®om's shaarli > Httqm, le 23/10/2014 à 15:22 > Si dans la balance il y a d'un côté la confidentialité des données internes et de l'autre la possibilité pour les utilisateurs de se connecter sur le site de leur banque ou faire des achats en ligne, je pense que le choix est vite fait.
Et la possibilité pour l'entreprise de récupérer les identifiants, les mails… bref, tout le contenu "perso" de l'employé. Je pense qu'un employeur ne devrait pas avoir cette capacité.
Tu me dis en gros que le "perso", c'est pas au boulot :
> Je ne suis même pas sûr qu'une entreprise ait une quelconque obligation quant à l'utilisation à des fins personnelles des moyens informatiques.
Mais dans la réalité, la frontière entre "temps perso" et "temps pro" devient de plus en plus floue. Quand tu passes 8h par jour au boulot, tu vas utiliser ton ordinateur pour des trucs perso (qui prennent peu de temps et qui sont tolérés). Ces flux ne devraient pas être "espionables" par l'employeur.
> > Dans ce cas, comment s'assurer qu'un employé ne prenne pas une photo du contrat avec son téléphone pour le leaker quelque part ? Il faut bien obliger les employés à mettre en place une caméra de surveillance chez eux et installer un logiciel espion dans leur téléphone, sinon comment l'entreprise pourrait-elle minimiser les risques de fuites?
>
> Drôle de raisonnement : sous prétexte que quelqu'un de motivé pourra contourner des protections, finalement, ça ne sert à rien d'essayer de sécuriser un minimum ?
Tu as mal compris mon propos : je disais que la fin ne justifie pas les moyens. Tout espionner (pour éviter des fuites), y compris la partie "privée" de l'employé (et récupération possible de ses identifiants / mot de passe), quand de surcroît celui-ci utilise un protocole qui est fait pour chiffrer de bout en bout, me semble disproportionné, et dépasse ce qui me paraît légitime.
(
Permalink)
Kevin Merigot > Httqm, le 23/10/2014 à 15:42 Bah quitte à ranger ça dans "bonnes pratiques", autant mettre tout ce qui va avec...
Parce qu'à la place de l'admin rés... non attends... EN TANT qu'administrateur système et réseaux, je ne parlerais pas seulement de l'aspect technique (simple) ou légal (simple) mais aussi et SURTOUT de l'aspect éthique du MITM sur un réseau.
Parce qu'on peut faire de la sécurité en respectant la confidentialité des utilisateurs. Ça demande, au premier chef, d'impliquer ceux-ci dans la compréhension de la politique de sécurité de l'entreprise, et pas seulement dire "on se charge de votre sécurité, faites ça comme ça et c'est tout". Le fait est que tu renforces la sécurité de ton réseau lorsque tu introduis la sécurité entre le clavier et la chaise.
Je ne pense pas qu'il faille obligatoirement se foutre de la confidentialité des utilisateurs pour faire de la sécurité. Et il est illusoire de penser qu'un réseau d'entreprise est utilisé uniquement pour le boulot. Le fait est que la Loi elle-même reconnaît l'usage des moyens de l'entreprise pour son usage personnel lorsque cet usage est limité et ne nuit pas à l'entreprise.
Or il ne suffit pas de "faire confiance" à son admin. Celui-ci, disposant d'un grand pouvoir, doit pouvoir être contrôlé et justifié. Combien de politiques de sécurité des entreprises intègrent la suppression efficace et sécurisée des données de l'entreprise sur un support ? Combien de ces mêmes politiques incluent la suppression efficace et sécurisée des données de ses employés qu'elle aura collecté ?
Alors oui, pour voir s'il n'y a pas une fuite, il faut pouvoir déchiffrer un flux. Mais les données déchiffrées puis rechiffrées doivent être détruites avec le même soin que si c'étaient des données critiques de l'entreprise. Or combien gardent, en clair, ces données sur un disque pendant 1, 3, 6 mois "au cas où" ? Je peux en citer quelques unes (enfin, en fait, non, je pourrais en citer mais je ne le ferais pas parce que je veux pas de problème ^^ mais ça existe, et c'est pas aussi rare que ce que vous pensez).
Et ça, ce n'est pas tolérable. Et il ne s'agit pas que d'une simple histoire de "confiance" en son admin.
Les bonnes pratiques autour du MITM sur son réseau concernent essentiellement l'aspect éthique et de contre-pouvoir de l'administrateur, beaucoup moins l'aspect technique ou légal. Mais ça, Orange n'en traite pas.
Parce que dans la "charte d'utilisation d'Internet", il y a en général tous les points concernant les obligations du salarié, généralement rien sur ce à quoi s'engagent les administrateurs.
(
Permalink)
Httqm > Kevin Merigot, le 23/10/2014 à 16:41 > Le fait est que tu renforces la sécurité de ton réseau lorsque tu introduis la sécurité entre le clavier et la chaise.
+1
> Je ne pense pas qu'il faille obligatoirement se foutre de la confidentialité des utilisateurs pour faire de la sécurité.
On est d'accord ;-)
> Et il est illusoire de penser qu'un réseau d'entreprise est utilisé uniquement pour le boulot. Le fait est que la Loi elle-même reconnaît l'usage des moyens de l'entreprise pour son usage personnel lorsque cet usage est limité et ne nuit pas à l'entreprise.
D'accord aussi. L'usage personnel des moyens de l'entreprise est toléré, mais n'est pas dû par l'entreprise à ses salariés. Par exemple, l'entreprise n'a pas à garantir l'accès à Facebook / YouTube / site de photos de chats si cela n'a pas de rapport avec le travail de ses employés. Elle peut l'autoriser, mais rien ne l'y oblige. Les moyens techniques et contrôles effectués, pour leur part, doivent être connus des utilisateurs.
> Or il ne suffit pas de "faire confiance" à son admin. Celui-ci, disposant d'un grand pouvoir, doit pouvoir être contrôlé et justifié. (...) Alors oui, pour voir s'il n'y a pas une fuite, il faut pouvoir déchiffrer un flux. Mais les données déchiffrées puis rechiffrées doivent être détruites avec le même soin que si c'étaient des données critiques de l'entreprise.
Totalement d'accord là aussi. En fait, cela me parait évident que même l'admin ne devrait pas avoir accès aux données en clair : il définit les outils, les règles de filtrage, mais c'est la machine qui trie. Et les données en clair ne devraient jamais transiter par un support non volatile.
> Or combien gardent, en clair, ces données sur un disque pendant 1, 3, 6 mois "au cas où" ? Je peux en citer quelques unes (enfin, en fait, non, je pourrais en citer mais je ne le ferais pas parce que je veux pas de problème ^^ mais ça existe, et c'est pas aussi rare que ce que vous pensez).
Mais alors ça, c'est PAS BIEN !!!
> Les bonnes pratiques autour du MITM sur son réseau concernent essentiellement l'aspect éthique et de contre-pouvoir de l'administrateur, beaucoup moins l'aspect technique ou légal. Mais ça, Orange n'en traite pas.
Le site contenant l'article d'origine ressemble pas mal à un blog conçu pour confirmer la compétence technique de l'entreprise sur un domaine particulier (du "publi-rédactionnel"...). Je ne serais pas étonné qu'il y ait une offre commerciale clés-en-main correspondant pile-poil à cette discussion ;-)
(
Permalink)