Source: http://docplayer.fr/19101206-7-manieres-infaillibles-de-faire-condamner-son-rssi-thiebaut-devergranne-docteur-en-droit-consultant.html
Timestamp: 2018-11-18 00:46:08+00:00

Document:
7 MANIÈRES INFAILLIBLES DE FAIRE CONDAMNER SON RSSI. Thiébaut DEVERGRANNE Docteur en droit Consultant - PDF
Download "7 MANIÈRES INFAILLIBLES DE FAIRE CONDAMNER SON RSSI. Thiébaut DEVERGRANNE Docteur en droit Consultant"
1 7 MANIÈRES INFAILLIBLES DE FAIRE CONDAMNER SON RSSI Thiébaut DEVERGRANNE Docteur en droit Consultant Paris 3 avril 2012
2 Introduction 2 Présentation Consultant - droit des nouvelles technologies +10 ans d expérience, dont 6 pour les services du Premier ministre (SGDN/DCSSI) en qualité de conseil juridique Formation d avocat (CAPA) Docteur en droit privé sciences criminelles Passionné de nouvelles technologies - programmation / sysadmin depuis +15 ans
3 Introduction 3 Objectifs de la présentation : Analyse transverse des risques juridiques majeurs en droit de la SSI A partir d exemples concrets déterminer les risques principaux pour les RSSI et les équipes sécurité Axe didactique et dynamique au travers de 7 exemples Comment protéger sa responsabilité personnelle, celle de son organisation? Conclusion : que faut-il faire pour manager ses risques juridiques de manière opérationnelle (quand on n est pas juriste)? 7 MANIERES INFAILLIBLES DE FAIRE CONDAMNER SON RSSI
4 7 manières infaillibles de faire condamner son RSSI 4 METHODE 1 : LAISSEZ-LUI FAIRE DE L INTELLIGENCE ECONOMIQUE SAUVAGE
5 METHODE 1 : LAISSEZ-LUI FAIRE DE L INTELLIGENCE ECONOMIQUE SAUVAGE 5 L affaire EDF c/ GreenPeace en deux mots (10 novembre 2011) : 1.5 million d amende pour EDF en tant que personne morale pour ne pas avoir cadré ses contrats d IE Un an de prison ferme pour le responsable sécurité euros d amende et dommages et intérêts pour les protagonistes Les nouveautés Mise en cause de la personnalité morale d EDF Condamnation d EDF pour recel (possession de biens issus d un accès frauduleux) Montant considérable des sanctions
6 METHODE 1 : LAISSEZ-LUI FAIRE DE L INTELLIGENCE ECONOMIQUE SAUVAGE 6 La décision Les responsables sécurité «ont agi pour le compte et dans l intérêt de leur employeur ; la personne morale EDF qui est donc déclarée coupable des délits de recel et de complicité d accès et maintien frauduleux aggravé dans un STAD au préjudice de M. X et de Greenpeace. En répression elle sera condamnée à une peine de d amende» Pas de cadrage des contrats d IE Absence de contrôle effectif interne de l usage réel des ressources
7 METHODE 1 : LAISSEZ-LUI FAIRE DE L INTELLIGENCE ECONOMIQUE SAUVAGE 7 Comment faire condamner son RSSI Méthode 1 Laisser se développer un sentiment d impunité par rapport à la violation d une norme pénale. Laisser penser qu il est parfaitement acceptable de le faire, pour des intérêts supérieurs Travailler en vase clos sans contrôle externe sur l usage réel des ressources Eviter aussi Les juristes! Des audit externes Une rédaction stricte des contrats Un contrôle strict des contrats d IE, qui sont sensibles par nature
8 7 manières infaillibles de faire condamner son RSSI 8 METHODE 2 : RASSUREZ-LE ET DITES LUI QU UNE OBLIGATION DE MOYEN SUFFIT EN MATIERE DE SECURITE
9 METHODE 2 : RASSUREZ-LE ET DITES LUI QU UNE OBLIGATION DE MOYEN SUFFIT 9 Art c.pen. : «Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n du 6 janvier 1978 précitée, est puni de cinq ans d'emprisonnement et de EUR d'amende». Article 34 Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. «Obligation de moyens»
10 METHODE 2 : RASSUREZ-LE ET DITES LUI QU UNE OBLIGATION DE MOYEN SUFFIT 10 Comment faire condamner son RSSI Méthode 2 Assurez-vous que votre RSSI développe une mauvaise connaissance des règles de droit Et un sentiment général d impunité par rapport à la loi informatique et libertés («Il n y a aucun moyen que la CNIL vienne nous contrôler», «Jamais un juge ne condamnera qui que ce soit pour ce type d infraction») En outre Eviter les formations, les sensibilisations Ne pas faire d audits réguliers, internes ou externes Ne pas penser à prendre un conseil juridique référent sur ces questions spécifiques
11 7 manières infaillibles de faire condamner son RSSI 11 METHODE 3 : POUSSEZ-LE A RIPOSTER CONTRE DES ATTAQUES
12 12 METHODE 3 : POUSSEZ-LE A RIPOSTER CONTRE DES ATTAQUES Actualité régulière ; cf. décret : «Autorité nationale de défense des systèmes d information»
13 METHODE 3 : POUSSEZ-LE A RIPOSTER CONTRE DES ATTAQUES 13 Article Pour être légale, la légitime défense doit être strictement nécessaire! «N'est pas pénalement responsable la personne qui, devant une atteinte injustifiée envers elle-même ou autrui, accomplit, dans le même temps, un acte commandé par la nécessité de la légitime défense d'elle-même ou d'autrui, sauf s'il y a disproportion entre les moyens de défense employés et la gravité de l'atteinte. N'est pas pénalement responsable la personne qui, pour interrompre l'exécution d'un crime ou d'un délit contre un bien, accomplit un acte de défense, autre qu'un homicide volontaire, lorsque cet acte est strictement nécessaire au but poursuivi dès lors que les moyens employés sont proportionnés à la gravité de l'infraction».
14 METHODE 3 : POUSSEZ-LE A RIPOSTER CONTRE DES ATTAQUES 14 Pour stopper l attaque, peut-on faire autrement que riposter? Firewall? Couper la connexion? Police
15 METHODE 3 : POUSSEZ-LE A RIPOSTER CONTRE DES ATTAQUES 15 L acte de légitime défense doit être l unique moyen de défense! Existe-t-il un autre moyen de se défendre? Si oui, la légitime défense est illicite A défaut, l auteur de l acte engage sa responsabilité pénale Exemples jurisprudentiels N est pas justifiée l agression contre une personne qui est déjà maîtrisée par un tiers (Cass. crim. 21 nov. 1961). La fuite de l agresseur fait disparaître la nécessité de la légitime défense (Cass. crim. 7 déc. 1999). Les juges rappellent régulièrement «l absolue nécessité» de la riposte dans la plupart des arrêts. En pratique : limite considérablement la possibilité d une légitime défense informatique, car dans la plupart des cas il est possible de bloquer l accès du pirate au réseau pendant l attaque (ou inverse : déconnecter le système).
16 METHODE 3 : POUSSEZ-LE A RIPOSTER CONTRE DES ATTAQUES 16 Comment faire condamner son RSSI Méthode 3 Privilégiez des connaissances de seconde main («un collègue très sympa m a dit que c était parfaitement légal») Evitez de consulter des spécialistes sur des questions juridiques à haut niveau de risque
17 7 manières infaillibles de faire condamner son RSSI 17 METHODE 4 : CONFIRMEZ-LUI QU IL N Y A AUCUNE SANCTION EN CAS DE DEFAUT DE CONFORMITE CNIL
18 18 METHODE 4 : CONFIRMEZ-LUI QU IL N Y A AUCUNE SANCTION EN CAS DE DEFAUT DE CONFORMITE CNIL
19 19 METHODE 4 : CONFIRMEZ-LUI QU IL N Y A AUCUNE SANCTION EN CAS DE DEFAUT DE CONFORMITE CNIL Cas de fraude informatique Art c. pen. : «Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de Euros d'amende» Art. 34 : «Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.» Art c. pen. (al. 1) : «Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de euros d'amende» Loi informatique et libertés (extraits)
20 20 METHODE 4 : CONFIRMEZ-LUI QU IL N Y A AUCUNE SANCTION EN CAS DE DEFAUT DE CONFORMITE CNIL Comment faire condamner son RSSI Méthode 4 Laissez lui des illusions sur l apparente simplicité du droit Dites lui que la conformité CNIL est un dossier simple à gérer, qu il a tout intérêt à faire de la gestion de risques Dites-lui qu il n est pas nécessaire de se former pour cela
21 7 manières infaillibles de faire condamner son RSSI 21 METHODE 5 : CONFORTEZ LE DANS L'IDEE QU'IL EST INUTILE DE CONSERVER DES DONNEES DE CONNEXION
22 22 METHODE 5 : CONFORTEZ LE DANS L'IDEE QU'IL EST INUTILE DE CONSERVER DES DONNEES DE CONNEXION Art. 6, II LCEN : Les FAI et les hébergeurs «( ) détiennent et conservent les données de nature à permettre l'identification de quiconque a contribué à la création du contenu ou de l'un des contenus des services dont elles sont prestataires ( )» Publication du décret du 25 février 2011! Pose de nombreux problèmes d interprétation Qui est concerné (FAI, hébergeurs, entreprises fournisseurs de connexion Internet )? Qu est-ce ce qu une création de contenu? «On attend la jurisprudence» Est-ce vraiment une bonne idée? «Est puni d'un an d'emprisonnement et de euros d'amende le fait ( ) de ne pas avoir conservé les éléments d'information visés au II ou de ne pas déférer à la demande d'une autorité judiciaire d'obtenir communication desdits éléments».
23 23 METHODE 5 : CONFORTEZ LE DANS L'IDEE QU'IL EST INUTILE DE CONSERVER DES DONNEES DE CONNEXION Comment faire condamner son RSSI Méthode 5 Confirmez à votre RSSI qu il faut attendre la jurisprudence Dites-lui qu il n est pas nécessaire de suivre l actualité juridique
24 7 manières infaillibles de faire condamner son RSSI 24 METHODE 6 : CACHEZ-LUI QU IL FAUT AUSSI LES DECLARER A LA CNIL
25 METHODE 6 : CACHEZ-LUI QU IL FAUT AUSSI LES DECLARER A LA CNIL 25 Article c. pen.: «Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d emprisonnement et de Euros d amende.»
26 METHODE 6 : CACHEZ-LUI QU IL FAUT AUSSI LES DECLARER A LA CNIL 26 Comment faire condamner son RSSI Méthode 6 Laissez votre RSSI dans l ignorance des formalités juridiques à mettre en œuvre Assurez-vous de n avoir aucun process de conformité informatique et libertés dans votre organisation
27 7 manières infaillibles de faire condamner son RSSI 27 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES!
28 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES! 28 Faut-il vraiment déposer plainte? Avez-vous analysé les risques juridiques? Loi informatique et libertés! Quel retour sur investissement? Un exemple : Zataz c/flp Quels retours réels en terme d image de marque?
29 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES! 29
30 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES! 30
31 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES! 31
32 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES! 32
33 METHODE 7 : DONNEZ-LUI L'IDEE DE FAIRE UN PROCES! 33 Comment faire condamner son RSSI Méthode 7 Poussez votre RSSI à se lancer dans un procès sans analyser le retour sur investissement réel
34 7 manières infaillibles de faire condamner son RSSI 34 CONCLUSION
35 Les facteurs de risque essentiels 35 Défaillance dans l information juridique Mauvaise connaissance des règles de droit Sources d information défaillantes (non juridiques) Trop grande confiance dans des informations de seconde main, souvent élaborées par des non professionnels du droit Formations et sensibilisations souvent absentes Mauvaise perception du risque juridique Pas de service «réponse juridique rapide» permettant de recadrer une situation à risque Perception parfois simpliste du droit Sentiment d impunité par rapport aux normes «Jamais vu de jurisprudence dans ce domaine» «Il n y a jamais de condamnation CNIL» Défaillance dans l action Travail en vase clos DSI/RSSI travaillent sans assistance juridique régulière Recours à des juristes non spécialistes du domaine Eviter totalement les juristes Contrats / chartes rédigés par la DSI! Peu ou pas d audits Process? Internes & externes Encadrement défaillant des sujets sensibles (ex. contrats d IE) Pas de processus systématiques (ex : informatique et libertés) Choix des conseils juridiques
36 Risque juridique Les solutions opérationnelles 36 Formations régulières Services de Q/R Audits
37 Les solutions opérationnelles 37 Questions? Thiébaut DEVERGRANNE Contact :
législastion : CADRE LEGAL D EMPLOI - Art. 73 (toute personne peut appréhender l auteur d un crime ou d un délit flagrant)
législastion : CADRE LEGAL D EMPLOI DU CODE PENAL : DEFENSIF - Art. 122-5 Art. 122-6 (légitime défense) - Art. 223-6 (non-assistance à personne en danger) - Art. 431-3 (participation délictueuse à un attroupement)
Les chiffres clés de la lutte contre la fraude 27 octobre 2015
Les chiffres clés de la lutte contre la fraude 27 octobre 2015 1 Préalable 2 Depuis 2004, la lutte contre les fraudes, les activités fautives et abusives est une des priorités de l Assurance Maladie qui
La responsabilité pénale du gérant de SARL ou d EURL
La responsabilité pénale du gérant de SARL ou d EURL Article juridique publié le 09/05/2011, vu 24762 fois, Auteur : MAITRE ANTHONY BEM I - Les infractions les plus courantes prévues et réprimées par le
Réagir à une attaque informatique : 10 préconisations Réagir à une attaque informatique : 10 préconisations Lorsqu un incident se produit au sein d un système d information (SI), il peut engendrer des
Introduction au droit (Mons, ) Pierre-François Docquir
Introduction au droit (Mons, 2008-2009) Pierre-François Docquir (pierre-francois.docquir@ulb.ac.be) Méthodo (rappels) Cours Deux syllabus (et un outil : le glossaire) Travaux pratiques (1/4 de la note
MINISTERE DE LA JUSTICE SERVICE DES AFFAIRES EUROPEENNES ET INTERNATIONALES PARIS LES POLLUTIONS MARITIMES REGIME DES INFRACTIONS ET DES PEINES NOTION DE RESPONSABILITE FEDERATION DE RUSSIE, LITUANIE,
1. Légitime défense. Le code pénal français prescrit que : les textes en question
1. Légitime défense Le code pénal français prescrit que : les textes en question Art. 122-5. N est pas pénalement responsable la personne qui, devant une atteinte injustifiée envers elle-même ou autrui,
CQP-APS Déontologie. Droit pénal et droit civil
CQP-APS Déontologie Droit pénal et droit civil 1 CQP-APS 1.Droit pénal & droit civil Sommaire 1. Le flagrant délit Art. 53 C.P. 2. L omission volontaire Art. 223-6 C.P. 3. L entrave aux secours Art. 223-5
Les aboiements de chiens dans la commune La présente note a pour obt de présenter les nouvelles modalités de passation des m La présente note a pour objet de présenter les fondements des pouvoirs du maire
Julie Dault Directrice Service d intervention et de référence policière (SIRP) CAVAC de Montréal
Les agents d intervention immédiate en postes de quartier: un partenariat novateur entre le CAVAC de Montréal et le SPVM pour un service optimal aux victimes Julie Dault Directrice Service d intervention
Session 2006 E3 : ÉCONOMIE - DROIT Épreuve commune aux deux options Durée : 4 heures Coefficient : 3 Ce sujet comporte 5 pages dont 3 pages d annexes. Le candidat est invité à vérifier qu il est en possession
(PERSONNELLES), une obligation légale
LA SÉCURITÉ DES DONNÉES (PERSONNELLES), une obligation légale Chawki GADDES Les données sont la matière première des systèmes informatiques Elles ne deviennent jamais la propriété du responsable du traitement,
Dans le cadre du décret Education Permanente. La Plate-forme francophone du Volontariat présente : ANALYSE signes
1 Dans le cadre du décret Education Permanente La Plate-forme francophone du Volontariat présente : ANALYSE 9 491 signes Des volontaires qui ont un passé Est-ce qu une ASBL est en droit de demander un
Nom : Classe : Prénom : Date : Enseigner la justice en classe de 4ème LES MINEURS ET LE RACKET : UN CONFLIT REGLE PAR LA JUSTICE
Nom : Classe : Prénom : Date : Enseigner la justice en classe de 4ème Une première approche pour entrer dans le concept LES MINEURS ET LE RACKET : UN CONFLIT REGLE PAR LA JUSTICE 1. Ta représentation :
L HOMICIDE INVOLONTAIRE
L HOMICIDE INVOLONTAIRE Le fait de causer, dans les conditions et selon les distinctions prévues à l article 121-3 par maladresse, imprudence, inattention, négligence ou manquement à une obligation de

References: l'article 34
 l'article 34
 Art. 34
 Art. 6
 Art. 73
 Art. 122
 Art. 122
 Art. 223
 Art. 431
 Art. 122
 Art. 53
 Art. 223
 Art. 223