2021, une année record pour l’action répressive de la CNIL

Lors de la journée de la protection des données, la CNIL a présenté le bilan de son action répressive pour l’année passée. L’occasion de rappeler quels types d’erreurs peuvent faire l’objet de sanctions.

En 2021, le nombre de mesures adoptées (18 sanctions et 135 mises en demeure) et le montant cumulé des amendes (plus de 214 M€) mis en œuvre par la Commission Nationale de l’Informatique et des Libertés (CNIL) a atteint des records. Et pour la première fois de son existence, elle a dû prendre une décision de liquidation d’astreinte (paiement d’une somme pour non-respect d’un ordre donné par la CNIL) envers une société sanctionnée d’une amende de 7 300 € qui a finalement payé 65 000 € supplémentaires, car elle n’avait pas procédé aux modifications demandées dans le traitement de ses données.

Défaut d’information et durée de conservation excessive

Les manquements les plus fréquents restent le défaut d’information des personnes de la collecte de leurs données, et des durées de conservation des données excessives. Sur 18 sanctions, la moitié concerne un manquement en lien avec la sécurité des données personnelles, et 4 visent une mauvaise gestion des cookies et autres traceurs. 135 mises en demeure (obligation de se mettre en conformité dans un délai maximal de 6 mois) ont également été prononcées (49 en 2020), dont la plupart concerne un manquement en lien avec l’utilisation des cookies. En parallèle, la CNIL a clos 123 dossiers à la suite des actions prises par les entreprises pour se mettre en conformité.

Article publié le 15 février 2022 – © Les Echos Publishing 2022

Les NFT revisitent la propriété numérique

De plus en plus utilisés dans le monde de l’art, les NFT permettent de certifier l’authenticité et le caractère unique d’une création numérique.

À en croire un récent sondage de l’Ifop, 75 % des Français n’ont jamais entendu parler des NFT. Une bonne raison de revenir sur cet outil particulier qui est en train de révolutionner le marché de l’art numérique et, plus largement, de préfigurer certains modes d’exercice de la propriété privée dans les futurs métavers.

Qu’appelle-t-on un NFT ?

Les NFT (non-fongible tokens ou jetons non fongibles) sont des certificats qui viennent garantir le caractère authentique et unique d’un fichier numérique. Il peut s’agir d’un fichier sonore ou d’une image fixe ou animée en deux ou trois dimensions (hologramme). Ces jetons, comme les cryptomonnaies, sont inscrits sur un réseau sécurisé (chaine de blocs ou blockchain). Ce réseau décentralisé assure leur immutabilité et leur traçabilité en cas de vente et de revente.

Qui les utilise ?

Pour le moment, c’est surtout le marché de l’art qui s’est emparé des NFT. Les créateurs trouvent dans cet outil la possibilité de donner un caractère unique à une information numérique par essence reproductible à l’infini. Concrètement, le NFT vient authentifier le fichier natif d’une création numérique en étant définitivement rattaché à lui via la blockchain sur laquelle il est inscrit. Le caractère unique que lui confère le NFT fera, si des acheteurs s’y intéressent, augmenter sa valeur même s’il existe des milliers de reproductions totalement identiques. On parle d’art crypto.

Peut-on avoir des exemples ?

En janvier 2022, le footballeur Neymar s’est offert deux NFT de deux dessins de la série des singes blasés (Bored Ape), qui en réunit 10 000. L’un des deux représente un singe portant des lunettes roses, un chapeau de fête conique en carton et soufflant dans une bulle de chewing-gum. Il remplace désormais son portrait sur son compte Twitter. Pour ces deux NFT, l’attaquant du PSG aurait déboursé la modique somme de 1,1 million de dollars. En mars 2021, l’artiste Beeple (alias Mike Winkelmann) a vendu aux enchères chez Christie’s une œuvre numérique baptisée Everyday : The First 5 000 Days. Il s’agit d’un assemblage de 5 062 œuvres numériques créées depuis 2007 par l’artiste (une par jour). Réduites et disposées les unes à côté des autres, elles forment l’œuvre numérique globale. Authentifiée via un NFT, cette dernière a été vendue 69,3 millions de dollars. 6 mois avant cette vente, Mike Winkelmann n’avait jamais vendu d’œuvre.

Et à part le marché de l’art ?

Les NFT peuvent également intéresser les simples collectionneurs. Julian Lennon, le fils du leader des Beatles, a ainsi vendu 22 400 dollars, aux enchères (Julien’s Auctions et YellowHeart,), le 7 février dernier, le NFT associé à la photo qu’il a prise de la guitare que son père lui avait offert. Lors de cette même vente, il a cédé une photo (certifiée via un autre NFT) du célèbre manteau afghan qu’avait porté John Lennon sur le tournage de « Magical Mystery Tour » (adjugé également 22 400 $). Enfin, Julian Lennon a vendu 76 800 $ la version NFT du manuscrit de la chanson « Hey Jude » écrite par Paul McCartney en 1968. Mais attention, il reste propriétaire des objets (manuscrit, guitare et manteau). Les acheteurs ne sont propriétaires que du NFT et du fichier numérique auquel il est associé. Le monde des jeux est également associé au NFT. Dans ces mondes virtuels, ils seront utilisés pour authentifier des personnages uniques (combattant, joueurs de foot…) ou certaines de leurs options (habits, pouvoirs…). Certains personnages en 3D, destinés à jouer le rôle d’avatar dans les métavers, notamment celui que nous promet Meta (anciennement Facebook), sont déjà proposés à la vente sur des plateformes abritant des NFT.

Comment créer un NFT ?

Pour créer un NFT, il faut se connecter sur une plateforme numérique spécialisée (OpenSea, Rarible, Mintable…) et y inscrire son fichier numérique (en y associant, notamment, son nom et son prix). Il faut également rédiger les clauses de cession (smart contract) qui prévoient les droits que l’acheteur détiendra sur l’œuvre. Ces clauses peuvent, par exemple, prévoir, s’il s’agit d’une ouvre artistique, que les droits d’auteur (droits de reproduction et de représentation) seront cédés à l’acheteur du NFT ou encore établir une règle suivant laquelle l’auteur du fichier touchera un pourcentage sur toutes les opérations de revente (droit de suite). Enfin, le créateur du NFT doit disposer d’un compte sur la blockchain de cryptomonnaie associée à la plateforme (l’Ethereum pour OpenSea, par exemple). Un fois créé, le NFT sera vendu aux enchères en ligne. Quant à la plateforme qui abrite le NFT, elle perçoit un pourcentage sur la vente du certificat et peut également prélever des frais lors de l’inscription.

Comment les Français appréhendent les NFT ?

22 millions d’individus, dont plus de la moitié étaient âgés de moins de 40 ans, se sont connectés à la vente de The First 5 000 Days de Beeple, selon Christie’s. Les jeunes, plus au fait du fonctionnement des nouveaux médias, semblent donc plus intéressés par les NFT que leurs ainés. Une récente enquête réalisée par l’Ifop pour Cointribune.com (janvier 2022) ne dit d’ailleurs pas autre chose. Selon elle, si seuls 20 % des plus de 35 ans ont déjà entendu parler des NFT, 51 % des 18-24 ans affirment connaître ces outils. 44 % des Français appartenant à cette tranche d’âge (et 47 % des 25-34 ans) disent, par ailleurs, avoir déjà investi dans les NFT ou souhaitent le faire, contre seulement 23 % des plus de 35 ans.

Article publié le 11 février 2022 – © Les Echos Publishing 2022

Intelligence artificielle : quelles sont les tendances en 2022 ?

Le secteur de l’intelligence artificielle continue sa progression. Une étude réalisée par Gartner prévoit ainsi une hausse de 21,3 % du marché mondial 2022 des logiciels en intelligence artificielle, et livre le top 5 des cas d’utilisation les plus porteurs.

Alors que le gouvernement a récemment lancé la 2e phase de la stratégie nationale de l’intelligence artificielle (IA) pour faire de la France un leader mondial du secteur avec une enveloppe de 2 Md€, et qu’un projet de régulation pour une IA responsable est en train de voir le jour au niveau européen, 2022 semble être bien partie pour être l’année de l’IA. Une étude de Gartner, une entreprise de conseil et de recherche dans le domaine des techniques avancées, prévoit ainsi que le marché mondial des logiciels d’intelligence artificielle devait augmenter de 21,3 % en 2022 (par rapport à 2021) et ainsi atteindre 62,5 Md$. Cependant, de nombreuses entreprises n’ont pas encore intégré de solution d’IA dans leur système informatique. Le marché ne devrait donc être mature qu’à partir de 2025, estiment les analystes.

Forte progression du knowledge Management

L’étude revient également sur les solutions intégrant une IA et sur leur développement. Il apparaît ainsi, qu’en 2021, la gestion des connaissances (ou knowledge Management) qui consiste en l’utilisation d’outils, de méthodes et de modes d’organisation pour faciliter la conservation et le partage des connaissances dans l’entreprise, devrait connaître la plus forte croissance (avec +31,5 % attendu en 2022). Elle est suivie par les logiciels intégrés dans les véhicules autonomes (+20,1 %), l’espace de travail numérique (+20 %), le big data (+19,8 %) et les assistants virtuels (+14,7 %).

Article publié le 08 février 2022 – © Les Echos Publishing 2022

Comment sécuriser ses données professionnelles

Parce que les pirates utilisent des moyens divers et variés pour s’attaquer aux données professionnelles, Bercy propose une fiche permettant de faire le point sur les différentes méthodes de piratage et les moyens de s’en protéger.

Avec le mouvement du « tout numérique » dans les entreprises, les cyberattaques prospèrent et les données professionnelles deviennent de plus en plus la cible des hackers. Pourtant, il suffit parfois d’adopter des gestes simples pour se prémunir des vols de données et sécuriser ses documents, afin de protéger au mieux ses informations. Pour aider les entreprises à améliorer la sécurité de leurs données, le ministère de l’Économie a publié une fiche de conseils pratiques.

6 méthodes de piratage les plus courantes

Cette fiche retrace les 6 méthodes de piratage les plus courantes en entreprise : le phishing, le rançongiciel, le vol de mot de passe, les logiciels malveillants, le faux réseau wifi ou encore la clé USB piégée. Pour chaque méthode, elle détaille en quoi consiste le mode opératoire des cyberattaquants, puis livre des conseils de prévention, les bonnes pratiques et les réflexes à adopter pour éviter de subir une offensive sur ses données.

Pour consulter la fiche : https://www.economie.gouv.fr/entreprises/methodes-piratage#wifi

Article publié le 01 février 2022 – © Les Echos Publishing 2022

Baromètre du CESIN sur la cybersécurité des entreprises françaises

Pour mieux cerner l’état de la perception de la cybersécurité et de ses enjeux au sein des entreprises françaises, le Club des Experts de la Sécurité de l’Information et du Numérique (CESIN) vient de dévoiler les résultats de la 7 édition de son baromètre.

L’enquête menée auprès des membres du CESIN, directeurs cybersécurité ou responsables sécurité des systèmes d’information (RSSI) d’entreprises françaises, révèle qu’en 2021 plus d’une entreprise sur deux a subi une à trois attaques cyber réussies avec des répercussions flagrantes. Ces dernières notent notamment une perturbation de la production (21 %) et/ou une compromission d’informations (14 %) voire une indisponibilité du site web pendant une période significative.

Hausse des budgets alloués à la cybersécurité

Pour 73 % des entreprises, c’est le système du phishing qui est utilisé pour attaquer, suivi de l’exploitation des failles (53 %) et de l’attaque par rebond via un prestataire (21 %). Les ransomwares concernent 1 entreprise sur 5. Pourtant, 4 entreprises sur 10 ont recours à des programmes d’entraînement à la crise cyber, 63 % d’entre elles ont généralisé le recours à l’authentification multi-facteurs (MFA) et 70 % ont mené des campagnes de sensibilisation auprès de leurs salariés notamment en télétravail. Sans compter que les budgets alloués à la cybersécurité sont encore en hausse cette année, pour 70 % des entreprises sondées.Pour consulter l’étude, cliquez ici.

Article publié le 25 janvier 2022 – © Les Echos Publishing 2021

Des centres régionaux de réponse aux incidents de cybersécurité

7 régions ont été choisies pour accueillir les premiers centres régionaux de réponse aux incidents cyber (CSIRT). Incubés par l’ANSSI, ils fourniront aux entreprises une assistance et des conseils en cas de cyberattaques.

Dès février 2022, la Bourgogne Franche-Comté, le Centre-Val de Loire, la Corse, le Grand Est, la Normandie, la Nouvelle-Aquitaine et la Provence-Alpes-Côte d’Azur intégreront le programme d’incubation de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour développer leur centre de réponse aux incidents cyber (CSIRT, pour Computer Security Incident Response Team). Ce programme prévoit pour chacune des régions volontaire une subvention d’un million d’euros et un accompagnement sous forme de formation de quatre mois pour les aider à rendre opérationnel leur centre.

Agir le plus rapidement possible

À terme, ces CSIRT joueront un rôle préventif en sensibilisant les entreprises, les collectivités et les associations locales aux cyber-incidents. Ils auront également pour mission de les former aux bonnes pratiques. En outre, ils seront chargés de relever les signalements d’incidents et de mettre en relation les victimes avec les structures d’accompagnement permettant de résoudre le problème. L’objectif majeur de ces centres étant de limiter les impacts économiques et sociaux des cyberattaques en soutenant les victimes localement et en agissant le plus rapidement possible.

Article publié le 20 janvier 2022 – © Les Echos Publishing 2021

Une plateforme nationale de calcul quantique

Annoncée dans le cadre de la stratégie nationale sur les technologies quantiques lancée par le Président de la République en janvier 2021, une plateforme nationale de calcul quantique va voir le jour.

Le système quantique pourrait effectuer des calculs jusqu’à 1 milliard de fois plus rapides qu’avec une technologie de calcul classique, ce qui permettrait de résoudre des problèmes actuellement non solubles. Pour le Gouvernement, le quantique est un enjeu majeur pour la souveraineté et la supériorité stratégiques de la France. C’est pourquoi il a décidé d’y consacrer une enveloppe de 1,8 milliard d’euros, dont 1 milliard financé par l’État via notamment le Programme d’Investissements d’Avenir (PIA). Objectif : développer les technologies quantiques sur la période 2021-2025 et créer 16 000 emplois dans le secteur d’ici 2030.

Interconnecter systèmes classiques et ordinateurs quantiques

Parmi les projets, il a été retenu de lancer une plateforme nationale de calcul quantique, qui sera dotée d’un premier investissement de 70 M€ pour un objectif total de 170 M€. Cette plateforme de calcul hybride permettra d’interconnecter les systèmes classiques avec les ordinateurs quantiques. Elle sera mise à la disposition d’une communauté internationale regroupant des laboratoires, des startups et des industriels pour qu’elle puisse identifier, développer et tester de nouveaux cas d’usages. La plateforme sera hébergée au Très Grand Centre de Calcul implanté au CEA DAM (Commissariat à l’énergie atomique et aux énergies renouvelables).

Article publié le 13 janvier 2022 – © Les Echos Publishing 2021

Cybersécurité : quelle préparation des TPE-PME françaises face aux risques ?

Une récente étude fait apparaître que malgré l’augmentation des cyberattaques, les dirigeants de PME minimisent encore les risques.

L’enquête, réalisée en fin d’année dernière par l’Ifop pour le compte de Xefi auprès de 400 chefs d’entreprises de 3 à 249 salariés, montre que si la cybersécurité est connue des chefs d’entreprise (95 % des sondés ont l’impression de bien connaître le sujet), ils sont encore nombreux à mal appréhender les risques et à ne pas s’organiser pour y faire face. Dans une entreprise sur 5, personne ne prend en effet en charge ces questions ! Ils ont également tendance à surestimer leur niveau de protection et à minimiser le danger qui pèse sur leur entreprise. Ainsi, 2 % des dirigeants interrogés pensent que le risque que court leur entreprise est « très faible ». Pourtant, rappelle le sondage, en citant une étude de Forrester Consulting, 33 % des attaques informatiques menées ces 12 derniers mois visaient des TPE/PME.

Pas de sauvegarde de données externalisée

Pour 80 % des dirigeants interrogés, leur entreprise est bien protégée contre les cyberattaques, contre 5 % qui ne la considèrent « pas du tout » protégée, parmi lesquels principalement des dirigeants ayant déjà subi une attaque. Côté solutions, 99 % des dirigeants déclarent avoir recours à au moins un outil de protection (antivirus, pare-feu…). En revanche, 40 % n’effectuent pas de sauvegarde de données externalisée auprès d’un prestataire, ce qui garantit pourtant de pouvoir restaurer, dans de bonnes conditions, ses systèmes informatiques et ses données en cas de cyberattaque, notamment par un rançongiciel. Une solution encore peu utilisée par les petites structures qui la jugent trop chère à mettre en place. Bonne nouvelle, toutefois, 74 % des chefs d’entreprise se sentent suffisamment accompagnés sur le sujet de la cybersécurité et 61 % déclarent avoir mis en place un programme de sensibilisation à destination de leurs collaborateurs. Des chefs d’entreprise qui peuvent d’ailleurs, pour mener à bien ces opérations de formation, s’appuyer sur les supports pédagogiques mis en ligne par le site public Cybermalveillance.gouv.fr.

Article publié le 06 janvier 2022 – © Les Echos Publishing 2021

RGPD : Un guide pratique pour désigner son DPO

Obligatoire depuis 2018 dans certaines entreprises, le DPO (Data Protection Officer) joue un rôle central dans la gouvernance des données personnelles. La Cnil publie un guide synthétique pour accompagner sa désignation.

Entré en vigueur il y a trois ans, le Règlement européen sur la protection des données à caractère personnel (RGPD) a obligé les entreprises à adapter leur organisation pour être en conformité avec les nouvelles contraintes de gestion de ce type de données. Dans ce cadre, la désignation d’un délégué à la protection des données est notamment obligatoire dans les entreprises dont le traitement des données personnelles est spécifique soit parce qu’il exige un suivi régulier et systématique à grande échelle des personnes concernées, soit parce qu’il concerne des données dites « sensibles » (données de santé, données biométriques, opinions politiques, convictions religieuses…) ou des données relatives à des condamnations pénales et à des infractions.

Des missions précises

Mais un DPO peut aussi être désigné volontairement dans les entreprises non concernées par l’obligation pour piloter la gestion des données personnelles. Afin d’accompagner les entreprises dans leur démarche en matière de désignation de leur DPO, la Cnil a publié un guide synthétique qui précise son rôle. Illustré par des cas concrets et des outils pratiques (modèles de lettres de mission), il permet de répondre à de nombreuses questions que se posent les entreprises sur le sujet.

Pour consulter le Guide de la Cnil : www.cnil.fr

Article publié le 30 décembre 2021 – © Les Echos Publishing 2021

Simuler des attaques par ransomware pour entraîner ses équipes

Les signalements d’attaques par ransomware se multiplient avec des conséquences souvent dommageables pour l’entreprise. Plusieurs solutions proposent de simuler ces attaques pour repérer les comportements à risque des collaborateurs.

Les ransomwares sont des logiciels d’extorsion qui verrouillent l’ordinateur et demandent une rançon pour pouvoir, de nouveau, accéder aux données. Ils sont le plus souvent envoyés par email, via une pièce jointe vérolée ou un lien malveillant. Leur signalement a augmenté de 255 % entre 2019 et 2020, selon les chiffres de l’ANSSI (Agence nationale de la sécurité des systèmes d’information). C’est même devenu la cyberattaque la plus fréquente avec 60 % des attaques, selon le CERT-Wavestone. Dans 90 % des cas, les données finissent perdues, avec des conséquences irrémédiables pour les entreprises touchées. D’où l’importance de former ses collaborateurs à repérer les messages dangereux pour adopter les bons réflexes.

Des solutions pour se tester

C’est ce que proposent plusieurs suites logiciels à travers des simulations d’attaques qui reprennent les techniques et les sujets habituellement utilisés par les cybercriminels. Elles permettent de tester les réactions des collaborateurs, d’apprendre à réagir et de faire prendre conscience des conséquences potentielles sur l’entreprise. L’ANSSI propose également un guide « Organiser un exercice de gestion de crise cyber ». Ce document, téléchargeable gratuitement, vise à accompagner, pas à pas, les entreprises dans la mise en place d’un exercice de gestion de crise d’origine cyber vraisemblable et formateur. Pour télécharger le guide : https://www.ssi.gouv.fr/guide/organiser-un-exercice-de-gestion-de-crise-cyber/

Article publié le 21 décembre 2021 – © Les Echos Publishing 2021