# Dossier du vendredi - Securité des données Attention danger - Shadow IoT

Securité et Cloud: Le "Shadow IoT", une menace redoutable pour les réseaux des entreprises 

source:Quantic group

Technologie : Alors que de plus en plus de salariés amènent leurs appareils connectés sur leurs lieux de travail, ces dispositifs, appelés "Shadow IoT" créent de nouvelles failles de sécurité au sein des organisations. 

A mesure que les employés multiplient les appareils connectés qu'ils emmènent sur leur lieu de travail, la menace grandit pour la sécurité des réseaux de leurs entreprises. En apportant leurs propres dispositifs connectés sur leur lieu de travail, les employés mettent en effet les organisations qui les emploient en danger, les équipes de sécurité de ces dernières n'étant pas toujours conscientes que ces dispositifs sont connectés au réseau.

Ce phénomène, baptisé le "Shadow IoT" surfe sur le succès de l'Internet des objets et sur la multiplication des objets connectés commercialisés auprès du grand public. Au quotidien, de plus en plus de gens sont en effet équipés d'appareils connectés, comme des dispositifs de suivi de la condition physique, des montres intelligentes ou encore des appareils médicaux. Il arrive bien souvent qu'ils connectent ces objets sur le réseau de leur lieu de travail, sans toutefois en informer les services informatiques des organisations qui les emploient.

Selon les derniers chiffres de l'entreprise de cybersécurité Infoblox, près de la moitié des organisations (46 %) ont découvert de tels dispositifs connectés "fantômes" sur leur réseau au cours de l'année dernière. Seul un quart des organisations n'ont pas trouvé de dispositifs connectés "fantômes" sur leur réseau.

Des normes de sécurités minimales
Problème : les normes de sécurité de ces objets connectés sont bien souvent défaillantes, ou en tout cas moins strictes que pour d'autres produits tels que les smartphones ou les ordinateurs portables. Dans de nombreux cas, les fabricants d'appareils connectés sont connus pour livrer des dispositifs très peu sûrs. Il arrive parfois que ces produits ne reçoivent jamais de correctif, soit parce que l'utilisateur ne sait pas comment l'appliquer, soit parce que l'entreprise n'en publie jamais.

Les appareils connectés sont non seulement potentiellement vulnérables à la mise en place d'un botnet, mais, connectés aux réseaux d'entreprise, ils pourraient servir de point d'entrée à des attaquants qui pourraient les utiliser comme moyen de pression supplémentaire. « Les dispositifs connectés personnels sont facilement repérables par les cybercriminels, ils constituent un point d'entrée faible dans le réseau et représentent un risque sérieux pour la sécurité de l'organisation. Sans une vision complète des politiques de sécurité des appareils connectés à leur réseau, les équipes informatiques mènent une bataille perdue d'avance pour assurer la sécurité du périmètre réseau en constante expansion », fait ainsi savoir Malcolm Murphy, directeur technique EMEA chez Infoblox.

Afin de se protéger contre la menace posée par le "Shadow IoT", le rapport recommande aux organisations de s'assurer qu'elles sont pleinement conscientes des dispositifs connectés au réseau et de veiller à ce que tout trafic web suspect ou inconnu soit rapidement identifié. Tout dispositif connecté sur le réseau doit également éviter d'utiliser des mots de passe par défaut.

Source : ZDNet.com


Conseils: Attention aux données et au cloud ; après le sharepoint nous voyons arriver les outils 100% Cloud OFFICE 365, TEAMS etc.....et n'oubliez pas de bien faire attention a ne pas utiliser vos devices personnelles sur  le réseau de l'entreprise et inversement !


 

#IT et stockage des données

Vue le le web - Source ZDnet
 

Les secteurs de l'intelligence artificielle et du stockage des données numériques seront prochainement intégrés au décret Montebourg qui réglemente déjà les prises de participation par des acteurs étrangers à des entreprises françaises travaillant dans les secteurs de l'énergie, de l'eau, des transports, des télécoms et de la santé publique a mentionné le ministre de l'Economie lors de ces vœux a la presse.

L'ajout de la protection des données et de l'IA au décret ne bloquerait pas les investissements étrangers, mais le soumettrait à l'approbation du gouvernement. 

se pose la question fondamentale: Comment et par qui seront surveillés ces échangent ? 

 

La France compte par ailleurs demander à la Commission européenne, avec ses partenaires italien, espagnol et allemand, de préparer un règlement sur les investissements étrangers en Europe. 

"Nous devons (...) nous doter des mêmes armes que nos grands partenaires économiques pour défendre nos intérêts économiques stratégiques" a t-il mentionné, affirmant que la France restait "une nation ouverte".

"Ouverture ne veut pas dire pillage"

"Mais ouverture ne veut pas dire pillage de nos technologies, de nos compétences, de nos savoir-faire" a le Ministre de l'économie, affirmant que la France mettait en place "une nouvelle doctrine de l'investissement".

Ces déclarations font suite au voyage du président français et de son ministre de l'économie en Chine. En fin de semaine dernière, le ministre de l'économie avait mentionné que l'investissement chinois est bienvenu en France, à condition de ne pas "piller" la technologie française.

"Si les investisseurs viennent en France ou en Europe pour accéder à la meilleure technologie sans bénéficier ni à la France ni à aucun autre pays européen, ils ne sont pas les bienvenus" avait dit lors de son voyage en Chine notre Ministre selon Bloomberg. 

Le déficit commercial de la France vis à vis de la Chine est de 30 milliards d'euros.

La Chine "affirme sa puissance" dans des domaines tels que les données numériques et l'intelligence artificielle a dit le Ministre de l'économie mentionnant au passage que "la capitalisation des GAFA représente deux fois la richesse de notre pays". 

Le ministre prédit "un nouvel ordre économique mondial dans les cinq prochaines années".

Mais avec quelles sécurités pour les échangent et le partage des données? Rien sur sur sujet ne transparait et en vue des dernières affaires, on ne peut que  souhaiter que cela ne sera pas juste des mots mais que du contenu et un vrai plan d'investissement avec un controle sérieux des processus et données soit dans les cartons.

En effet au sujet des données , de la confidentialité la loi Sapin 2 dont toutes les entreprises doivent s'accaparer étant responsables des données et des fuites possible doit mettre en place toute une batterie de filtre et de sécurité afin de pouvoir le cas échéant protéger ces propres salariés.

Cette loi contient également des éléments concernant le droit de libre expressions des salariés.

Pour rappel sur le contenu de la loi SAPIN 2 qui doit être appliqué au plus tard en Mai de cette année voici ce que cet article de  loi demande d'appliquer a toutes les entreprises et bien entendu a communiquer , ceci pour notamment  "protéger" notamment ce que l'on appelle les lanceurs d'alertes.

 Des mesures et procédures préventives a mettre en place et a communiquer aux salariés interne ou externes a l'entreprise (y compris les prestations):

1° un code de conduite définissant et illustrant les différents types de comportements à proscrire comme étant susceptibles de caractériser des faits de corruption ou de trafic d’influence ;

2° un dispositif d’alerte interne destiné à permettre le recueil des signalements émanant d’employés et relatifs à l’existence de conduites ou de situations contraires au code de conduite de la personne morale ;

3° une cartographie des risques prenant la forme d’une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d’exposition de la personne morale à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d’activités et des zones géographiques dans lesquels la personne morale exerce son activité ;

4° des procédures d’évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ;

5° des procédures de contrôles comptables, internes ou externes, destinées à s’assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption ou de trafic d’influence. Ces contrôles peuvent être réalisés soit par les services de contrôle comptable et financier propres à la personne morale, soit en ayant recours à un auditeur externe à l’occasion de l’accomplissement des audits de certification de comptes prévus à l’article L. 823-9 du code de commerce ;

6° un dispositif de formation destiné aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d’influence ;

7° un régime disciplinaire permettant de sanctionner les salariés de la personne morale en cas de violation du code de conduite de la personne morale.

 A suivre....  Bonne fin de semaine