XY Magazine

By Régis BAUDOUINSociety & Culture News Education Self-Improvement Personal Journals Tech News

XY Magazine episodes

March 29, 2025 La cyber insécurité en chiffres
La cyber insécurité en chiffres c’est traduire en données l’ensemble des risques avérés en 2024
La tendance sur plusieurs années est que le sentiment de menace augmente (+33%) par rapport à l’an dernier. ce sentiment provient de l’expérience d’attaques (50% des entreprises ont subit une attaque) et de la hausse consécutive des budgets consacrés à la protection cyber.
Le secteur public semble réagir avec un meilleur suivi des prescription ANSSI et des budgets enfin en hausse.
Qui sont les principales victimes
Une analyse par secteur permet de déterminer que les entreprises en lien avec des finances sont les plus visées
Les banques et les assurances sont en première ligne le public juste derrière. Étonnant le troisième place des entreprises de restauration et hébergement.
Le sentiment d’exposition à la menace est en hausse avec parfois un écart avec la réalité des attaques subies. Les acteurs de la distribution d’eau et électricité se sentent très menacés mais dans la réalité ne sont pas ceux qui subissent le plus d’attaques.
Egalement plus l’entreprise en grosse plus elle se sent sous la menace cyber, ce qui n’est pas le cas non plus.
Les budgets cyber en hausse
Si l’on ramène le montant des dépenses en cyber sécurité par salarié on se situe à moins de 15€
C’est assez peu compte tenu des couts des dispositifs de protection. Cependant 59% des entreprises ont un budget cyber en hausse. Le sentiment est que les entreprise font assez d’effort. Pourtant les attaques augmentent. C’est assez ambivalent de voir que la mesure dit à la fois que les décideurs se sentent menacés. Que le budget consacré à la cyber menace m’est pas très important et que au final ils pensent que c’est suffisant.
Les budgets sont principalement consacrés à la protection des données
C’est la principale peur des décideurs. En effet perdre ses données, c’est souvent provoquer une réaction en chaine qui abouti à la fermeture de l’activité. C’est de plus le ventre mou du système d’informations car beaucoup d’accès sont nécessaires en permanence.
Les principales mesure de protection concernent des mesures physiques d’accès, la mise en place de pare feux et la sécurisation des postes de travail.
Quand on les interroge sur leur ressenti par rapport à ces mesures prises, 33% n’ont pas confiance en ces mesures. Pourtant ils les financent.
Pour se protéger les entreprises font appels à des ESN externes spécialisés. Sur ce type de solution elles préfèrent les solutions packagées.
La prise de conscience de la menace cyber est bien présente. Les entreprises augmentent leurs exigences de sécurité mais ne savent pas toujours dans quelle direction mettre le budget. La fonction est externalisée à des ESN spécialisées. La notion de souveraineté comment à poindre tout comme la prise en compte des référentiels ANSSI. Le travail de fond d’évangélisation doit continuer
Source
Baromètre 2024 de la cyber sécurité
The post La cyber insécurité en chiffres first appeared on XY Magazine.
8 min
March 15, 2025La cyber criminalité toujours plus forte
La cyber criminalité toujours plus forte
La cyber criminalité toujours plus forte. De part sa nature la cyber menace reste le principal risque. Le monde digitalisé et l’affranchissement des frontières place les systèmes numériques face à une menace toujours plus forte.
Tendances de la cyber criminalité en 2024
L’année 2024 a été marquée par une pression “omniprésente et persistante” des acteurs cybercriminels d’une part, et des acteurs “réputés liés à la Russie et à la Chine” d’autre part. Clairement l’ANSSI désigne la menace par pays.
Le nombre de signalement a augmenté de de 15% des signalements traités par rapport à 2023 (4386 signalements en 2024).
Les attaquants liés à l’écosystème cybercriminel, à la Chine et à la Russie constituent les trois principales menaces pour les systèmes d’information critiques et l’écosystème national.
C’est ici l’illustration de la guerre hybride que mènent ces pays contre les démocraties. Avec peu de moyens et à distance, ils mènent une guerre de désinformation, de perturbation.
2. Exploitation des Vulnérabilités sur les Équipements de première ligne:
Les attaquants ont largement profité des “nombreuses vulnérabilités non corrigées sur des équipements en bordure des systèmes d’information pour s’y introduire”, compromettant souvent “des centaines voire des milliers d’équipements dans un temps très bref”.
Les concepteurs de structures de réseaux et de logiciels associés sont encore trop peu préoccupés de sureté.
Le CERT-FR a traité 40 dossiers de coordination de vulnérabilités en 2024, un chiffre en augmentation constante.
Plusieurs évolutions réglementaires, notamment l’adoption du Cyber Resilience Act (CRA) par l’UE en octobre 2024, visent à améliorer la sécurité des produits et la prise en compte des vulnérabilités, avec une obligation de signalement.
Ce ne sont pas les textes qui vont dissuader les cyber attaquants. Il faut avant tout disposer de mesures et contre mesures. Etre le plus souverain possible sur la maitrise des codes sources et des dispositifs.
3. Ciblage de la Chaîne d’Approvisionnement (Supply Chain) :
Les attaques visant la chaîne d’approvisionnement “pour atteindre des cibles finales d’intérêt” se poursuivent et sont en “constante expansion depuis la fin des années 2010”.
Ces attaques peuvent cibler des logiciels (compromission d’éditeurs, ajout de code malveillant dans des projets open source comme l’attaque contre XZ Utils en 2024) ou des prestataires de services informatiques. Dans ce domaines les collectivités et services publics sont visés en priorité.
Les groupes cybercriminels exploitent également le “manque de maturité de certains prestataires de services dans leurs pratiques de sécurité”.
4. Évolution de l’Outillage et des Infrastructures d’Attaque :
Réseaux et infrastructures d’anonymisation : Leur utilisation se poursuit, notamment par des acteurs “réputés liés à la Chine” et, dans une moindre mesure, à la Russie. Ces réseaux complexifient l’attribution des attaques.
Utilisation des mêmes ressources par différents acteurs : “Des codes et des services malveillants d’origine cybercriminelle sont également utilisés par des hackers réputés étatiques.” On constate bien des échanges d’informations entre la Chine et la Russie et des groupes criminels qui agissent comme des corsaires.
Mercenariat et prestataires de service : Le secteur continue sa croissance, avec un écosystème diversifié incluant des entreprises privées, des mercenaires et des prestataires travaillant pour des états. La fuite de données de l’entreprise chinoise I-SOON a révélé ses liens avec plusieurs hackers réputés chinois et illustre un modèle où le ciblage peut se faire en vue d’un contrat ultérieur avec des entités gouvernementales.
Ciblage des appareils mobiles : Les logiciels espions fournis par des entreprises étrangères constituent une menace majeure pour l’acquisition de renseignement. Des cas d’espionnage de personnalités politiques ont été rapportés.
5. Finalités des Attaques :
Attaques à but lucratif : Elles restent importantes, principalement via le rançongiciel et le vol de données. L’activité des groupes de rançongiciel s’est maintenue à un niveau élevé en 2024. Les attaquants ciblent de plus en plus les serveurs de stockage Cloud et les hyperviseurs. L’ANSSI a suivi 144 compromissions par rançongiciel en 2024, avec LockBit 3.0, Ransomhub et Akira comme souches les plus représentées.
Désorganisation de l’écosystème cybercriminel : L’année 2024 a été marquée par le démantèlement partiel de groupes majeurs comme LockBit et l’exit scam de BlackCat, entraînant une réorganisation de l’écosystème avec l’émergence de nouveaux groupes moins sophistiqués utilisant des codes sources divulgués. C’est le principe de ces groupes d’être fluides et adaptatifs.
Déstabilisation : On note une “hausse des attaques à finalité de déstabilisation, notamment opérées par des groupes hacktivistes.” Ces attaques ont ciblé de petites installations industrielles (énergie renouvelable, assainissement de l’eau), avec des actions ayant parfois mené à l’arrêt d’installations. Les attaques par DDoS ont connu une “intensité accrue” en 2024, ciblant des entités publiques et privées, y compris des infrastructures de télécommunications critiques comme le Réseau interministériel de l’État (RIE).
Espionnage : Les attaques à finalité d’espionnage restent celles qui mobilisent le plus les équipes de l’ANSSI. Les entités stratégiques sont des cibles récurrentes des acteurs étatiques. On a observé des campagnes liées à des intérêts stratégiques russes (APT28, Nobelium), chinois (Mustang Panda, RedJuliette) et iraniens (APT42) ciblant divers secteurs (gouvernemental, diplomatique, recherche, télécommunications, transport maritime). Le ciblage du secteur des télécommunications est particulièrement intense, avec l’utilisation d’outils spécifiques et des compromissions pouvant durer plusieurs années. Les compromissions d’opérateurs de télécommunications sont susceptibles de porter atteinte à la confidentialité des données échangées par les utilisateurs.
Conclusion :
Le Panorama de la cybermenace 2024 de l’ANSSI dresse un tableau préoccupant d’une menace persistante et en évolution. L’augmentation des signalements, l’exploitation continue des vulnérabilités, le ciblage sophistiqué de la chaîne d’approvisionnement, la diversification des outils et des infrastructures d’attaque, ainsi que la montée des attaques à visée de déstabilisation soulignent la nécessité pour les organisations de tous secteurs de renforcer significativement leurs mesures de cybersécurité.
Qui sont les cyber criminels qui ciblent la france
En 2024, la France a été confrontée à la menace de divers acteurs cyber, comme le soulignent les sources :
L’écosystème cybercriminel : Ce groupe constitue une menace omniprésente et persistante. Les acteurs cybercriminels sont principalement motivés par le gain financier, à travers des activités telles que les attaques par rançongiciel et l’extorsion, ainsi que le vol et la fuite de données. L’ANSSI a observé un maintien à un niveau élevé de l’activité cybercriminelle en 2024. Des groupes de rançongiciels, malgré des opérations de démantèlement, restent très actifs et ciblent indistinctement la plupart des secteurs, en privilégiant les pays riches. L’utilisation d’infostealers dans les chaînes d’infection menant aux rançongiciels s’est intensifiée. De nombreuses entités françaises, publiques et privées, ont été victimes de fuites de données diffusées par ces acteurs.
Acteurs réputés liés à la Russie : Ces acteurs représentent également une menace persistante pour la France. Leurs activités sont souvent orientées par la recherche d’informations pouvant soutenir les efforts militaires ou diplomatiques russes, notamment dans le contexte de la guerre en Ukraine. Des modes opératoires tels qu’APT28 (associé au GRU) et Nobelium (réputé lié au SVR) ont continué à cibler des secteurs d’intérêt stratégique pour la Russie, incluant des entités gouvernementales, diplomatiques et de recherche françaises. Ces acteurs utilisent des réseaux d’anonymisation et montrent une porosité avec des outils d’origine cybercriminelle. Certains groupes hacktivistes pro-russes peuvent également être affiliés à des États.
Acteurs réputés liés à la Chine : Tout comme les acteurs liés à la Russie, ils constituent une menace majeure pour la France. Leurs motivations principales sont l’espionnage stratégique et économique, ciblant de larges secteurs et zones géographiques. L’utilisation de réseaux d’anonymisation est une caractéristique de ces acteurs, complexifiant leur identification et leur suivi. L’ANSSI a observé un ciblage intense du secteur des télécommunications en France par ces acteurs.
Groupes hacktivistes : Ces groupes, souvent motivés par des causes politiques ou idéologiques et liés à l’actualité internationale (guerre en Ukraine, conflit au Proche-Orient), ont intensifié leurs attaques à finalité de déstabilisation en 2024. Ils recourent principalement aux attaques par DDoS, à la défiguration de sites web et aux revendications d’exfiltration de données. Des tentatives de sabotage de petites installations industrielles ont également été observées. Des groupes pro-russes et pro-palestiniens ont été particulièrement actifs autour des JOP24.
Acteurs offensifs réputés iraniens : Ces acteurs ont été associés à des opérations d’espionnage à l’encontre de think tanks, d’organismes de recherche et d’universités françaises. Le mode opératoire APT42 a été employé pour cibler des individus et, dans une moindre mesure, des organisations considérées comme une menace pour la stabilité du régime iranien, incluant des chercheurs, journalistes et dissidents.
Mercenariat et prestataires de service : L’ANSSI constate le développement d’un écosystème privé au sein des États, notamment en Chine, ainsi que l’existence d’entreprises de lutte informatique offensive privée (LIOP), de mercenaires et de prestataires travaillant pour des États. Ces acteurs fournissent des outils et des services offensifs qui peuvent être utilisés par divers commanditaires, y compris des acteurs étatiques et cybercriminels, complexifiant l’attribution des attaques. Le ciblage des appareils mobiles est une des menaces majeures liées à ces acteurs, avec l’utilisation de logiciels espions.
Il est important de noter que l’ANSSI observe une porosité croissante entre ces différents profils d’attaquants, avec l’utilisation des mêmes outils et infrastructures par des acteurs aux motivations diverses. Cette complexité rend l’attribution des attaques de plus en plus difficile.
Source
Rapport ANSSI sur la menace cyber en 2024
L’ANSSI renforce ses compétences
The post La cyber criminalité toujours plus forte first appeared on XY Magazine.
12 min
March 09, 2025L'ANSSI renforce ses compétences pour notre souveraineté
L’ANSSI renforce ses compétences pour notre souveraineté et défendre notre modèle de société.
L’ANSSI renforce ses compétences pour notre souveraineté
Changement de paradigme pour les institution sécuritaires en Europe
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) a publié ce mois ci un document sur l’évolution de sa doctrine.
Selon le plan stratégique de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour 2025-2027, plusieurs évolutions de la doctrine sont à noter :
Élargissement du champ d’action de l’agence : L’action de l’ANSSI, initialement axée sur la sécurité numérique des infrastructures critiques et les administrations de l’État, évolue pour englober tous les pans de l’économie et de la société face à la diversification des attaquants et à la présence croissante du numérique. Cette évolution reconnaît que la menace cyber affecte désormais les collectivités territoriales, les TPE et PME, et même les équipements informatiques des citoyens.
Accent sur la résilience cyber collective : La nouvelle stratégie nationale de cybersécurité pour la France, dans laquelle s’inscrit le plan de l’ANSSI, fixe un nouveau cap en termes de développement d’une résilience cyber collective. Cela implique un effort coordonné et partagé entre les acteurs publics et privés, notamment par le biais d’investissements technologiques et du renforcement de la cyberdéfense de la Nation.
Adaptation à une menace massifiée et diversifiée : Face à la massification de la menace cyber et à l’évolution constante des modes opératoires des attaquants (ciblage de téléphones portables, compromission massive d’équipements de sécurité), l’ANSSI se donne pour priorité d’amplifier et de faciliter l’accès aux capacités de prévention et de réponse. Cela nécessite également de développer des méthodes plus automatisées pour faire face aux menaces de masse.
Intégration du nouveau cadre de régulation cyber européen : L’ANSSI doit préparer et accompagner le changement d’échelle induit par l’évolution du cadre réglementaire européen (NIS 2, CRA, RIA, eIDAS, CSA). Cela inclut la mise en œuvre progressive de ces directives et règlements, ainsi que la simplification des règles de cybersécurité nationales pour en favoriser l’adoption. L’ANSSI se voit également confier de nouvelles missions de contrôle et de supervision.
Renforcement de la gouvernance et de la coordination : L’action publique cyber requiert une évolution dans la gouvernance et la coordination des acteurs. L’ANSSI entend refonder ses modes d’interaction avec ses parties prenantes dans une logique de co-construction et permettre au collectif national des acteurs de la cybersécurité d’amplifier leurs actions. Elle pilotera la politique de résilience cyber de la France en coordination avec d’autres administrations.
Développement et partage d’expertises de pointe : Il est indispensable de maintenir un haut niveau d’expertise et une maîtrise autonome des savoirs scientifiques et technologiques en matière de cybersécurité. L’ANSSI aura pour priorité de développer des expertises de pointe en lien avec l’évolution des technologies (IA, cloud, cryptographie post-quantique) et de partager le plus largement possible ses connaissances.
Promotion d’une action cyber européenne et internationale efficace : L’ANSSI, en tant que cheffe de file cyber pour la France, portera l’ambition de consolider les piliers de la cybersécurité européenne et de développer les capacités de l’Union européenne. Elle s’impliquera dans la mise en œuvre harmonisée des réglementations, soutiendra le développement d’un marché unique de solutions de confiance, et promouvra la coopération internationale.
Prise en compte des enjeux sociétaux : Le plan stratégique intègre une nouvelle dimension en renforçant la prise en compte des enjeux sociétaux tels que l’impact environnemental du numérique, la diversité et l’inclusion, la transparence de l’action de l’ANSSI, et l’adaptation du fonctionnement de l’Agence à l’évolution des usages et des organisations de travail.
La cyber sécurité se place au centre des enjeux numériques. toute la société est concernée maintenant par ce risque. Il ne s’agit pas seulement de ce défendre mais de mettre en place un politique de combat de la cyber sécurité.
Nouvelle priorités stratégiques de l’ANSSI
Axe 1 : Amplifier et coordonner la réponse cyber face à la massification de la menace Face à la menace cyber qui touche désormais tous les pans de la société, l’ANSSI se donne pour priorité d’amplifier et de faciliter l’accès aux capacités de prévention et de réponse.
Axe 2 : Développer les expertises indispensables pour contrer les menaces cyber Maintenir un haut niveau d’expertise et une maîtrise autonome des savoirs est essentiel pour la cyberdéfense et la souveraineté.
Axe 3 : Promouvoir une action cyber européenne et internationale efficace L’ANSSI, en tant que cheffe de file cyber pour la France, portera l’ambition de consolider et de développer la cybersécurité au niveau européen.
Axe 4 : Renforcer la prise en compte des enjeux sociétaux dans l’action de l’ANSSI L’ANSSI a un devoir d’exemplarité dans la prise en compte des enjeux sociétaux dans son domaine d’activité.
Le Cloud au centre des préoccupations
Bien que l’expression exacte “cloud souverain” ne soit pas directement mentionnée dans le document plusieurs éléments abordent des concepts qui y sont étroitement liés, notamment en ce qui concerne la sécurité des services cloud et la promotion de solutions de confiance au niveau national et européen. C’est un point clé face à ce qui se profile aux USA et en Chine autour de ces technologies.
L’ANSSI, constate une augmentation des attaques contre les environnements cloud visant à la fois les fournisseurs et leurs clients à des fins lucratives, d’espionnage et de déstabilisation. Face à cette menace, l’agence souligne la nécessité de maîtriser la surface d’exposition aux attaques et de protéger les identités, les accès et les données dans le cloud.
Dans l’axe stratégique visant à promouvoir une action cyber européenne et internationale efficace, l’ANSSI prévoit de soutenir le développement d’un marché unique dynamique de solutions de confiance. Cela passe notamment par une implication forte dans la révision du règlement sur la cybersécurité (CSA), considérant la certification européenne comme un outil clé pour apporter davantage de confiance et de transparence sur le niveau de sécurité des produits et services. L’ANSSI cherchera à promouvoir le modèle français de certification de services et à renforcer le cadre existant. C’est le SECNUMCLOUD.
De plus, l’ANSSI soutiendra le développement de nouveaux services de cybersécurité de confiance au niveau européen et encouragera la mise en place de parcours de cybersécurité adaptés au niveau de maturité des organisations.
Source : document ANSSI
Autre article menace sur le cloud
The post L’ANSSI renforce ses compétences pour notre souveraineté first appeared on XY Magazine.
12 min
March 02, 2025L'Agence du Numérique des Forces de Sécurité Intérieure
L’Agence du Numérique des Forces de Sécurité Intérieure (ANFSI) a été créée en septembre 2023 pour moderniser les systèmes d’information et de communication de la police et de la gendarmerie nationales.
Partons à la découverte de cette nouvelle agence de sécurité.
L’Agence du Numérique des Forces de Sécurité Intérieure
L’agence est responsable du développement, de la mise en œuvre et de la sécurité des systèmes, en mettant l’accent sur l’amélioration des outils numériques pour les forces de l’ordre et le public.
À sa tête est nommé le général de corps d’armée Frédéric Aubanel. J’aurais voulu vous en dire plus sur le Général Aubanel, mais il n’est pas sur linkedin.
Missions de l’ANFSI
L’Agence du Numérique des Forces de Sécurité Intérieure (ANFSI) a pour mission le développement, la mise en œuvre et la sécurité des systèmes d’information, des équipements numériques et des applications au profit des forces de sécurité intérieure. L’ANFSI est compétente en matière de construction et de pilotage des infrastructures, des terminaux et des équipements périphériques à destination des services et des unités, des personnels de la gendarmerie nationale et des agents de la police nationale.
Les missions de l’ANFSI comprennent:
La conception et la conduite de projets concernant les systèmes d’information, de communication et de commandement, ainsi que les technologies connexes, en collaboration avec les directions et services opérationnels.
L’assurance de la maîtrise d’œuvre des systèmes opérationnels de la gendarmerie nationale et de la police nationale, sans préjudice des projets mutualisés ou interministériels. L’ANFSI peut également jouer un rôle de maîtrise d’ouvrage en fonction des projets.
L’organisation de la convergence des systèmes d’information et de communication, ainsi que des outils numériques des deux forces, lorsque cela est pertinent, en s’appuyant sur les solutions mutualisées ministérielles et interministérielles.
L’animation de la politique d’innovation technologique du ministère de l’Intérieur et des Outre-mer pour les missions de sécurité intérieure.
L’ANFSI poursuit un triple objectif:
Intensifier la capacité de production.
Intégrer les enjeux technologiques d’avenir.
Renforcer les couches techniques socles indispensables au bon fonctionnement des systèmes d’information, en mettant l’accent notamment sur la cybersécurité.
L’ANFSI est organisée en six directions spécialisées:
Communications tactiques et maîtrise de l’environnement électromagnétique.
Architecture et sécurité du système d’information.
Appui à l’investigation.
Applications d’appui au commandement.
Proximité numérique et appui à l’innovation.
Supports opérationnels.
L’ANFSI est une fonction de support technologies des forces de sécurité dans le domaine de la police.
Quels sont les projets en cours
Plusieurs projets sont menés par la Direction de la Sécurité et de l’Architecture (DSA) de l’ANFSI. En particulier, l’ANFSI doit assurer une transition fluide pour garantir la disponibilité des applications pour les gendarmes et policiers, sans interrompre les projets en cours.
Pour mener cette mission l’ANFSI compte déjà 378 agents mais doit en recruter 175 de plus. C’est un vrai défi car les postes sont très spécialisés. sur le Site ANFSI l’annonce est très bien placée :
Officiers, sous-officiers, personnels civils, gendarmes ou policiers, vous disposez de compétences techniques dans le domaine des nouvelles technologies et des systèmes d’information ?
Devenez acteur de la transformation numérique du ministère de l’Intérieur et des Outre-mer en prenant part à la grande aventure numérique au sein de l’ANFSI.
Rendez-vous sur notre plateforme dédiée pour y découvrir les nombreux postes à pourvoir : https://choisirleservicepublic.gouv.fr/nos-offres/filtres/mot-cles/anfsi/
Parmi les projets en cours, on trouve:
L’ANFSI pilote actuellement 5 projets majeurs au service des forces de l’ordre. Travailler en mobilité, assurer une sécurité des messages, se repérer, identifier. Ce sont des missions de bases. Les moyens digitaux actuels permettent de faciliter le travail des agents.
NÉO 2: Terminaux mobiles (smartphones, tablettes) dotés d’un écosystème sécurisé unique.
UBIQUITY: Poste de travail nomade offrant la puissance de consultation et de traitement du poste de travail fixe du gendarme en mobilité.
SOCLE GEOLOC: Plateforme centralisant et optimisant la géolocalisation des moyens matériels des forces de sécurité intérieure.
SOCLE CARTOGRAPHIQUE: Base de données géographiques unifiée pour renforcer la coordination et l’efficacité des forces de sécurité en opération.
CHEOPS/PROXYMA: Systèmes d’authentification optimisés pour les agents des forces de sécurité intérieure.
Sources :
Création ANFSI
The post L’Agence du Numérique des Forces de Sécurité Intérieure first appeared on XY Magazine.
10 min
February 22, 2025Menace sur le Cloud
Menace sur le Cloud. Les cyber attaques restent à un haut niveau de risque. C’est le risque principal pour toutes vos applications personnelles et professionnelles. Vous utilisez tous le cloud h24 donc la menace est permanente sur vos données. Des exemples ? Facebook,netflix, spotify, gmail ; tous cela c’est du Cloud.
Source ATALASSIAN
Etat des menaces
En 2025, le cloud computing est confronté à des risques et menaces variés, ciblant à la fois les fournisseurs et les clients de services cloud. Les attaquants, motivés par des gains financiers, l’espionnage ou la déstabilisation, intègrent de plus en plus le cloud dans leurs opérations.
Beaucoup d’offres Cloud ne disposent pas du niveau de sécurité suffisant et les utilisateurs ne sont pas assez prudents considérant le Cloud comme sécurisé par design.
Voici les principaux risques et menaces:
Dans le domaine des attaques et des motifs, on retrouve les mêmes que pour le domaine de la cyber menace. La différence est que le Cloud est un empilement de trois couches, infra, réseau, service.
Menaces ciblant les fournisseurs et opérateurs d’infrastructures cloud :
Attaques à des fins lucratives:
Rançongiciels: Les opérateurs de rançongiciels constituent une menace majeure pour les fournisseurs de services cloud, compromettant la confidentialité et l’intégrité de leurs données.
Vol de données d’authentification et compromission de la chaîne d’approvisionnement: Les attaquants ciblent les fournisseurs de services cloud pour accéder aux secrets d’authentification, permettant la latéralisation vers les systèmes d’information en aval et augmentant les risques d’attaques sur la chaîne d’approvisionnement.
Attaques à des fins d’espionnage:
Des opérateurs de MOA sophistiqués ciblent les fournisseurs de services cloud à des fins d’espionnage.
Exploitation de vulnérabilités: L’exploitation de vulnérabilités, y compris les vulnérabilités jour-0 (zero day), est un levier couramment utilisé pour compromettre les services cloud.
Attaques à des fins de déstabilisation par déni de service: De nombreux opérateurs cloud sont confrontés à des attaques par déni de service (DoS/DDoS) de plus en plus importantes.
Menaces ciblant les clients de services cloud:
Attaques à des fins lucratives:
Attaques menées au moyen de secrets d’authentification volés: Le vol de données sur le cloud expose les entreprises à des risques majeurs, qu’il s’agisse de données sensibles ou de secrets d’authentification.
Latéralisation des environnements on-premise vers le cloud: L’émergence d’infrastructures hybrides augmente le nombre de vecteurs d’entrées et de latéralisation potentiels.
Extorsion aux données volées: Les attaques à des fins d’extorsion sur le cloud n’impliquent pas nécessairement le chiffrement de données.
Détournement de ressources et nouvelles tendances: Les applications de virtualisation sont régulièrement ciblées dans l’objectif d’y déposer des cryptomineurs.
Attaques à des fins d’espionnage: Les technologies cloud sont également ciblées par des attaquants à la recherche de renseignements d’intérêt.
Attaques à des fins de déstabilisation: Des interfaces cloud clientes peuvent également être ciblées à des fins de déstabilisation.
Menaces internes: Les menaces internes, opérées par des employés mécontents ou motivés par des objectifs lucratifs, sont également susceptibles de cibler les infrastructures cloud de leurs organisations.
Menaces ciblant les applications de virtualisation et composants de gestion matérielle:
Les technologies de virtualisation sont des cibles de choix en raison de la cohabitation des activités, des données et des clients.
Attaques à des fins lucratives: Les technologies de virtualisation et d’hypervision sont ciblées par des opérateurs de rançongiciels.
Attaques à des fins d’espionnage: D’autres campagnes d’attaques témoignent du ciblage de ces technologies à des fins d’espionnage.
Il est important de noter qu’une des tendances identifiées par l’ANSSI est l’utilisation des services cloud comme infrastructures d’attaques, ce qui complexifie la détection des activités malveillantes. De plus, l’application de lois extraterritoriales peut poser des problèmes de protection des données, en particulier si le prestataire de services cloud est non européen.
Risques de loi extraterritoriales
Le recours à un service de cloud opéré par un prestataire non européen présente des risques spécifiques liés à l’application de lois à portée extraterritoriales. Ces lois peuvent obliger les hébergeurs à transmettre les données de leurs clients aux autorités sans recours ni information de ces derniers, ce qui pose un risque pour la confidentialité des données hébergées dans le cloud. Le chiffrement des données n’offre pas toujours une protection adéquate, surtout si les clés de chiffrement sont également stockées dans le cloud.
Certains hébergeurs sont soumis à des législations spécifiques telles que le Cloud Act et le FISA américains, ou la loi sur le renseignement chinoise, permettant aux autorités d’accéder aux données conservées dans le cloud, y compris en dehors de leurs territoires. Même si Azure ou Amazon opèrent en France se sont des entreprises étrangère qui obéissent à leur gouvernement.
L’utilisation de services cloud étrangers peut également entraîner des difficultés en matière de sécurité des données hébergées. Des différences de normes de sécurité, de transparence, ou l’absence de contrôle direct sur les infrastructures peuvent complexifier la gestion de la sécurité des infrastructures et des données. De plus, il peut y avoir des risques concernant la disponibilité des données et applications, car la prestation cloud peut être soumise à des restrictions à l’exportation ou à des sanctions.
Afin de répondre à cette menace, la version 3.2 du référentiel d’exigences pour les prestataires de services d’informatique en nuage SecNumCloud intègre des exigences assurant une protection face à l’application de ces lois extraterritoriales. Il est indispensable d’évaluer ces risques au cas par cas.
L’évaluation est vite faite. hors secnumcloud, vous êtes presque toujours soumis à la loi US chez les principaux acteurs du marché. Ou exposés à des risques sécuritaires chez des Cloud providers amateurs.
Exemples de menaces pesant sur les utilisateurs
Les menaces ciblant les clients des services cloud peuvent entraîner des compromissions de données sensibles, de l’extorsion via rançongiciel et des perturbations de service. Les outils spécialisés en gestion des accès et des identités ainsi que les applications de messagerie et de travail collaboratif sont particulièrement visés.
Ces menaces peuvent être regroupées selon les motivations des attaquants:
Attaques menées au moyen de secrets d’authentification volés: Le vol de données sur le cloud expose les entreprises à des risques majeurs, qu’il s’agisse de données sensibles ou de secrets d’authentification. D’après la société THALES, 47% des données professionnelles hébergées sur le cloud peuvent être considérées comme sensibles, tandis que 44% des organisations ont déjà subi une fuite de donnée cloud.
Une base de données mal sécurisée peut permettre à des attaquants d’accéder à des informations confidentielles (comme des informations financières ou personnelles) en exploitant des failles de sécurité, telles que des mots de passe faibles ou des permissions mal configurées.
Un espace de stockage de type bucket S3 mal configuré peut entraîner une fuite de données sensibles si les règles de partage sont trop permissives, rendant les fichiers accessibles à toute personne disposant d’un lien direct.
Les secrets d’authentification comme les clés API non protégées peuvent également être récupérés et utilisés pour accéder aux services cloud, notamment des bases de données ou des applications critiques.
Hand holdings weak and strong password.
Attaques à des fins d’espionnage: Les technologies cloud sont également ciblées par des attaquants à la recherche de renseignements d’intérêt.
Au cours d’investigations sur des cas de compromission de comptes de messagerie OFFICE 365, l’ANSSI a pu observer à plusieurs reprises que les attaquants, pour maintenir le plus longtemps possible leurs accès frauduleux, avaient ajouté des adresses courriels de secours, généré de jetons de secours à usage unique, enregistré des identifiants ou des équipements de confiance additionnels, voire activé des règles de transfert automatique de courriels.
Plus récemment, en octobre 2023, l’agence spatiale japonaise, la JAPAN AEROSPACE EXPLORATION AGENCY (JAXA), aurait été touchée par une campagne d’attaques ayant mené à la compromission de ses services cloud O365.
Les équipes de GOOGLE CLOUD auraient observé des opérateurs de MOA réputés liées à la Chine s’introduire dans des environnements cloud en utilisant des techniques pour se dissimuler dans le trafic réseau légitime et ainsi complexifier la détection.
L’ANSSI constate également un intérêt grandissant des opérateurs de MOA réputés liés aux intérêts chinois pour les environnements cloud, notamment par l’usage d’outils disponibles en sources ouvertes adaptés à des opérations de reconnaissance et de compromission des environnements cloud.
Attaques à des fins de déstabilisation: Des interfaces cloud clientes peuvent également être ciblées à des fins de déstabilisation.
En juillet 2022, le MOA Mango Sandstorm, réputé lié au ministère du Renseignement de la république islamique d’Iran, aurait été utilisé pour chiffrer et détruire les environnements on-premise et cloud de plusieurs entités israéliennes.
Le MOA Volt Typhoon, réputé lié à la Chine et utilisé pour compromettre des infrastructures critiques potentiellement à des fins de prépositionnement, voire de déstabilisation, aurait également été employé pour cibler des environnements cloud.
Menaces internes: Les menaces internes, opérées par des employés mécontents ou motivés par des objectifs lucratifs, sont également susceptibles de cibler les infrastructures cloud de leurs organisations.
En 2023, un employé de la banque américaine FIRST REPUBLIC a ainsi été condamné à 24 mois de prison pour avoir porté atteinte à l’environnement cloud de son entreprise ainsi que pour avoir volé du code source de valeur.
Continuité d’activité
Pour assurer la continuité d’activité dans un environnement cloud, il est fortement recommandé de planifier et d’implémenter un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA).
Voici les recommandations à suivre pour les clients de fournisseurs de services cloud (CSP) :
Planifier et implémenter un PCA et un PRA Il est essentiel de mettre en œuvre les moyens techniques et humains permettant, suite à un incident de sécurité, de maintenir les activités ou services dans un mode dégradé et de faciliter le retour à un fonctionnement nominal. Ces plans doivent être révisés et testés régulièrement pour assurer leur pertinence et leur applicabilité en situation de crise.
Élaborer un plan de communication de crise Un plan de communication doit être prévu et testé pour permettre une communication efficace en cas de crise. Ce plan doit identifier les parties prenantes à alerter (autorités, partenaires, clients, prestataires, etc.), les informations attendues, les moyens de communication et les éléments devant être disponibles hors ligne.
Appliquer les bonnes pratiques de prévention contre les attaques par déni de service Les attaques par déni de services doivent être prises en compte lors du déploiement d’infrastructure de services et infrastructure dans le cloud. Il est recommandé de faire appel à des prestataires capables de gérer les attaques DDoS avant un incident et de prévoir l’intermédiation de services de distribution de contenu (CDN) pour les téléservices importants. Une vigilance particulière doit être portée sur le plafonnement des coûts.
Utiliser les options de sauvegardes sécurisées Une politique de sauvegarde des données hébergées dans le cloud devrait être définie et maintenue à jour. Pour les actifs les plus critiques, une sauvegarde hors ligne devrait être prévue afin de garantir une restauration en cas de crise. En fonction du niveau de sensibilité des données, les sauvegardes devraient être chiffrées afin d’en garantir la confidentialité.
En complément, les fournisseurs de services cloud (CSP) devraient :
Sauvegarder leur infrastructure et proposer une offre de sauvegarde sécurisée Le prestataire devrait mettre en œuvre une procédure de sauvegarde hors-ligne de la configuration de l’infrastructure technique et mettre à disposition de ses clients un service de sauvegardes sécurisée de leurs données.
Cela peut paraitre étonnant mais ce n’est pas toujours le cas. L’exemple le plus connu est l’incendie de OVH de Strasbourg dont les sauvegardes étaient stockées au même endroit. elles ont brulé avec les serveurs.
Planifier et implémenter un PCA et un PRA Afin de maintenir ou de restaurer l’exploitation du service et d’assurer la disponibilité des informations, le prestataire devrait mettre en œuvre un plan de continuité et de reprise d’activité (PCA/PRA) ainsi qu’un bilan d’impact sur l’activité.
C’est souvent une option du contrat SAAS qui n’est pas prise en raison du cout. Le moment venu on en comprend la rentabilité. Ce service permet aussi d’assurer la haute disponibilité du service en cas de panne mineure.
Fournir des services et options de protection contre les attaques par déni de service Les prestataires de service cloud devraient prévoir des mesures de sécurité contre les attaques par déni de service dans l’élaboration de leur offre de service et communiquer clairement les options disponibles et les niveaux de couvertures associés à leurs clients.
Comment vous protéger
Pour les services grand public
Au quotidien vous êtes exposés au Cloud, spotify, netflix, icloud. Utilisez des mots de passe long et complexes, la double authentification, même si c’est pénible. Faites des copies de vos données sur plusieurs supports. Je pense en particulier à vos photo souvenirs.
Investissez dans un cloud privé à domicile. Les serveurs NAS sont accessibles pour les petits volumes et vous assure une copie privée de toutes vos données. C’est la solution qui vous assure une plus grande confidentialité des données mais il faut l’administrer un minimum.
Pour les services professionnels
Vouloir être son propre hébergeur est une erreur de base. Il faut trouve un Cloud provider de confiance. secnumcloud si possible. souscrire à l’option PRA PCA et avoir un site de sauvegarde à froid à l’extérieure du réseau.
Sources
L’ANSSI publie son état de la menace sur le cloud computing
The post Menace sur le Cloud first appeared on XY Magazine.
11 min
February 15, 2025L'intelligence artificielle à la place de votre médecin
L’intelligence artificielle à la place de votre médecin, comme tous les domaines la médecine fait face à l’intelligence artificielle.
Les domaines d’intervention de l’Ia dans la santé sont divers.
Remplacer le médecin par une IA , un défit éthique
Le remplacement des médecins par l’intelligence artificielle (IA) soulève d’importantes questions éthiques, bien que l’objectif actuel soit plutôt de les assister et de les améliorer dans leurs pratiques. L’IA est perçue comme un outil pour améliorer la qualité des soins, optimiser les processus et redonner du temps aux soignants.
Cadre éthique et réglementaire: Le développement et l’utilisation de l’IA en santé doivent se faire dans un cadre éthique clair et rigoureux. La cellule Éthique du numérique en santé du ministère de la Santé travaille activement sur ces enjeux, avec la publication de recommandations de bonnes pratiques pour la mise en œuvre de l’éthique “by design”. Ces recommandations visent à intégrer des valeurs éthiques dès la conception des systèmes d’IA, et à valider les solutions proposées pour éviter les aléas. Un référentiel de l’éthique de l’IA en santé, attendu pour 2025, définira des critères dans plusieurs catégories : bienfaisance, non-malfaisance, autonomie, justice-équité, sobriété numérique et développement durable.
Formation et accompagnement des professionnels de santé: Il est crucial de former les professionnels de santé à l’utilisation de l’IA, en mettant l’accent sur ses opportunités et ses limites. La formation à l’IA est une priorité stratégique pour développer la confiance et accompagner la transformation numérique du système de santé. Un plan ambitieux vise à former 140 000 professionnels par an dans les filières médicales, paramédicales et sociales.
Gouvernance et qualité des données: La qualité des données de santé est essentielle pour le développement et la validation des systèmes d’IA. La Plateforme des Données de Santé (Health Data Hub) joue un rôle clé dans la mise à disposition de données de qualité pour la recherche et l’innovation. Une stratégie nationale pour l’utilisation secondaire des données de santé est en cours d’élaboration pour assurer une déclinaison efficace du règlement européen sur l’espace européen des données de santé (EEDS).
Évaluation et validation des systèmes d’IA: L’évaluation technologique est un levier important pour développer la confiance des utilisateurs et mettre en évidence l’intérêt des technologies. La HAS travaille sur de nouveaux cadres d’évaluation des dispositifs médicaux numériques (DMN) avec IA, impliquant l’écosystème. Une expérimentation pilote sera lancée en 2025 pour évaluer l’impact médico-économique de l’aide au diagnostic et à la lecture des ECG avec de l’IA, afin d’accompagner les médecins généralistes dans leur pratique clinique.
L’idée du ministère de la santé, n’est donc pas de remplacer les médecins, mais de créer une collaboration fructueuse où l’IA assiste les professionnels de santé, améliorant ainsi la qualité des soins et l’accès à ceux-ci.
Selon document du ministère, pour le moment, le médecin reste en maitrise des décisions. Il n’est pas question de laisser l’IA donner un diagnostic à une personne non médecin pour appliquer.
D’autres spécialités sont concernées par l’IA. tout ce qui concerne les diagnostics par imagerie sont très impactés par l’intelligence artificielle qui peut détecter mieux qu’un humain une maladie.
L’intelligence artificielle peut faciliter l’accès aux soins
L’intelligence artificielle (IA) offre des perspectives considérables pour améliorer l’accès aux soins, réduire les inégalités et optimiser les parcours des patients. Plusieurs initiatives et stratégies sont en cours pour exploiter ce potentiel en France.
En intégrant des outils d’IA dans les parcours de soins, il devient possible de réduire les délais d’attente et de fluidifier l’accès aux soins.
Des exemples d’initiatives régionales incluent :
L’IA peut optimiser les parcours de soins en automatisant certaines tâches administratives, en facilitant l’aide au diagnostic et en rendant les processus de soins plus fluides. Cela permet de libérer du temps médical et d’améliorer la coordination entre les différents acteurs du système de santé. L’IA peut devenir un allié stratégique pour permettre aux soignants de se recentrer sur les malades.
Dans ce cas le médecin intervient-il car comment gagner du temps si il doit toujours tout maitriser?
La Haute Autorité de Santé (HAS) a publié un guide généraliste d’aide au choix des dispositifs médicaux numériques (DMN) utilisés par les professionnels de santé, incluant ceux embarquant de l’IA. Ce guide a pour objectif d’orienter les professionnels de santé et les acheteurs de DMN à usage professionnel dans leurs choix, en leur permettant d’identifier les principales questions clés à se poser.
La Plateforme des Données de Santé (Health Data Hub) joue un rôle central dans le développement d’outils de diagnostic et de dépistage basés sur l’IA. Créée en 2019, elle soutient actuellement 168 projets, dont 54 % sont portés par des hôpitaux et 28 % impliquent des industriels, avec environ 40 % utilisant des méthodes d’intelligence artificielle.
Parmi les projets phares soutenus par la plateforme, on peut citer :
HYDRO (Implicity) : développement d’un algorithme prédictif pour détecter les crises de décompensation cardiaques chez les porteurs de pacemakers, grâce au croisement de données cliniques et de la base principale du SNDS.
INNERVE (Quantmetry – APHP) : création d’un outil basé sur l’IA pour diagnostiquer les neuropathies à petites fibres à partir d’images médicales.
DEEP.PISTE (CRDC Occitanie) : optimisation du dépistage organisé des cancers du sein grâce à des modèles d’IA avancés.
Ces initiatives contribuent à améliorer l’accès aux soins, à réduire les inégalités et à optimiser les parcours des patients en utilisant l’IA pour faciliter le diagnostic, améliorer la coordination des soins et soutenir la prise de décision médicale.
Intelligence artificielle et prévention
L’intelligence artificielle (IA) joue un rôle de plus en plus important dans la prévention en santé, transformant la manière dont les soins sont prodigués et dont les patients sont pris en charge.
L’IA permet de personnaliser les recommandations de santé, d’anticiper les risques et d’améliorer l’éducation sanitaire. Les outils numériques intégrant l’IA peuvent adapter les messages de prévention aux besoins spécifiques de chaque individu, en s’appuyant sur les données de santé disponibles, ce qui ouvre la voie à une approche plus proactive, visant à identifier les risques en amont et à proposer des actions ciblées pour améliorer le bien-être global.
Accompagnement au développement d’innovations: La stratégie d’accélération « Santé numérique » (SASN) de France 2030 a investi jusqu’ici 500 millions d’euros, dont 50 % sont dédiés à des projets intégrant de l’IA. Parmi ces projets, on trouve le développement de nouveaux dispositifs médicaux connectés pour la détection précoce de pathologies cardio-métaboliques. On trouve aussi le développement d’outils d’analyse d’images s’appuyant sur l’IA pour aider les pathologistes dans leur diagnostic et mieux orienter les cliniciens dans leur décision thérapeutique.
Médecine et efficience
Le développement d’un modèle économique durable pour l’intelligence artificielle (IA) dans le secteur de la santé, basé sur les gains d’efficience, est une question cruciale pour assurer son adoption et son intégration à grande échelle. Plusieurs éléments sont à prendre en compte pour structurer ce modèle économique, en s’appuyant sur les initiatives et stratégies mises en place en France et en Europe.
Pour structurer un écosystème favorable au développement et à l’utilisation de l’IA, il faut des modèles économiques viables qui assurent l’adoption de l’IA par les établissements de santé et son accessibilité pour les professionnels de santé et les patients.
Évaluation et tarification : Il est impératif d’étudier des modèles d’évaluation et de tarification spécifiques pour les outils d’IA en santé. L’objectif est de démontrer l’intérêt médico-économique de ces dispositifs afin de justifier leur financement. Une expérimentation pilote sera lancée en 2025 pour évaluer l’impact médico-économique de l’aide au diagnostic et à la lecture des électrocardiogrammes (ECG) avec de l’IA, accompagnant ainsi les médecins généralistes dans leur pratique clinique.
Financements dédiés à l’évaluation: La stratégie d’accélération « Santé numérique » consacre des financements à la génération de preuves de l’intérêt de l’IA en santé et à la création de lieux d’émergence des innovations technologiques de l’IA en santé. Par exemple, 70 millions d’euros sont alloués pour démontrer l’intérêt médico-économique des dispositifs médicaux numériques, dont ceux avec IA.
Utilisation secondaire des données de santé : Les données de santé jouent un rôle stratégique dans le développement et la validation des IA en santé. La mise en œuvre d’une stratégie nationale pour l’utilisation secondaire des données de santé est essentielle pour assurer une déclinaison nationale efficace du règlement européen sur l’espace européen des données de santé (EEDS). Cette stratégie vise à renforcer les droits des personnes sur leurs données de santé, harmoniser les règles de partage des données, créer un marché unique pour les outils informatiques de gestion des dossiers médicaux électroniques (DME), et mettre en place un cadre européen de gouvernance du numérique en santé.
Ce dernier point pose des questions. il pose le sujet que nos données de santé seront utilisées pour générer des modèles. Les conditions d’exploitation ne sont actuellement pas claire. On parle de souveraineté mais certaines sont hébergés sur des systèmes non souverains
L’IA en chiffres
Quelques éléments chiffrés pour mesurer les moyens mis en œuvre pour l’intelligence artificielle en médécine.
Financement global de la stratégie d’accélération “Santé numérique” : 500 millions d’euros, dont 50% dédiés à des projets intégrant l’IA. Cette enveloppe soutient des initiatives variées, allant du développement de dispositifs médicaux connectés à l’analyse d’images médicales et aux plateformes de suivi patient.
Soutien à l’IA dans les technologies d’imagerie médicale : 90 millions d’euros. Cette somme illustre l’importance accordée à l’amélioration des outils de diagnostic et de dépistage grâce à l’IA, avec des projets comme AICOO qui vise à créer un parcours patient plus fluide et rapide en imagerie médicale.
Budget de l’appel à projets sur les entrepôts de données de santé (EDS) : 75 millions d’euros, ayant permis d’accompagner la constitution d’EDS hospitaliers. Ces entrepôts jouent un rôle central dans l’exploitation des données hospitalières pour stimuler la recherche et l’innovation.
Financement de 15 projets par l’appel à projets DAtAE (Données de Santé et Applications) : 3,5 millions d’euros. Cette initiative met en avant le rôle central des entrepôts de données de santé (EDS) dans l’exploitation des données hospitalières pour stimuler la recherche et l’innovation.
Financement du projet PARTAGES par le programme France 2030 : 6,9 millions d’euros, mobilisant 20 hôpitaux et 10 équipes de recherche pour mettre l’intelligence artificielle générative au service des professionnels de santé.
Nombre de professionnels de santé et médico-sociaux à former annuellement au numérique, notamment sur l’IA : 140 000, avec un objectif de 70 000 apprenants formés dès la rentrée universitaire 2024/2025 et 500 000 sur 5 ans.
Il ressort que le sujet dépôt de données est largement financé. Dans le domaine de l’intelligence artificielle, c’est le coeur du réacteur. Il faut des données pour entrainer l’IA. C’est presque 80 millions investis.
Ces montant doivent être consolidés au niveau européen afin que l’impact soit aussi fort que ce qu’investissent les USA et la Chine.Sources
Ministère de la santé, mettre l’intelligence artificielle au service de la santé.
Régulation de l’IA en Europe
Intelligence artificielle et IA, INSERM
The post L’intelligence artificielle à la place de votre médecin first appeared on XY Magazine.
14 min
February 08, 2025L'Europe régule l'intelligence artificielle
L’Europe régule l’intelligence artificielle. Ce texte classifie des solutions IA et impose des obligations selon les niveaux. Le Règlement Européen sur l’Intelligence Artificielle ( RIA) établit des structures de gouvernance aux niveaux européen et national, avec des autorités compétentes chargées de la surveillance du marché et de l’application des règles. L’objectif principal est d’encadrer l’IA de manière éthique et responsable, tout en favorisant l’innovation et la compétitivité de l’UE. L’entrée en vigueur du RIA se fera de manière échelonnée à partir de février 2025.
L’Europe régule l’intelligence artificielle
Trois niveaux de risques sont définis.
Inacceptable : Exemples : la notation sociale, l’exploitation de la vulnérabilité des personnes, le recours à des techniques subliminales, l’utilisation par les services répressifs de l’identification biométrique à distance en temps réel dans des espaces accessibles au public, la police prédictive ciblant les individus, reconnaissance des émotions sur le lieu de travail et dans les établissements d’enseignement.. Ces IA sont interdites (sauf… et on verra les sauf.)
Haut risque : Les plus réglementés. Exemples : systèmes biométriques, des systèmes utilisés dans le recrutement, ou pour des usages répressifs.
Risque limité : Obligation d’information et de transparence, (chatbots, deepfake),
Risque minimal : non règlementé, (jeux vidéo, filtres anti spam)
L’Europe régule l’intelligence artificielle
Après cette introduction, on peut se demander pourquoi ce texte alors que les USA et la Chine qui sont bien plus en avancé n’ont pas de régulation et surtout mettent en œuvre des niveaux IA qui sont inacceptables en Europe.
L’Europe régule l’intelligence artificielle (IA) principalement pour encadrer son développement, sa mise sur le marché et son utilisation, afin de minimiser les risques qu’elle peut poser pour la santé, la sécurité et les droits fondamentaux. L’objectif est de promouvoir une IA digne de confiance tout en renforçant la compétitivité de l’UE dans ce domaine.
Il y a également un risque pour la sécurité en particulier dans les transports ou la santé si l’IA n’est pas contrôlée pour minimiser les risques d’accidents et de défaillances.
Coté manipulation de l’information, on sait déjà que l’IA est très utile. En période électorales des IA peuvent massivement manipuler les opinions en diffusant des information plausibles mais fausses.
Encadrement des systèmes à haut risque : Certains systèmes d’IA présentent un risque plus élevé en raison de leur utilisation ou de leur impact potentiel. Le RIA établit une classification des risques et impose des obligations spécifiques aux systèmes d’IA considérés comme à haut risque. Cela inclut des domaines comme la biométrie, l’emploi, l’éducation, l’accès aux services essentiels, l’application de la loi, la gestion des migrations et l’administration de la justice.
Maîtrise des modèles d’IA à usage général (GPAI) : Les modèles d’IA à usage général, comme les grands modèles de langage (LLM), ont la capacité de réaliser de nombreuses tâches, ce qui les rend potentiellement plus puissants mais aussi plus risqués. Le RIA encadre ces modèles avec des exigences de transparence, de documentation et d’évaluation des risques systémiques. Les fournisseurs de ces modèles doivent notamment fournir un résumé détaillé des jeux de données d’entraînement, respecter les droits d’auteur et assurer une cybersécurité adéquate.
Harmonisation du marché européen : La réglementation vise à créer un cadre juridique commun pour l’IA dans l’ensemble de l’Union européenne. Cela permet d’éviter une fragmentation du marché et d’encourager l’innovation tout en assurant un niveau de protection élevé pour les citoyens. Les systèmes d’IA autorisés obtiendront le “marquage CE”.
Soutien à l’innovation et compétitivité : Bien qu’il s’agisse d’une réglementation, l’AI Act a aussi pour objectif de favoriser l’innovation en définissant un cadre clair et en encourageant les développeurs à intégrer l’IA de manière responsable. Les Testing and Experimentation Facilities for AI (TEF) sont là pour soutenir les PME et les industries dans l’évaluation de leurs systèmes d’IA.
Pourquoi les grandes entreprises critiquent ce règlement
Voici les principales implications de l’IA Act pour les entreprises européennes, d’après les sources :
Principalement en raison des contraintes que cela fait peser sur le développement de solutions d’intelligence artificielles. Les pays concurrents que sont les USA et la Chine et l’Inde ne sont pas soumis à ces règles sur leurs territoires.
Il faut avouer que l’IA fait peur aux consommateurs et que si ils ont le choix ils préfèrent souvent une relation humaine. L’obligation d’informer sur les Chatbot peut freiner leur développement alors que les entreprises veulent les utiliser.
Les entreprise doivent document leur IA génératives. Le risque est d’informer les concurrents sur les solutions en oeuvre. Mais aussi de devoir avouer que leur intelligence est en fait juste un programme IF THEN ELSE pas du tout basé sur des technologies d’IA.
L’interdiction de certaines solutions IA par le règlement va totalement stoppé les recherches ne Europe. Alors même que les systèmes de reconnaissance et de profilage ont des applications dans le domaine de la défense et la sécurité. Devrons nous les acheter en Chine avec tous les risques sur nos données ?
Le RIA vous protège-t-il sur le lieu de travail
Beaucoup de salariés peuvent se faire assister dans leur travail par des IA. Cela leur apporte des bénéfices mais peut les mettre aussi en risque.
Attention particulière aux relations de travail: Le règlement accorde une attention particulière à l’utilisation de l’intelligence artificielle dans le cadre des relations de travail. De nombreux systèmes d’IA sont déjà utilisés pour accomplir des tâches diverses, souvent sous la supervision d’employés assistés par des algorithmes. Cet environnement professionnel est perçu comme étant particulièrement vulnérable aux risques pour la santé, la sécurité, et le respect des droits fondamentaux.
Le RIA laisse l’initiative aux Etats membres. Le règlement ne crée pas de cadre spécifique pour les relations de travail, sauf exception. Il permet aux États membres d’adopter des mesures législatives ou réglementaires supplémentaires au niveau national pour renforcer la protection des travailleurs face à l’utilisation des systèmes d’IA. Cette approche laisse aux États membres une certaine latitude pour adapter le cadre réglementaire aux particularités de leur législation nationale.
Réglementation stricte pour les systèmes à haut risque: Les systèmes d’IA à haut risque qui comprennent des cas d’usage spécifiques comme le recrutement ou la gestion des employés, sont soumis à une réglementation stricte. Les employeurs devront informer les représentants des travailleurs avant l’introduction de tels systèmes et veiller à respecter les réglementations en vigueur.
Contrôle humain effectif: Les systèmes d’IA déployés doivent garantir un contrôle humain effectif, ce qui est particulièrement important dans le domaine de l’emploi, où les décisions prises par l’IA peuvent avoir des conséquences significatives sur la vie des travailleurs. Le recrutement en particulier va être impacté par l’IA. des entreprise font déjà passer les premiers entretiens en vidéo par des IA.
Le cas des IA inacceptables
Comme le règlement l’indique certaines IA sont inacceptables. Sauf que des cas sont prévus. C’est ce type de texte qui introduit le loup dans la bergerie et va au final permettre des excès.
Le règlement sur l’IA (AI Act) interdit l’utilisation de certains systèmes d’IA considérés comme présentant un risque inacceptable, mais prévoit des exceptions dans des cas spécifiques.
Voici les principaux points concernant les exceptions aux interdictions des IA inacceptables :
Motifs de sécurité et d’ordre public:
Dans le cadre de l’application de la loi, l’identification biométrique à distance en temps réel dans les espaces publics est interdite, sauf dans des situations strictement définies. Ces exceptions comprennent la recherche ciblée de personnes disparues, de victimes d’enlèvement ou de personnes ayant fait l’objet d’un trafic d’êtres humains ou d’une exploitation sexuelle. Cela implique que le système est déjà en place et fonctionne en permanence.
L’identification est également autorisée pour prévenir une menace spécifique, substantielle et imminente pour la vie ou la sécurité physique, ou une attaque terroriste prévisible. De plus, elle peut être utilisée pour identifier des suspects dans des crimes graves tels que le meurtre, le viol, le vol à main armée, le trafic de stupéfiants et d’armes illégales, le crime organisé et les crimes environnementaux.
L’utilisation de l’IA dans ces cas doit être justifiée par la nécessité d’éviter un préjudice grave, en tenant compte des droits et libertés des personnes concernées. Avant le déploiement, une évaluation d’impact sur les droits fondamentaux doit être réalisée et le système doit être enregistré dans la base de données de l’UE. Dans les cas d’urgence dûment justifiés, le déploiement peut commencer sans enregistrement préalable, à condition qu’il soit enregistré ultérieurement sans délai indu.
Conclusion, l’Etat va pouvoir faire comme il voudra, même a postériori.
Autorisation judiciaire ou administrative:
Avant le déploiement, une autorisation d’une autorité judiciaire ou administrative indépendante est requise. En cas d’urgence justifiée, le déploiement peut commencer sans autorisation préalable, à condition qu’une autorisation soit demandée dans les 24 heures. Si l’autorisation est rejetée, le déploiement doit cesser immédiatement et toutes les données, résultats et sorties doivent être supprimés.
Pourquoi faire un texte si contraignant pour prévoir des mécanismes de contournement si forts ? On terminera sur cette question pour vous laisser réagir.
Sources :
Loi européenne sur l’intelligence artificielle
CNIL, entrée en vigueur du règlement européen sur l’IA
Article sur la surveillance algorithmique
The post L’Europe régule l’intelligence artificielle first appeared on XY Magazine.
12 min
February 01, 2025Comment les réseaux sociaux donnent accès à vos données personnelles
Comment les réseaux sociaux donnent accès à vos données personnelles. Le Laboratoire d’innovation numérique de la CNIL (LINC) a testé pour vous les principaux réseau sociaux. C’est bien le rôle de la CNIL de veiller à ce que les citoyens puissent accéder à ces données.
Nous allons aller aux résultats. Déjà quels sont vos droits en matière de données personnelles avec les réseaux sociaux.
Comment les réseaux sociaux donnent accès à vos données personnelles
Tous les réseaux ont intégrés un formulaire de demande et d’accès. Selon leur modèle économique c’est plus ou moins important. Si on prend discord, son modèle est de vendre des abonnements, pas de s données. Si on prend Google c’est plutôt la vente de données.
Droit sur les données personnelles
Ce droit vous est donné par le RGPD. Règlement Général de Protection des données. C’est un règlement européen qui vous permet de disposer d’un certains nombre de droit en matière de données personnelles.
Le droit d’accès est un droit prévu par le règlement général sur la protection des données ou RGPD. Il permet de savoir si vos données personnelles sont traitées par le réseau social et d’en obtenir la communication dans un format compréhensible. Éventuellement de les faire rectifier.
Il permet également de contrôler l’exactitude des données et, au besoin, de les faire rectifier ou effacer.
C’est un droit fondamental de nos jours.
Quels sont les réseaux sociaux testés
Le LINC a sélectionné 10 réseaux sociaux parmi les plus utilisés en Europe et en France : Discord, Facebook, Instagram, LinkedIn, Meta, Pinterest, Snapchat, TikTok, Twitch, X (ex-Twitter), YouTube.
On peut déjà constater que aucun n’est Français, ni européen. C’est un bon moyen de se rendre compte de notre dépendance.
L’objectif est de constater si le parcours pour l’utilisateur est simple et réalisable.
Les résultats montrent des disparités entre les plateformes, avec des scores variant de 44% à 76,5% de bonnes pratiques appliquées. On va regarder tout cela.
Méthode de comparaison entre les réseaux sociaux
L’analyse des parcours utilisateurs, réalisée par le LINC, était divisée en trois grandes étapes:
Informations préalables : Cette étape examine comment les personnes sont informées de l’existence du droit d’accès et de ses modalités avant de commencer la démarche. Cela comprend l’évaluation de la présence d’informations dans la politique de confidentialité et de la facilité avec laquelle les utilisateurs peuvent trouver ces informations. L’analyse évalue également si le réseau social propose un moteur de recherche interne pour trouver l’information liée au droit d’accès.
Exercice de la demande d’accès: Cette étape se concentre sur le processus de demande de copie des données personnelles. Elle évalue si la procédure est simple, claire et accessible, notamment grâce à un formulaire dédié. La disponibilité d’un espace de consultation des données en direct, la possibilité de faire une demande même sans compte, la fluidité du parcours, et la disponibilité de la procédure sur tous les supports sont également examinés. De plus, l’analyse vérifie si la différence avec le droit à la portabilité est bien expliquée et si une notification de la prise en compte de la demande est envoyée.
Réception et consultation des données : Cette dernière étape analyse la manière dont les données sont transmises à l’utilisateur, les formats disponibles et la clarté des informations fournies. Elle évalue notamment la présence de notifications de disponibilité des données, les modalités d’envoi des données, les formats de données proposés, et la présence d’une aide à la lecture des données. L’analyse porte également sur la structure des données et la clarté de leur formulation.
Pour chacune de ces étapes, des critères spécifiques étaient définis. Les critères étaient répartis selon trois angles d’analyse :
En plus de ces 27 critères, une question supplémentaire était posée à la fin de chaque étape pour évaluer si les informations étaient adaptées aux mineurs. Ces questions s’appuient sur les lignes directrices du CEPD sur la transparence, notamment sur la section “Fournir des informations aux enfants et aux autres personnes vulnérables”. L’analyse a été faite en comparant les informations mises à disposition pour un compte adulte et un compte mineur.
Quels sont les résultats
L’efficacité globale des processus d’accès aux données personnelles sur les réseaux sociaux étudiés varie considérablement, avec une moyenne de 44% à 76,5% des bonnes pratiques recensées dans la grille d’analyse qui sont mises en œuvre. Voici les principaux constats :
Globalement, les réseaux sociaux mettent en place des parcours d’accès automatisés. En moyenne, il faut 4 clics pour accéder au formulaire de demande depuis la page d’accueil d’un réseau social et le temps d’attente moyen avant de recevoir les données est de 19 heures et 23 minutes.
Les points d’amélioration concernent tous les réseaux sociaux, en particulier l’adaptation de l’information aux mineurs. En effet, aucun des réseaux sociaux étudiés ne propose une version de l’information complètement adaptée à un public de 15/16 ans.
Les parcours d’accès ont été évalués à l’aide de comptes fictifs créés pour l’étude, avec un profil majeur (adulte) et un profil mineur (15/16 ans). Les demandes ont été effectuées entre le 30 janvier et le 6 février 2024.
Parmi les 10 réseaux sociaux observés, les meilleurs scores en terme de pourcentage de bonnes pratiques implémentées pour l’ensemble du parcours sont YouTube (77%) et Instagram et TikTok (73%), et les scores les plus faibles sont Discord et Pinterest (60%).
Tous les réseaux sociaux étudiés proposent un parcours automatisé qui guide les utilisateurs dans la démarche, mais seulement 3 d’entre eux proposent un tableau de bord avec les données.
La majorité des plateformes notifient l’utilisateur que la demande est prise en compte, mais peu indiquent le temps d’attente maximal.
Les modalités d’envoi des données varient : dans l’espace du compte, par lien de téléchargement ou en pièce jointe.
Les formats de données varient également. Le format HTML est souvent utilisé, mais d’autres formats comme TXT, JSON et CSV sont également proposés.
La majorité des réseaux sociaux envoient des notices d’explication des données, mais elles ne contiennent pas toujours l’ensemble des informations utiles.
Aucun des réseaux sociaux étudiés ne propose un parcours intégralement en français.
Les informations ne sont pas bien adaptées aux mineurs, car aucune des plateformes n’offre une information complètement adaptée à ce public.
Liste des résultats classés du plus mauvais au plus conforme. Le meilleur est Youtube.
Source
Observatoire du droit d’accès sur les réseaux sociaux : le Laboratoire d’innovation numérique de la CNIL (LINC) publie son bilan
Précédent article sur la CNIL et sa stratégie
The post Comment les réseaux sociaux donnent accès à vos données personnelles first appeared on XY Magazine.
10 min
January 25, 2025La surveillance algorithmique va se généraliser
La surveillance algorithmique va se généraliser. Avec les jeux olympiques, on en a beaucoup entendu parler en France.
Vous savez que vous êtes déjà filmé en permanence dans l’espace public. Comment sont exploitées ces captations ?
Qui les visionne ? C’est des personnes qui regardent, c’est un algorithme ? Qui a le droit d’en disposer et pourquoi ?
Différence entre la vidéo surveillance et la vidéo surveillance algorithmique
La vidéosurveillance et la vidéosurveillance algorithmique sont deux concepts liés, mais distincts.
Vidéosurveillance : Il s’agit de la mise en place de caméras de surveillance pour capturer des images et des vidéos dans des lieux publics ou privés. L’objectif principal est de prévenir et de détecter les infractions, ainsi que de garantir la sécurité des personnes et des biens. Il faut un humain pour exploiter les images.
Vidéosurveillance algorithmique (VSA) : La VSA est une évolution de la vidéosurveillance traditionnelle. Elle utilise des algorithmes pour analyser les images et les vidéos capturées par les caméras, afin de détecter des événements spécifiques, tels que des mouvements suspects, des incendies, ou des personnes non autorisées. La VSA peut également être utilisée pour reconnaitre des objets, des personnes ou des véhicules, et pour suivre leur trajectoire.
Analyse des données : La VSA utilise des algorithmes pour analyser les données capturées, tandis que la vidéosurveillance traditionnelle se contente de capturer les images et les vidéos.
Détection d’événements : La VSA est capable de détecter des événements spécifiques, tels que des mouvements suspects, tandis que la vidéosurveillance traditionnelle ne peut que capturer les images et les vidéos.
Intelligence artificielle : La VSA utilise des algorithmes d’intelligence artificielle pour analyser les données et prendre des décisions, tandis que la vidéosurveillance traditionnelle ne nécessite pas d’intelligence artificielle.
C’est l’ordinateur et son logiciel qui déterminent les faits. C’est sur ce point que réside le débat.
L’enjeu sociétale de la surveillance algorithmique
La généralisation de la vidéosurveillance algorithmique (VSA) soulève plusieurs enjeux éthiques et sociétaux importants, notamment en termes de libertés individuelles, de risques de dérives et d’efficacité du dispositif.
Voici quelques points clés à considérer :
Rassurer et sécuriser les citoyens en leur assurant qu’à tout moment toute infraction sera constatée et l’auteur identifié
Risque d’une surveillance généralisée : La VSA, couplée à la reconnaissance faciale, pourrait conduire à une surveillance permanente et exhaustive de l’espace public. Même sans reconnaissance faciale, les algorithmes permettent déjà de suivre des individus.
Dérives et utilisations détournées : Il existe un risque de détournement des finalités légales de la VSA, et d’une accoutumance à l’utilisation de cette technologie à des fins de surveillance. Les autorités pourraient être tentées d’étendre les cas d’usage de la VSA, et à terme, de légaliser la reconnaissance faciale en temps réel dans l’espace public.
Efficacité discutable et faux positifs : L’expérimentation de la VSA lors des JO de Paris a montré des résultats inégaux. Les algorithmes ont eu du mal à identifier les objets suspects, confondant des poubelles ou des SDF avec des colis abandonnés. Des vitrines éclairées ou des phares de voiture ont été pris pour des incendies. La VSA s’est avérée moins efficace dans les zones peu éclairées ou dans les espaces ouverts. Les alertes émises par les logiciels de VSA ont entraîné un nombre limité d’interventions. Seule la détection d’intrusion en zone interdite a semblé donner des résultats satisfaisants.
Manque de transparence : Des inquiétudes existent quant au manque de transparence entourant le développement et le déploiement de la VSA. Le rapport d’évaluation a été remis au ministère de l’Intérieur, mais il a été consulté par des journalistes. On dispose donc de quelques informations. Le coût de la surveillance algorithmique n’est pas une information publique.
Acceptation sociale et normalisation de la surveillance : La généralisation de la VSA pourrait banaliser la surveillance de masse et conduire à une acceptation accrue de cette technologie. Certains craignent que l’argument de la sécurité soit utilisé pour justifier le déploiement de systèmes de surveillance toujours plus intrusifs. Il y a un risque que l’usage de la VSA soit perçu comme normal et donc accepté par la population.
Impact sur les libertés individuelles et la vie privée : L’utilisation de la VSA implique la collecte et l’analyse de données personnelles, ce qui peut porter atteinte à la vie privée des individus. Il est important de s’assurer que ces données soient traitées de manière responsable et conformément à la loi. Il est important que le législateur réaffirme plusieurs principes généraux comme le contrôle des parlementaires et le renvoi à des projets de décrets soumis à la CNIL.
Enjeux économiques et industriels : Il existe des intérêts industriels français dans la généralisation du système, car il y a une demande des opérateurs de transports comme la SNCF et la RATP. L’expérimentation a également pour but de permettre aux entreprises françaises d’affiner leur produit pour attaquer des marchés porteurs à l’international.
En résumé, la généralisation de la VSA soulève des questions complexes qui nécessitent un débat démocratique approfondi. Il est essentiel de peser soigneusement les avantages potentiels de cette technologie en matière de sécurité, face aux risques qu’elle représente pour les libertés individuelles et la vie privée. Il faut aussi tenir compte de son efficacité, qui est loin d’être prouvée.
Expérimentation de Jeux Olympiques de Paris
Pendant les Jeux Olympiques de Paris 2024, un seul algorithme, Cityvision de la société Wintics, a été testé dans le cadre de l’expérimentation de la vidéosurveillance algorithmique (VSA).
Quels mots sur la société wintics. Leurs solutions sont utilisées par de nombreuses collectivités déjà. Il indique 2000 caméras connectées. Les serveurs sont installés chez les clients.
La société indique sur son site que tout est conçu en France. Selon la dernière AG, les actionnaires sont les fondateurs uniquement. On est bien dans le cadre d’une entreprise souveraine. C’est rassurant pour les données collectées.
Il est important de noter que plusieurs prestataires de VSA avaient répondu à l’appel d’offres initial, et que le ministère de l’Intérieur en avait initialement sélectionné trois (Wintics, Videtics et Chapsvision). Cependant, seul le logiciel Cityvision a été finalement utilisé pour l’expérimentation lors des JO.
Les tests ont été réalisés sur la moitié seulement des cas d’usage autorisés. De plus, certaines possibilités offertes par la loi, comme l’analyse d’images prises depuis des drones, n’ont pas été mises en œuvre en raison d’une maturité technologique insuffisante. L’expérimentation n’a donc pas permis de dresser un bilan complet sur la pertinence de la VSA en général.
Pour cet évènement, cette technologie n’a pas été déterminante. Par contre étant nouvelle il faut ce typez d’expérimentation pour se l’approprier. L’afflux de données à traiter peu finir par saturer les responsables de la sécurité qui ne sont pas mesure de dissocier le détail du risque.
Quelle est la situation dans d’autres pays
La situation concernant l’utilisation de la vidéosurveillance algorithmique (VSA) varie considérablement d’un pays à l’autre. Voici un aperçu de la situation dans certains pays, tel que mentionné dans les sources:
Chine: La Chine qui est une dictature est présentée comme un leader mondial en matière de surveillance de masse de sa population. Le pays possède un nombre très élevé de caméras de vidéosurveillance dans l’espace public, avec environ 375 caméras pour 1 000 habitants dans les villes en 2021, un ratio bien supérieur à celui de Paris. La Chine utilise de plus en plus la technologie de la reconnaissance faciale et l’automatisation de la détection des comportements. Le marché de la reconnaissance biométrique y est important.
Royaume-Uni et Espagne: Ces pays utilisent également des applications de reconnaissance faciale. Le royaume uni teste des camions mobiles équipés de caméras pour faire de la direction sur des points chauds.
Brésil: Des entreprises brésiliennes utilisent la lecture automatique de plaques d’immatriculation via des techniques de VSA.
États-Unis: Il y a eu des tentatives locales d’interdire ces systèmes, notamment pour les applications policières de reconnaissance faciale, mais le contexte politique et sécuritaire a conduit à remettre en cause ces actions. Malgré des inquiétudes, l’utilisation de la reconnaissance faciale à des fins de surveillance policière était acceptée par la majorité des Américains en 2022.
La France fait figure d’avant-garde en Europe en termes de stratégie de légalisation de la vidéosurveillance algorithmique.
Il est important de noter que, même dans les pays démocratiques, la reconnaissance faciale semble de plus en plus acceptée, malgré les inquiétudes des professionnels du secteur. Face à la monté du sentiment d’insécurité les citoyens doivent accepter la surveillance permanente.
Souces
Qu’est-ce que la vidéosurveillance algorithmique ? La quadrature du net
Le monde, rapport évaluation surveillance algorithmique
The post La surveillance algorithmique va se généraliser first appeared on XY Magazine.
12 min
January 12, 2025Les hôpitaux sont des passoires sécuritaires
Les hôpitaux sont des passoires sécuritaires, malheureusement ce sont vos informations les plus importantes qui sont ouvertes aux 4 vents.
https://youtu.be/SLzfFa3xb0U
Les hôpitaux sont des passoires sécuritaires pour plusieurs raisons :
Vos informations de santé sont aussi importants que ceux d’une banque. Vous ne lisez jamais d’article sur le fait qu’une banque a confié ses données à une société étrangère. Pour la santé l’assurance maladie se fait tranquillement héberger par Microsoft, vous êtes d’accord ?
Sous-investissement chronique en numérique: Les hôpitaux consacrent en moyenne seulement 1,7 % de leur budget d’exploitation au numérique, contre 9 % dans le secteur bancaire et 2 % dans l’industrie des biens de consommation. Cela conduit à une obsolescence des équipements et logiciels, rendant les systèmes d’information hospitaliers (SIH) plus vulnérables.
La menace cyber n’est pas prise en compte autant les personnels, les infrastructures et les logiciels ne sont pas en ligne avec le niveau de la menace
Complexité des systèmes d’information: Les SIH sont extrêmement complexes, comptant entre 80 et 500 applications informatiques, et jusqu’à 1 000 pour les plus grands CHU. Cette complexité rend difficile leur gestion et leur sécurisation. En vérité ce n’est pas de le complexité c’est de l’empilement sans politique cyber.
Interconnexion accrue: Les SIH sont de plus en plus interconnectés avec des systèmes externes, ce qui augmente leur surface d’attaque. L’utilisation croissante des objets connectés ajoute également à la complexité et aux risques. D’autres activités sont soumises à cette contraintes. Les solutions existent.
Manque de sensibilisation du personnel: Le personnel hospitalier n’est pas toujours suffisamment sensibilisé aux enjeux de la cybersécurité. Cela peut conduire à des comportements à risque, comme l’ouverture de messages malveillants ou l’utilisation de mots de passe faibles. C’est la partie surement la plus simple à traiter à court terme.
Ce sont vos données de santé qui sont en danger. Les hôpitaux démontrent la valeur qu’ils donnent à vos données en ne mettant pas les moyens nécessaires à leur protection.
Il ont fait le choix de ne pas les protéger pour investir ailleurs. C’est un mauvais calcul car les cyber criminels ont bien compris comment tirer parti de cette erreur.
Quelle sont les menaces
Les hôpitaux font face à une variété de menaces informatiques classiques qui peuvent perturber leurs opérations et compromettre la sécurité des patients. Les menaces les plus courantes incluent :
Compromission du système d’information: Ceci fait référence à des violations de bases de données et de codes confidentiels, entraînant un accès non autorisé à des informations sensibles.
Messages électroniques malveillants: L’hameçonnage ou phishing est une tactique courante où des messages frauduleux sont utilisés pour inciter les utilisateurs à divulguer des informations confidentielles.
Rançongiciels: Ces logiciels malveillants sont les plus destructeurs, car ils cryptent les données et exigent une rançon pour leur récupération. Les rançongiciels peuvent paralyser le système d’information hospitalier et menacer de divulguer ou de revendre des données de santé.
Attaques par déni de service: Ces attaques visent à rendre un serveur inaccessible en le surchargeant de requêtes, provoquant une panne ou une dégradation du service.
Défiguration de sites Web: Il s’agit d’un signe visible d’une attaque réussie où le contenu du site Web de l’hôpital est modifié par l’attaquant.
Face à ces menaces, les parades existent si on veut les mettre en place. En réalité toutes les entreprises sont soumises aux mêmes risques. L’incompétence des DSI hospitalières doit être interpellée ici.
Sur ce graphique clairement les hôpitaux français sont champion du monde de la mauvaise gestion de vos données de santé.
Les cybers criminels vont sur les domaines ou les failles sont les plus importantes. Le sujet ce n’est pas la santé, mais la défaillance de la structure de santé.
On le voit sur le schéma ci dessous. Les structures privées ont moins de signalements. Pourtant c’est le même métier.
Quelles sont les conséquences financières
Les cyberattaques peuvent avoir des conséquences financières désastreuses pour les hôpitaux. Les coûts engendrés par ces incidents peuvent être classés en deux catégories principales :
Coûts liés à la gestion de crise et à la reconstruction du système d’information :
Coûts de personnel : Paiement des heures supplémentaires pour assurer la continuité d’activité en mode dégradé et recrutement de personnel temporaire pour renforcer les équipes.
Coûts d’identification des failles et de remédiation : Embauche de prestataires externes spécialisés en sécurité informatique (PRIS) pour identifier les failles de sécurité exploitées lors de l’attaque, élaborer un plan de remédiation et reconstruire le système d’information.
Coûts de reconstruction et de remise en service : Dépenses liées à la reconstruction du réseau informatique, à la réinstallation des logiciels et des applications, et à la sous-traitance de certaines activités impactées par l’attaque (ex: analyses de laboratoires).
Autres coûts : Dépenses liées à la communication de crise (communiqués de presse, lettres d’information au personnel et aux patients), au transfert de patients vers d’autres établissements et au paiement de pénalités de retard dues aux difficultés de paiement des fournisseurs.
Pertes de recettes d’exploitation :
Diminution de l’activité : Déprogrammation d’interventions chirurgicales, report de consultations et fermeture temporaire de certains services, entraînant une baisse significative des recettes.
Difficultés de facturation : Paralysie du système d’enregistrement des actes médicaux, rendant impossible la transmission des données de facturation à l’assurance maladie et le recouvrement des recettes.
Délai de prescription des actes : Bien que la LFSS pour 2024 ait prolongé le délai de prescription des actes remboursables, les hôpitaux peuvent rencontrer des difficultés à rattraper la codification de leur activité a posteriori.
Les estimations des coûts et des pertes de recettes varient selon l’ampleur de l’attaque, la durée de la crise et la capacité de l’hôpital à se rétablir. Le tableau n° 4 du rapport de la Cour des comptes illustre l’impact financier de cinq cyberattaques survenues entre 2021 et 2024. On observe des coûts de gestion de crise et de remédiation pouvant atteindre 10 millions d’euros, et des pertes de recettes pouvant dépasser 20 millions d’euros.
L’absence d’une doctrine nationale claire en matière de soutien financier aux établissements victimes de cyberattaques engendre un traitement différencié selon les régions et les hôpitaux.
A qui sert le programme CARE
Le programme CaRE (Cyberaccélération et résilience des établissements), mis en œuvre de 2023 à 2027, vise à améliorer la cybersécurité des hôpitaux français en comblant le retard accumulé en matière d’investissements et de ressources pour la sécurité des systèmes d’information hospitaliers (SIH). Ce programme, doté de 750 millions d’euros, s’articule autour de quatre axes principaux :
1. La réalisation d’exercices de crise : Ces exercices, obligatoires pour 80% des établissements au premier semestre 2024, permettent de tester les procédures de réponse en cas de cyberattaque et de renforcer la capacité des équipes à réagir efficacement. Les retours d’expérience des hôpitaux ayant subi des attaques, tels que les centres hospitaliers d’Armentières et de Cannes, montrent que la pratique régulière d’exercices de crise permet de mieux gérer les incidents et d’en limiter les conséquences.
2. La sécurisation de l’exposition sur Internet et des annuaires techniques: CaRE finance des audits de sécurité et des actions de remédiation pour réduire la surface d’attaque des SIH et les protéger contre les intrusions externes. Le programme exige des établissements qu’ils atteignent un niveau minimal de sécurisation de leurs annuaires techniques (score d’au moins 2 sur une échelle à 5 niveaux) et qu’ils réalisent des audits d’exposition réguliers.
3. La mise en place de plans de continuité et de reprise d’activité (PCRA): Ces plans, essentiels pour garantir la continuité des soins en cas de cyberattaque, définissent les procédures à suivre pour maintenir ou restaurer les services critiques de l’hôpital. CaRE finance l’élaboration et la mise en œuvre de ces plans, ainsi que la mise en place de solutions techniques pour assurer la sauvegarde des données et la reprise rapide des activités.
4. Le renforcement de la sécurité opérationnelle: CaRE encourage l’adoption de bonnes pratiques en matière de sécurité informatique, telles que l’authentification multi-facteurs, la gestion centralisée des identités et des accès, la segmentation du réseau et la sensibilisation du personnel aux risques informatiques. Le programme finance également la mise en place de solutions techniques pour améliorer la surveillance des SIH et la détection des intrusions.
L’attribution des financements CaRE est conditionnée à l’atteinte d’objectifs précis, contrôlés par l’ANS. Cependant, le financement du programme n’est assuré que jusqu’à fin 2024, grâce aux crédits exceptionnels du « Ségur du numérique ». La Cour des comptes recommande de sécuriser la poursuite du programme CaRE jusqu’en 2027 en sanctuarisant une ligne de financement dédiée. Encore une fois, on a de bonnes intentions. On produit un plan sans les moyens. Au final vos données ne seront pas protégées.
Au-delà de 2027, il sera nécessaire de trouver des solutions pérennes pour financer la cybersécurité des hôpitaux, d’autant plus que les exigences en la matière vont s’accroître avec l’entrée en vigueur de la directive européenne NIS2.
Ce programme va couter 750 Millions d’Euro, mais seul 233 sont prévus, et ce n’est pas suffisant.
Quelles sont les recommandations à mettre en oeuvre
Face à la menace croissante des cyberattaques et à la vulnérabilité des systèmes d’information des hôpitaux, le rapport de la Cour des comptes formule cinq recommandations clés pour améliorer la cybersécurité des établissements de santé:
Recommandation n° 1 : Mettre en place un groupe national d’expertise chargé, en cas de cyberattaques d’ampleur exceptionnelle, d’évaluer les pertes de recettes à compenser et, pour les établissements les plus gravement affectés, d’accorder une dispense de codification a posteriori de leur activité hospitalière. Cette recommandation vise à pallier les difficultés rencontrées par les hôpitaux pour retrouver leur niveau d’activité après une cyberattaque et à compenser les pertes financières engendrées par la déprogrammation des activités.
Recommandation n° 2 : Mettre fin à l’utilisation d’un fonds de concours pour le financement de la Délégation au numérique en santé (DNS). Actuellement, le financement de la DNS provient en grande partie de fonds de concours issus du « Ségur du numérique ». La Cour des comptes recommande de mettre fin à ce dispositif et d’assurer le financement de la DNS par des crédits budgétaires, afin de soumettre ces dépenses à la discussion parlementaire.
Recommandation n° 3 : Conduire à son terme le programme CaRE (Cyber accélération et résilience des établissements). Le programme CaRE, doté de 750 millions d’euros sur la période 2023-2027, vise à financer des actions de rattrapage en matière de cybersécurité des hôpitaux. La Cour des comptes recommande de sécuriser les financements du programme au-delà de 2024, en sanctuarisant une ligne de financement dédiée au sein de l’Ondam.
Recommandation n° 4 : Mettre en place un audit périodique obligatoire pour tous les établissements de santé, qui pourrait être pris en compte dans le dispositif d’incitation à la qualité et dans la certification par la HAS. La Cour des comptes préconise la mise en place d’un audit technique global, périodique et obligatoire, réalisé par des auditeurs externes. Les résultats de cet audit, communiqués de manière confidentielle à l’établissement, à l’ARS et à l’ANS, permettraient d’évaluer le niveau de sécurité des SIH et de guider les actions de remédiation.
Recommandation n° 5 : Doter les groupements hospitaliers de territoire (GHT) de la personnalité morale. L’absence de personnalité morale des GHT constitue un frein à la convergence des systèmes d’information des établissements publics de santé. La Cour des comptes recommande de modifier le code de la santé publique afin de doter les GHT de la personnalité morale, leur permettant ainsi de disposer d’un budget autonome, de recruter du personnel et de gérer leur patrimoine.
La mise en œuvre de ces recommandations est essentielle pour améliorer la résilience des hôpitaux face aux cyberattaques et garantir la sécurité des patients et des données de santé.
Sources
Article du monde informatique ici
Rapport de la cour des comptes LA SÉCURITÉ INFORMATIQUE DES ÉTABLISSEMENTS DE SANTÉ
The post Les hôpitaux sont des passoires sécuritaires first appeared on XY Magazine.
12 min

About XY Magazine

From the publisher's feed

Le podcast de la génération X et Y. On traite de sujets touchant à la tech, innovation, cyber, souveraineté, sobriété, enjeux sociétaux

Share XY Magazine

Sign up to save your podcasts

XY Magazine

XY Magazine episodes

About XY Magazine