Hors collection - Le droit face à la disruption numérique - 1re - 95

CHAPITRE 2 - LE

DROIT PÉNAL FACE AU NUMÉRIQUE

305. Dans ce contexte, « la protection des données personnelles sera le grand chantier de tous les
RSSI de sites de e-commerce dans les prochaines années ». Des RSSI présentés comme les acteurs
incontournables à la croisée des métiers et de la technologie et qui « en plus de leur compétence technique doivent comprendre l'ensemble des enjeux business. »
c) Les moyens techniques de sécurisation
306. Plusieurs mécanismes de sécurité sont mis en place par les équipes informatiques du ministère :
gestion sécurisée du poste de travail, paramétrage des droits d'accès, antivirus, mots de passe, chiffrement, pare-feu, etc. Tous ces outils possèdent des rôles particuliers et très différents les uns des autres.
Il ne faut jamais oublier que c'est la combinaison des dispositifs de protection qui assure un niveau
suffisant de sécurité comme le fait de ne pas utiliser un ordinateur personnel pour lire ou traiter des
informations professionnelles, ni la messagerie personnelle pour envoyer ou recevoir des documents
professionnels.
307. Il est important de respecter les outils mis en place, de rester attentif et de signaler au service
informatique tout comportement anormal du poste de travail. Le réseau privé virtuel justice
(RPVJ), est le système assurant l'interconnexion de l'ensemble des sites relevant de la mission
justice en matière de transmission de données informatiques.
308. La sous-traitance doit être incluse dans l'analyse de risques globaux du projet et peut se traduire
par des clauses dans le cahier des charges et par des exigences dans le règlement de consultation.
Confier une opération à un tiers ne peut se faire que si la réalisation est contrôlée par le commanditaire. Ce contrôle doit être préparé et facilité par des clauses précises dans les cahiers des charges et
dans les procédures de mise en œuvre de la prestation. Les moyens pour réduire les risques sont multiformes et pas forcément coûteux.
309. Les techniciens informatiques doivent avoir une bonne connaissance des caractéristiques techniques des systèmes d'information. Ce savoir-faire, s'il est divulgué sans précautions, peut faciliter les
attaques informatiques dont l'objectif peut être de récupérer ou de dénaturer des informations. L'intervenant sur un poste de travail, suite à un incident signalé par l'utilisateur, est à même d'accéder aux
informations, fichiers comme courriels, présentes sur ce poste ou accessibles depuis celui-ci (ressources
partagées en réseau) et le manque de discrétion peut être préjudiciable.
310. L'hébergement d'un site web mal adapté, soit du fait de la commande (hébergement mutualisé),
soit du fait de l'insuffisance du prestataire peut conduire à ternir l'image de l'institution, notamment
quand la page d'accueil est remplacée par une page de revendication, politique ou simplement
ironique (défiguration de site internet). Le développement de mauvaise qualité ou reposant sur des
logiciels non supportés par les éditeurs peut produire des vulnérabilités et en conséquence des portes
d'entrées pour des intrusions informatiques, puis des défigurations de site ou des fuites.
311. Il est important de rappeler que le mot de passe, donnée secrète uniquement choisie par l'utilisateur doit être confidentiel, personnel et modifiable sans intervention de tiers. Il doit être révocable et
les administrateurs informatiques ne doivent pas le connaître. Cependant, ils doivent être capables de
le révoquer sur décision de l'autorité hiérarchique ou sur demande de l'utilisateur. La durée d'utilisation d'un mot de passe ne doit pas être supérieure à 6 mois et lors d'un renouvellement obligatoire, le
nouveau mot de passe doit être différent du précédent. En outre, un mot de passe doit avoir une
longueur minimum de 8 caractères et ne doit pas comporter que des lettres. Il ne doit pas être conservé
par écrit à proximité du poste de travail. Enfin, le mot de passe doit être modifié très rapidement dès
que sa confidentialité est compromise, notamment en cas de perte ou vol de matériel.

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re