Le Gouvernement a fait part de son intention d’organiser un débat parlementaire sans vote à ce sujet. Le CNNum prend acte de cette initiative et considère donc comme utile de la compléter par une concertation ouverte. Le projet mêlant enjeux techniques et juridiques, le débat doit nécessairement porter sur ces deux aspects. C’est le rôle du Conseil d’être le lieu de cet éclairage au travers de ses consultations. C’est ce qu’il a fait en amont de la loi numérique, mais aussi du programme en cours de transformation numérique des universités, par exemple. Voir l'article...

Une partie du document rappelle les recommandations régulièrement formulées concernant la gestion des mots de passe, parmi lesquelles on peut citer :

• avoir des mots de passe uniques par application (Active Directory, messagerie, etc.) et par usage (professionnel, personnel) ;
• imposer une longueur minimale (8 caractères sont recommandés) ;
• éviter l'utilisation de mots de passe prédictibles (mots de passe communs ou par défaut, reprise du nom ou de la date de naissance, etc.) ;
• sécuriser l'environnement (mise à jour des systèmes et des programmes, sensibilisation des utilisateurs au phishing, etc.).

En plus de ces recommandations de base, le document décrit des recommandations plus avancées et plus rarement mises en œuvre :

• mettre en place une authentification multifacteur (appelée également MFA pour multifactor authentication) ;
• mettre en place une surveillance afin d'être en capacité à détecter une utilisation frauduleuse des mots de passe :
  • attaque distante en force brute,
  • changement de l'origine de l'authentification (détection d'authentification depuis un autre système, etc.),
  • horaires suspects (nuit, week-end).

Le document aborde enfin plusieurs erreurs régulièrement commises dans la gestion des mots de passe et couramment reprises dans des PSSI. Ces erreurs prennent la forme de recommandations contraignantes alors qu'elles n'apportent pas de réel gain de sécurité. Ces erreurs sont :

• exiger des mots de passe très longs (plus de 12 caractères) : si une telle mesure est imposée, il est difficile pour un utilisateur de retenir son mot de passe si celui-ci est vraiment aléatoire. Le mot de passe prend alors la forme d'une succession de mots plus ou moins prévisible (t5f75dzp est un meilleur mot de passe que monbeausoleil) ;
• exiger l'utilisation de caractères spéciaux : lorsqu'un utilisateur doit utiliser des caractères spéciaux, il se contente, le plus souvent, de substituer les chiffres et les lettres par des caractères spéciaux avec un procédé plus ou moins prédictible (a remplacé par @, s par $, 1 par !, etc.) ;
  NB : Les esprits plus matheux font d'ailleurs souvent remarquer qu'imposer une classe de caractères obligatoires réduit l'espace possible des mots de passe, ce qui est contre-intuitif.
• imposer un renouvellement trop fréquent des mots de passe (par exemple tous les 2 mois) : le risque, lorsqu'un utilisateur doit renouveler trop souvent son mot de passe, est de voir apparaître un compteur dans le mot de passe. Ainsi, en connaissant les anciens mots de passe, il devient très aisé de deviner celui en cours (exemple : feEgIsR#c1, feEgIsR#c2, feEgIsR#c3, etc.).

On peut également ajouter la mesure consistant à verrouiller automatiquement un compte utilisateur suite à un nombre trop élevé de tentatives d'authentification distante avec un mot de passe erroné. Si cette mesure permet d'éviter les attaques en force brute, elle permet également de réaliser facilement un déni de service. Cette mesure, généralement appliquée dans les annuaires Active Directory, peut être la cause d'un déni de service complet et facilement réalisable par un attaquant. Voir l'article...

The Power of Digital Technologies and Skills
DOI:10.1787/9789264265097-enOECD’s Innovation Strategy calls upon all sectors in the economy and society to innovate in order to foster productivity, growth and well-being. Education systems are critically important for innovation through the development of skills that nurture new ideas and technologies. More...

Une enquête portant sur les « pratiques numériques 2016 » a été menée par Eléas, cabinet conseil en qualité de vie au travail. Un tiers des actifs utilisent les outils numériques presque tous les jours et c’est le cas pour 44% des cadres. Voir l'article...

Le 3 Octobre, AGEFOS PME est devenue membre fondateur du Groupement d’intérêt public (GIP) « La Grande École du Numérique » en signant sa convention constitutive, aux côtés de l’État, des régions, du service public de l’emploi et de grandes entreprises.
La Grande École du Numérique a pour objectif de former 10 000 personnes en 3 ans aux métiers du numérique et de répondre aux besoins croissants en recrutement. Pour y parvenir, elle soutient la création de plus de 200 formations au numérique réparties sur l’ensemble du territoire national et contribue à leur reconnaissance ainsi qu’à leur mise en réseau. Voir l'article...