Charte utilisateur et infrastructure spontanée

En termes de sensibilisation aux cyber risques, nous avons en France la chance d’avoir plusieurs organismes comme l’ANSSI qui diffusent de bonnes pratiques. Au niveau de la mise en œuvre de ces bonnes pratiques, il arrive que ça pèche. Voici le troisième article d’une série illustrant le pire rencontré lors de nos audits cyber.

Cet article illustre le cas d’une infrastructure spontanée sous la forme d’une application online d’échange de fichiers installée par un collaborateur.

Une infrastructure spontanée est un détournement des règles de fonctionnement d’un système d’information par un utilisateur sans que ce dernier informe son référent informatique. Elle prend souvent la forme de l’installation d’un matériel (borne sans fils, …), d’un logiciel (visionneuse vidéo, logiciel pirate, …) ou d’un contournement des règles de sécurité du système d’information (échange de mot de passe, …).

Le dirigeant de la société concernée nous a demandé de réaliser un audit de sécurité. Cette société, spécialisée en mécanique de précision, travaille notamment à l’international et y a même déposé plusieurs brevets. Un des collaborateurs a installé sur son ordinateur portable un service « gratuit » d’échange de fichier en ligne pour ne plus avoir à utiliser le serveur FTP mis en place par le prestataire informatique. Les fichiers copiés sur ce service Cloud décrivaient les processus protégés par des brevets. Une rapide lecture des conditions générales d’utilisation du service a mis en avant un réel flou juridique quant à la propriété intellectuelle « finale » des fichiers.

Le collaborateur n’a pas mis en place cette infrastructure spontanée pour nuire à sa société. Il souhaitait simplement avoir plus de confort et de simplicité pour la gestion de ses fichiers.

Plusieurs non conformités ont été listées dans notre rapport :

• L’absence de charte utilisateur détaillant les règles de fonctionnement du système d’information.
• Le fait que le compte de l’utilisateur soit administrateur de son portable, lui laissant la possibilité d’installer des logiciels non validés par le prestataire informatique et le dirigeant.
• La présence de nombreux logiciels pirates utilisés au quotidien par les utilisateurs.

La suite n’est pas compliquée mais nécessite la mobilisation de toute l’entreprises : mise en place d’une PSSI adaptée et signature de la charte utilisateur par l’ensemble des salariés.

Thierry Veyre, concepteur de Sunbren

Episode 2 : ancien salarié, compte obsolète et risque cyber

Episode 1 : avoir l’idée d’une sauvegarde c’est bien, la faire régulièrement c’est mieux

Articles récents