Biométrie : les contraintes du tout sécuritaire

Le CDSE (Club des Directeurs de Sécurité des Entreprises ) vient de réaliser une enquête portant sur l’utilisation de systèmes de contrôle d’accès biométrique auprès de 50 directeurs sécurité d’entreprise

Selon le CDSE, il y aurait bel et bien une réticence à l’utilisation de ces systèmes. Pour les analystes, la réalité du marché biométrique serait très éloignée de l’image que l’on pourrait s’en faire et des fantasmes véhiculés par ce que certains auteurs appellent la « frénésie sécuritaire » (allusion à un ouvrage de Laurent Mucchielli, “La frénésie sécuritaire : retour à l’ordre et nouveau contrôle social”, Editions La Découverte, Paris 2008).

Pour rappel, derrière le vocable « biométrie » se cache une variété de techniques permettant à la fois l’identification et l’authentification des individus. D’une façon générale, un système de contrôle biométrique est un système automatique de mesure basé sur la reconnaissance de caractéristiques propres à l’individu. La biométrie permet l’identification d’une personne sur les bases de données reconnaissables et vérifiables. On distingue trois catégories de technologie biométrique. Il y a l’analyse biologique (odeur, sang, ADN…), l’analyse comportementale (dynamique d’une signature, la voix, la démarche…) et l’analyse morphologique (empreintes digitales, traits du visage, dessin du réseau veineux de l’œil …).

D’après l’étude, les techniques de sécurisation utilisant la biométrie sont encore loin de devenir l’élément clef des systèmes d’identification et de surveillance. En plus de constater que peu d’entreprises interrogées ont recours à ces systèmes (35% des entreprises interrogées utilisent un système biométrique à grande ou petite échelle), peu d’entre elles ont instauré ces techniques à l’ensemble de leurs infrastructures : 44% des entreprises ayant recours à la biométrie ont un système généralisé (soit moins de 15 % d’entre-elles). Pour l’instant les 66% d’entreprises qui utilisent la biométrie comme technique de sécurisation ne l’utilisent que dans des cas très spécifiques comme la protection d’infrastructures sensibles à forte valeur patrimoniale. Parmi les entreprises n’ayant pas recours à la biométrie, une grande majorité (59% des 50 sociétés) n’a même pas envisagé le recours à ces techniques et 24% l’ont un temps envisagé avant de décider de ne pas y avoir recours.

Des résultats qui peuvent étonner à une époque où les entreprises sont confrontées à toutes sortes de menaces (piratages, fraudes diverses, espionnage industriel…). Rien de surprenant toutefois que les entreprises basées dans l’Hexagone demeurent rétives à l’intrusion de ces moyens de contrôle des personnels si l’on en juge par les raisons invoquées par les entreprises pour justifier de la non utilisation de systèmes biométriques. Essentiellement des problèmes d’éthique et d’acceptation par le personnel (en France particulièrement) et surtout par la CNIL (commission nationale informatique et libertés) qui veille au grain; et hormis le coût, les contraintes liées à la mise en place “complexe et d’une efficacité pas toujours pertinente” précisent les analystes qui pointent aussi la rapide obsolescence de certains systèmes

Claude A.Frison

(source enquête CDSE 2008, illustrations Biometric Group, Cité des Sciences)

Les contraintes juridiques

La législation française soumet l’utilisation des systèmes biométriques à la loi n°78-17 du 6 janvier 1978 relative aux fichiers et aux libertés, et à la loi informatique et liberté de 2004. Ces techniques permettent un traitement de données à caractère personnel. Leurs mises en œuvre sont soumises à l’autorisation préalable de la commission nationale de l’informatique et des libertés (CNIL) afin de garantir au public qu’il n’y a pas d’atteinte à la vie privée et aux libertés individuelles ou publiques. Important de préciser qu’il n’existe aucun « label CNIL » ou d’agrément pour quelques dispositifs que ce soient comme ont pu l’affirmer certains prestataires de sécurité3. D’une manière générale, la Commission considère que le recours à un dispositif reposant sur la reconnaissance des empreintes digitales, dès lors que ces dernières sont enregistrées dans une base de données centralisée ou située sur le terminal de lecture comparaison, ne saurait être justifié qu’en présence d’un fort impératif de sécurité. En revanche, elle favorise l’utilisation de techniques biométriques « sans trace », telles que la reconnaissance tridimensionnelle du contour de la main ou la reconnaissance du réseau veineux du doigt. De même, la CNIL a pu autoriser la mise en œuvre de dispositifs de contrôle d’accès qui n’étaient pas justifiés par un fort impératif de sécurité, dès lors qu’ils reposaient sur l’enregistrement du gabarit de l’empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, tel qu’une carte à puce. Plus sur www.cnil.fr

Clusif : enquête sécurité 2008

Le Clusif vient de publier son enquête 2008 sur les pratiques de sécurité informatique en France

Avec cette enquête réalisée intégralement par Internet auprès de 1139 personnes issues de 354 entreprises de plus de 200 salariés, le Clusif (Club de la Sécurité de l’Information Français) a souhaité caractériser la population des internautes français, connaître les usages d’Internet par cette population et surtout évaluer leur perception de la menace informatique, des risques, et l’interroger sur ses pratiques en matière de sécurité.

Selon cette enquête, un tiers des internautes utilisent l’ordinateur familial aussi à des fins professionnelles (ce qui pose quelques questions sur la protection des données de l’entreprise comme nous l’avons déjà souligné dans plusieurs articles de presshightech, voir “PC vs libertés individuelles“). Les internautes se révèlent globalement prudents dès qu’il s’agit d’achat sur Internet, et semblent conscients de l’utilité des outils de protection (antivirus, pare feu personnels, etc.), et ne se sentent que pour une minorité d’entre eux véritablement en « insécurité » sur Internet.

Côté entreprise, quand des tableaux de bord de la sécurité existent, ils sont à destination majoritairement des DSI (58% des cas), de la direction générale (52%), du RSSI (37%), des directions métiers (18%), de la direction des risques (15%) ou du juridique (10%). Cette édition 2008 de l’enquête du Clusif fait ressortir un inquiétant sentiment de stagnation. Entre 2004 et 2006 des progrès notables avaient été fait, en particulier dans le domaine de la formalisation des politiques et des chartes de sécurité. Mais depuis, il semble bien que la mise en application concrète de ces politiques soit restée un voeu pieux. Selon l’enquête, 40 % des entreprises ne disposent toujours pas de plan de continuité d’activité pour traiter les crises majeures, contre 42 % en 2006. Et 30 % d’entre-elles disent ne pas être en conformité avec la Loi Informatique et Liberté (CNIL).

Dans les collectivités locales, les chartes de sécurité seraient davantage édictées pour se conformer à des usages réglementaires que pour devenir un élément important de la politique de sécurité de l’information (même si la proportion de chartes en cours d’élaboration est très significative : 18 % des collectivités). Pour ce qui concerne la sensibilisation des utilisateurs, des progrès majeurs resteraient à faire : seules 23 % des collectivités auraient lancé des actions dans ce domaine et 10 % s’y prépareraient. Comme conséquence de ces mauvais chiffres, les spécialistes du Clusif estiment “qu’il ne faut pas s’étonner du manque d’implication du personnel dans le suivi de la politique de sécurité” et que les RSSI (responsables des services de sécurité informatique) ressentent la réticence des utilisateurs et des services comme frein majeur dans la conduite de leurs missions.

Claude A.Frison (source enquête Clusif 2008)

Charte « confiance en ligne »

Face aux multiples dérives sur la Toile, le gouvernement tente d’imposer aux opérateurs de télécom et aux prestataires internet (fournisseurs d’accès et éditeurs de contenus), la signature, d’ici le 10 juin 2008, d’une charte dite sur la « confiance en ligne »…

Le document publié en exclusivité par le site PCInpact émane du ministère de l’Intérieur. A la lecture, il s’avère de fait lourd de conséquences pratiques pour les fournisseurs d’accès à l’Internet. Il s’inscrit dans le cheminement de la charte sur les “contenus odieux” de 2004 et les travaux du Forum des Droits de l’Internet afin de construire un internet “civilisé et sécurisé”. C’est Nicolas Sarkozy alors ministre d’État, ministre de l’Intérieur et Philippe Bas, ministre délégué à la Famille, qui avaient décidé de confier à une commission collégiale la gestion d’un label « confiance en ligne ». Cette charte a été présentée par Franck Louvrier (photo Le Figaro), l’omniprésent conseiller pour la communication et la presse à la Présidence de la République. Pour ses lecteurs au fait des derniers développements relatifs à l’évolution des pratiques sur le Net, Presshightech reproduit ici le texte de cette charte dans son intégralité.

La charte Confiance en ligne traduit la volonté du gouvernement de faire de l’internet un environnement le plus sûr possible pour tous les citoyens. Elle s’appuie sur une démarche volontaire des prestataires à prendre part au projet de construire la “civilité et la sécurité de l’Internet”. Dans le prolongement de la charte contre les produits odieux signée le 14 juin 2004, et les travaux au sein du Forum des droits sur internet, les signataires (fournisseurs d’accès, et opérateurs mobiles, fournisseurs de services en ligne et éditeurs) se conforment aux présents engagements sans que ceux-ci n’influent sur le statut juridique de chacun des acteurs de l’lnternet, au regard, notamment, de la loi pour la confiance dans l’économie numérique. Ces engagements s’inscrivent dans un cadre législatif et réglementaire existant en définissant les conditions de bonne application de ces textes par les acteurs de l’internet et les autorités publiques, en tenant compte des évolutions technologiques récentes. Les engagements présentés se conforment également aux récentes recommandations du Conseil de l’Europe adoptées lors de la conférence annuelle OCTOPUS 2008 en avril 2008.

Améliorer la sécurité de l’utilisateur

Mise en avant par les signataires sur leurs produits, home page et via des liens, d’informations et de contenus portant sur : les risques existants en matière de sécurité des données et des équipements (Virus, spywares, logiciels de connexion vers des numéros surtaxés, piratage de connexion, sécurisation Wifi…) ; les moyens techniques à la disposition des internautes pour s’en prémunir et la nécessité de les mettre à jour ; les conseils et bonnes pratiques existants afin d’éviter et de lutter contre le spam (ex. lien vers Signal Spam) ; une information sur les escroqueries et les risques émergents en modéré de délinquance économique sur internet (spam, phishing, captation du numéro de carte bancaire) ainsi que sur les outils permettant de lutter contre ces pratiques et les précautions à prendre en cas de saisie des informations bancaires.

Veiller à la sécurisation de l’équipement

Procéder à une démarche de veille active, sur les risques techniques émergents pour l’utilisateur ; mettre en place une démarche proactive de sécurisation des équipements par des mesures adaptées (ex : information, suspension, résiliation, blocage de certains ports…) auprès des clients mettant en jeu la sécurité du réseau. Préconfigurer les équipements fournis aux utilisateurs afin qu’ils atteignent un niveau de sécurité par défaut optimal selon l’état de l’art. Lutter contre le spam à travers une politique adaptée (filtrage, lien de signalement, application de quotas d’envoi…), en créant une adresse de type « abuse@ » et en participant activement au programme Signal Spam.

Apporter une information générale

Avec la mise en avant par les signataires sur leurs produits, home page et via des liens, de contenus portant sur : les risques d’exposition à des contenus préjudiciables et la procédure de signalement en mettant à dispositiorn les liens d’accès à l’ensemble des plates-formes de signalement existantes ; les enjeux liés à la sauvegarde des données personnelles ; les moyens techniques à la disposition des internautes pour s’en prémunir ; un descriptif des logiciels de contrôle parental et de leurs évaluations (logiciels FAI et en vente dans le commerce) ainsi qu’une aide à leur installation et configuration ; des conseils de vigilance (ex : guide).

Encadrer l’usage des services à travers une charte de l’utilisateur

Avec l’élaboration et la mise en avant par le signataire d’une charte de l’utilisateur reprenant : les règles de droit que tout auteur de contenu doit respecter ; les comportements et contenus autorisés ou interdits sur le service et rappelant les responsabilités en jeu, notamment pour les mineurs ; une sensibilisation et un encouragement à modérer les contenus pour les internautes créateurs de forums, blogs… ainsi qu’une information sur les moyens techniques adéquats. Avec obligation pour les internautes producteurs de contenus d’empêcher les mineurs d’accéder a tout contenu entrant dans le cadre de l’article 227-24 du Code pénal. La possibilité de prévoir contractuellement une modalité de suspension de la possibilité de publier, par des personnes autres que le créateur de l’espace, en l’absence de toute mise à jour, modification, intervention ou modération d’un contenu depuis trois mois; ainsi que l’existence de mesures de suspension ou de suppression de l’espace.

Engagements du signataire sur sa politique éditoriale…

Les espaces interactifs destinés aux mineurs sont contrôlés a priori. Les services et contenus manifestement destinés aux mineurs ne contiennent pas de publicités faisant la promotion de biens ou services inappropriés (ex. services de rencontres adultes, tabac, alcool) ou contraires à la recommandation « enfant » du BVP (bureau de vérification de la publicité). La publicité pour les contenus relatifs à l’article 227-24 du Code pénal ne sont diffusés que dans des zones « adultes » où l’accès des mineurs est fortement contrôlé par un dispositif efficace en fonction de
l’état de l’art. Les contenus entrant dans le cadre de l’article 227-24 du Code pénal ainsi que les liens hypertextes pointant vers de tels contenus ne sont diffusés que dans des zones « adultes n où l’accès des mineurs est fortement contrôlé par un dispositif efficace en fonction de l’état de l’art. Les espaces interactifs destinés aux adultes font l’objet d’un contrôle par un dispositif efficace en fonction de l’état de l’art.

Permettre un meilleur signalement de la part des internautes

Avec l’amélioration des procédures de signalement, mettre en avant une procédure de signalement claire, facilement accessible et compréhensible par l’internaute portant sur les contenus produits, diffusés ou hébergés par le signataire. Apporter une réponse rapide aux sollicitations reçues par ce biais et informer l’internaute sur l’existence du point de contact de l’AFA et la plateforme de signalement du Ministère de l’Intérieur. Se doter de procédures internes permettant de réagir correctement et en relation avec les autorités compétentes en cas de signalement de contenus ou de comportements illicites (avec objectif de labélisation…).

Participer à la politique de signalement…

Avec engagements du signataire sur sa politique de signalement : il signale aux autorités les contenus et comportements qui lui ont été notifiés susceptibles de relever des infractions visées aux cinquième et huitième alinéas de l’article 24 de la loi du 29 juillet 1881 sur la liberté de la presse (1) et à l’article 22723 (2) du Code pénal. NDLR : (1) Apologie des crimes visés au premier alinéa, des crimes de guerre, des crimes contre l’humanité ou des crimes et délits de collaboration avec l’ennemi. Provocation à la discrimination, à la haine ou à la violence à l’éqard d’une personne ou d’un groupe de personnes à raison de leur origine ou de leur appartenance ou de leur non-appartenance à une ethnie, une nation, une race ou une religion déterminée. (2) Représentation d’un mineur présentant un caractère pornographique.

Le signataire de la Charte signale également, dans les mêmes conditions, les contenus et comportements faisant apparaître un risque immédiat pour la sécurité des personnes et des biens. Dans ce dernier cas, et lorsqu’il dispose des données pouvant contribuer à l’identification de l’auteur du contenu concerné, le prestataire accompagne le signalement de ces informations afin de pouvoir empêcher l’atteinte à l’intégrité physique de la personne qui lui a été signalée.

Le signataire s’engage à déférer dans les meilleurs délais aux réquisitions judiciaires…

Il s’efforce de permettre l’identification du titulaire d’une adresse de courrier électronique après réception d’une réquisition et de celui d’une adresse IP auprès du fournisseur d’accès à l’internet suivant la réception du document. Il s’efforce, pour les réquisitions et demandes officielles non standard, à apporter une première réponse (accusé de réception, indication du délai estimé de réponse à la demande, etc). Il s’engage à mettre en place un « service d’obligations légales » performant ou, en cas d’impossibilité, à désigner une personne responsable du traitement des réponses aux réquisitions judiciaires et capable, en cas d’urgence, d’initier le traitement de ces réponses. Ces données sont régulièrement mises à jour et communiquées aux “guichets uniques” mis en place par les services de police et de gendarmerie en liaison avec la délégation des interceptions judiciaires. Ces autorités s’engagent à assurer une mise à jour des coordonnées de ces “guichets uniques”.

Mieux participer au travail des autorités publiques en conservant et en transmettant certaines données…

Le signataire met en place, en application des dispositions législatives et réglementaires, une procédure de conservation et de transmission des données : ainsi il conserve toutes les données de connexion lorsque celles-ci sont nécessaires pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales. Il détient et conserve les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont il est prestataire. Ces données sont conservées un an. Dans le cadre de la communication des données de connexion, le prestataire communique tous les éléments d’identification en sa possession, conformément à la loi, permettant aux autorités de déterminer l’identité de l’internaute.

Mettre en place une démarche efficiente de retrait et de suspension ou de blocage de certains contenus…

Le signataire met en place une procédure de retrait et de suspension adéquate : ainsi il s’engage à retirer ou à suspendre promptement les contenus sur réquisition des autorités ou sur demande judiciaire. Lorsqu’il procède au retrait d’un contenu et le signale aux autorités, le signataire procède à la transmission d’une copie intégrale des données retirées et la conserve dans le format d’origine. Le signataire s’engage à restituer ou à rétablir les données dans le format dans lesquelles elles s’affichaient avant retrait ou suspension. Dans le cas des sites à caractères pédopornographiques, qui lui sont signalés par le ministère de l’Intérieur, les FAI s’engagent à bloquer l’accès à ces sites par les moyens techniques qu’ils estiment les plus appropriés.

CNIL : publication du rapport 2007

Le sénateur Alex Türk , président de la CNIL, vient de présenter le rapport 2007 de la Commission Nationale Informatique et Libertés

La progression des recours auprès de la CNIL a connu une hausse exponentielle en 2007. Pour cette seule année, la CNIL a enregistré 4 455 plaintes (+25% par rapport à 2006), effectué 164 contrôles (+21%), adopté 395 délibérations (+32%), adressé 101 mises en demeure, prononcé 5 avertissements et infligé 9 sanctions. Ce qui paraît peu et les sanctions financières encore modestes : de 5000 à 50 000 € pour un total de 175 000 euros… raison invoquée : le manque de moyens; car même avec 2500 correspondants informatique et liberté (CIL) intervenant dans les entreprises et administrations françaises, de fait, la CNIL dispose de seulement 105 agents intégrés (une quinzaine devraient être embauchés avant la fin 2008). A titre de comparaison, l’équivalent britannique dispose de 260 agents, sans omettre que l’augmentation annuelle de ses moyens correspond en gros au budget total de la CNIL. Alex Türk s’est plaint de devoir sans cesse “tendre la sébile” aux pouvoirs publics (ndr: donc dans une situation de dépendance vis à vis d’un de ses principaux objets de contrôle). Rappelons que l’actuel président de la CNIL est un ex-RPR, maintenant sénateur divers droite du département du Nord…

Traçages

D’une part, une menace réelle réside dans la surveillance des individus par des moyens vidéo et de géolocalisation; des outils de captation dans l’espace qui, pour les détracteurs, mettent en danger la liberté d’aller et venir. D’autre part, l’Internet, expression concrète de la globalisation, permet un traçage dans le temps par la conservation et l’archivage des données sur les réseaux sociaux ou dans les moteurs de recherche. Le G29 (groupe des autorités européennes de protection des données), prône dors et déjà une réglementation des moteurs de recherche (google, yahoo…) et de certains réseaux tels que facebook, dailymotion, etc. “A ce jour, seulement 10 à 15% de la population mondiale bénéficie d’un niveau de protection correct de leurs données personnelles, puisqu’il faut exclure autant les Etats-Unis et le Japon que la Chine et l’Inde”, a regretté Alex Türk. Face à la perspective d’un constant traçage des citoyens, le président de la CNIL a indiqué avoir saisi Simone Veil, présidente de la commission en charge de rédiger un nouveau préambule à la Constitution, afin que “le droit au respect des données personnelles devienne une valeur constitutionnelle” a-t’il précisé dans sa déclaration.

Biométrie

Autre objet de critique, la polémique autour du passeport biométrique. “Il s’agit du premier fichier national de la population française fondé sur la biométrie et il pose donc des questions de principes. Ces questions auraient eu intérêt à être traitées par la voie législative au Parlement au lieu d’un simple décret (ndr: paru au JO le 4 mai 2008), d’autant que nous aurions pu ainsi anticiper sur la nécessaire loi concernant la future carte d’identité biométrique qui va nécessiter une loi débattue à l’automne au Parlement”, a précisé Alex Türk. Plusieurs reproches sont émis par la CNIL : choix de huit empreintes digitales au lieu des deux requises au niveau européen, création d’une base centrale des empreintes au lieu de bases régionales. (caf, photo source AFP – Eric Federberg) Télécharger le rapport de la CNIL