Palais des Congrès de Paris 6 au 8 octobre 2005

Kiosque Mission

Sécurité : mon cabinet est-ilvulnérable ?

Palais des Congrès de Paris

6 au 8 octobre 2005

Sécurité : mon cabinet est-ilvulnérable ?

Philippe BarréExpert-Comptable

Vélina CoubèsMicrosoft…

Palais des Congrès de Paris

6 au 8 octobre 2005

SOMMAIRE

Sécurité : mon cabinet est-ilvulnérable ?

Constats.

Une réflexion globale.

Les règles d’or de la sécurité.

Les questions à se poser.

Anti-piratage et gestion des actifs logiciels.

Les solutions de sécurité.

Les avantages pour le cabinet.

4

Les piliers de l’informatique du cabinet

Efficacité

Sécurité Mobilité

5

Constats

L’informatique est omniprésente dans le cabinet.

Les cabinets sont ouverts au monde extérieur.

> Veille et documentation sur Internet.

> Dialogue avec les clients et les administrations.

> Transfert de fichiers entre collaborateurs.

6

Constats

Ces échanges quotidiens posent des problèmes

> de sécurité.

> de confidentialité.

Les cabinets restent cependant frileux en raison des risques potentiels.

> Peur des menaces pirates et virales.

> Manque d’information et de formation sur la sécurité.

Les solutions existent, vous les possédez certainement déjà.

Une réflexion globale

8

Des solutions pour des stratégies

Il n’y a pas aujourd’hui, une stratégie mais des stratégies pour faire face à la vulnérabilité des données dont vous disposez dans le cabinet.

Ces technologies de sécurisation ne sont bien souvent pas perçues ou sont mal perçues.

Internet a été vu comme un facilitateur de communication et d’organisation de l’entreprise, mais il a aussi ouvertles « portes » de votre cabinet.

Vous disposez d’informations « appartenant » à vos clients, elles sont sous votre responsabilité.

9

Mise en place de sécurités

Plus vous optez pour des modes de connexion « distants » plus il faut être prudent, mais pas « parano… », pour autant !

La sécurité d’un réseau sans fil est tout aussi fragileou efficace qu’un réseau filaire… un fil n’est pas un antivirus…

Tout dépend du degré de sécurité mis en place dansle cabinet, vous devez contrôlez à la fois la sécurité.

> Des serveurs,

> Des connexions et

> Des utilisateurs.

10

Savoir où se trouvent les failles

…Et comment on les évite !

> Outre les protections contre les agressions « externes  », n’oubliez jamais que l’essentiel des piratages proviennent d’actions délibérées internes.

> N’éparpillez pas vos données sur des quantités de serveurs,ça rend leur gestion plus difficile, optez pour des solutions complètes type Microsoft Windows Small Business Server 2003.

> Un antivirus ne lutte pas contre le piratage des données,de même qu’il ne sert à rien contre le spam.

> Tous les points d’entrée de votre informatiquesont potentiellement des portes ouvertes.

11

Les points de contrôle - Que contrôler ?

Sécurisez les serveurs informatiques du cabinet.

> Serveur de messagerie.

> Serveur de base de données.

> Outils de comptabilité.

Sécurisez les accès de vos collaborateurset contrôlez les.

> Gérez les droits d’accès de vos collaborateurs.

Sécurisez vos connexions.

> Réseau filaire.

> Wifi (sans fil).

> GPRS.

Les règles d’or de la sécurité

13

Les règles d’or de la sécurité

Sécurité = fiabilité, confiance, sérénité.

La sécurité est l’affaire

> de chacun.

> de chaque poste de travail.

La facteur humain est la cause la plus fréquentedes problèmes de sécurité.

14

Les règles d’or de la sécurité

Protéger le réseau du cabinet vis-à-vis de l’extérieur :

> Pare-feu (firewall).

Eviter les virus et les espions (spyware).

> Anti-virus & anti-spyware.

Profiter des dernières sécurisations disponibles.

> Mise à jour des logiciels.

Protéger régulièrement ses données.

> Sauvegarde.

Contrôler les droits d’accès aux données.

> Politique de mots de passe.

S’assurer de la conformité de ses logiciels.

15

Les règles d’or de la sécurité

Chaque maillon doit être sécurisé.

Serveurdu cabinet

Poste de travail

Au sein du cabinet

Clients

Avec l’extérieur

HP iPAQ 6515 Tel+Gps

HP iPAQ 6340 Tel

Compaq tc 1100

16

Les règles d’or de la sécurité

Protection des données – Stockage.

> Dès lors qu’un serveur de données est mis en placeau cabinet, la solution la plus adaptée consiste à disposersur ce serveur d’un système de sauvegarde à bande (généralement sur des bandes dites « dat »),qui présente l’avantage de pouvoir être automatisé.

> Sur un serveur HP Proliant, on peut connecter sans difficulté tout un éventail de solutions de sauvegarde et de restauration, des dispositifs indispensables à la sécurité du cabinetet à la protection des données.

– http://www.hp.com/fr => rubrique « Stockage »

17

Les règles d’or de la sécurité

Importance du facteur humain.

> Il faut former les collaborateurs des cabinets aux risques potentiels afin qu’ils ne créent pas de failles dans le système.

– Le réseau du cabinet est protégé, mais un collaborateur reçoit de nombreux mails d’amis avec des fichiers joints : blagues, jeux…

– Chacun introduit dans son ordinateur des fichiers clients non vérifiés avec sa clé USB ou des cédéroms.

> Il faut pratiquer des sauvegardes régulières.

– La sauvegarde du cabinet n’a jamais été testée.

– Personne ne sait comment récupérer une sauvegarde.

– Des outils sont intégrés aux solutions serveur de Microsoft (Microsoft Windows Small Business Server 2003).

18

Les questions à se poser

19

Les questions à se poser

Quelle(s) solution(s) pour

> quelle taille de cabinet ?

> quels besoins ?

Faut-il changer de matériel ?

Faut-il changer ou mettre à jour les logiciels du cabinet ?

Faut-il embaucher un responsable informatique ?

20

Les solutions de sécurité

21

Les solutions de sécurité

Des outils de sécurité existent.

> Antivirus.

> Détection des logiciels espions – Anti-Spyware.

> Firewall.

> Signature électronique.

> Sauvegarde des données.

Des bonnes pratiques de sécurité existent… aussi !

> Contrôle des mails.

> Contrôle des droits d’accès.

> Gestion des mots de passe.

> Contrôle des accès nomades.

> Contrôle des documents.

22

Les antivirus

Ils doivent être installés sur tous les postes du cabinet, serveurs et postes utilisateurs.

Ils doivent être mis à jour régulièrement ce qui permetde disposer en permanence des dernières définitionsde virus.

Des solutions globales de protection de l’infrastructure informatique sont proposées par les éditeurs.

23

Détection des logiciels espions (Spyware)

Un logiciel espion s’installe sur l’ordinateur d’un utilisateur.

> Il collecte des données sensibles à l’insu de l’utilisateur.

Il « s’attrape » en ouvrant un mail infecté, en installantun logiciel d’apparence anodin, en naviguant sans sécurité sur certains sites Internet…

> Les dernières versions d’Internet Explorer protègent efficacement contre ce type de logiciel lorsque l’on surfesur le Web.

De même que pour les virus, des logiciels sont chargésde les détecter et de les supprimer.

> Exemple : Microsoft AntiSpyware.

24

Le Firewall

Sans Firewall (Pare-feu), un ordinateur est totalement ouvert sur le monde extérieur.

Son principe est de contrôler et d’autoriser le cas échéant l’entrée ou la sortie de données.

Le Firewall doit être situé au niveau du routeur du cabinet, du serveur, des postes utilisateurs.

> Il est important de protéger les postes des utilisateurs nomades, et non pas simplement le réseau du cabinet.

25

Et la signature électronique ?

La signature électronique protège les échanges entrele client et le cabinet.

> L’émetteur et le destinataire du message sont clairement identifiés.

> Les messages peuvent être cryptés.

La signature électronique est très facile à mettre en place.

> Il faut obtenir un « certificat numérique » auprèsd’une autorité de certification.

– La CNCC propose par exemple un certificat.

La signature électronique est abordable.

> Elle ne coûte que quelques dizaines d’euros par collaborateur et par an.

26

Contrôle des mails

La plupart des virus arrivent au cabinet par mail.

Les logiciels antivirus contrôlent la boite mail et suppriment les mails infectés avant leur ouverture.

Les pièces jointes susceptibles d’être dangereuses peuvent être bloquées par Outlook.

D’une façon générale, même si cela n’apporte pasde sécurité absolue, ne jamais ouvrir la pièce jointed’un interlocuteur peu fiable ou inconnu.

27

Contrôle des droits d’accès

Définir différents niveaux de droits d’accès au cabineten fonction des utilisateurs.

Un intérimaire par exemple ne devrait avoir accèsqu’à ses seuls fichiers.

Les logiciels et fichiers de comptabilité ne doivent être accessibles qu’à ceux qui s’en servent…

> Les droits d’accès se gèrent très simplement avec les logiciels serveur de Microsoft.

28

Contrôle des accès nomades

Côté entreprise.

> Windows Small Business Server Premium dispose d’un firewall.

Côté mobile.

> Les données peuvent être cryptées.

> L’accès aux données est sécurisé.

> Même protection sur un TabletPC que sur un portable.

Vos données sont donc aussi bien protégées à l’extérieur qu’à l’intérieur de l’entreprise.

29

Contrôle des documents

La sécurité de vos données, c’est aussi vérifier et contrôler que le document que vous transférez n’a pu être modifié,ou que ces documents ne circulent pas de mains en mains.

De même que la personne qui communique avec vousest la bonne.

Microsoft Office 2003 Edition PME intègre des nouvelles fonctionnalités de certification et de contrôle des documents.

30

Anti-piratage et gestion des actifs logiciels

31

Quelques rappels sur les logiciels

Comme pour le livre, le fondement de cette activitéest le Droit de la propriété intellectuelle.

L’œuvre originale ne doit pas être confondueavec le support qui sert à sa diffusion.

En acquérant un logiciel on devient titulaire d’un droit d’utilisation sur un nombre d’ordinateurs donnés, matérialisé par la licence d’utilisation. On n’est pas propriétaire de l’œuvre.

On ne peut donc pas faire de copie pour utilisationou diffusion sans autorisation du propriétaire de l’œuvre.

Un logiciel sans licence d’utilisation est une contrefaçon.

32

Exemples de piratage

Installer un logiciel acquis légalement sur plus d’ordinateurs que ne le l’autorise sa licence.

Fabriquer, diffuser et vendre des copies illicites du logiciel.

Utiliser des copies illégales du logiciel, même inconsciemment.

> La loi n’exige pas que vous sachiez que votre activitéest illégale ; le simple fait d’utiliser une copie illégaledu logiciel vous rend passible de poursuites.

Ne pas respecter le contrat de licence : par exemple utiliser des version Éducation dans une entreprise, ou ne pas déclarer à l’éditeur la totalité de ses installationsde logiciels.

Utiliser des contrefaçons acquises sur Internet à des prix trop beaux pour être vrais ou téléchargés sur des réseaux d’échange.

33

Les risques liés à l’utilisation de copies illégales de logiciels

Le risque technique.

> Risques de virus sur les copies pirates commercialiséessur Internet ou copiées de poste à poste.

> Pas de service de mises à jour automatiques et de correctifs de sécurité (type Windows Update).

> Pas de support technique de la part de l’éditeur,pas d’interlocuteur revendeur en cas de problème.

34

Les risques liés à l’utilisation de copies illégales de logiciels

Le risque de réputation et d’image.

> Utiliser des copies illégales n’est pas «pro», c’est un défautde gestion, un manque de sérieux.

> Faibles économies dangereuses : le logiciel représentemoins de 10% du coût total de possession de l’équipement informatique.

35

Les risques liés à l’utilisation de copies illégales de logiciels

Le risque légal et financier.

> Procédures de contrôle : saisie descriptive par huissierde justice et expert informatique dans le cadred’une ordonnance rendue par le président du Tribunalde Grande Instance, ou lettres de mise en demeurede déclaration de parc.

> Procédure judiciaires coûteuses : sanctions pénales (amendes et peines de prison prévues par la Loi) et civiles (dommageset intérêts).

36

Que faire au cabinet ?

Informer et partager la responsabilité avecles collaborateurs :

> clause de respect de la propriété intellectuelledans les contrats de travail,

> règlement interne.

> note interne de sensibilisation.

Audit annuel des logiciels installés sur les ordinateurs.

> Rapprochement avec les licences effectivement possédées.

> Grouper et conserver les licences en lieu sûr.

37

Que faire au cabinet ?

Grouper les achats auprès d’un petit nombrede fournisseurs reconnus.

> Établir des procédures de fourniture de logiciels aux employés et nommer des personnes responsables.

> Vérifier les besoins régulièrement.

Planifier les évolutions techniques et les budgets correspondants.

38

Que faire chez les clients ?

Au minimum :

> Vérifier qu’à tout achat de matériel correspond un achatde logiciels.

> Alerter le chef d’entreprise sur les risques qu’il courtdu fait des copies de logiciels. S’il sait qu’il y a des copies,il ne sait pas ce que ça peut lui coûter.

Pour aller plus loin :

> Les conseiller sur quel logiciel acheter pour gérerleur entreprise.

> Comment gérer cet actif : faut-il louer ou acheter, etc.

> Voire réaliser un audit du parc informatique.

– Permet de mieux connaître et suivre dans le tempsson existant logiciel et licences, et le compareraux besoins.

39

Windows Genuine advantage (WGA) : avantages aux Windows authentiques

Constats : > Un taux de piratage élevé en France.

– Taux de piratage global : 45% (IDC/BSA 2004).– Taux de piratage estimé de Windows : 33%.

> Peu de différence entre l’original et la copie dans le monde numérique.> Des utilisateurs complices et des utilisateurs victimes de la contrefaçon.

Principes de WGA :> Donner au consommateur le moyen de vérifier facilement et anonymement

en ligne la légalité de son Windows.> Créer une réelle différence entre la copie et l’original, en offrant plus de valeur

à l’original et moins à la copie : reserver les téléchargements exclusifset les offres aux clients qui ont authentifié leur Windows.

> Proposer des solutions aux victimes de la contrefaçon (échange produit)> Mettre une saine pression sur les revendeurs malhonnètes.> Créer à terme plus de demande pour l’original.

WGA donne accès à :> Des téléchargements exclusifs (IE, WMP, Antispyware…).> Des offres gratuites qui enrichissent l’expérience Windows.

Les utilisateurs de Windows pirates n’ont plus accès à ces avantages.> Exception : les correctifs critiques de sécurité restent accessibles à tous

via Windows update. Découvrir WGA : http://www.microsoft.com/genuine

40

Avantages pour les cabinets

41

Les avantages coté cabinet

Plus de sécurité signifie utilisation accrue des nouvelles technologies.

> Productivité.

> Baisse des coûts.

> Image moderne.

Les relations avec les clients sont fiabilisées.

> Pas de transmission de virus.

> Confidentialité des échanges grâce à la signature électronique.

42

Le livre blanc des nouvelles technologies dans les cabinets…

A partir de l’étude d’un cabinet « normal »(moins de 10 collaborateurs).

> Comment identifier les besoins.

> Comment trouver les solutions.

> Comment les mettre en place.

Suivez pas à pas le cheminement d’une réorganisation réussie.

43

Merci de votre attention