Rechercher dans la communauté

« La sécurité du cloud fait référence aux règles, bonnes pratiques, contrôles et technologies de cybersécurité permettant de sécuriser les applications, les données et l'infrastructure dans les environnements cloud. » Dans ce billet : client = une entreprise qui fait appel à un fournisseur pour accéder à un service cloud Si le cloud peut regrouper pour une entreprises ses données, ses applis, et ses services informatiques, alors une question essentielle se pose. Qui est responsable de la sécurité dans le cloud ? On pourrait croire que le fournisseur est responsable à 100%, comme c’est lui qui fournit le service ; mais ce n’est pas aussi simple. En réalité, la responsabilité est partagée entre le client et le fournisseur,et il existe des périmètres clairement définis. La dernière fois, on avait vu les 3 types de services cloud que proposent les fournisseurs (IaaS, PaaS, SaaS). Enfait, le périmètre va varier en fonction du service. Et c’est cette confusion et incompréhension de supposer que « le cloud s’en occupe » qui va créer des angles morts. Minis définitions par chat GPT pour comprendre certaines notions : Infrastructure : l'ensemble des ressources techniques nécessaires pour faire fonctionner les services informatiques : serveurs, stockage, réseau, etc. Serveur : un ordinateur ou système informatique qui fournit des ressources ou des services à d'autres machines. Runtime : l'environnement logiciel qui permet à une application de s'exécuter. Par exemple, Node.js permet d'exécuter des applications JavaScript côté serveur. Donc là on va classer les types de services du plus au moins de responsabilités pour le client, ça va permettre aussi de mieux comprendre les types de services parce que mes définitions du billet précédent étaient un peu vaseuses : IaaS : « J’aimerais des ressources informatiques sans acheter les machines physiques ». Par exemple, le fournisseur AWS peut fournir un service IaaS avec EC2, qui permet au client de louer une instance (comme une machine virtuelle). Grossomodo, le fournisseur est responsable de l’infrastructure physique, et du réseau sous-jacent. Et là, c’est là où le client a le plus de responsabilité, parce qu’il aura choisit IaaS pour justement avoir davantage de contrôle et de liberté. Il gère une grande partie de son environnement informatique (par exemple, choisir une version spécifique de linux ou choisir les logiciels qu’il veut installer). Donc il aura beaucoup plus de choses à gérer PaaS : La, le founisseur gère une plus grande partie de l’infrastructure et de l’environnement comme le système d’exploitation et le runtime. Le client, n’a pas à gérer directement les serveurs. Prenons un exemple concret. Un forum est une application web qui a besoin d’être relié à internet pour être accessible à nous. Il faut bien l’héberger quelque part ! soit si il est motivé, le fondateur a un serveur chez lui qu’il a configuré, soit il utilise un IaaS mais pareil y a toute la configuration de l’infrastructure, soit un PaaS comme Heroku. Donc la concrètement, si il choisit de déployer son application sur le service PaaS, le développeur est responsable de l’application, des données et des accès. Il veut faire tourner l’application sans s’occuper de toute la machine qui se trouve dessous. Par contre ce n’est pas le fournisseur qui va pouvoir empêcher des attaques par injection SQL, le développeur est responsable de son code. SaaS : Prenons l’exemple de Microsoft 365 Enterprise, qui est une formule qui fournit aux entreprises les outils de Microsoft 365 (Excel, Word, Powerpoint,…) aux employés ainsi qu’un service de messagerie, des fonctions de sécurité avancée,… La concrètement, le fournisseur (ici Microsoft) s’occupe de l’ensemble de la pile. MAIS « le client reste responsable de la configuration du service, des données qu'il y stocke, des accès accordés, et de la conformité réglementaire. » Bref, donc cloud = responsabilité partagée Et une entreprise ou structure a tout intérêt à se préoccuper de la sécurité et à limiter les risques, parce qu’une sécurité défaillante peut avoir un grand impact sur son activité et sur sa réputation. D’où l’importance, d’être conscient des risques pour les limiter au maximum. Quels sont les risques en cloud computing au sein de l’entreprise ? Perte de visibilité : Admettons une entreprise accède à plusieurs services Cloud (Microsoft 365, AWS, un service de stockage, des employés travaillant depuis différents pays et appareils…). Ça fait une grande surface, et donc une grande surface à sécuriser. Donc avec cette complexité de l'environnement, on parle de perte de visibilité lorsque l’entreprise ne voit pas ce qui ce passe et n'arrive pas à tout surveiller, et donc elle aura plus de mal à détecter des activités suspectes. Violations de conformité : une entreprise doit respecter des exigences de conformités strictes. Lors du transfert vers le cloud, elle doit faire attention aux reglementations "Nombre de ces réglementations exigent que votre entreprise sache où se trouvent vos données, qui y a accès, comment elles sont traitées et comment elles sont protégées." L’état de non-conformité expose à des répercussions juridiques et financières. Absence de stratégie et d’architecture de sécurité Cloud : Une entreprise peut avoir hâte de migrer les systèmes et les données vers le cloud. Donc, elle peut obtenir rapidement une infrastructure qui fonctionne, mais avoir beaucoup de failles de sécurité. D’où l’importance d’intégrer la sécurité dès le début. Menaces d’initiés : Initié peut désigner quelqu’un de confiance (employés, partenaires commerciaux,…), c’est dur à croire, mais cela constitue un risque, une menace interne. Pas nécessairement parce que la personne de confiance a une intention malveillante (même si ça peut arriver), mais simplement par négligence ou un manque de formation. Par exemple, un employé a accès à un dossier sensible, il envoie le mauvais fichier à la mauvaise personne, et pouf, un incident de sécurité. Interface utilisateur d’application non sécurisée (API) : Déjà, une API est une manière pour deux logiciels de communiquer ensemble. Par exemple, pour un forum, on a grossomodo le frontend et le backend. Le frontend s’occupe de toute la mise en page du site, et est accessible directement à l’utilisateur. Le backend expose l’API, s’occupe de toute la logique derrière et communique avec la base de donnés. Par exemple lorsqu’on consulte la page des sujets récents, le frontend peut récupérer les nouveaux sujets en envoyant à l’API une requête http style « GET /api/sujets », le backend intéroge la base de données et renvoie la réponse. Certaines choses ne sont consultable/modifiable que par des personnes spécifiques. Par exemple, un utilisateur peut modifier son profil mais pas les autres profil (encore heureux j’ai envie de dire). La requête du frontend va être du style « PUT /api/profile », et le backend va vérifier s’il s’agit bien de l’utilisateur en question. Une API est bien sécurisée si elle vérifie bien qui entre et ce qu’il a le droit de faire. Alors que celle non sécurisée peux permettre à un attaquant de modifier, supprimer des données, d’accèder à des choses qu’il n’est censé consulter,… Mauvaise configuration des services de Cloud : Comme on a dit tout à l’heure, la responsabilité est partagée, et donc même si l’infrastructure peut être très bien sécurisé par le fournisseur, l’entreprise doit être vigilante. Prenons Microsoft 365 Enterprise, une mauvaise configuration peut désigner beaucoup de choses, mais prenons la gestion des privilèges. Une entreprise possède différents comptes utilisateurs, avec des niveaux de privilèges différents : certains comptes avec des privilèges d'administration, les employés avec des droits plus limités. Si dû à une mauvaise configuration, un utilisateur a des privilèges d'admin, alors qu'il en a pas besoin, il pourrait par exemple modifier, créer, supprimer des comptes utilisateurs, réinitialiser les mdp, modifier les permissions et les rôles d’autres utilisateurs, configurer les paramètres de sécurité, etc… on revient un peu à la menace initié, mais ça peut aller au-delà, si l’utilisateur en question se fait compromettre les conséquences peuvent être grandes. D’où un principe fondamental c’est le principe du moindre privilège "Chaque personne, chaque programme et chaque service ne doit recevoir que les droits strictement nécessaires à sa tâche, et pas un de plus" Sources

Les pays de l’hémisphère nord ne sont pas(plus) à l'abri des changements climatiques; les hausses inhabituelles de température subies par toute l'Europe, particulièrement en 2026, (sans parler des incendies qui on monopolisé tant de ressources), ont amené à ce qu'on se questionne sur notre sécurité alimentaire.

Bonjour, Le premier musée au monde présenterait quelques failles de sécurité. Parmi elles, nous pouvons citer des logiciels de surveillance n’étant plus mis à jour depuis 10 ans, ou encore, l’utilisation de Windows 2000 et Windows XP (si si). Ces systèmes d’exploitation sont d’ailleurs si vieux qu’ils ne bénéficient même plus d’antivirus ni de verrouillage de session. Bienvenue en 2000. Cerise sur le gâteau : le mot de passe imaginé par les équipes de sécurité -certainement validé par des supérieurs- pour accéder aux serveurs de vidéosurveillance du Louvre était « LOUVRE ». Six lettres, aucun chiffres et le nom du musée en prime. Article entier : https://fflose.com/ce-mot-de-passe-a-6-lettres-qui-plonge-le-louvre-dans-la-legende/

Bonjour, Ex-directrice de la sécurité alimentaire chez Nestlé, Yasmine Motarjemi a été harcelée pour avoir tenté d’alerter sur des problèmes de sécurité sanitaire. Déjà quinze ans que Yasmine Motarjemi a été licenciée par Nestlé. Mais sa santé mentale est toujours affectée par ce qu’elle a vécu au sein du groupe agroalimentaire suisse. Entre 2006 et 2010, l’ex-directrice de la sécurité des aliments a été harcelée, humiliée, puis placardisée pour avoir fait son métier : alerter sur le danger de certains aliments vendus par le groupe. Yasmine Motarjemi a réalisé de nombreuses recherches et découvert plusieurs produits potentiellement dangereux pour les consommateurs. « On mettait sur le marché des laits infantiles avec des taux de vitamines et minéraux qui n’étaient pas vérifiés, se souvient-elle. Quand je demandais à ce que ça soit fait, on ne donnait pas suite à ma demande. Jusqu’à ce que l’entreprise Humana ait un grave accident : des laits infantiles manquaient de vitamine B1 et des bébés en sont morts. À ce moment-là, ils se sont dit : “Il faudrait peut-être écouter Yasmine.” » Elle cite également l’affaire de la mélamine, qui a intoxiqué 300 000 nourrissons en Chine. « Cette substance chimique issue de l’industrie plastique a été retrouvée dans du lait infantile aux États-Unis. J’ai donc demandé à ce qu’une étude soit faite sur tous les autres produits, notamment en Chine, et cela a été refusé. » C’est à partir de 2006, à l’arrivée d’un nouveau supérieur, que le harcèlement a débuté. « Au début, ce chef a simplement décidé de ne pas me parler et ne pas me donner de tâches à faire. Puis, il m’a retiré mes responsabilités, démantelé le travail que je faisais et mon équipe, transmis mes projets très importants à des personnes qui ne comprenaient pas de quoi il s’agissait et qui sabotaient le travail, bloqué mes instructions, etc. » accuse Yasmine Motarjemi avec une voix encore tremblante de colère. Humiliée, elle est tombée en dépression... Pendant quatre ans, Yasmine Motarjemi a continué à lancer des alertes et à réclamer à la direction du groupe un audit sur la sécurité des aliments, constamment refusé. En 2010, Nestlé lui a proposé un poste de conseillère au directeur du centre recherche, bien payé mais sans responsabilités et en dessous de ses compétences. « Je leur ai répondu que j’accepterai le placard uniquement s’ils menaient l’audit sur la sécurité des aliments, sinon ils pouvaient me licencier. » Ce sera la deuxième solution. Yasmine Motarjemi a été licenciée en 2010, avec comme motif officiel une divergence d’opinions sur la sécurité alimentaire. Elle a refusé une indemnité de départ de 300 000 francs suisses (319 800 euros) et porté plainte pour harcèlement moral un an plus tard. Le début d’une bataille juridique longue de dix ans, à l’issue de laquelle Nestlé a été condamné par le tribunal cantonal vaudois, en 2020, pour harcèlement moral. Le groupe a dû reverser à son ancienne employée dix ans de salaire et 1 franc suisse pour le tort moral qui lui a été causé. Elle a publié, avec le journaliste Bernard Nicolas, Ce que l’empire Nestlé vous cache (Robert Laffont, mars 2025). Article entier : https://reporterre.net/On-sabotait-mon-travail-Yasmine-Motarjemi-lanceuse-d-alerte-harcelee-chez-Nestle

Voir ce quiz Sécurité en Informatique - Bonnes Pratiques Suis-je prudent lorsque je consulte la toile, lorsque je surf sur le Web, le net ? Créateur Ragouminier Type Mode classement Temps 10 minutes Nombre total de questions 10 Catégorie Divers Envoyé 13/04/2019  

A la découverteLa piste cyclable qui longe le canal est parfaitement sécurisée. Il n'y a que les véhicules des VNF, (Voies Navigable de France), qui y circulent. Les employés sont d'une prudence remarquable. C'est un plaisir de chaque instant de pratiquer ce petit ruban goudronné sur une distance de 30 km. De chez moi jusqu'à l'océan, il y a 25 km. C'est facile, toujours plat, presque de la ligne droite en continu. Je vais y rouler le plus souvent avec mon VTC, (Vélo Tous Chemins).Ce n'est que le Week-end que sa fréquentation est la plus dense. A partir du vendredi après-midi. Et encore, uniquement à la belle saison et aux beaux jours. J'y croise des cyclistes de tout âge. Le plus souvent ce sont quand même des retraités. Il y en a qui sont vieux. Il y a beaucoup de filles en rollers. Depuis quelques temps on croise des individus en trottinettes électriques. Des couples de séniors en vélos électriques. Des loufoques sur un gyro-roue ou des adolescents sur des gyropodes.Les vents dominants sont d'Ouest. Il me faut donc souvent pédaler contre le vent. Par contre, pour le retour, il me suffit de me laisser pousser. Je pédale alors avec une facilité déconcertante. Quand je vais avec mes parents, nous pouvons bavarder sur le retour. Il faut faire attention aux imbéciles de fin d'après-midi. C'est l'heure des crétins qui promènent leurs chiens sans les attacher à la laisse. Qui vous insultent lorsque vous leurs faites remarquer que la loi l'exige et que c'est écrit sur les panneaux.Il y a les inconscients qui circulent malgré l'interdiction sur la piste cyclable en scooter, louvoyant dangereusement entre les cyclistes. Il suffit de prévenir les gens des VNF qui les bloquent avec leurs véhicules de services en attendant l'arrivée des gendarmes. Ces petits cons ont une toute autre attitude avant la sanction qui les attend. C'est 80 euros. Le scooter est souvent confisqué lorsque le petit malin est mineur. Ses parents doivent le récupérer à la gendarmerie. Fini de faire les marioles. La piste cyclable est un parcours sécurisé où il fait bon se promener en toute quiétude. Parfois, on peut même y faire d'agréables rencontres…Bisou

Sarkozy veut priver de passeport français les «tueurs de flics» naturalisés Dimanche 01 Août - 10:15 © AFP | Nicolas Sarkozy vendredi lors de son discours sur la sécurité prononcé à Grenoble, pour l'installation du nouveau préfet de l'Isère. IMMIGRéS NATURALISéS | Le président français veut pouvoir déchoir de leur nationalité les Français d'origine étrangère en cas d'atteinte à la vie d'un policier. AP Suite de l'article... Source: 24heures.ch

Des vigiles de Carrefour devant la justice après la mort d'un jeune homme Mercredi 30 Décembre - 22:39 Les quatre vigiles d'un supermarché Carrefour de Lyon seront présentés devant un juge d'instruction jeudi matin, après le décès mardi d'un homme de 25 ans interpellé dans leur magasin. L'autopsie a révélé que le victime est «morte d'une asphyxie mécanique par compression de la cage thoracique» et portait des hématomes «au bras et au front», a annoncé mercredi en fin d'après-midi le parquet de la préfecture du Rhône. L'incident s'est produit lundi vers 18 h 15, quand un jeune «sans domicile connu», selon le journal Le Progrès, a été arrêté alors qu'il était en train de voler des bouteilles de bière au supermarché Carrefour du quartier de la Part-Dieu. Les vigiles ont emmené le jeune homme, «particulièrement excité», dans une salle de contrôle où il a été immobilisé en attendant l'arrivée de la police, selon Me David Metaxas, avocat de deux des agents. --- Les policiers, appelés aussitôt, ont mis 50 minutes à arriver. Suite de l'article... Source: Le Parisien

Bonjour, Skymark Airlines a peut-être pensé que petit prix pour le client rimait avec petite robe pour les hôtesses... Erreur: un syndicat de personnel navigant ne décolère pas contre un nouvel uniforme qui dévoile jusqu'aux cuisses. «Nous sommes préoccupées car nous pensons que cet uniforme pourrait causer des problèmes à bord, y compris du harcèlement sexuel», ont protesté les hôtesses à travers leur fédération de personnel de cabine. «La compagnie aérienne explique que cet uniforme sert à attirer plus de clients, mais cela montre qu'elle considère la femme comme une marchandise», poursuit le syndicat selon lequel la priorité numéro un ne devrait pas être de raccourcir les tenues mais d'augmenter la sécurité. Suite

Hier je zappais entre BFMTV et itélé et j'ai soudain entendu un invité parler d'un Patriot Act à la française avec toute les dérive que cela a provoqué au USA... Quel choc ! Si les armes et la sécurité est de culture américaine, ce n'est, à mon avis, pas la notre. Seriez-vous près à sacrifier un peu de votre liberté pour plus de sécurité ?

Mohamed Bajrafil - Les pays qui appliquent la Charia