Qu’est-ce que le registre RGPD ?

Document de recensement et d’analyse, il doit refléter la réalité de vos traitements de données personnelles et vous permet d’identifier précisément :

• les parties prenantes (représentant, sous-traitants, co-responsables, etc.) qui interviennent dans le traitement des données,
• les catégories de données traitées,
• à quoi servent ces données (ce que vous en faites),
• qui accède aux données et à qui elles sont communiquées,
• combien de temps vous les conservez,
• et comment elles sont sécurisées.

[lire la suite]

Victime d’une arnaque vous demandant de régler par coupons recharges PCS ? Pas de panique !

Par mail ou via Facebook, ils envoient tout d’abord soit un appel au secours venant d’une personne proche ou toute autre raison aboutissant à un chantage.

Ils demandent ensuite de recharger leur carte de crédit par ce nouveau moyen très moderne qu’est la carte prépayée PCS Mastercard. Souvent les personnes ne connaissent même pas le principe de rechargement de carte de crédit mais lorsque l’interlocuteur nous explique qu’il suffit simplement de descendre au bureau de tabac en bas de chez nous, d’acheter 1, 2, 3 ou 4 tickets de rechargement (coupons recharges), puis de lui envoyer les codes pour répondre à a demande, beaucoup commencent à flairer le piège.

Ce moyen de paiement vient en remplacement des mandats cash ou des versement par Western Union qui ont aujourd’hui une telle mauvaise réputation que leur nom seul éveille des soupçons pour la plupart d’entre nous.. Il permet de rendre impossible de remonter jusqu’au destinataire par la voie judiciaire habituelle.

Ainsi, que ça soit quelqu’un qui se fait passer pour un ami qui vous signale avoir perdu ses papiers ou son téléphone en vous suppliant de l’aide par ce moyen de paiement ou une personne qui exerce sur vous un chantage :

• N’hésitez pas à porter plainte en commissariat de Police ou en Brigade de Gendarmerie (en fonction de votre résidence) ;
• Vous pouvez utilisez un site internet de pré-plainte sur Internet (https://www.pre-plainte-en-ligne.gouv.fr)
• Ne répondez plus à ses messages ;
• Signalez ses agissements sur www.internet-signalement.gouv.fr ;

Si vous avez du temps à perdre, vous pouvez aussi vous amuser à les mener en bateau, les capacités de nuisance de ces arnaqueurs du dimanche étant très limitées à seulement pouvoir vous envoyer des e-mails ou vous téléphoner si vous avez commis l’imprudence de leur communiquer votre numéro. Vous pouvez rétorquer en leur faisant croire que vous allez les payer ou que vous avez vous aussi besoin d’un coupon de recharge PCS pour vous déplacer pour aller en acheter un !

Attention :

Si vous êtes en contact avec une personne se présentant comme victime s’étant faite arnaquer par un escroc et que cette dernière vous communique ensuite les coordonnées d’un contact chez Interpol présenté comme son sauveur, fuyez ! Il s’agit aussi d’une arnaque.

Interpol ne rentre jamais en contact directement avec les victimes !

Ceux qui vous soutiennent le contraire ou qui vous contactent directement en se faisant passer pour Interpol ont malheureusement aussi pour objectif de vous soutirer de l’argent.

Plus d’infos sur : https://www.lenetexpert.fr/contater-interpol-en-cas-darnaque-est-une-arnaque/

Remarque :

Il est possible qu’au moment ou vous êtes sur le point de déposer plainte, la personne en face de vous cherche à vous dissuader. C’est normal, face au faibles changes de retrouver l’auteur de l’acte délictueux, ils considèrent comme une perte de temps  le fait de devoir traiter votre demande sous forme de plainte et vous inviteront à déposer une main courante.

Insistez pour déposer plainte car sans cette acte citoyen qu’on ne peut vous refuser (en faisant bien attention de le faire en mentionnant la bonne qualification juridique), vous ne laisserez pas passer la moindre chance (même si elle est minime) de faire arrêter l’escroc.

Pour information

• Les délits d’usurpation d’identité, pouvant être associé au phishing selon l’article 226-4-1 du code pénal sont punis d’un an d’emprisonnement et de 15 000 € d’amende.
• Selon l’article Article 312-1 du code pénal, le délit d’extorsion ou de tentative d’extorsion (demande d’argent en échange de ne pas supprimer des données ou de ne pas divulguer des secrets volés) est punie de sept ans d’emprisonnement et de 100 000 euros d’amende.
• Les délits d’escroquerie ou tentative d’escroquerie, selon les articles 313-1, 313-2 et 313-3 du code pénal, sont punis de cinq ans d’emprisonnement et de 375 000 euros d’amende.

Les métiers de la cybersécurité en 2020

Attention aux démarchages trompeurs « Mise en conformité RGPD »

D’après des témoignages récents, après avoir appelé au numéro indiqué sur leur document affichant fièrement une bande bleu / blanc / rouge, ils ont posé quelques questions sur l’entreprise puis envoyé par mail un facture proforma demandant de s’en acquitter sous 72h. Les escrocs vont même jusqu’à dire qu’en payant cette facture, la CNIL fera une « levée de contrôle et de sanction » sur votre société.
Puis, une fois le paiement effectué, vous aurez un entretien de 15 minutes durant lequel 50 questions vous seront posées puis  sous 30 jours un « délégué syndical du département» prendra contact et clôturera définitivement la mise a jour.

Tous ces arguments sont strictement faux !

La mise en conformité au RGPD nécessite plus qu’un simple échange ou l’envoi d’une documentation. Elle suppose un vrai accompagnement, par une personne qualifiée en protection des données personnelles, pour identifier les actions à mettre en place et assurer leur suivi dans le temps. Il est nécessaire, avant tout engagement, de chercher en ligne des informations sur la société qui prend contact avec vous. Si le doute persiste, vous pouvez contacter la CNIL au 01 53 73 22 22.

Pour vous rassurer, Denis JACOPINI et son équipe réalisent des démarches de mise en conformité des établissements avec la réglementation relative aux données à caractère Personnel depuis 2012. Plus d’informations ici

Nos conseils

Mettre en conformité nécessitera dans la plupart des cas une analyse de vos process, une sensibilisation du personnel, des interviews personnalisés et nous recommandons a minimas une rencontre. Ces organismes ne semblent pas répondre à ces recommandations.

Au regard de pratiques commerciales trompeuses, la DGCCRF et la CNIL formulent plusieurs recommandations qui visent à :

• vérifier l’identité des entreprises démarcheuses qui ne sont en aucun cas, contrairement à ce que certaines prétendent, mandatées par les pouvoirs publics pour proposer à titre onéreux des prestations de mise en conformité au RGPD ;
• vérifier la nature des services proposés :
  • la mise en conformité au RGPD nécessite plus qu’un simple échange ou l’envoi d’une documentation. Elle suppose un vrai accompagnement par un professionnel qualifié en protection des données personnelles, pour identifier les actions à mettre en place et assurer leur suivi dans le temps ;
  • Dans certains cas, il peut aussi s’agir de manœuvres pour collecter des informations sur une société en vue d’une escroquerie ou d’une attaque informatique.

Principaux réflexes à avoir en cas de démarchage
Si vous recevez ce type de sollicitations, vous devez :

• demander des informations sur l’identité de l’entreprise démarcheuse permettant de faire des vérifications sur internet ou auprès des syndicats de votre profession ;
• demander le numéro SIRET de l’organisme ;
• demander les conditions générales de vente de l’organisme ou les termes du contrat que vous devrez signer ;
• consulter le site internet et vérifier les mentions légales ;
• vérifier l’ancienneté du nom de domaine (un nom de domaine récent indique la création récente du service avec un risque de manque d’expérience ou la création d’un nom de domaine spécialement pour l’arnaque.
• vous méfier de telles communications prenant les formes d’une information officielle émanant d’un service public ;
• lire attentivement les dispositions contractuelles ou pré-contractuelles ;
  prendre le temps de la réflexion et de l’analyse de l’offre ;
• diffuser ces conseils de vigilance auprès de vos services et des personnels qui sont appelés à traiter ce type de courrier dans l’entreprise ;
• ne payer aucune somme d’argent au motif qu’elle stopperait une éventuelle action contentieuse…

Pour vous aider dans votre mise en conformité au RGPD, la CNIL publie des contenus pratiques. Vous pouvez notamment consulter « RGPD : ce qui change pour les pros » ainsi que le nouveau « Guide de sensibilisation pour les petites et moyennes entreprises » élaboré en partenariat avec la BPI.

• « Comment se mettre en conformité avec le RGPD ? »
• « Mise en conformité RGPD : Accompagnement personnalisé par un Expert »
• « Formation RGPD pour TPE / PME / DPO / Délégué à la Protection des Données et formation RGPD pour SSII, ESN, Avocats, Experts comptables et consultants ».

Je me présente : Denis JACOPINI. Je suis Expert de justice en informatique spécialisé en cybercriminalité et en RGPD (protection des Données à Caractère Personnel), consultant depuis 1996 et formateur depuis 1998. J’ai bientôt une expérience d’une dizaine d’années dans la mise en conformité avec la réglementation relative à la Protection des Données à Caractère Personnel. De formation d’abord technique, j’ai été ensuite Correspondant CNIL (CIL : Correspondant Informatique et Libertés) puis récemment Délégué à la Protection des Données, en tant que praticien de la mise en conformité et formateur.

“Mon objectif est de mettre à disposition toute mon expérience pour mettre en conformité votre établissement avec le RGPD.”

Comment retirer des publications gênante sur les réseaux sociaux ? Les conseils de la CNIL

Une donnée personnelle est « toute information se rapportant à une personne physique identifiée ou identifiable». Sur une publication, vous pouvez être identifié :

• directement (exemple : nom, prénom, etc.)
• ou indirectement (exemple : par un identifiant (n° client), un numéro (de téléphone), une donnée biométrique, plusieurs éléments spécifiques propres à votre identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale, mais aussi votre voix ou votre image).

Votre identification peut être réalisée :

• à partir d’une seule de vos données (exemple : numéro de sécurité sociale, etc.)
• à partir du croisement d’un ensemble de données (exemple : une femme vivant à telle adresse, née tel jour, abonnée à tel magazine et militant dans telle association)

1. Signaler la publication à effacer

En fonction du réseau social, vous devez vous rendre sur la page appropriée qu’il a mis à votre disposition à cet effet.

Twitter : Signaler la divulgation d’informations privées

Instagram : Signaler une photo ou vidéo pour violation de vos droits de confidentialité sur Instagram

Facebook : Utiliser le lien  » Signaler « 
situé à côté de la publication, de la photo ou du commentaire

Snapchat :  Signaler la publication ou Utiliser ce formulaire en ligne ou Utiliser le formulaire de droit à l’image

LinkedIn : Signaler le harcèlement d’un utilisateur ou un problème de sécurité

Youtube : Réclamer une atteinte à la vie privée

Dailymotion : Sous chaque vidéo figure un bouton  » Signaler cette vidéo »
en cliquant dessus, vous aurez à remplir un formulaire.

2. Si le réseau social ne fait pas partie de cette liste

• Rendez-vous vous en bas de la page d’accueil du réseau social ;
• Identifiez une page « politique de confidentialité » ou « données personnelles » ou « vie privée » ;
• Dans cette page, recherchez les coordonnées du service ou le formulaire qui répondra à votre demande ;
• Envoyez si besoin un modèle à personnaliser qui comprend les références aux textes de loi et vous permet d’indiquer un motif.

Quelle réponse attendre du réseau social ?

Le réseau social doit procéder à l’effacement dans les meilleurs délais et au plus tard dans un délai d’un mois, qui peut être porté à trois mois. Dans ce dernier cas, l’organisme doit vous informer des raisons de cette prolongation dans le délai d’un mois.

En parallèle de cette démarche d’effacement – et si ce contenu est référencé dans les moteur de recherche – exercez votre droit au déréférencement de manière à ce que ce contenu ne soit plus associé à votre nom et prénom dans les résultats d’un moteur de recherche.

En cas de réponse insatisfaisante – ou d’absence de réponse sous un mois – de la part du réseau social ou du moteur de recherche, vous pouvez saisir la CNIL.

RGPD : Qu’est-ce qu’une donnée à caractère personnel ?

Le règlement (article 4) les défini comme étant toute information se rapportant à une personne physique identifiée ou identifiable.

Le règlement précise également ce qu’est une personne physique identifiable : une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

En pratique, il faut comprendre de cette définition que, toute donnée se rapportant à votre personne et permettant, même indirectement de vous identifier est une donnée personnelle.

Ainsi, votre nom, prénom, âge, date et lieu de naissance, une photo de vous, un pseudonyme, un numéro de téléphone ou de sécurité sociale, une adresse IP, etc. constituent des données à caractère personnel.

…[lire la suite]

Spécial Phishing 1/3 : Quelle est la technique des pirates informatiques ?

1. Vous recevez un courriel piégé

Le courriel suspect vous invite à :

• cliquer sur une pièce-jointe ou un lien piégés
• communiquer des informations personnelles

2. L’attaquant se fait passer pour une personne ou un tiers de confiance

L’attaquant est alors en mesure de :

• prendre le contrôle de votre système
• faire usage de vos informations

3. Impact de l’attaque

• Intégrité
• Authenticité
• Disponibilité
• Confidentialité

Motivations principales

• Atteinte à l’image
• Appât du gain
• Nuisance
• Revendication
• Espionnage
• Sabotage

Mise en conformité RGPD : ce que les PME doivent faire

Entré en vigueur depuis le 25 mai 2018, le Règlement Général sur la Protection des Données a déjà commencé à bouleverser l’organisation globale des entreprises, quelle qu’en soit leur taille. Apparues complexes, ces nouvelles règles finissent par cacher une démarche qui s’avère finalement simple en respectant quelques étapes. Denis JACOPINI, notre Expert RGPD nous en dit plus.

LeNetExpert : Où en sont aujourd’hui la plupart des PME vis à vis de la démarche de mise en conformité RGPD ? 

Denis JACOPINI : Avant de commencer l’animation d’une formation sur le RGPD, je demande toujours ce qu’on retenu les personnes ayant déjà assisté à des petits déjeuners, des déjeuners, dîners thématiques ou des Webinars sur ce thème.

Systématiquement elles me confient qu’elle n’ont retenu des informations sur leurs obligations, sur la complexité de la démarche mais pas sur la démarche concrète à réaliser.

Ce constat m’a permis de me conforter dans l’idée qu’il était important de construire le contenu de nos formations pour que les dirigeants de PME ou leurs futurs DPO (Data Protection Officer = en français Délégué à la Protection des Données) repartent à la fois en ayant compris l’intérêt de la démarche d’un tel règlement (et ils ont un intérêt direct) mais surtout avec de nombreux outils et des méthodes leur permettant une démarche de mise en conformité RGPD en toute autonomie.

LNE : Quelle sont les démarches que les PME devraient réaliser selon vous ?

Denis JACOPINI : Le 25 mai 2018, le règlement européen est entré en application. De nombreuses formalités auprès de la CNIL ont disparu mais en contrepartie, la responsabilité des organismes a été renforcée. Ils doivent désormais assurer une protection optimale des données à chaque instant et être en mesure de la démontrer en documentant leur conformité. Ces démarches doivent être réalisées avec méthode et étapes.

La CNIL a mis à disposition de tout les organismes concernés par ces démarches un guide : RGPD : se préparer en 6 étapes.

Dans ce guide ont peut y trouver 6 étapes indispensables pour initier la démarche de mise en conformité :

1/ DÉSIGNER UN PILOTE
Pour piloter la gouvernance des données personnelles de votre structure, vous aurez besoin d’un véritable chef d’orchestre qui exercera une mission d’information, de conseil et de contrôle en interne : le délégué à la protection des données. En attendant 2018, vous pouvez d’ores et déjà désigner un « correspondant informatique et libertés », qui vous donnera un temps d’avance et vous permettra d’organiser les actions à mener.

2/ CARTOGRAPHIER VOS TRAITEMENTS DE DONNÉES PERSONNELLES
Pour mesurer concrètement l’impact du règlement européen sur la protection des données que vous traitez, commencez par recenser de façon précise vos traitements de données personnelles. L’élaboration d’un registre des traitements vous permet de faire le point.

3/ PRIORISER LES ACTIONS À MENER
Sur la base de votre registre, identifiez les actions à mener pour vous conformer aux obligations actuelles et à venir. Priorisez ces actions au regard des risques que font peser vos traitements sur les droits et les libertés des personnes concernées. 

4/ GÉRER LES RISQUES
Si vous avez identifié des traitements de données personnelles susceptibles d’engendrer des risques élevés pour les droits et libertés des personnes concernées, vous devrez mener, pour chacun de ces traitements, une analyse d’impact relative à la protection des données (AIPD).

5/ ORGANISER LES PROCESSUS INTERNES
Pour assurer un haut niveau de protection des données personnelles en permanence, mettez en place des procédures internes qui garantissent la prise en compte de la protection des données à tout moment, en prenant en compte l’ensemble des événements qui peuvent survenir au cours de la vie d’un traitement (ex : faille de sécurité, gestion des demande de rectification ou d’accès, modification des données collectées, changement de prestataire). 

6/ DOCUMENTER LA CONFORMITÉ
Pour prouver votre conformité au règlement, vous devez constituer et regrouper la documentation nécessaire. Les actions et documents réalisés à chaque étape doivent être réexaminés et actualisés régulièrement pour assurer une protection des données en continu.

LNE : Combien peut coûter à une PME ce type de démarche ?

Denis JACOPINI : Les établissements professionnels, associations et administrations doivent savoir qu’il n’y a aucune obligation de payer quoi que ce soit ou de faire appel à un professionnel. En effet, les organismes souhaitant entamer ou poursuivre leur démarche de mise en conformité peuvent réaliser eux même ces démarches. Le coût sera alors seulement lié au temps passé à réaliser cette démarche qui peut ne pas être négligeable selon la taille ou l’activité de votre structure. Cette démarche peut donc être gratuite pour un établissement qui aura choisi de se former de manière autodidacte ou ou remboursée en totalité si la formation que vous suivez est entièrement prise en charge par un organisme collecteur de la taxe formation.

En fait, le vrai prix dépend du contexte de départ, du volume d’éléments à améliorer et du temps consacré à la démarche de mise en conformité RGPD.

LNE : Quel type d’organisme accompagnez-vous dans leur démarche de mise en conformité ?

Denis JACOPINI : Tout organisme étant concerné, j’accompagne toute taille et tout type d’organisme. En fonction de la taille ou du secteur d’activité la démarche sera différente. Individuelle, de groupe, plus axée sur la formation, plus orientée sur l’accompagnement ou parfois encore, exclusivement basée sur la réalisation de la démarche de mise en conformité, nous nous adaptons à chaque organisme.

LNE : Comment bénéficier d’une démarche de mise en conformité gratuite ou pour avoir une formation prise en charge ?

La plupart des dirigeants savent aujourd’hui qu’ils peuvent demander la prise en charge de formations auprès de l’organisme auprès duquel ils versent leur taxe pour la formation professionnelle. Il vous suffit ensuite de nous formuler votre demande. Après quelques échanges, nous pouvons vous envoyer rapidement une proposition qu’il vous suffira de communiquer à votre organisme. Au terme de cette démarche administrative, un accompagnement personnalisé vous sera proposé afin de vous apprendre l’essentiel de la démarche et l’usage d’outils gratuits à mettre en oeuvre.

Mise en conformité RGPD. Attention aux arnaques…

Vous pensez avoir reçu une arnaque à la mise en conformité RGPD ?
Signalez ou demandez notre avis sur signalements@lenetexpert.fr

LNE : Combien coûte une mise en conformité pour une entreprise de petite taille ?

Denis JACOPINI : Il me paraît déjà important de préciser que si quelqu’un vous a dit qu’il est conforme RGPD, il y a de très forte chance que soit il n’ait rien compris à la démarche RGPD, soit que ce soit un menteur. En effet, un organisme n’est pas conforme RGPD ou non conforme RGPD. J’ajouterai même que personne n’est conforme RGPD. Par contre, on doit parler de  démarche de mise en conformité. Ainsi, soit un organisme a initié une démarche de mise en conformité, soit il n’a pas initié de démarche de mise en conformité.

Ensuite, les établissements professionnels, associations et administrations doivent savoir qu’il n’y a aucune obligation de payer quoi que ce soit ou de faire appel à un professionnel. En effet, les organismes souhaitant entamer ou poursuivre leur démarche de mise en conformité peuvent réaliser eux même ces démarches. Le coût sera alors seulement lié au temps passé à réaliser cette démarche qui peut ne pas être négligeable selon la taille ou l’activité de votre structure. Cette démarche peut donc être gratuite pour un établissement qui aura choisi de se former de manière autodidacte ou peut être remboursée en totalité si la formation que vous suivez est entièrement prise en charge par un organisme collecteur de la taxe formation.

En fait, le vrai prix dépend du contexte de départ, du volume d’éléments à améliorer et du temps consacré à la démarche de mise en conformité RGPD.

Quel type d’organisme accompagnez-vous dans leur démarche de mise en conformité ?

Tout organisme étant concerné, j’accompagne toute taille et tout type d’organisme. En fonction de la taille ou du secteur d’activité la démarche sera différente. Individuelle, de groupe, plus axée sur la formation, plus orientée sur l’accompagnement ou parfois encore, exclusivement basée sur la réalisation de la démarche de mise en conformité, nous nous adaptons à chaque organisme.

Comment bénéficier d’une démarche de mise en conformité gratuite ou pour avoir une formation prise en charge ?

La plupart des dirigeants savent aujourd’hui qu’ils peuvent demander la prise en charge de formations par l’organisme auprès duquel ils cotisent pour la taxe formation. Il suffit ensuite de nous formuler votre demande  pour que nous vous envoyons une proposition qu’il vous suffira de communiquer à votre organisme. Au terme de cette démarche administrative, un accompagnement personnalisé vous sera proposé afin de vous apprendre l’essentiel de la démarche et l’usage d’outils gratuits à mettre en oeuvre.

Récemment, la CNIL vient de mettre en place une nouvelle formation en ligne ouverte à tous (MOOC) intitulée « L’atelier RGPD ». Elle est proposée aux professionnels pour leur permettre de découvrir ou mieux appréhender le RGPD. Il vous permet ainsi d’initier une mise en conformité dans votre organisme et de vous aider à la sensibilisation des opérationnels.

Une attestation de suivi sera délivrée dans le Mooc à tout participant ayant parcouru la totalité des contenus et ayant répondu correctement à 80 % des questions par module…[lire la suite]

52 % des entreprises ont indiqué avoir subi un rançongiciel « majeur » dans les 12 derniers mois

« Les entreprises se sentent parfois sous pression pour payer la rançon afin d’éviter les temps d’arrêt préjudiciables. À première vue, effectuer le paiement de la rançon semble être une manière efficace de restaurer les données, mais ce n’est qu’illusoire (…) En effet, une simple clé de chiffrement n’est pas un remède miracle et il faut souvent bien plus pour restaurer les données« , a expliqué Chester Wisniewski, Principal Research Scientist chez Sophos.

En France, plus de la moitié (61%) des responsables IT interrogés déclarent avoir pu restaurer leurs données à partir de sauvegardes sans payer la rançon. Dans 2 % de cas, le paiement de la rançon n’a pas permis de restaurer les données. À l’échelle mondiale, ce chiffre s’élève à 5 % pour les organisations du secteur public.

…[lire la suite]

Commentaire de notre Expert : Denis JACOPINI

La demande de rançon est la résultante dans la quasi totalité des cas de l’ouverture d’une pièce jointe à e-mail piégé ou le clic sur un lien aboutissant sur un site Internet piégé.

Les conséquences

Il n’est plus a rappeler qu’être victime d’un ransomware entraînent un arrêt de l’outil informatique, une perte de productivité et une dégradation de la réputation auprès des clients et partenaires.

Les solutions

Nous le répéterons jamais assez, les seuls moyens d’empêcher ce type de situation sont l’utilisations d’outils de filtrage et la sensibilisation. N’hésitez pas à nous contacter pour l’organisation de sessions de sensibilisation auprès de vos équipes pour leur apprendre à détecter e-mails et sites Internet malvéillants, en quasi totalité à l’origine des rançongiciels dans les systèmes informatiques.