ANTS, FICOBA, Sécurité Sociale,.. que reste-t-il encore à hacker ?
Loin de moi l'idée de vouloir dénigrer le professionalisme et la qualité des ingénieurs français, mais quand même je m'interroge - car tout simplement mes données sont fatalement dans la nature également. Et que je reçois régulièrement des phishing qui me le confirment.
La France est-elle le seul pays dont la plupart des fichiers importants se sont faits pirater en 2 coups de cuillère à pot ?
Quelles sont les explications ? A quoi sert l'ANSSI, pour n'en citer qu'un au hasard ?
Je ne pense pas que la France soit la seule dans ce cas.
Juste, on parle chez nous des fichiers qui nous concernent.Je pense que vous oubliez dans la liste tous les acteurs privés qui se sont eux aussi fait pirater (free, darty, boulanger, ...).
Les obligations réglementaires (RGPD notamment) font aussi que l'on est normalement vite mis au courant quand il y a des fuites de données importantes.
-- Yann EURL IS depuis 2019
Ma compréhension : Nous sommes tombés dans le "risque systémique des failles avec des effets cascades " "après la vague de cyberattaques et les fuites de données qui ont frappé des sites sensibles de l'Etat". Le piratage d'un site entraine le piratage de d'autres parties du site car trop d'informations circulent.
Il y a une aussi forte contrainte sur la fiabilité de la chaine de fabrication des SI (maillons contractuels avec prestataires notamment dans les transferts d'informations inter services de l'état, …).
L'ANSSI est sur la sellette, elle dépense beaucoup d'argent mais n'est pas efficace pour surmonter ce problème et enrayer le système de cyberattaques. Ca fait maintenant plus de 5 ans que ca dure et c'est sévère crescendo depuis 3 ans.
A l'échelle de la France : Notre pays concentre le plus grand nombre de piratages à l'échelle mondiale avec 2 ou 3 autres.
Le problème surtout, c'est de tenir les enjeux de la cybersécurité dans la durée (cycles de vie de tous les objets des SI)
Il y a aussi une perversion administrative complètement hors contrôle, perversion liée à la non compréhension du RGPD, au sentiment de puissance des administrateurs métiers et techniques qui ont accès aux données personnelles et se permettent des modifications de certains traitements pour certaines données pour une ou plusieurs personnes ciblées, er de fournir leurs données à qui les leur demandent et ceci et cela, ... . Et ce n'est tracé dans aucun registre et n'aide pas à maitriser le système. C'est un abus de pouvoir de certains employés/agents et ca n'aide pas à la cybersécurité… Mais personne ne dit rien sur ce risque et cela leur parait normal de porter atteinte aux droits de quelques citoyens... La sécurité c'est aussi savoir se taire et de bien utiliser les outils de communication : les employés tous niveaux hiérarchiques confondus, les entreprises prestataires, les freelances ont -ils bien appliqué les règles de confidentialité ? , les responsables documentaires classifient ils bien la documentation ? : il suffit de peu d'informations pour pirater un système visiblement.
Il devait y avoir la création d'une nouvelle autorité numérique mais il y a eu peu d'informations sur les délais et les modalités de mise en œuvre. Il y a dz toute façon un gros changement de culture à mettre en œuvre chez les "maillons faibles". Par ailleurs il y a une culture de laisser sortir de l'information qui est dans les usages français depuis de nombreux années. On m'en a souvent donné les raisons...
:-D
Bonjour,
La voie est plutôt en direction de plus de risques avec la FE.
Ex :
des fausses factures ou des factures erronées reçues par FE. À contrôler obligatoirement avant paiements. Peu de risque dans une structure unipersonnelle (on sait généralement ce que l’on achète), il y a tout de même des arnaques et des erreurs.
Vérifier systématiquement que le fournisseur a bien envoyé la facture. Vous allez chez Boulanger ou Darty. Comment saurez vous que vous avez la facture avant de partir ?
Il ne faut pas se bercer d’illusions : le temps gagné sur certains points en automatisation sera perdu en contrôles et sécurisation des données. Il est même possible que la gestion des entreprises devienne plus lourde avec une partie des professionnels qui abandonneront les petits frais pro car cela prendra trop de temps à gérer.
Et avec diverses conséquences. Ex : Vous prenez votre journal tous les matins ou toute les semaines chez un marchand de journal. Demain vous prendrez un abonnement car vous ne voudrez pas gérer le eReporting sur les notes du marchand de journaux face à une seule facture par an. Et le kiosque fermera car ces achats pro ponctuels, c’est ce qui lui permettait de garder un seuil de rentabilité.
Cordialement, - HMG - hmg_71àyahoo.fr Expert comptable - Paris - site : hmgec com Pensez à regarder le contexte et la date des réponses. Elles ne s'appliquent pas toujours à tous les cas.
Possible, d'autant plus que NIS2 a pris du retard, déjà décalée et était prévue pour juillet 2026, donc juste avant la FE pour les entreprises qui sont concernées.
Un article sur le sujet parmi d'autres : NIS2 : le retard de la France pourrait la mener à une sanction - ...
Quelles entreprises/secteurs sont concernés par NIS2 (informations issues du web via copilot) :
NIS2 distingue deux groupes principaux :
Entités essentielles (EE) : organisations considérées comme hautement critiques pour le fonctionnement de la société. Cela inclut les opérateurs d’énergie, les gestionnaires de réseaux de transport, les établissements bancaires, les hôpitaux et les fournisseurs d’eau potable
newlink.fr+1. Ces entités sont soumises aux contrôles les plus stricts et aux sanctions les plus sévères.
Entités importantes (EI) : organisations jouant un rôle significatif dans l’économie mais moins critiques que les EE. Cela comprend les services postaux, les fabricants de produits chimiques, l’industrie agroalimentaire, les plateformes numériques, les fournisseurs de services cloud, les centres de données et les fabricants de dispositifs médicaux
newlink.fr+1.
Une entreprise est concernée si elle dépasse certains seuils définis par l’Union européenne :
Plus de 50 salariés ou
Chiffre d’affaires supérieur ou égal à 10 millions d’euros
www.infolegale.fr+1.
Certaines petites entreprises peuvent également être concernées si elles sont fournisseurs critiques d’une entité soumise à NIS2, ce qui inclut la chaîne de sous-traitance et les prestataires technologiques
NIS2 couvre désormais 18 secteurs d’activité, contre 7 pour la directive NIS1, incluant :
Énergie (électricité, gaz, pétrole, chaleur)
Transports (aérien, ferroviaire, maritime, routier)
Banques et infrastructures des marchés financiers
Santé (soins, laboratoires, R&D, dispositifs médicaux)
Eau potable et traitement des eaux usées
Infrastructures numériques (DNS, cloud, centres de données, services Internet)
Services postaux et d’expédition
Les entités concernées doivent :
Identifier leurs vulnérabilités et évaluer leur criticité
Mettre en place des mesures de cybersécurité conformes aux exigences minimales (authentification multifacteur, chiffrement, gestion des accès, surveillance continue)
Effectuer des audits réguliers, y compris sur leurs fournisseurs critiques
Signaler tout incident significatif dans un délai de 24 heures et fournir un rapport détaillé dans les 72 heures
newlink.fr.
En résumé, toute organisation dont l’interruption pourrait avoir un impact sur la société, l’économie ou la sécurité publique est potentiellement concernée par NIS2, que ce soit directement ou via son rôle dans la chaîne d’approvisionnement
Peu importe la qualité des ingénieurs, si le budget et la volonté de l'organisation ne sont pas là, on va sortir des passoires en terme de sécurité.
En plus d'appliquer les règles qui sont en partie basées sur la réglementation et les normes du secteur, c'est d'abord du mental effectivement, et de la discrétion dans la culture d'entreprise et dans les engagements prestataire. Les entreprises qui appliquent ces valeurs ont moins d'ennuis cybers ( j'en connais au moins 2 grosses, 2 grands groupes, qui ont fait de la discrétion une règle comportementale ).
Pour le budget, il faut d'abord travailler l'efficacité, l'efficience sur différents volets. L'argent ne fera pas tout.
Bonjour,
Le problème est que l’on parle d’un investissement à faire qui n’apporte rien en terme de CA aux entreprises.
Pire, la mise en place de sécurités alourdit leur fonctionnement.
J’ai des clients proposant des applications de sécurité disposant de toutes les certifications (rare). Ils ne réussissent pas à signer de contrats.
En gros, ils ont des réunions avec de directions d’EE/EI qui sont intéressées au moment des pics de hacks dans l’actualité. Mais au moment de parler de budget après des semaines d’échanges : l’urgence pour ces groupes disparaît. Au début, c’est « on mets en place rapidement », puis cela se transforme en « on le met à l’ordre du jour du CA dans 3 mois ».
Cordialement, - HMG - hmg_71àyahoo.fr Expert comptable - Paris - site : hmgec com Pensez à regarder le contexte et la date des réponses. Elles ne s'appliquent pas toujours à tous les cas.
Ce n'est pas une question de budget, de projet, etc,....
C'est une obligation !
Une entreprise est sous-traitante d'une autre entreprise, ou l'inverse; dans tous les cas, il faut valider la dette technique, et s'attacher aux règlementations FR, US et EU.
Si vous n'avez pas validé certains points, il y aura des problèmes autres que le hack, en commençant par les assurances.
Fatigué de recadrer, écoutez : <a href="https://www.dailymotion.com/video/x61ed23" rel="nofollow noopener">https://www.dailymotion.com/video/x61ed23</a> OrelSan - Basique
Le piratage du Fisc en début d'année a été l’apothéose d'une série noire pour nos administrations. On parle ici du système le plus sécurisé du pays après la Défense.
Le niveau des ingénieurs français n'est pas en cause. Concernant France Travail ou le Fisc, le coffre-fort central n'a pas été dynamité : ce sont les accès périphériques qui ont été piratés.
Le vrai problème est structurel : c'est la dépendance de l'État envers une multitude de sous-traitants et de partenaires. Chaque interconnexion crée un potentiel loophole. Blindé le cœur du réacteur ne sert à rien si le virus entre par les capillaires.
Fun fact : quand on sait que, depuis 2015, la DGSI remet une partie de ses données à Palantir (société de Peter Thiel étroitement associée à la CIA et au ministère de la Défense US), on se dit que l'exemple ne vient pas d'en haut. A partir de là...15 ans d'exp. dans le Portage - Winki Portage
N'est-il pas préférable pour madame Michu que ses données soient directement hébergées chez Palantir ou équivalent plutôt qu'ouvertes aux 4 vents des sous-traitants/partenaires/capillaires ? Ca simplifierait nettement le schéma.
N'est-il pas préférable pour madame Michu que ses données soient directement hébergées chez Palantir ou équivalent plutôt qu'ouvertes aux 4 vents des sous-traitants/partenaires/capillaires ?
tu penses que les données de la DGSI, ce sont les données de Mme Michu ?
15 ans d'exp. dans le Portage - Winki Portage
En haut comme vous dites, on trouve des X Polytechniciens, Centrale etc. Si ces personnes largement plus capées que le commun des mortels estiment que les données sont mieux chez Palantir que dans un sombre datacenter qui prend l'eau un an sur deux dans la zone industrielle de Pantin, on pourrait en conclure que n'importe quelle donnée y serait aussi également mieux. Je ne juge rien ni personne, je constate juste : FICOBA, ANTS, Sécurité Sociale etc.