Quantcast
Channel: Global Security Mag Online
Viewing all 81760 articles
Browse latest View live

Cherry présente la 1ère touche MX lumineuse multicolore RGB

$
0
0

Avec sa nouvelle touche mécanique MX RGB, CHERRY présente une évolution de son modèle légendaire MX. Les touches MX avec contacts à barres d'or croisées ont à ce jour été approuvées par des millions d'utilisateurs pour leur extrême précision, le meilleur confort de frappe qui soit et une durée de vie exceptionnelle. Des fabricants de claviers réputés utilisent la touche CHERRY MX dans leurs claviers mécaniques, notamment dans le domaine du gaming. CHERRY ajoute aujourd'hui à cette touche la technologie RGB. Directement montées sur le circuit intégré, des LEDs SMD (Surface Mount Devices) illuminent les symboles des cabochons spécialement conçus pour les touches MX RGB en utilisant la totalité du spectre de couleur RGB, soit 16,7 millions de couleurs.

Ce tout nouveau modèle de touche mécanique, MX RGB, CHERRY règle plusieurs problèmes, explique Karl-Heinz Müller, Ingénieur Produit CHERRY : “Un éclairage homogène des symboles du clavier est difficile à obtenir. Notre tentative précédente qui intégrait des LEDs 3 mm a donné des résultats peu satisfaisants. Ce nouveau module MX RGB offre non seulement différents niveaux de luminosité, mais aussi une gamme de coloris pouvant aller jusqu'à 16,7 millions de couleurs différentes.

Ce nouveau concept a été mis au point en utilisant de nouveaux matériaux et des solutions techniques en attente de brevets. Ce concept technologique innovant a pu être créé grâce à des procédés de fabrication et des outillages sophistiqués constamment optimisés au fil de nos années d'expérience.

Un éclairage uniforme dans tout le spectre RGB

La nouveau modèle MX est optimisé pour l'utilisation des LEDs SMD. En intégrant cette technologie dans un boîtier transparent, CHERRY a pu réaliser bien plus au niveau de l'éclairage des symboles qu'avec les systèmes utilisés auparavant. Grâce à une conception spécifique, tous les coloris RGB, soit au total 16,7 millions de couleurs peuvent être affichés avec une luminosité maximale. Les LEDs SMD étant montées directement sur le circuit imprimé, la production peut être entièrement automatisée et rentable du point de vue économique.

Précision maximum, en particulier pour les applications Gaming

La touche CHERRY MX RGB garantit bien entendu une haute précision et une rapidité extrême puisqu'elle est conçue à partir de la touche mécanique MX avec contacts à barres d'or croisées, conçue pour satisfaire les plus hautes exigences des utilisateurs professionnels, mais aussi des gamers. Les claviers équipés avec ces touches sont ainsi doté du système N-key rollover, tel le CHERRY MX Board 3.0. Ce système N-key rollover permet d'activer simultanément plusieurs touches sans effet fantôme. Il est indispensable pour les jeux où les commandes sont souvent réalisées par des combinaisons de touches. “la nouvelle touche lumineuse MX RGB ouvre la voie à de nouvelles applications” explique Günter Vogl, Responsable du Développement de Produits CHERRY.

Manfred Schöttner, responsable de la branche Computer Input Device de la marque CHERRY : "Notre touche RGB est la première des évolutions prévues pour la touche MX. Grâce à d'autres innovations, nous allons offrir à nos clients de toutes nouvelles solutions. Afin de continuer à satisfaire les plus hautes exigences, nous continuerons à fabriquer en Allemagne sur nos lignes de productions entièrement automatisées ".

Longue durée de vie

Les contacts spécifiques CHERRY à barres d'or croisées se caractérisent par un temps de rebond faible pour une fréquence de frappe particulièrement élevée. L'utilisation d'or dans les contacts permet d'assurer leur résistance durant toute la durée de vie du clavier. Ces contacts auto-nettoyants sont insensibles à la poussière et à l'encrassement. Ainsi, un clavier doté de la technologie MX est conçu pour résister à 50 millions de frappes par touche.

Différents types d'actionnement

CHERRY propose les nouvelles touches MX RGB dans 4 versions :

module bleu : Point de pression à clic, frappe avec réponse audible et tactile des contacts module marron : Point de pression doux, frappe avec réponse tactile douce des contacts module rouge : Sans point de pression, frappe légère linéaire, commutation avec une force définie d'env. 45 cN sans réponse des contacts module noir : Sans point de pression, actionnement linéaire, commutation avec une force définie d'env. 60 cN sans réponse des contacts

CHERRY et CORSAIR s'associent pour le lancement de la touche CHERRY MX RGB et du clavier !

Réputée pour ses innovations et la qualité de ses périphériques de jeux, la marque CORSAIR va lancer sur le marché en 2014 le 1er clavier au monde avec touches CHERRY MX RGB.


E2open obtient la certification ISO 27001

$
0
0

E2open a obtenu la certification de sécurité ISO / IEC 27001 : 2005 (ISO 27001) de l'Organisation Internationale de Normalisation et de la Commission Electrotechnique Internationale. ISO 27001 est une norme internationalement reconnue, certifiant que les systèmes de gestion de sécurité de l'information d'un fournisseur protègent bien ses informations et celles de ses clients.

La norme ISO 27001 a été publiée pour la première fois en octobre 2005 par l'ISO et la CEI. Cette norme spécifie les meilleures pratiques en matière de gestion de la sécurité ainsi que des contrôles de sécurité complets, d'après le guide des meilleures pratiques de la norme ISO 27002. Seule norme de sécurité reconnue au niveau international, ISO 27001 met en avant et garantit les meilleures pratiques de sécurité et une approche maîtrisée de la protection de l'information - en particulier celle des risques -, de la gouvernance et de la conformité. Les résultats d'E2open ont été certifiés par la « National Quality Assurance » (NQA), organisme accrédité par le Service d'Accréditation du Royaume-Uni (UKAS). En outre, E2open détient depuis sept ans la certification SSAE16 pour les contrôles de processus.

De nombreuses grandes entreprises mondiales telles qu'Amazon, Microsoft et Salesforce.com détiennent la prestigieuse certification ISO 27001. E2open les rejoint, pour profiter des bénéfices suivants :
- Une validation indépendante aux normes les plus exigeantes de la gestion de la sécurité
- Le respect des exigences contractuelles, statutaires et réglementaires
- L'amélioration de la fidélisation de ses clients grâce à un niveau de satisfaction accru

30 janvier 2014 au Musée du Vin - Paris : GS Mag, de la Théorie à la pratique

$
0
0

Tout au long de l'année, des experts sélectionnés par l'équipe rédactionnelle de Global Security Mag vous prodiguent leurs conseils. Notre magazine organise un séminaire gratuit le 30 janvier prochain de 9h00 à 15h00 au Musée du Vin de Paris, afin que nos lecteurs puissent bénéficier d'une approche pragmatique proposée par nos 4 sponsors.

A l'occasion de cet événement, 4 thèmes, traités dans nos colonnes, seront abordés :
- L'e-réputation, l'effacement sécurisé et/ou la récupération de données
- PCA/PRA, gestion de crise
- La cybersécurité avec STERIA en tant que GOLD SPONSOR
- Les nouvelles menaces pour 2014 par

AGENDA

- 9h : Accueil avec petit déjeuner
- 9h30 : Message de bienvenue par Marc Jacob, rédacteur en chef de Global Security Mag
- 9h35 : Début des conférences
- 10h40 - 11h : pause café
- 11h : Reprise des conférences
- 12h - 12h15 : Questions/Réponses
- 12h15 - 14h : Déjeuner
- 14h - 15h : Visite libre du Musée du Vin

UNIQUEMENT 40 RSSI ou DSI sont attendus à cet événement.

Pour réserver votre place* : marc.jacob@globalsecuritymag.com ou Tél. 01 40 92 05 55

* Inscription gratuite mais obligatoire, réservée exclusivement aux RSSI et DSI, sous réserve du nombre de places disponibles.

Pour en savoir plus : http://www.globalsecuritymag.fr/De-...

Lieu : Musée du Vin de Paris
- Rue des Eaux – 5/7 square Charles Dickens
- 75016 Paris
- Métro : Passy

Vigil@nce - WordPress FunCaptcha : Cross Site Scripting

$
0
0

Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut provoquer un Cross Site Scripting de WordPress FunCaptcha, afin d'exécuter du code JavaScript dans le contexte du site web.

- Produits concernés : WordPress Plugins
- Gravité : 2/4
- Date création : 26/11/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le plugin WordPress FunCaptcha fournit un CAPTCHA basé sur un jeu.

Cependant, il ne filtre pas les données reçues avant de les insérer dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de WordPress FunCaptcha, afin d'exécuter du code JavaScript dans le contexte du site web.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/W...

Vigil@nce - WordPress Pinboard : exécution de code PHP

$
0
0

Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut uploader un fichier PHP via WordPress Pinboard, afin d'exécuter du code PHP.

- Produits concernés : WordPress Plugins
- Gravité : 2/4
- Date création : 26/11/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le thème Pinboard peut être installé sur WordPress.

Il permet d'uploader un fichier. Cependant, un fichier PHP peut être uploadé sur le serveur, puis exécuté.

Un attaquant peut donc uploader un fichier PHP via WordPress Pinboard, afin d'exécuter du code PHP.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/W...

Vigil@nce - WordPress Folo : exécution de code PHP

$
0
0

Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut uploader un fichier PHP via WordPress Folo, afin d'exécuter du code PHP.

- Produits concernés : WordPress Plugins
- Gravité : 2/4
- Date création : 26/11/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le thème Folo peut être installé sur WordPress.

Il permet d'uploader un fichier. Cependant, un fichier PHP peut être uploadé sur le serveur, puis exécuté.

Un attaquant peut donc uploader un fichier PHP via WordPress Folo, afin d'exécuter du code PHP.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/W...

Dell Software dévoile ses dernières innovations pour aider les entreprises à relever les enjeux liés au BYOD, au Big Data et à la sécurité

$
0
0

Dell Software dévoile une série d'innovations afin d'offrir aux entreprises les outils dont elles ont besoin pour améliorer la productivité de leurs collaborateurs tout en gardant le contrôle et en protégeant leurs ressources stratégiques.

· Dell EMM (Enterprise Mobility Management) simplifie l'administration du BYOD et de la sécurité des ressources

· La stratégie de sécurité connectée de Dell se précise

· Les solutions Toad de Business Intelligence et d'analyse révèlent les secrets du Big Data

· De nouvelles solutions de protection des données plus évolutives, performantes et simples d'utilisation viennent étoffer le portefeuille d'offres de stockage de Dell

· La solution de surveillance de la performance des applications Web et mobiles de Dell se décline en SaaS.

Administration de la mobilité

Dell lance une solution unifiée associant les modules Mobile Device Management (MDM) pour l'administration des terminaux mobiles, Mobile Application Management (MAM) pour l'administration des applications mobiles, et Mobile Content Management (MCM) pour l'administration des contenus mobiles, à une passerelle Secure Remote Access (SonicWALL SRA).

Baptisée Dell EMM (Enterprise Mobility Management), cette solution confèrera aux administrateurs IT un kit d'outils complet pour configurer et définir des règles de sécurité et de conformité pour les smartphones sous iOS et Android, les tablettes sous Windows, Android et iOS, les ordinateurs portables et fixes sous Linux, Mac et Windows ou encore les clients légers et zéro en Cloud.

· La plupart des entreprises ont recours à différents produits d'administration de la sécurité, des services réseau, des logiciels et des équipements sous leurs multiples plates-formes d'exploitation.

· Avec Dell EMM, elles disposeront d'une solution d'administration de la mobilité intégrée, pour une gestion sécurisée des terminaux et des espaces de travail tout en optimisant l'expérience utilisateur.

o Dell EMM réunit les meilleures technologies d'administration de la sécurité et du chiffrement, des règles, du libre-service utilisateur et de la conformité de Dell SonicWALL, Dell Credant, Dell KACE et Dell Wyse en une solution complète qui renforce la protection des données et la productivité des collaborateurs mobiles.

o La solution tire parti des mécanismes d'accès à distance sécurisé de SonicWALL SRA (Secure Remote Access) et de chiffrement de Dell Data Protection| Encryption pour renforcer la protection des ressources et atténuer les risques.

o Dell EMM inclut également Dell Data Protection I Virtual Edition, une app d'administration virtuelle pour VMware qui permet de déployer et d'administrer de manière simple et rapide des règles de protection des terminaux.

o Les apps d'administration d'espaces de travail en conteneurs de Dell EMM simplifient l'adoption sécurisée et l'administration des pratiques BYOD. Dell™ Mobile Workspace permet aux utilisateurs d'accéder en toute sécurité aux données et outils de leur entreprise, notamment les messageries électroniques, agendas, contacts, navigateurs mobiles et explorateurs de documents, depuis leur propre smartphone ou tablette. Avec Dell™ Desktop Workspace, les employés qui travaillent avec leur propre PC ou Mac disposent d'une image sécurisée de leur système d'exploitation, intégrable en toute transparence aux infrastructures IT en place.

o Dell propose également un environnement sécurisé et géré qui offre aux administrateurs IT une parfaite visibilité sur tous les terminaux appartenant à l'entreprise, pour en simplifier l'administration.

· Dell EMM sera disponible sous abonnement annuel à compter du 1er trimestre 2014 aux Etats-Unis et au Canada.

Sécurité

A l'occasion du Dell World 2013, Dell exposera sa stratégie de sécurité connectée :

o Les solutions de sécurité réseau, de sécurité des accès en situation de mobilité et des email de Dell Sonicwall se combinent pour contribuent à donner d'avantage d'informations à la solution Global Response Intelligent Defense (GRID). Cette solution rassemble les données de milliers de capteurs et permet ainsi d'optimiser les stratégies de défense contre les menaces du Web qui exploitent tous types de vecteurs.

o Intégration de Dell™ Enterprise Single Sign-on à la solution Dell™ Mobile Clinical Computing, pour offrir aux professionnels de santé des fonctionnalités d'identification unique parfaitement alignées sur leurs besoins spécifiques.

o Intégration de Dell™ Defender et de Dell™ SonicWALL Secure Remote Access, afin de simplifier le déploiement d'un système d'authentification bifactorielle grâce au réseau privé virtuel sécurisé par Secure Sockets Layer (VPN SSL).

o Intégration de Defender et de Dell Cloud, pour offrir aux administrateurs des fonctions d'authentification bifactorielle pour instances Cloud de Dell.

o Extension de l'appliance de gestion de systèmes Dell KACE K1000 à la technologie Authentication Services de Dell™ pour rationaliser les opérations en permettant aux utilisateurs et administrateurs de KACE de bénéficier des avantages de l'identification unique d'Active Directory.

o L'intégration de Dell™ InTrust 10.7 à Dell SecureWorks, qui enrichit SIEM de flux de données intelligents qui retiennent les aspects importants de l'activité des utilisateurs sur les systèmes Windows, contribuant à accélérer la détection des menaces internes et à alléger la charge de traitement.

o L'extension de Privileged Password Manager et de Privileged Access Suite for Unix au nouvel outil InTrust, pour permettre aux entreprises de faire le lien entre les activités privilégiées et les activités normales des utilisateurs, afin d'obtenir une parfaite visibilité sur l'utilisation qu'ils font de leurs droits d'accès.

· Toutes ces intégrations/extensions et mises à jour sont d'ores et déjà disponibles

Analyse

Dell™ Toad™ Business Intelligence Suite fait partie du portefeuille Information Management de Dell Software, qui permet aux entreprises de simplifier leurs environnements complexes pour tirer le meilleur parti des données disponibles. Toad Business Intelligence Suite inclut Toad Intelligence Central, qui permet aux utilisateurs de combiner les données de multiples sources, référentiels et formats pour générer des vues logiques et collaborer ensuite au moyen de deux outils : Toad™ Data Point, pour les fournisseurs de données analytiques, et Toad™ Decision Point, pour les analystes décisionnels.

· Les données sont la clé de la transformation de nombreux secteurs, comme celui de l'enseignement supérieur, par exemple. Cette suite offre aux établissements d'enseignement tous les outils dont ils ont besoin pour exploiter toutes leurs sources de données disparates et les analyser en toute simplicité, afin d'améliorer leur processus décisionnel.

· Toad Business Intelligence Suite est d'ores et déjà disponible partout dans le monde.

Protection des données

· Toujours en quête de plus de performances, de simplicité d'utilisation et de flexibilité pour ses clients, Dell a mis au point NetVault Backup 10 et un nouveau système de stockage avec déduplication : le Dell DR6000, plus puissant et évolutif encore que ses prédécesseurs.

o NetVault Backup 10 embarque une nouvelle interface graphique Web et garantit une évolutivité optimisée, ainsi qu'une intégration étroite à l'appliance DR6000.

o Le nouveau modèle DR6000 de la gamme d'appliances de déduplication Dell DR sera vendu en parallèle de l'appliance DR4100 existante. Il offre deux fois plus de capacité de stockage de données brutes, un débit et une évolutivité nettement supérieurs et l'administration centralisée de toutes les appliances DR déployées depuis une seule console.

Les systèmes NetVault Backup 10 et DR6000 seront disponibles à l'international à partir de 2 700 USD par téraoctet de données brutes et 58 000 USD pour 9 To de capacité utile, respectivement, à compter du 1er trimestre 2014.

Surveillance de la performance applicative

Dell étend le modèle Software as a Service à la surveillance de la performance applicative avec sa solution APM de nouvelle génération, qui collecte toutes les informations nécessaires pour améliorer la performance des applications Web et mobiles. Première solution APM en libre-service de Dell, elle délivre un aperçu complet des performances des applications Web et mobiles grâce à ses outils intégrés d'analyse et à ses fonctionnalités heuristiques de « machine learning ».

· La solution APM en SaaS de Dell est prête à l'emploi. Elle est opérationnelle en quelques minutes, sans configuration particulière, identifie les problèmes de performance prioritaires selon leur impact potentiel sur les résultats des activités et remonte jusqu'à la source avec une efficacité inégalée.

· Sa méthode d'analyse de données ultra granulaire permet de quantifier avec précision les impacts des problèmes de performance sur les résultats et de guider rapidement les équipes de support jusqu'à la source des problèmes applicatifs. L'offre de Dell traite le Big Data comme un élément de l'équation pour aboutir à des Big Answers, autrement dit des réponses utiles, qui aident à prendre les bonnes décisions pour gagner en compétitivité.

· Dell recherche actuellement des candidats à l'international pour le programme de bêta test de sa solution APM en SaaS

o Le programme bêta débutera en février 2014

Vigil@nce - WordPress Elemin : exécution de code PHP

$
0
0

Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut uploader un fichier PHP via WordPress Elemin, afin d'exécuter du code PHP.

- Produits concernés : WordPress Plugins
- Gravité : 2/4
- Date création : 26/11/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le thème Elemin peut être installé sur WordPress.

Il permet d'uploader un fichier. Cependant, un fichier PHP peut être uploadé sur le serveur, puis exécuté.

Un attaquant peut donc uploader un fichier PHP via WordPress Elemin, afin d'exécuter du code PHP.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/W...


Vigil@nce - WordPress Blogfolio : exécution de code PHP

$
0
0

Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut uploader un fichier PHP via WordPress Blogfolio, afin d'exécuter du code PHP.

- Produits concernés : WordPress Plugins
- Gravité : 2/4
- Date création : 26/11/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le thème Blogfolio peut être installé sur WordPress.

Il permet d'uploader un fichier. Cependant, un fichier PHP peut être uploadé sur le serveur, puis exécuté.

Un attaquant peut donc uploader un fichier PHP via WordPress Blogfolio, afin d'exécuter du code PHP.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/W...

Règle du Jeu : Décryptez notre phrase

$
0
0

Régle du jeu

ARTICLE 1 : SOCIETE ORGANISATRICE ET DUREE

SIM Publicité, SARL au capital de 7.622,45 euros, SIRET 33984964800011, dont le siège social est au 17, rue Marcellin Berthelot, 92320 Chatillon, France, représentée par son gérant, M. Marc Brami, organise un jeu sur le thème du décryptage de données.

ARTICLE 2 : PARTICIPATION

Ce jeu-concours est ouvert à toute personne physique disposant d'un accès à Internet, ayant un mail, et est limitéà une seule participation par foyer (même nom, même adresse électronique et même adresse IP) et pouvant justifier d'une activité professionnelle dans le domaine de la sécurité des systèmes d'information. Un seul gagnant sera désigné et remportera tous les lots durant la durée du jeu-concours. Il devra avoir rempli le formulaire présent sur le site web de Global Security Mag à l'adresse suivant : http://www.globalsecuritymag.fr/ecrire/?exec=articles&id_article=46

Sont exclues le personnel de SIM Publicité et des partenaires du jeu-concours. Cette exclusion s'étend également aux familles des membres du personnel des sociétés susvisées. La participation au jeu-concours implique l'acceptation complète du présent Règlement. Il ne sera répondu à aucune demande orale, écrite ou téléphonique concernant le jeu-concours et l'interprétation ou l'application du Règlement. Toute interprétation litigieuse du présent règlement ainsi que tous les cas non prévus seront tranchés par la société organisatrice.

ARTICLE 3 : ACCES

Le présent jeu-concours est gratuit et sans obligation d'achat. Il est accessible par le réseau Internet, à l'adresse http://www.globalsecuritymag.fr ou http://www.globalsecuritymag.com. Les organisateurs se réservent le droit de reporter, de modifier, d'annuler, d'écourter, de prolonger ou de renouveler le jeu-concours en cas de force majeure. En tout état de cause, leur responsabilité ne saurait être engagée à ce titre.

ARTICLE 4 : MODALITES D'INSCRIPTION

Chaque participant s'enregistre en remplissant la " page formulaire " sur le site du jeu-concours. Il est rappelé que le participant doit obligatoirement saisir tous les champs du formulaire d'inscription signalés par un astérisque (" * "). Toute inscription incomplète ou inexacte, notamment l'adresse mail, entraînera la nullité de la participation.

ARTICLE 5 : PRINCIPES DU CONCOURS

Le participant renseigne un formulaire de coordonnées personnelles. La participation est prise en compte lorsque le participant clique sur le bouton de validation. Peuvent gagner les participants ayant dûment complété leur formulaire d'inscription. Le gagnant sera celui qui aura décodé la phrase codé contenu dans le calendrier et qui aura pu expliquer la logique du dit code. Le nom du gagnant du jeu-concours sera communiqué sur le site http://www.globalsecuritymag.fr ou http://www.globalsecuritymag.com, au plus tard 30 jours après la réception de la bonne réponse sur le formulaire présent à l'adresse url suivante (http://www.globalsecuritymag.fr/ecrire/?exec=articles&id_article=46) et ce pendant sept jours calendaires au moins. Le gagnant recevra aussi un message des gestionnaires du site http://www.globalsecuritymag.fr ou http://www.globalsecuritymag.com l'informant du fait qu'il a gagné le concours. Le jeu s'arrêtera automatiquement lorsque la phrase sera découverte par le gagnant.

ARTICLE 6 : DOTATIONS

Le gagnant sera informé par courrier électronique de son gain et des modalités de mise à disposition des lots 30 jours maximum après la date de désignation du gagnant. Si le gagnant ne peut être informé ou si le lot n'est pas réclamé par ledit gagnant dans un délai de 60 jours, ce lot demeurera la propriété de la société organisatrice.

ARTICLE 7 : MODALITES DE MISE EN POSSESSION DES LOTS

Un seul gagnant ainsi que la nature des lots étant variable, un avenant sera édité chaque mois.

ARTICLE 8 : RESPONSABILITE

La responsabilité de la société organisatrice ne saurait être encourue :
- si un participant était déconnecté accidentellement par l'opérateur téléphonique ou son fournisseur d'accès internet
- si un participant oubliait de saisir ses coordonnées ;
- si un participant subissait une panne technique quelconque (mauvais état de la ligne, du combiné).
- si une défaillance technique du serveur télématique ou du poste téléphonique du standard jeu-concours empêchait un participant d'accéder au jeu-concours,
- en cas de panne EDF ou d'incident du serveur. La participation au jeu-Concours par internet implique la connaissance et l'acceptation des caractéristiques et des limites des technologies utilisées par l'Internet et les technologies qui y sont liées, notamment en ce qui concerne les performances techniques, les temps de réponse pour consulter, interroger ou transférer des informations, les risques d'interruption, et plus généralement, les risques inhérents à toute connexion et transmission, l'absence de protection de certaines données contre des détournements éventuels et les risques de contamination par des éventuels virus circulant sur le réseau. En conséquence, l'organisateur ne saurait en aucune circonstance être tenu responsable, sans que cette liste soit limitative :
- du contenu des services consultés sur le site et, de manière générale, de toutes informations et/ou données diffusées sur les services consultés sur le site ;
- de la transmission et/ou de la réception de toute donnée et/ou information sur Internet ;
- de tout dysfonctionnement du réseau Internet empêchant le bon déroulement/fonctionnement du jeu-Concours ;
- de défaillance de tout matériel de réception ou des lignes de communication ;
- de perte de tout courrier papier ou électronique et, plus généralement, de perte de toute donnée ;
- des problèmes d'acheminement ;
- du fonctionnement de tout logiciel ;
- des conséquences de tout virus, bogue informatique, anomalie, défaillance technique ;
- de tout dommage causéà l'ordinateur d'un Joueur ;
- de toute défaillance technique, matérielle et logicielle de quelque nature, ayant empêché ou limité la possibilité de participer au jeu-Concours ou ayant endommagé le système d'un Joueur. Il est précisé que l'organisateur ne peut être tenu responsable de tout dommage direct ou indirect issu d'une interruption, d'un dysfonctionnement quel qu'il soit, d'une suspension ou de la fin du jeu-concours, et ce pour quelque raison que ce soit, ou encore de tout dommage direct ou indirect qui résulterait, d'une façon quelconque, d'une connexion au site internet. Il appartient à tout joueur de prendre toutes les mesures appropriées de façon à protéger ses propres données et/ou logiciels stockés sur son équipement informatique contre toute atteinte. La connexion de toute personne au site et la participation des joueurs au jeu-concours se fait sous leur entière responsabilité. La responsabilité de la société organisatrice ne saurait être encourue si, pour un cas de force majeure, le présent jeu-concours devait être modifié, écourté ou annulé. Elle se réserve dans tous les cas la possibilité de prolonger la période de participation. Des additifs, ou en cas de force majeure des modifications à ce règlement peuvent éventuellement intervenir pendant le jeu-concours. Ils seront considérés comme des annexes au présent règlement et déposés à l'Etude dépositaire de ce règlement. Il est convenu que l'organisateur pourra se prévaloir, notamment aux fins de preuve de tout acte, fait ou omission, des programmes, données, fichiers, enregistrements, opérations et autres éléments (tel que des rapports de suivi ou autres états) de nature ou sous format ou support informatiques ou électroniques, établis, reçus ou conservés directement ou indirectement par l'organisateur, notamment dans ses systèmes d'information, en rapport avec l'utilisation de son site internet . Les Joueurs s'engagent à ne pas contester la recevabilité, la validité ou la force probante des éléments de nature ou sous format ou support informatiques ou électroniques précités, sur le fondement de quelque disposition légale que ce soit et qui spécifierait que certains documents doivent être écrits ou signés par les parties pour constituer une preuve. Ainsi, les éléments considérés constituent des preuves et, s'ils sont produits comme moyens de preuve par l'organisateur dans toute procédure contentieuse ou autre, ils seront recevables, valables et opposables entre les parties de la même manière, dans les mêmes conditions et avec la même force probante que tout document qui serait établi, reçu ou conservé par écrit. Enfin, il est expressément convenu que la loi ayant vocation à s'appliquer est la loi française.

ARTICLE 9 : REMBOURSEMENT

Les frais engagés pour la participation au jeu-concours, sur la base d'un temps de connexion moyen de 7 minutes comprenant le temps nécessaire à la consultation du règlement (0,03 € TTC la minute au tarif local en heures pleines affiché par France Telecom) pour une connexion par l'internet, ne seront pas remboursés.

ARTICLE 10 : DROIT AU NOM

Du seul fait de leur participation au jeu-concours, le gagnant autorise les organisateurs à reproduire et utiliser son nom, prénom et adresse dans toute opération promotionnelle et manifestation publi-promotionnelle liée au présent jeu-concours, sans que cette utilisation puisse conférer aux gagnants un droit à rémunération ou un avantage quelconque autre que la remise du lot gagné.

ARTICLE 11 : INFORMATIQUE ET LIBERTES

Les informations nominatives recueillies dans le cadre du présent jeu-concours sont traitées conformément à la loi du 6 janvier 1978, dite "Informatique et Liberté". Les participants sont informés que les données nominatives les concernant, enregistrées dans le cadre de ce jeu-concours, sont nécessaires à la prise en compte de leur participation. Tous les participants au jeu-concours, ainsi que leurs parents ou tuteur légal s'ils sont mineurs, disposent en application de l'article 27 de cette loi d'un droit d'accès et de rectification aux données les concernant. Par les présentes les participants sont informés que les données nominatives les concernant pourront faire l'objet d'une transmission éventuelle aux partenaires commerciaux de SIM Publicité et qu'ils peuvent s'opposer à cette transmission. Toute demande d'accès, de rectification ou d'opposition doit être adressée à SIM Publicité 17, rue Marcellin Berthelot, 92320 Châtillon, France.

ARTICLE 12 : LITIGES

Le présent Règlement est soumis à la loi française. Toute difficulté d'application ou d'interprétation du présent règlement sera tranchée souverainement par SIM Publicité. Tout litige néà l'occasion du présent jeu-concours sera soumis aux tribunaux compétents.


Pour retourner sur notre jeu :

www.globalsecuritymag.fr/jeu,20081215,6313

Jeu du Calendrier 2014

$
0
0

L'édition 2014 du jeu du Calendrier de Global Security Mag est relancé.

Ce challenge est téléchargeable en version PDF :

PDF - 21.3 ko

Pour vous aider à casser ce petit crypto, et si vraiment nécessaire, des indices complémentaires seront portés sur cette page au fil des semaines.

Le texte a été réalisé en collaboration avec Jean-Marc Laloy, Secrétaire Général de l'ARCSI, que nous tenons à remercier.

Il n'y aura qu'un seul gagnant, celui qui aura trouvé en premier le texte et la logique du code.

Pour participer à notre jeu, vous devez remplir le formulaire que vous obtenez en cliquant ici, afin que nous puissions vous adresser vos prix :


Voici un aperçu des cadeaux dont le gagnant pourra bénéficier :

-Une place en tant qu'invité d'honneur aux GS Days le 18 mars 2014. Le gagnant recevra ses cadeaux à cette occasion durant la conférence d'ouverture






A venir




A venir


A venir


A venir


A venir


Pour télécharger notre calendrier des évènements de sécurité 2014 avec la phrase chiffrée

Janvier à juin 2014

PDF - 1.6 Mo

Juillet à décembre 2014

PDF - 1.6 Mo

Pour participer à notre jeu, veuillez compléter le formulaire ci-dessous. Pour connaître notre règle du jeu, cliquez ici


Trend Micro dévoile ses prédictions en matière de cyber-sécurité pour les années à venir

$
0
0

Trend Micro annonce la publication de son rapport annuel de prévisions de sécurité« Des frontières floues : les prévisions de sécurité de Trend Micro pour 2014 et au-delà». Pour 2014, Trend Micro prévoit notamment au moins un piratage de données de grande envergure par mois, et une accélération des attaques ciblées et des actes malveillants ciblant les services bancaires sur mobile. La société anticipe également des menaces visant les infrastructures critiques, ainsi que l'émergence de nouvelles problématiques de sécurité liées à« l'Internet of Everything » (IoE) et au Deep Web. Les prédictions présentées dans le rapport reflètent les projections sur le long terme révélées par Trend Micro dans sa web-série en neuf épisodes « 2020 : The Series ». Celle-ci dépeint une société dominée par la technologie et les menaces informatiques qui y émergent.

« Nous assistons à une sophistication des menaces, dont la prolifération impacte les particuliers, les entreprises et même les gouvernements », explique Raimund Genes, CTO de Trend Micro. « Les vulnérabilités des services bancaires mobiles, les attaques ciblées, les problématiques de confidentialité et la perspective d'un nouvel acte majeur de piratage chaque mois, laissent penser que 2014 sera une année prolifique pour la cybercriminalité. Nous assisterons également au développement de « l'Internet of Everything », qui n'est que le prélude des innovations technologiques qui se concrétiseront d'ici la fin de la décennie. »

Parmi les principales prévisions pour 2014 :

§ Les applications malveillantes et à risque pour Android franchiront le cap des 3 millions

§ Les services bancaires sur mobile seront la cible d'attaques de type Man-in-the-Middle, tandis que les processus d'authentification en deux étapes connaîtront leurs limites

§ Les cybercriminels opteront de plus en plus pour des attaques ciblées visant les applications open-source et s'orienteront davantage vers un phishing hautement personnalisé

§ Les équipements mobiles seront de plus en plus ciblés par des menaces évoluées telles que le détournement de clics (clickjacking) et les attaques de type « watering hole »

§ L'arrêt du support de logiciels répandus tels que Java 6 et Windows XP rendra des millions de PC vulnérables aux cyber-attaques

§ Les révélations sur les opérations de surveillance commanditées par les gouvernements, qui ont altéré a confiance du grand public, amèneront à multiplier les efforts pour restaurer la confidentialité

§ Le Deep Web continuera de contrarier les efforts déployés par les autorités pour neutraliser les cybercriminels

Le rapport porte également une attention particulière à l'émergence de « l'Internet of Everything » (IoE), attendu comme une véritable révolution dans les technologies grand public. La réalité augmentée est aujourd'hui déjà proposée via des montres ou des lunettes connectées ; or la prolifération des technologies constitue un nouveau terrain de jeu pour les activités criminelles comme le détournement d'identité.

Les différents épisodes de la série Trend Micro « 2020 : The Series » reflètent parfaitement cette réalité. S'appuyant sur le « Projet 2020 » et sur un livre blanc rédigé en collaboration avec l'ICSPA (International Cyber Security Protection Alliance), cette série dévoile un avenir entièrement dominé par les technologies dans le but d'inciter le public à prendre dès aujourd'hui des mesures contre ces vulnérabilités omniprésentes.

Le rapport de sécurité 2014 de Trend Micro, intitulé« Des frontières floues : les prévisions de sécurité de Trend Micro pour 2014 et au-delà», est :

- téléchargeable depuis le site web de Trend Micro

Programme de formations HSC

$
0
0

"Programme de formations HSC (Hervé Schauer Consultants) à partir de Novembre 2010"

Mon activité de consultant en sécurité des systèmes d'information a débuté en 1989 par la création d'une formation "Sécurité UNIX". Depuis HSC lie son activité de conseil et d'expertise au partage des connaissances par son programme de formations.

Vous retrouverez l'expertise technique issue de nos audits et tests d'intrusion dans nos modules dédiés aux problématiques techniques de la SSI. Ce socle historique est complété depuis 2003 par nos formations autour du management de la SSI dont 4 formations certifiantes dans lesquelles je m'implique en tant que formateur. Quelque soit votre métier, votre cursus ou vos projets vous trouverez dans ce catalogue une réponse toujours objective et pragmatique à vos besoins en sécurité des systèmes d'information.

A très bientôt lors de nos formations !

Hervé Schauer

- Pour tout renseignement et inscription, contactez Lynda Benchikh

formations@hsc.fr

Téléphone : +33 141 409 704

Télécopie : +33 141 409 709


Module 1 - Sécurité des Réseaux

Essentiels techniques de la SSI (2 jours)
Maîtriser les concepts techniques de la Sécurité des Systèmes d'Information (SSI) : protocoles, architecture, attaques, fonctionnalités de base, est indispensable pour maintenir un système efficace et un niveau de sécurité répondant à ses besoins en sachant décoder les fonctionnalités affichées par les produits du marché. Ce cours, traitant à la fois de la sécurité périmétrique et applicative, apporte tous les éléments pour choisir les dispositifs de sécurité adaptés à vos objectifs de sécurité et votre environnement.
http://www.hsc-formation.fr/formati...

Fondamentaux et principes de la SSI – SEC 401 / Formation SANS - Certification GIAC (5,5 jours)
Cette formation est la formation de base des formations en sécurité du SANS Institute. Elle donne le vocabulaire et les principes théoriques de la sécurité des systèmes d'information, mais de manière très pratique, donc très concrète, pour des praticiens. C'est cette formation qui en couvrant tous les sujets, donne toutes les bases pour suivre les autres formations SANS. A la fin de la formation les stagiaire connaissent toutes les base de la sécurité opérationnelle, à la fois en sécurité réseau, en sécurité des systèmes Windows et Linux et en sécurité applicative.
http://www.hsc-formation.fr/formati...

Sécurité Wi-Fi (2 jours)
Ce cours aborde la technologie Wi-Fi en détaillant les différents éléments le composant, les différentes solutions de sécurité ainsi que leurs faiblesses et les attaques les ciblant. Il est basé sur un cours magistral ponctué de démonstrations et exercices permettant de mettre en pratique les différents aspects vus en cours, avec, pour terminer, un cas pratique d'installation d'une architecture Wi-Fi sécurisée.
http://www.hsc-formation.fr/formati...

Sécurité de la voix sur IP (1 jour)
Ce cours détaille les points importants à connaître pour gérer la sécurité de la VoIP. Il est illustré par de nombreuses démonstrations et exemples (Alcatel, Asterisk, Avaya, Cisco, etc) et vous permet d'être à même de mener efficacement la sécurisation des architectures de VoIP.
http://www.hsc-formation.fr/formati...

Sécurité SCADA (1 jour)
Les approches habituelles de la SSI ne peuvent s'appliquer telles quelles sur les systèmes SCADA, il faut comprendre le métier et les problématiques, savoir dialoguer avec les automaticiens, et connaître et comprendre les normes propres au monde industriel.
La formation "Sécurité SCADA" d'HSC propose une approche pragmatique, pratique et complète du sujet. Elle vous permettra d'une part d'auditer par vous-mêmes vos systèmes SCADA, et d'autre part de développer une politique de cyber-sécurité SCADA.
http://www.hsc-formation.fr/formati...

DNSSEC en partenariat avec l'AFNIC (2 jours)
A l'issue de ce cours, les participants auront acquis la connaissance technique du protocole DNS et de l'extension DNSSEC ; ils auront configuré en pratique une installation d'un résolveur (Unbound) validant les réponses avec DNSSEC ainsi qu'une infrastructure DNSSEC comprenant OpenDNSSEC pour gérer les clés et BIND pour servir les zones signées. Ils seront en mesure d'éviter les pièges du DNS et de déterminer l'intérêt réel d'un déploiement éventuel de DNSSEC dans leur environnement.
http://www.hsc-formation.fr/formati...

Module 2 - Sécurité des systèmes

Sécuriser Windows - SEC 505 / Formation SANS - Certification GIAC (5 jours)
Basé sur le retour d'expérience de toute une communauté internationale d'experts en sécurité, le cours SANS "Sécuriser Windows" présente, de façon détaillée, les points importants à connaître pour mener à bien la sécurisation d'un environnement Windows.
Le cours SANS "Sécuriser Windows" (SEC505) comprend tous les sujets importants à connaître pour sécuriser les systèmes utilisant Microsoft Windows. Il adresse les problématiques telles que la construction des forêts Active Directory, comment utiliser les politiques de groupe pour sécuriser les postes de travail, déployer une IGC Microsoft avec des cartes à puce, déployer les politiques de pare-feu et IPSec sur tous les ordinateurs du domaine, sécuriser les serveurs web publics IIS, et l'écriture de scripts PowerShell.
Ce cours est à jour vis à vis de Windows 7 et Server 2008 R2, ainsi il inclut les sujets tels que Bitlocker, PowerShell, AppLocker, User Account Control, le Pare-feu Windows avec sécurité avancée et bien plus. Pour migrer de XP vers Windows 7, il est nécessaire de connaître les grandes améliorations de sécurité disponibles pour effectuer une transition efficace opérationnellement et financièrement. Même si le focus de la formation est fait sur 2008/Vista/7, la majorité du contenu s'applique également à Windows Server 2003 et XP. PowerShell est le futur de l'automatisation et de l'écriture de scripts sous Windows. Plus facile à apprendre et plus puissant que VBscript, PowerShell est un outil essentiel pour une gestion automatisée et à grande échelle. Si il n'y avait qu'une compétence vraiment profitable pour la carière d'un expert Windows, cela serait l'aptitude àécrire des scripts. SEC505 prépare également à l'examen pour obtenir la certification GIAC Certified Windows Security Administrator (GCWN) permettant de valider les compétences en sécurité Windows du stagiaire. Toutes les questions de l'examen sont issues des supports de cours de la formation.
C'est une formation pratique et interactive, potentiellement une vraie révélation même pour les administrateurs Windows expérimentés. La formation "Sécuriser Windows" vous montrera que la sécurité Windows ne se limite pas à appliquer des correctifs de sécurité et changer des mots de passe et vous fera découvrir pourquoi un réseau Windows a besoin d'un architecte sécurité.
http://www.hsc-formation.fr/formati...

Sécuriser Unix et Linux - SEC 506 / Formation SANS - Certification GIAC (5 jours)
Apprenez à gérer en profondeur les problèmes de sécurité liés aux Unix et à Linux. Examinez comment réduire ou éliminer les risques sur les systèmes d'exploitation de type Unix, incluant les vulnérabilités dans les systèmes d'authentification par mot de passe, les systèmes de fichiers, la mémoire système et les applications qui tournent couramment sur ces environnements. Cette formation s'articule autour de configurations spécifiques, de cas d'utilisation réels et de trucs et astuces. Tout au long de cette formation vous monterez en compétences sur les outils permettant de répondre aux incidents de sécurité tels que SSH, AIDE, sudo, lsof et bien d'autres. L'approche pratique voulue par SANS avec des travaux pratiques quotidiens se veut proche des environnements de production. Vous pourrez ainsi reproduire les mêmes actions au sein de votre système d'information. Ces outils seront aussi utilisés pour couvrir le cas d'une investigation inforensique simple après compromission d'un système.
http://www.hsc-formation.fr/formati...

Module 3 - Inforensique

Investigations inforensiques Windows – FOR 408 / Formation SANS - Certification GIAC (5 jours)
Basé sur le retour d'expérience de toute une communauté internationale d'experts en inforensique, le cours Investigations inforensique - Windows SANS présente, de façon détaillée, les points importants à connaître pour mener à bien des études inforensiques complètes sous Windows.
http://www.hsc-formation.fr/formati...

Analyse inforensique avancée et réponse aux incidents clients – FOR 508 / Formation SANS - Certification GIAC (5 jours)
Basé sur le retour d'expérience de toute une communauté internationale d'experts en inforensique, le cours Analyse inforensique avancée et réponse aux incidents SANS présente, de façon détaillée, les points importants à connaître pour mener à bien des études inforensiques complètes sur des environnements hétérogènes.
Illustré par de nombreuses démonstrations, reproductibles immédiatement par les stagiaires, le cours Analyse inforensique avancée et réponse aux incidents est interactif et permet de découvrir la marche à suivre et tous les outils nécessaires pour être prêt àétudier efficacement toute situation : intrusion, fuite d'information, actions malveillantes d'un employé curieux.
A l'issue de cette formation, les stagiaires seront à même de mener efficacement des études inforensiques sur des systèmes Windows et Unix avec des outils tels que le Sleuthkit, foremost et le disque HELIX3 Pro Forensics Live CD.
http://www.hsc-formation.fr/formati...

Network Forensics – FOR 558 / Formation SANS - Certification GIAC (5 jours)
Illustré par de nombreuses démonstrations, reproductibles immédiatement par les stagiaires, le cours Inforensique réseau est interactif et permet de découvrir la marche à suivre et tous les outils nécessaires pour être prêt àétudier efficacement toute situation : intrusion, fuite d'information, actions malveillantes d'un employé curieux.
A l'issue de cette formation, les stagiaires seront à même de mener efficacement des études inforensiques réseau avec des outils tels que Wireshark, Splunk, Snort. Cette formation est le cours Forensics 558 du SANS institute.
http://www.hsc-formation.fr/formati...

Investigations inforensiques sur équipements mobiles – FOR 563 / Formation SANS - Certification GIAC (5 jours)
Illustré par de nombreuses démonstrations, reproductibles immédiatement par les stagiaires, le cours Inforensique sur équipements mobiles est interactif et permet de découvrir les méthodologies et les outils nécessaires pour être prêt à analyser efficacement un téléphone portable, un PDA ou tout autre équipement mobile. A l'issue de cette formation, les stagiaires seront à même de mener efficacement des études inforensiques sur différents téléphones portables (iPhone, Android, Windows Mobile, Blackberry, Nokia et HP WebOS) avec les outils adéquats. Cette formation est le cours Forensics 563 du SANS Institute.
http://www.hsc-formation.fr/formati...

Module 4 – Tests d'intrusion

Tests d'intrusion applicatifs et hacking éthique – SEC 542/ Formation SANS - Certification GIAC (5 jours)
Ce cours permet l'acquisition des principes nécessaires à la sécurisation d'un serveur web et des applicatifs associés avec Apache et Internet Information Services (IIS). Cette formation débute par un rappel sur la sécurité des serveurs réseau et une initiation aux règles de choix, d'installation et de configuration et comporte de nombreuses démonstrations et travaux pratiques.
http://www.hsc-ormation.fr/formatio...

Network Penetration Testing and Ethical Hacking – SEC 560 / Formation SANS - Certification GIAC (5 jours)
La formation proposée par HSC en français et issue du SANS Institute permet à chaque stagiaire d'apprendre et de mettre en pratique les techniques d'intrusion les plus récentes sur les principales technologies du marché (systèmes d'exploitation, bases de données, applications Web, etc.). La formation se veut pragmatique : chaque stagiaire dispose d'un ordinateur pour réaliser les travaux pratiques élaborés par le SANS. _http://www.hsc-formation.fr/formati...

Tests d'Intrusion avancés, exploits, hacking éthique – SEC 660 / Formation SANS - Certification GIAC (5 jours)
La formation aux tests d'intrusion proposée par HSC depuis 2008 a été remplacée par la formation SANS SEC560. Or, celle-ci ne couvre pas toutes les problématiques qui étaient abordées auparavant. C'est pourquoi HSC propose une nouvelle formation, SANS Sec 660 "Advanced Penetration Testing", toujours en Francais, afin de compléter les différents aspects abordés en SEC 560. Elle permet ainsi d'atteindre les différents aspects de la formation aux Tests d'intrusion et la complète même par des chapitres nouveaux (exploitation mémoire avancée, désassemblage, Python, attaques réseaux avancées, etc.).
Cette formation, tout comme la SEC 560, est ponctuée d'exercices pratiques permettant de mettre en oeuvre les différentes techniques vues en cours. Les chapitres abordés vont de l'écriture de script Python dans le cadre d'attaque réseau ou de fuzzing, jusqu'aux exploits permettant de contourner les protections telles que le DEP ou l'ASLR en passant par les attaques réseaux avancées (contre les VLAN ou le NAC) et les attaques contre les services Windows ou Linux.
Une épreuve finale de type Capture The Flag permet d'utiliser les différentes connaissances acquises durant la semaine dans le cadre d'un cas concret et d'un concours entre les différents stagiaires.
http://www.hsc-formation.fr/formati...

Module 5 – Sécurité dans les développements

Durcissement des applications web – DEV 522 / Formation SANS - Certification GIAC (5 jours)
Basé sur le retour d'expérience de toute une communauté internationale d'experts en sécurité, le cours SANS "Defending Web Applications Security Essentials" présente, de façon détaillée, les points importants à connaître pour protéger au mieux les applications web vis-à-vis des attaques actuelles.
Couvrant le Top 10 de l'OWASP, DEV-522 permet de mieux comprendre les tenants et les aboutissants des vulnérabilités d'une application web et d'appliquer par la suite les mesures adéquates permettant de les combler.
Des stratégies de défense possibles au sein des infrastructures, des architectures et des implémentations d'applications web seront présentées et basées sur des exemples issus du retour d'expérience des formateurs. L'élaboration et la mise en œuvre de tests applicatifs est également traitée afin de donner les éléments nécessaires permettant de s'assurer qu'une application web est correctement protégée contre les vulnérabilités décrites lors de cette formation.
DEV-522 couvre aussi bien les applications web classiques que celles basées sur les nouvelles technologies telles que le Web 2.0 (Ajax) et les web services. L'état de l'art des méthodes de protection est présenté telles que les applications profitant pleinement des nouveaux mécanismes de sécurité intégrés aux navigateurs récents. Afin que cette formation soit bénéfique à un plus large public, le focus est porté principalement sur les stratégies de sécurité plutôt que sur le niveau implémentation.
DEV-522 s'adresse à toute personne jouant un rôle dans l'architecture, l'implémentation, l'administration et la sécurisation des applications web. Elle convient particulièrement aux experts en sécurité, développeurs et architectes d'applications web.
La formation est accompagnée d'exercices pratiques réguliers et se conclue par un exercice final du type Capture The Flag (CTF) renforçant les différentes notions acquises au cours de la semaine.
http://www.hsc-formation.fr/formati...

Module 6 - Sécurité et juridique

Juridique de la SSI (2 jours)
Ce cours permet de répondre à toutes ces questions que se posent les professionnels de la SSI. Conçue par des consultants expérimentés en sécurité pour être directement applicable sur le terrain, cette formation s'appuie sur des formations universitaires juridiques, une veille juridique permanente de la SSI, la participation à plusieurs groupes de travail et associations juridico-techniques, le retour d'expérience de nos clients, et la validation par des docteurs en droit.
http://www.hsc-formation.fr/formati...

Correspondant Informatique et Libertés (CIL) (2 jours) - Labellisée par la CNIL
L'objectif de la formation est de donner aux personnes exerçant ou devant exercer les fonctions de correspondant informatique et libertés (CIL) les connaissances indispensables à l'accomplissement de leurs missions. La formation est conçue par un docteur en droit, également ingénieur en informatique et spécialisé en sécurité des systèmes et réseaux. Elle apporte aux participants les éléments juridiques et techniques dont ils auront besoin pour mener à bien leurs missions, par une approche se voulant résolument pratique et proche des problèmes concrets auxquels un CIL est confronté quotidiennement. La formation traite notamment des notions indispensables de sécurité de l'information.
http://www.hsc-formation.fr/formati...

Module 7 - Management de la sécurité

Formation CISSP (5 jours)
La "Formation CISSP" d'HSC est une préparation à la réussite de l'examen. Elle part du principe que les stagiaires on acheté le CBK officiel de l'ISC², parce que c'est indispensable, et qu'ils l'on lu. Ainsi la méthode pédagogique utilise des questions, dans un thème donné, et les stagiaires répondent avec un boitier électronique. Chaque question est alors discutée et particulièrement lorsqu'un stagiaire a fait une mauvaise réponse. Les animateurs sont les consultants HSC spécialistes du thème traité.
http://www.hsc-formation.fr/formati...

Formation RSSI (5 jours)
La formation RSSI permet d'acquérir les compétences indispensables à l'exercice de la fonction responsable de la sécurité des systèmes d'information, des stratégies de prise de fonction aux connaissances techniques de base en passant tous les aspects organisationnels, management, sensibilisation, juridiques, et le marché de la sécurité. De nombreux spécialistes et un RSSI interviennent au cours de la semaine.
http://www.hsc-formation.fr/formati...

Essentiel de PCI-DSS (1 jour)
Cette formation a pour objectif de présenter les différents acteurs de PCI-DSS ainsi que son fonctionnement général. Pour cela, la formation insiste sur les points clé d'un projet PCI tel que la sélection d'un périmètre, elle présente aussi le référentiel puis, explique comment se passe une évaluation PCI-DSS.
http://www.hsc-formation.fr/formati...

Essentiel du RGS (Référentiel Général de Sécurité) (1 jour)
Le référentiel général de sécurité s'impose aux autorités administratives comme définit dans l'ordonnance 2005-1516.
Il impose la mise en place d'un niveau de sécurité des systèmes d'information adaptéà l'autorité administrative. Pour cela plusieurs étapes sont nécessaires : définition d'une politique de sécurité, la réalisation de l'appréciation des risques, homologation des systèmes.
L'objectif de cette formation est de présenter le RGS, les obligations ou recommandations issues du référentiel s'appliquant aux autorités administratives ou à leurs prestataires. Par ailleurs les moyens de mettre en œuvre ces recommandations seront présentés.
http://www.hsc-formation.fr/formati...

Sécurité du Cloud Computing (3 jours)
Ce cours permet d'apprendre à gérer les relations avec les tiers qui interagissent avec la sécurité de l'information de tout organisme qu'ils soient fournisseurs, partenaires ou clients. Dans une démarche projet ou dans la gestion de services externalisés, il est nécessaire de procéder à une appréciation des risques afin de déterminer les impacts sécurité et les mesures nécessaires pour autoriser l'accès aux informations ou aux moyens de traitement à des tiers. Ces informations doivent être contractualisées et formalisés par des écrits qui encadreront la sécurité du SI durant le cycle de vie d'un projet ou d'un service entre l'organisme et ses tiers. La formation explique la démarche de chacune de ces étapes, de la rédaction du Plan d'Assurance Sécurité et Service Level Agreements (SLA) dédiés sécurité aux moyens de contrôle par les audits et les indicateurs constituant le tableau de bord de suivi.
http://www.hsc-formation.fr/formati...

Module 8 - Management de la sécurité avec les normes ISO 2700X

Essentiel de la série ISO 27001 (1 jour)
Ce cours présente les bases de la norme ISO 27001 et des normes qui lui sont associées. Elle donnera aux décideurs une vue claire des tâches indispensables à la mise en place d'un Système de Management de la Sécurité de l'Information (SMSI) conforme à la norme ISO 27001. Ceci permettra d'évaluer la pertinence de la mise en place d'un tel système.
http://www.hsc-formation.fr/formati...

Gestion des mesures de sécurité et norme ISO 27002 (2 jours)
Ce cours permet de comprendre les exigences de la norme 27001 en termes de mesures de sécurité, d'être capable de choisir les mesures de sécurité appropriées dans l'ISO 27002 à partir des résultats d'une appréciation des risques, de comprendre la structure PDCA d'une mesure de sécurité et de savoir élaborer une mesure de sécurité, rédiger la procédure opérationnelle associée, identifier les indicateurs pertinents et déterminer des méthodes d'audit appropriées. Enfin ce cours explique comment démontrer la conformité de votre mise en oeuvre des mesures de sécurité ISO 27002 à un auditeur.
http://www.hsc-formation.fr/formati...

Gestion des incidents de sécurité / ISO 27035 (1 jour)
La gestion des incidents de sécurité dans un délai court et leur prise en compte dans la gestion des risques et l'amélioration continue sont imposés par l'ISO 27001. Le processus de gestion des incidents de sécurité est un processus fondamental pour le succès d'une bonne organisation de la sécurité des systèmes d'information. Un guide, la norme ISO27035, explicite en détail comme organiser ce processus.
http://www.hsc-formation.fr/formati...

Indicateurs et tableaux de bord de la SSI / ISO 27004 (1 jour)
Ce cours donne tous les éléments nécessaires pour mettre en place des indicateurs dans un SMSI, pour mesurer l'efficacité des mesures de sécurité, et faire en sorte qu'ils soient à la fois conformes aux exigences de la norme, pertinents, faciles à exploiter dans le temps, et permettent un tableau de bord utile aux prises de décision.
http://www.hsc-formation.fr/formati...

ISO 27001 Lead Auditor (ISMS Lead Auditor) (5 jours) / Certification
Formation certifiante avec travaux pratiques. Ce cours vous permet de devenir auditeur ou responsable d'audit (Lead Auditor 27001) pour les systèmes de management de la sécurité de l'information (SMSI), soit pour les organismes de certification, soit comme auditeur interne ou auditeur conseil. Le cours vous permet d'acquérir la connaissance des normes de SMSI (ISO 27001 et les autre normes ISO 2700x) et la maîtrise pratique des normes d'audit (ISO 19011, ISO 17021 et ISO 27006).
http://www.hsc-formation.fr/formati...

ISO 27001 Lead Implementer (ISMS Lead Implementer) (5 jours) / Certification
Formation certifiante avec travaux pratiques.
Ce cours vous apprend à mettre en œuvre votre SMSI et à devenir responsable d'implémentation ISO 27001, en utilisant l'ISO 27001 et tous les guides associés. La formation explique les normes et comment s'en servir concrètement, avec des exemples pour que chacun puisse les reproduire chez lui, en sachant organiser son projet et le dimensionner. Les exercices conçus à partir des retours d'expérience des consultants permettent, par des études de cas, d'apprendre à mettre en œuvre et à prendre les bonnes décisions.
http://www.hsc-formation.fr/formati...

ISO 27005 Risk Manager (3 jours) / Certification
Formation certifiante avec travaux pratiques.
Ce cours vous apprend à mettre en oeuvre votre gestion de risque en sécurité de l'information, par la mise en oeuvre de la méthode normalisée ISO 27005, aussi bien dans le cadre d'un SMSI selon l'ISO 27001 que dans d'autres circonstances. La partie pratique et exercices prédomine sur la théorie pour donner les moyens au stagiaire de réaliser son appréciation des risques et réussir l'examen.
http://www.hsc-formation.fr/formati...

Gestion des risques avancée (2 jours)
La formation gestion des risques avancée a pour objectif d'approfondir les différentes phases de la gestion des risques SI, d'un point de vue théorique comme pratique, au-delà de ce qui est vu en formation ISO27005 Risk Manager et au-delà de la norme IS0-27005.
La formation fournit les clés pour réaliser une gestion des risques pragmatique et présente les différents problèmes concrets auxquels les consultants HSC ont été confrontés. Elle propose des solutions théoriques et pratiques pour composer sa boîte à outils en utilisant au mieux les différentes méthodes proposées sur le marché en fonction des spécificités des contextes.
http://www.hsc-formation.fr/formati...

ISO 22301 Lead Auditor (ISMS Lead Auditor) (5 jours) / Certification
Formation certifiante avec travaux pratiques.
Face aux attentes des parties prenantes et des décideurs et aux nombreuses exigences de continuitéà respecter, le Responsable de la Continuité d'Activité est souvent désarmé.
Un Système de Management de la Continuité d'Activité (SMCA) est la meilleure organisation possible pour gérer la continuité des activités jugées critiques Depuis sa publication en juin 2012, la norme ISO22301 fournit un cadre de référence pour développer, mettre en œuvre et maintenir son SMCA. L'adoption des bonnes pratiques de la norme ISO 22301 et à terme la certification du SMCA sont des gages d'excellence internationalement reconnus valorisant la mission des acteurs de la continuité.
http://www.hsc-formation.fr/formati...

ISO 22301 Lead Implementer (ISMS Lead Implementer) (5 jours) / Certification
Formation certifiante avec travaux pratiques.
Les activités de surveillance et réexamen comprennent des tâches d'audit, celles-ci permettent de détecter tout dysfonctionnement potentiel qui apparaitrait dans un SMCA. Savoir réaliser des audits de façon méthodique et structurée, conformément aux normes ISO est devenu pour tout consultant une compétence à faire valoir auprès de ses clients et de ses employeurs. La formation certifiante ISO 22301 Lead Auditor, dispensée par HSC, permet de répondre à tous ces besoins en matière d'audits internes ou d'audits de certification.
http://www.hsc-formation.fr/formati...


-Pour tout renseignement et inscription, contactez Lynda Benchikh
formations@hsc.fr
Téléphone : +33 141 409 704
Télécopie : +33 141 409 709

- Pour télécharger le bulletin d'inscription :

PDF - 39.9 ko

11 avril - 17 décembre : Le Groupe Exer lance le SMS Tour 2013

$
0
0

Exer, Avirnet et Additional Design font étape avec leurs constructeurs dans 7 régions de France. Le Groupe Exer, toujours soucieux d'apporter de la valeur technique et commerciale à ses 800 partenaires VARs et intégrateurs, leur donne rendez-vous pour la 4ème année consécutive dans 7 villes françaises, au rythme d'une date par mois.

Le SMS Tour se déplacera du 11 avril au 17 décembre avec ses 15 partenaires Editeurs et Constructeurs dans un format salon qui a déjà fait ses preuves et accueillera une cinquantaine de revendeurs par date de 9h à 14h, dans une ambiance conviviale et professionnelle proche des valeurs du groupe. Seront présents sur le Tour de France : Sandisk, Netasq, Imation, F-Secure, Barracuda, Arkeia, Overland, Ucopia, AirMagnet, AVer, Atto, Peer Software, Emulex, Lancom et Nasstor.

Les partenaires d'Exer, Avirnet et Additional Design ( membres du Groupe Exer), profiteront de leur passage sur les 15 stands pour discuter avec des spécialistes des dernières technologies porteuses sur les marchés de la Sécurité, de la Mobilité et du Stockage, assister aux démos produits et échanger avec leurs interlocuteurs privilégiés chez le Distributeur et les Constructeurs. La matinée se terminera par un cocktail déjeunatoire et des tirages au sort avec de nombreux lots à la clé.

Le SMS Tour 2013 aura lieu le 11 avril au Grand Stade Lille Métropole, à Aix le 16 mai, à Bordeaux le 20 juin, à Metz le 17 septembre, à Nantes le 24 octobre, à Lyon le 21 novembre et à Paris le 17 décembre.

Infos et inscriptions : http://www.exer.fr/smstour/liste.htm

19 décembre à l'OCDE -Colloque annuel du CDSE en partenariat avec ENSP, Ministère de l'Intérieur : « La sécurité et la sûreté au service de l'éthique »

$
0
0

Le Club des Directeurs de Sécurité des Entreprises (CDSE) présentera la septième édition de son colloque annuel au siège de l'OCDE, le jeudi 19 décembre 2013, en partenariat avec l'École Nationale Supérieure de la Police.

Préoccupations majeures, la sécurité des process et la sûreté des collaborateurs sont au cœur du développement des entreprises. Comme chaque année le Colloque annuel du CDSE rassemblera plus de 600 professionnels des grandes entreprises et des institutions publiques. En mettant l'accent sur l'anticipation et l'échange, principes fondateurs du CDSE, le Colloque viendra nourrir la réflexion stratégique et opérationnelle autour de ce double paradigme : Éthique et Sécurité.

Au service de la gouvernance et notamment de la RSE, la sécurité est-elle seulement un levier ou un enjeu stratégique ? Sécurité et éthique sont-ils antinomiques ? Quel est le champ ouvert par la réglementation (FCPA, UK Bribery Act, directive européenne en matière de protection des données personnelles…) ?

Alain Juillet, Président du CDSE, précise : « Dans le contexte actuel de la mondialisation et du récent scandale d'espionnage des données, la déontologie peut-être dans le pire des cas invoquée comme l'argument fallacieux pour ne rien faire, mais elle peut également constituer une base solide pour un développement de l'entreprise sécurisé et pérenne. »

Cette journée permettra de mieux appréhender les rapports entre éthique, vie des affaires et sécuritéà l'international, et enfin de réunir les directeurs sécurité, sûreté, compliance et éthique internationaux.

PROGRAMME

Animation de la matinée par Laurance N'kaoua, journaliste, Les Échos.

8h30 Accueil

9h15 - 10h00 Ouverture : Alain Juillet, Président du CDSE Introduction Christophe De Margerie, PDG Total

10h05 - 11h15 Comment les professionnels de la sécurité intègrent-ils l'éthique dans leur management ?
Cette table ronde a pour objet de faire un état des lieux des bonnes pratiques dans les organisations publiques et privées en matière de sécurité (système de management, gouvernance de la sûreté, procédures, chartes & politiques, formations spécifiques, code de déontologie…)et vise à mieux formaliser les relations entre les fonctions Éthique et Sécurité ?

Participants :
Hélène Martini, Directrice, ENSP Jean-Marc Berlioz, Directeur de l'éthique, Renault Eric Delbecque, Directeur du département sécuritééconomique, INHESJ Jean-Michel Chereau, Directeur de la protection, Areva Sylvie Le Damany, Avocat, Cabinet Jeantet

11h45 - 12h45 Les technologies au service de la sécurité : quel cadre pour garantir le respect des droits des personnes ?

Comment mettre en place au sein des organisations une éthique dans l'utilisation des technologies à des fins de sécurité (fichiers, vidéo, puces, GPS… ) ?
Quelles sont les relations envisageables entre le RSSI et le Directeur de la sécurité en matière de sécurité informatique afin d'assurer la sécurité des données et le respect de la vie privée ?

Participants :
Stéphane Volant, Secrétaire général, SNCF* Yann Padova, Senior Counsel, Backer & Mc Kenzie Guillaume Capois, Directeur de la sûreté, EADS Jean-Philippe Bouilloud, Professeur, ESCP Europe

Conclusion de la matinée - Eduard Emde, Président d'ASIS International

Animation de l'après-midi : Jean-Dominique Merchet, Journaliste, l'Opinion

14h30 - 15h00 Le rôle de la sécurité pour favoriser l'éthique des affaires ?
Quels liens entre compliance et sécurité ? La sécurité est-elle un moyen de promouvoir la RSE ? Comment la sécurité participe-t-elle à la lutte contre les fraudes et la corruption dans l'entreprise ? Comment la sécurité aide-t-elle à préserver l'ordre public en aidant à lutter contre des délinquants (blanchiment, par exemple) ?

Participants :
Catherine Delhaye, Directrice de l'éthique et de la Compliance, Valeo, Secrétaire général du Cercle de la Compliance Dominique Lamoureux, Directeur éthique et responsabilité d'entreprise, Président de la commission IE du Medef, Thales

15h05 - 16h05 Protection des salariés à l'international et co-développement
Quel est le devoir de protection des salariés à l'étranger ? Comment intègre-t-on le respect des droits de l'homme dans les opérations de sécurité ? Comment la sécurité peut- elle être un facteur de lien avec les communautés locales ?

Participants :
Jean-Louis Fiamenghi, Directeur sûreté, Veolia Didier le Bret, Directeur du centre de crise du Ministère des Affaires Etrangères Mivil Deschenes, Directeur de la sûreté, Rio Tinto Vincent Dufief, Investor Relations Manager, Total Emile Perez, Directeur de la DCI, Ministère de l'Intérieur

16h10 -17h10 L'investigation, monopole des services d'Etat ?
Les techniques d'investigations étatiques peuvent-elles être utilisées par d'autres et notamment par l'entreprise (exemple de l'investigation journalistique) ? Quelles limites légales et éthiques à l'investigation privée ? Quand l'entreprise doit-elle dénoncer des faits à la justice ?

Participants :
Jean-Jacques Urvoas, Député du Finistère, Président de la commission des lois de l'Assemblée Nationale Patrick Maisonneuve, Avocat, Cabinet Maisonneuve Edwy Plenel, Président et fondateur du journal Mediapart

Synthèse de la journée - Cécile Wendling, Directrice d'études, Futuribles

17h15 Clôture - Manuel Valls, Ministre de l'Intérieur*

Pour en savoir plus : www.cdse.fr


Vigil@nce - Xen : déni de service via Deadlock

$
0
0

Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant, administrateur dans un système invité Xen, peut provoquer un interblocage, afin de mener un déni de service sur l'hôte.

Produits concernés : Fedora, Unix (plateforme)

Gravité : 2/4

Date création : 26/11/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Les verrous (locks) assurent l'exclusivité de l'accès à une ressource.

Deux verrous sont utilisés par le gestionnaire de mémoire de Xen : page_alloc_lock et mm_rwlock. Cependant, ces verrous ne sont pas toujours activés dans le même ordre. Une situation d'interblocage (deadlock) peut donc se produire.

Un attaquant, administrateur dans un système invité Xen, peut donc provoquer un interblocage, afin de mener un déni de service sur l'hôte.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/X...

12 décembre Web Conference ITrust : TOP 10 des vulnérabilités

$
0
0

Date et heure : jeudi 12 décembre 2013 14:00, Heure de l'Europe (Paris, GMT+01:00)

Numéro de l'événement : 958 936 459

Mot de passe d'inscription : Cet événement n'exige pas de mot de passe pour l'inscription.

Pour afficher les autres fuseaux horaires ou langues disponibles, cliquez sur le lien : https://itrust.webex.com/itrust/ons...


Pour obtenir de l'aide


Vous pouvez contacter Conference ITrust au : conference@itrust.fr

http://www.webex.com

Appel à communication des GS Days - 18 mars 2014

$
0
0

« Convaincre sans contraindre », telle est la devise de cet événement sur la sécurité de l'information. L'objectif des GS Days, Journées francophones de la sécurité, est d'établir le dialogue entre le monde de la technique (administrateurs, experts sécurité), les RSSI, DSI et les décideurs. Ce colloque, exclusivement en français, proposera, dans un même espace, plusieurs cycles de conférences et de démonstrations d'exploitation de faille informatique, sous un angle technique, organisationnel et juridique.

La 6ème édition des GS Days, qui se tiendra le 18 mars 2014 à l'Espace Saint-Martin - Paris 3ème, s'articulera autour du thème : « Protection des libertés individuelles et respect de la vie privée ». Pour cette 6ème édition, l'accent sera mis sur la protection des libertés individuelles et des données à caractère personnel, mise à mal par les pirates informatiques, les Etats, et potentiellement les solutions de sécurité elles-mêmes. Ainsi, pour cette édition, il s'agira de proposer des sujets (conférences, démonstrations…) sur des thèmes techniques, organisationnels et juridiques afin d'en montrer les dangers pour la vie privée des individus, comme pour les entreprises.

Quelques exemples de thèmes

Les thèmes techniques :

Les attaques :
- Les malwares de haut niveau, botnets étatiques, worms complexes et ciblés
- Les attaques ciblées
- Les nouvelles tendances d'attaque : systèmes embarqués, Hacking hardware, etc.

L'évolution des moyens de protection :
- WAF, outils de lutte anti-DDoS...
- Les limites du sandboxing
- Protection de l'information, récupération de données, effacement sécurisé, etc.

Les thèmes organisationnels :
- Le rôle de l'état dans la SSI
- Les hommes (ingénierie sociale)
- Le e-commerce, m-commerce, m-paiement
- L'évolution du renseignement, interception
- L'intelligence économique passe-t-elle forcément par l'espionnage ?
- La gouvernance de l'information, Big Data
- Cyberguerre : implication des états, outils d'attaques/de détection, composants électroniques
- Les nouveaux usages du SI : les réseaux sociaux et les applications en ligne
- Communication de crise
- BYOD
- Quid de l'enseignement/formation, sensibilisation ? Rôle de l'éducation nationale dans le domaine des TIC ?

Les thèmes juridiques :
- M-Payment et M-Banking
- E-réputation : quel recours juridique ?
- Le droit peut-il quelque chose pour la protection de l'information ?

Les présentations attendues devront proposer une vision technique ou scientifique. Les présentations à fin commerciale ou la présentation d'un produit ne seront pas acceptées. Cependant, les propositions présentant une analyse technique de la sécurité d'un produit, un comparatif fondé sur des tests scientifiques, et les retours d'expérience avec un aspect technologique, seront examinées avec attention. Le format des conférences sera de 50 minutes, dont 5 à 10 minutes de questions.

Le comité de Programme est assuré par Global Security Mag, Olivier Guérin, CLUSIF, Hervé Schauer, HSC, Philippe Humeau, NBS System, Paul Such, SCRT, Olivier Revenu, EdelWeb, Maître Diane Mullenex, Cabinet Ichay et Mullenex, Eric Doyen, Président du Club 27001, et Emmanuel Garnier, Systalians. Ce comité a pour objectif la sélection des conférenciers et du contenu du Colloque.

Dates importantes :

- Date limite de soumission : 10 JANVIER 2014 uniquement par mail marc.jacob@globalsecuritymag.com
- Notification aux auteurs : 24 janvier 2014
- Présentation définitive : 10 mars 2014
- Conférence : 18 mars 2014

Processus de soumission

-Première étape : Les propositions de communication (1 à 2 pages) parviendront au comité de programme avant le 10 JANVIER 2014, par mail à l'adresse marc.jacob@globalsecuritymag.com. Le format recommandé est PDF. Figureront le titre de la communication et sa catégorie (Technique, Organisationnelle, Juridique ou Démonstration), les nom(s) et prénom(s) du ou des auteurs et leur affiliation, l'adresse de courrier électronique de l'un des auteurs, un résumé (15 lignes environ) et une liste de mots clés. Les auteurs seront prévenus de l'acceptation ou du rejet de leur proposition le 24 janvier 2014.
-Seconde étape : Les auteurs fourniront pour le 10 mars 2014 une version définitive de leur présentation par mail à l'adresse marc.jacob@globalsecuritymag.com. Ces versions définitives tiendront compte des remarques du comité de programme. Elles seront fournies de préférence au format PDF ou PPT. Les communications seront rédigées uniquement en français. Les meilleures communications, désignées par le comité de programme, pourront faire l'objet d'une publication sur le site de Global Security Mag ou dans le magazine trimestriel.

Pour adresser vos soumissions : marc.jacob@globalsecuritymag.com

L'appel à communication est disponible au format pdf :

PDF - 375.2 ko

Date et lieu :
- 18 mars 2014 - 8h30 – 18h30
- Espace Saint-Martin - 199 bis, rue Saint-Martin - 75003 Paris
-www.gsdays.fr

Sénat : Article 13 du Projet de loi de programmation militaire : la recherche de la vérité

$
0
0

Au moment où le Sénat est appeléà examiner en deuxième lecture le projet de Loi de programmation militaire (LPM), qui définit les orientations de notre politique de défense sur la période 2014-2019, M. Jean-Louis Carrère, Président de la commission des Affaires étrangères, de la Défense et des Forces armées du Sénat et rapporteur du texte, tient à réagir aux polémiques ou fausses interprétations véhiculées depuis plusieurs jours dans les médias à propos de l'article 13.

- Sur la procédure :

Initialement, l'article 13 du projet présenté par le Gouvernement visait uniquement à clarifier le régime juridique de la géolocalisation en temps réel, qui consiste à localiser un objet, téléphone ou ordinateur portable par exemple. L'objectif était de répondre à une fragilité juridique résultant d'un arrêt de la Cour européenne des droits de l'Homme du 2 septembre 2010, dans lequel la Cour de Strasbourg, sans remettre en cause le principe même de ce procédé, rappelait la nécessité de disposer d'une loi "particulièrement précise".

En première lecture, le Sénat a adopté un amendement présenté par le Président de la commission des Lois, M. Jean-Pierre Sueur, ayant un objet beaucoup plus large, puisqu'il vise à refondre le régime juridique de l'accès aux données de connexion, issu de l'article 6 de la loi du 23 janvier 2006, en le rapprochant du régime relatif aux interceptions de communication issu de la loi du 10 juillet 1991. Ce rapprochement répond à une préoccupation exprimée par la Commission nationale de contrôle des interceptions de sécurité (CNCIS), par la délégation parlementaire au renseignement et par les commissions des Lois des deux assemblées. En effet, le régime actuel de l'accès aux données de connexion, applicable uniquement en matière de prévention du terrorisme, est un régime transitoire qui devrait être réformé avant la fin 2015.

La CNIL, qui a rendu un avis sur le projet de LPM, n'a pas été consultée sur la nouvelle rédaction de l'article 13, puisqu'elle résulte d'un amendement parlementaire. Pour autant, M. Jean-Louis Carrère, rapporteur au fond, et M. Jean-Pierre Sueur, rapporteur pour avis, ont entendu les représentants de la CNIL, qui ont pu faire valoir leur point de vue. En outre, les modalités d'application de cet article seront fixées par décret en Conseil d'État, pris après avis de la CNIL et de la CNCIS.

Enfin, la nouvelle rédaction de l'article 13 a fait l'objet d'un débat approfondi en première lecture tant au Sénat qu'à l'Assemblée nationale. Les députés ont approuvé cette nouvelle rédaction, sous réserve de quelques modifications rédactionnelles. Ils ont même souhaité allonger de dix à trente jours la durée de l'autorisation de la géolocalisation en temps réel.

- Sur le fond :

Le dispositif adopté par le Sénat et confirmé par l'Assemblée nationale est plus protecteur des libertés publiques :

- les demandes, motivées, d'accès aux données de connexion seront soumises à la décision d'une personne qualifiée auprès du Premier ministre et non auprès du ministre de l'Intérieur comme aujourd'hui ;

- chaque demande fera l'objet d'un contrôle effectué par la Commission nationale de contrôle des interceptions de sécurité, autorité administrative indépendante, qui est présidée par un magistrat et qui comprend des Parlementaires.

Les conditions d'utilisation de la géolocalisation en temps réel seront, quant à elles, plus strictes que celles prévues par le projet de loi puisqu'elles seront identiques à celles prévues pour les interceptions de sécurité : l'autorisation sera accordée sur demande écrite et motivée du ministre concerné par décision écrite du Premier ministre et communiquée au Président de la CNCIS.

Ce nouveau dispositif ne modifie aucunement ni la nature des données concernées ni la procédure permettant aux services de renseignement d'avoir accès à ces données.

Il permettra de recueillir les données de connexion conservées par les opérateurs de communications électroniques et par les hébergeurs de contenus. Les premiers sont tenus de conserver ces données en application de l'article L. 34-1 du code des postes et communications électroniques, les seconds sont tenus de les conserver en application de l'article 6 de la loi du 21 juin 2004 pour la confiance dans l'économie numérique. Si la rédaction de l'article 13 fait référence aux "informations ou documents""traités ou conservés", elle ne fait que reprendre la rédaction actuelle de l'article L. 244-2 du code de la sécurité intérieure.

Ainsi, aucune extension du champ des données accessibles par rapport au droit existant n'est prévue. L'accès aux contenus des communications reste du ressort exclusif du régime des interceptions de sécurité, qui demeure totalement inchangé.

L'expression utilisée "sollicitation du réseau" ne revient pas à autoriser les agents des services de renseignement à se raccorder directement aux réseaux des opérateurs afin d'accéder directement à ces données, mais vise uniquement à prendre en compte le cas spécifique de la géolocalisation en temps réel. Une "sollicitation" par l'opérateur d'un terminal de communications électroniques depuis le réseau de l'opérateur est nécessaire lorsqu'il s'agit de localiser en temps réel le terminal. C'est bien l'opérateur qui doit effectuer une sollicitation particulière pour répondre à la réquisition formulée par les services de renseignement. Ce dispositif ne modifie en rien la procédure actuelle de l'accès aux données de connexion : il sera toujours nécessaire, pour les services, de demander aux opérateurs de procéder à la collecte des données réquisitionnées et de les adresser à la plateforme du Groupement interministériel de contrôle (GIC).

Le nouveau dispositif représente donc un progrès indiscutable du point de vue des libertés publiques.

Pour lire le rapport : http://www.senat.fr/rap/l13-195/l13...

Avis du CERTA : CERTA-2013-AVI-674 : Multiples vulnérabilités dans les produits Juniper

Viewing all 81760 articles
Browse latest View live




Latest Images