source : www.cnil.fr FICHE CNIL veille juridique

Page 1/2

Peut-on accder lordinateur dun salari en vacances ? 19 juillet 2010

En cette priode de vacances, un employeur est susceptible de demander l'administrateur rseau de l'entreprise de lui communiquer, pour des raisons de continuit de service, le login/mot de passe d'un salari absent. Comment l'administrateur rseau doit-il rpondre ce type de demande ?

Un administrateur rseau a-t-il le droit de communiquer son employeur la liste des identifiants/mots de passe de ses employs ? NON. Mme si les fichiers contenus dans un ordinateur ont un caractre professionnel, et peuvent ce titre tre consults par l'employeur, un administrateur rseau ne doit pas communiquer de manire systmatique lensemble des identifiants et des mots de passe des salaris de lentreprise. Les mots de passes sont personnels et permettent de savoir ce quun utilisateur donn pu faire sur le rseau de lentreprise. Le fait d'utiliser le mot de passe de quelqu'un d'autre peut tre prjudiciable au salari. Toutefois, les tribunaux considrent que la communication du mot de passe dun salari son employeur est possible dans certains cas particuliers.

Dans quels cas particuliers un employeur peut-il obtenir le mot de passe d'un salari ? Lemployeur peut avoir connaissance du mot de passe d'un salari absent, si ce dernier dtient sur son poste informatique des informations ncessaires la poursuite de lactivit de lentreprise et quil ne peut accder ces informations par dautres moyens. .

Lemployeur peut-il consulter l'intgralit du contenu d'un poste de travail? Les tribunaux considrent que tout fichier cr, envoy ou reu depuis le poste de travail mis disposition par lemployeur a, par principe, un caractre professionnel. Dans ce cas, lemployeur peut le consulter. Toutefois, si le fichier est identifi comme tant personnel, par exemple, si le rpertoire dans lequel il est rang ou le nom du fichier prcise clairement quil sagit dun message priv ou personnel, lemployeur ne doit pas en prendre connaissance.

Lemployeur peut-il accder aux fichiers qualifis de personnels ? Oui, condition de le faire en prsence du salari ou aprs lavoir invit tre prsent, ou en cas de risque particulier pour lentreprise. Afin de respecter la vie prive des salaris qui peuvent tre amens faire un usage priv des outils informatiques de l'entreprise, lemployeur doit fixer les conditions d'accs au poste de travail des salaris en cas dabsence.

Comment mettre en place des rgles ? Elles peuvent par exemple figurer dans une charte informatique propre lentreprise. Cette charte doit tre connue de tous les salaris. Ils seront ainsi informs des modalits d'accs de leur poste informatique pendant leur absence. La rgle du jeu fixe lavance, en toute transparence, permet notamment d'viter les risques de litige ultrieurs.

Que faire en cas de dsaccord ? Le principe reste la concertation entre le salari et son employeur. Toutefois, si la relation de confiance est entame, tout litige pourra tre port devant le juge qui apprciera si lemployeur a ou non commis une atteinte la vie prive du salari.

10 conseils pour la scurit de votre systme dinformation

12 octobre 2009

La loi "informatique et liberts" impose que les organismes mettant en uvre des fichiers garantissent la scurit des donnes qui y sont traites. Cette exigence se traduit par un ensemble de mesures que les dtenteurs de fichiers doivent mettre en uvre, essentiellement par lintermdiaire de leur direction des systmes dinformation (DSI) ou de leur responsable informatique.

1. Adopter une politique de mot de passe rigoureuse

Laccs un poste de travail informatique ou un fichier par identifiant et mot de passe est la premire des protections. Le mot de passe doit tre individuel, difficile deviner et rester secret. Il ne doit donc tre crit sur aucun support. La DSI ou le responsable informatique devra mettre en place une politique de gestion des mots de passe rigoureuse : un mot de passe doit comporter au minimum 8 caractres incluant chiffres, lettres et caractres spciaux et doit tre renouvel frquemment (par exemple tous les 3 mois). Le systme doit contraindre lutilisateur choisir un mot de passe diffrent des trois quil a utiliss prcdemment. Gnralement attribu par ladministrateur du systme, le mot de passe doit tre modifi obligatoirement par lutilisateur ds la premire connexion. Enfin, les administrateurs des systmes et du rseau doivent veiller modifier les mots de passe quils utilisent eux-mmes.

2. Concevoir une procdure de cration et de suppression des comptes utilisateurs

Laccs aux postes de travail et aux applications doit seffectuer laide de comptes utilisateurs nominatifs, et non gnriques (compta1, compta2), afin de pouvoir ventuellement tre capables de tracer les actions faites sur un fichier et, ainsi, de responsabiliser lensemble des intervenants. En effet, les comptes gnriques ne permettent pas didentifier prcisment une personne. Cette rgle doit galement sappliquer aux comptes des administrateurs systmes et rseaux et des autres agents chargs de lexploitation du systme dinformation. 3. Scuriser les postes de travail

Les postes des agents doivent tre paramtrs afin quils se verrouillent automatiquement au-del dune priode dinactivit (10 minutes maximum) ; les utilisateurs doivent galement tre incits verrouiller systmatiquement leur poste ds quils sabsentent de leur bureau. Ces dispositions sont de nature restreindre les risques dune utilisation frauduleuse dune application en cas dabsence momentane de lagent du poste concern. Par ailleurs, le contrle de lusage des ports USB sur les postes sensibles , interdisant par exemple la copie de lensemble des donnes contenues dans un fichier, est fortement recommand. 4. Identifier prcisment qui peut avoir accs aux fichiers

Laccs aux donnes personnelles traites dans un fichier doit tre limit aux seules personnes qui peuvent lgitimement y avoir accs pour lexcution des missions qui leur sont confies. De cette analyse, dpend le profil dhabilitation de lagent ou du salari concern. Pour chaque mouvement ou nouvelle affectation dun salari un poste, le suprieur hirarchique concern doit identifier le ou les fichiers auxquels celui-ci a besoin daccder et faire procder la mise jour de ses droits daccs. Une vrification priodique des profils des applications et des droits daccs aux rpertoires sur les serveurs est donc ncessaire afin de sassurer de ladquation des droits offerts et de la ralit des fonctions occupes par chacun.

5. Veiller la confidentialit des donnes vis--vis des prestataires

Les interventions des divers sous-traitants du systme dinformation dun responsable de traitement doivent prsenter les garanties suffisantes en terme de scurit et de confidentialit lgard des donnes auxquels ceux-ci peuvent, le cas chant, avoir accs. La loi impose ainsi quune clause de confidentialit soit prvue dans les contrats de sous-traitance. Les ventuelles interventions dun prestataire sur des bases de donnes doivent se drouler en prsence dun salari du service informatique et tre consignes dans un registre. Les donnes qui peuvent tre considres sensibles au regard de la loi, par exemple des donnes de sant ou des donnes relatives des moyens de paiement, doivent au surplus faire lobjet dun chiffrement. A noter : ladministrateur systmes et rseau nest pas forcment habilit accder lensemble des donnes de lorganisme. Pourtant, il a besoin daccder aux plates-formes ou aux bases de donnes pour les administrer et les maintenir. En chiffrant les donnes avec une cl dont il na pas connaissance, et qui est dtenue par une personne qui na pas accs ces donnes (le responsable de la scurit par exemple), ladministrateur peut mener bien ses missions et la

confidentialit est respecte.

http://www.cnil.fr/

Source : www.cnil.fr FICHE CNIL veille juridique

Page 2/2

6. Scuriser le rseau local Un systme dinformation doit tre scuris vis--vis des attaques extrieures. Un premier niveau de protection doit tre assur par des dispositifs de scurit logique spcifiques tels que des routeurs filtrants (ACL), pare-feu, sonde anti intrusions, etc. Une protection fiable contre les virus et logiciels espions suppose une veille constante pour mettre jour ces outils, tant sur le serveur que sur les postes des agents. La messagerie lectronique doit videmment faire lobjet dune vigilance particulire. Les connexions entre les sites parfois distants dune entreprise ou dune collectivit locale doivent seffectuer de manire scurise, par lintermdiaire des liaisons prives ou des canaux scuriss par technique de tunneling ou VPN (rseau priv virtuel). Il est galement indispensable de scuriser les rseaux sans fil compte tenu de la possibilit dintercepter distance les informations qui y circulent : utilisation de cls de chiffrement, contrle des adresses physiques des postes clients autoriss, etc. Enfin, les accs distants au systme dinformation par les postes nomades doivent faire pralablement lobjet dune authentification de lutilisateur et du poste. Les accs par internet aux outils dadministration lectronique ncessitent galement des mesures de scurit fortes, notamment par lutilisation de protocoles IPsec, SSL/TLS ou encore HTTPS. A noter : Un rfrentiel gnral de scurit, relatif aux changes lectroniques entre les usagers et les autorits administratives (ordonnance 2005-1516), doit voir le jour prochainement (voir projet sur le site www.ssi.gouv.fr). Il imposera chacun des acteurs des mesures de scurit spcifiques. 7. Scuriser laccs physique aux locaux Laccs aux locaux sensibles, tels que les salles hbergeant les serveurs informatiques et les lments du rseau, doit tre limit aux personnels habilits. Ces locaux doivent faire lobjet dune scurisation particulire : vrification des habilitations, gardiennage, portes fermes cl, digicode, contrle daccs par badge nominatifs, etc. La DSI ou le responsable informatique doit veiller ce que les documentations techniques, plans dadressages rseau, contrats, etc. soient eux aussi protgs. 8. Anticiper le risque de perte ou de divulgation des donnes

La perte ou la divulgation de donnes peut avoir plusieurs origines : erreur ou malveillance dun salari ou dun agent, vol dun ordinateur portable, panne matrielle, ou encore consquence dun dgt des eaux ou dun incendie. Il faut veiller stocker les donnes sur des espaces serveurs prvus cet effet et faisant lobjet de sauvegardes rgulires. Les supports de sauvegarde doivent tre stocks dans un local distinct de celui qui hberge les serveurs, idalement dans un coffre ignifug. Les serveurs hbergeant des donnes sensibles ou capitales pour lactivit lorganisme concern doivent tre sauvegards et pourront tre dots dun dispositif de tolrance de panne. Il est recommand dcrire une procdure urgence secours qui dcrira comment remonter rapidement ces serveurs en cas de panne ou de sinistre majeur. Les supports nomades (ordinateurs portables, cl USB, assistants personnels etc.) doivent faire lobjet dune scurisation particulire, par chiffrement, au regard de la sensibilit des dossiers ou documents quils peuvent stocker. Les matriels informatiques en fin de vie, tels que les ordinateurs ou les copieurs, doivent tre physiquement dtruits avant dtre jets, ou expurgs de leurs disques durs avant dtre donns des associations. Les disques durs et les priphriques de stockage amovibles en rparation, raffects ou recycls, doivent faire lobjet au pralable dun formatage de bas niveau destin effacer les donnes qui peuvent y tre stockes. 9. Anticiper et formaliser une politique de scurit du systme dinformation

Lensemble des rgles relatives la scurit informatique doit tre formalis dans un document accessible lensemble des agents ou des salaris. Sa rdaction requiert linventaire pralable des ventuelles menaces et vulnrabilits qui psent sur un systme dinformation. Il convient de faire voluer rgulirement ce document, au regard des modifications des systmes et outils informatiques utiliss par lorganisme concern. Enfin, le paramtre scurit doit tre pris en compte en amont de tout projet li au systme dinformation. 10. Sensibiliser les utilisateurs aux risques informatiques et la loi "informatique et liberts"

Le principal risque en matire de scurit informatique est lerreur humaine. Les utilisateurs du systme dinformation doivent donc tre particulirement sensibiliss aux risques informatiques lis lutilisation de bases de donnes. Cette sensibilisation peut prendre la forme de formations, de diffusion de notes de service, ou de lenvoi priodique de fiches pratiques. Elle sera galement formalise dans un document, de type charte informatique , qui pourra prciser les rgles respecter en matire de scurit informatique, mais aussi celles relatives au bon usage de la tlphonie, de la messagerie lectronique ou encore dinternet. Ce document devrait galement rappeler les conditions dans lesquelles un salari ou un agent peut crer un fichier contenant des donnes personnelles, par exemple aprs avoir obtenu laccord de son responsable, du service juridique ou du CIL de lentreprise ou de lorganisme dans lequel il travaille. Ce document doit saccompagner dun engagement de responsabilit signer par chaque utilisateur. A noter : veiller ce que les utilisateurs nettoient rgulirement leurs vieux documents et messages lectroniques sur leurs postes. De mme, nettoyer rgulirement le rpertoire dchange partag entre les diffrents services afin quil ne se transforme pas en espace fourre-tout (fichiers personnels des agents mlangs avec des dossiers sensibles)

http://www.cnil.fr/http://www.ssi.gouv.fr/

L'utilisation abusive des ressources informatiques de l'entreprise des fins personnelles par un administrateur rseau est constitutif d'une faute grave

Par Isabelle Tellier le 17 avril 2008 L'utilisation des ressources informatiques de l'entreprise des fins personnelles est autoris dans un cadre rsiduel. Mais, partir du moment o le salari en fait un usage abusif, il s'agit d'un manquement ses obligations contractuelles qui lgitime un licenciement pour faute grave. C'est en substance ce que vient de rappeler la cour d'appel de Paris [1] dans l'arrt comment ci-aprs. Nanmoins, l'originalit de la dcision rendue le 4 octobre 2007 rside dans le fait qu'elle concerne l'administrateur du rseau informatique de l'association et se rfre son contrat de travail en cette qualit. Dans les faits, le litige opposait une association l'un de ses salaris, en l'occurrence, administrateur systme rseau. Au cours d'un audit du rseau du systme informatique de l'association, il a t notamment rvl la prsence de fichiers en provenance d'Internet sur le poste de l'administrateur. La taille des fichiers stocks sur le disque dur du salari approchait les 6 Go d'images, de sons, de vidos et de progiciels, ce qui laissait prsager d'un tlchargement 24 h/24 et 7 jours/7. Lors de cet audit, il avait t dcouvert la prsence d'un logiciel de partage de donnes baptis GNUTELLA qui avait permis l'administrateur de tlcharger des logiciels et fichiers MP3 en quantit impressionnante. Or, l'audit a rvl que - pour mettre en place ce type de programme - l'administrateur avait modifi les procdures de scurit du rseau informatique de l'association. Nanmoins, celui-ci avait t mal configur par l'administrateur ce qui rendait accessibles aux autres utilisateurs du logiciel de tlchargement certains documents professionnels prsents sur son poste informatique et faisait courir l'association un risque de fuite de ses donnes. L'association a donc licenci son administrateur rseau pour faute grave. Ce dernier a port l'affaire devant les tribunaux considrant son licenciement sans cause relle et srieuse.

En premire instance, le Conseil de prud'hommes de Paris [2] a jug le licenciement justifi tout en le requalifiant en licenciement pour cause relle et srieuse. Le salari a interjet appel. L'association a interjet appel incident considrant que le salari avait commis une faute grave justifiant son licenciement. Selon la cour d'appel, le salari a profit de ses fonctions et de l'accs privilgi au systme informatique de son employeur pour, l'insu de celui-ci, utiliser ce systme des fins personnelles trangres l'activit de l'association et qu'il a aussi, ce faisant, rendu le systme particulirement vulnrable aux intrusions extrieures malveillantes, au mpris des rgles lmentaires de scurit . Les juges en ont dduit une violation des obligations dcoulant de son contrat de travail, d'une importance telle que son maintien dans l'association () tait impossible pendant la dure du pravis sans risque de compromettre les intrts lgitimes de l'employeur constitutive d'une faute grave. C'est donc principalement par rapport aux fonctions du salari, en l'espce administrateur rseau de l'association, que la cour a motiv son arrt. L'arrt rendu par la cour n'a rien de novateur dans la mesure o il s'inscrit dans le droit fil de la jurisprudence rendue depuis quelques annes en la matire selon laquelle l'utilisation des ressources informatiques de l'entreprise des fins personnelles est autorise dans un cadre rsiduel, c'est--dire condition que l'usage priv des outils professionnels reste raisonnable. Toutefois, la Cour tient compte de deux critres pour qualifier les faits de faute grave : la fonction du salari et donc son accs privilgi au systme informatique qui constituent un facteur aggravant et les consquences effectives prjudiciables qui en ont rsult. L'utilisation illicite des moyens de l'entreprise a t sanctionne plusieurs reprises, le licenciement tait toutefois gnralement justifi par une cause relle et srieuse. Ainsi, il a t jug [3] que reposait sur un caractre rel et srieux et non sur une faute grave le licenciement d'un salari qui avait utilis des fins personnelles le matriel mis sa disposition pour son activit professionnelle ; le salari effectuait notamment des oprations de bourse titre personnel pendant son temps de travail. Dans une autre affaire, qui se rapproche des faits de l'espce, un analyste programmeur a t licenci pour faute grave, aprs que son employeur ait dcouvert - au cours d'oprations de contrle de gestion sur son poste informatique mis sa disposition - un nombre important de fichiers caractre pornographique reprsentant 509 292 989 octets. La Cour d'appel de Paris, puis la haute juridiction [4], ont fait ressortir que les fichiers, dont les contenus taient reprochs au salari, n'avaient pas t identifis par lui comme personnels, ce dont il rsultait que l'employeur pouvait en prendre connaissance sans que celui-ci soit prsent ou appel. Dans cet arrt, la faute grave a t retenue au motif que le stockage, la structuration, le nombre consquent des fichiers et le temps consacr eux par le salari attestaient d'une mconnaissance par celui-ci, de son obligation d'excuter les fonctions lui incombant. Ainsi, plus que les faits eux-mmes, il semble que les critres retenus par la jurisprudence pour qualifier de grave la faute retenue l'encontre du salari, sont la fonction qu'il occupe.

http://www.cadresonline.com/conseils/coaching/droit-du-travail/les-chroniques-de-droit-du-travail/detail/article/lutilisation-abusive-des-ressources-informatiques-de-lentreprise-a-des-fins-personnelles-par-un-a.html#parishttp://www.cadresonline.com/conseils/coaching/droit-du-travail/les-chroniques-de-droit-du-travail/detail/article/lutilisation-abusive-des-ressources-informatiques-de-lentreprise-a-des-fins-personnelles-par-un-a.html#cphhttp://www.cadresonline.com/conseils/coaching/droit-du-travail/les-chroniques-de-droit-du-travail/detail/article/lutilisation-abusive-des-ressources-informatiques-de-lentreprise-a-des-fins-personnelles-par-un-a.html#cbourgeshttp://www.cadresonline.com/conseils/coaching/droit-du-travail/les-chroniques-de-droit-du-travail/detail/article/lutilisation-abusive-des-ressources-informatiques-de-lentreprise-a-des-fins-personnelles-par-un-a.html#casssoc

Note : Salari => Force de travail / Savoir faire Lien de subordination Employeur => salaire / contrepartie financire

Veille juridique BTS SI 32 la responsabilit des administrateurs systmes et rseau MAJ : 24/11/2015 La responsabilit des administrateurs systmes et rseaux (document) Fiche cours (Les missions Les obligations classiques et spcifiques de l'ASR) - Rum

Arrt Cour d'Appel Gnutella L'audit du rseau d'une association a rvl la prsence sur le poste de l'ASR de fichiers en provenance

d'Internet. L'administrateur avait tlcharg des fichiers & logiciels MP3 en quantit impressionnante. L'association a licenci son ARD pour faute grave. La cour d'appel a confirm que l'ASR avait profit de ses fonctions et de l'accs privilgi au systme informatique de son employeur pour utiliser ce systme des fins personnelles trangres l'activit de l'association. Gnutella : logiciel de partage

Charte des ASR Universits de Grenoble Exemple de charte des ASR pour les universits de Grenoble

Comptences requises de l'ASR Savoir Savoir-faire Savoir-tre de l'ASR sur le march du travail

L'ASR un voltigeur sans filet Laurent Freyt Caffin Missions de l'ASR Le statut de l'ASR Un contrle limit et encadr Lobligation de confidentialit le contrle doit tre loyal, transparent et proportionn mise en place d'une charte ? - un vritable statut de l'ASR

Les aspects juridiques du mtier d'ASR

Rfrentiel lgal du mtier d'ASR Ne pas ignorer le droit Faire de veille juridique Disposer d'une bote outils juridiques Ne pas faire ce que tu n'as pas le droit de le faire ne pas tre ngligent fautif : informer contrler agir respecter les rgles de responsabilits civiles Prouver que l'on fait bien son travail- savoir cooprer avec les autorits comptentes : police gendarmerie CNIL AMF Procureur de la rpublique Juge d'instruction Tribunal correctionnel- DCRI)

Fiches CNIL Peut-on accder lordinateur dun salari en vacances ? 10 conseils pour la scurit de votre systme dinformation

asr un voltigeur sans filetRsumIntroduction

1.Rle de ladministrateur rseau

charte_Admin_UdG-v1_0comptetences adm reseauD63ResponsabiliteASRfiche cnilPeut-on accder lordinateur dun salari en vacances ?Un administrateur rseau a-t-il le droit de communiquer son employeur la liste des identifiants/mots de passe de ses employs ?Dans quels cas particuliers un employeur peut-il obtenir le mot de passe d'un salari ?Lemployeur peut-il consulter l'intgralit du contenu d'un poste de travail?Lemployeur peut-il accder aux fichiers qualifis de personnels ?Comment mettre en place des rgles ?Que faire en cas de dsaccord ?

10 conseils pour la scurit de votre systme dinformation1. Adopter une politique de mot de passe rigoureuse2. Concevoir une procdure de cration et de suppression des comptes utilisateurs3. Scuriser les postes de travail4. Identifier prcisment qui peut avoir accs aux fichiers5. Veiller la confidentialit des donnes vis--vis des prestataires6. Scuriser le rseau local8. Anticiper le risque de perte ou de divulgation des donnes9. Anticiper et formaliser une politique de scurit du systme dinformation10. Sensibiliser les utilisateurs aux risques informatiques et la loi "informatique et liberts"

jurisprudence gnutellaL'utilisation abusive des ressources informatiques de l'entreprise des fins personnelles par un administrateur rseau est constitutif d'une faute grave

tableau veille juridiquePeut-on accder lordinateur dun salari en vacances? 10 conseils pour la scurit de votre systme dinformation