Gouvernance

Articles, Gouvernance, Informatique, Informatique, Publication

Mise à disposition par la Ville de Paris d’informations publiques sous licence libre

/

La Ville de Paris, par une délibération de son Conseil du 14 décembre 2010, a décidé de diffuser certaines de ses données sous la licence Open Source  » Open Data Base License  » (ODBL) et de construire une infrastructure de mise à disposition de ces données. Sont donc exclues les données ne constituant pas des  » informations publiques « .

Informatique, Informatique, Sécurité des SI

Techno-surveillance des salariés

/

L’accroissement des actes de fraude et de malveillance, perpétrés au sein des entreprises ces dernières années, ont conduit nombre d’entre elles à prendre des mesures en vue d’assurer la maîtrise de ce risque très particulier. Pour autant, la mise en oeuvre d’outils destinés à la surveillance des salariés ressort-elle du libre choix de l’entreprise

Conférences, Evénement, Gouvernance, Informatique, Informatique

Les directeurs de la sécurité informatique sont confrontés à un déficit de veille juridique

/

Au cours d’un entretien accordé à Aisg.info à l’occasion de la seconde édition de son ouvrage « Informatique et libertés » publié aux éditions Francis Lefebvre, Alain Bensoussan rappelle que les technologies de la communication sont aujourd’hui particulièrement concentrées (tout le monde possède un Iphone ou son équivalent) et que cette concentration technologique n’est toutefois pas combinée avec une concentration juridique. Même un avocat technologue a parfois des difficultés à suivre les évolutions techniques…

Gouvernance, Informatique, Informatique

Chartes d’entreprises et fraude informatique

/

Usurpation de codes informatiques, détournement des systèmes de protection, introduction d’opérations fictives dans le système d’information, autant de pratiques relancées par les récents événements survenus dans le secteur bancaire. Ces agissements sont susceptibles de recevoir une qualification pénale.Ainsi, de nombreuses dispositions (1) répriment avec rigueur la fraude informatique. Articulée autour de quatre incriminations,

Gouvernance, Informatique, Informatique

La directive protection des programmes d’ordinateur

/

Expertises judiciaires ICE et Audit Gouvernance des systèmes d’information La directive protection des programmes d’ordinateur Un objectif affiché de « clarté et de rationalité » La directive européenne du 23 avril 2009 relative à la protection des programmes d’ordinateur remplace la directive du 14 mai 1991 (1) qui avait déjà été transposée dans le Code de la propriété intellectuelle (2). A première lecture, il y a peu de modification. Le nouveau texte réaffirme le principe d’une protection du logiciel par le droit d’auteur en tant qu’œuvre littéraire tout comme l’affirmait déjà la directive de 1991. Elle ne modifie pas la définition même du « programme d’ordinateur », terme qui recouvre « les programmes sous quelque forme que ce soit », ainsi que « les travaux préparatoires de conception aboutissant au développement d’un programme, à condition qu’ils soient de nature à permettre la réalisation d’un programme d’ordinateur à un stade ultérieur ». On note toutefois certains changement de terminologie. Ainsi le terme « déroulement » a été remplacé par « exécution » et ceux d’ « acquéreur légal » par « acquéreur légitime ». Les actes soumis à restriction et leurs exceptions sont aussi intégralement repris de la directive remplacée. Le principe de l’autorisation « d’une » copie de sauvegarde qui a pu faire couler tant d’encre sur la question des copies illicites reste donc inchangé. Sauf disposition contractuelle différente qu’il conviendra de prévoir, l’exploitant d’un progiciel ne devrait pas pouvoir réaliser de multiples copies de sauvegarde, ce qui est contraire à la pratique et aux exigences de sécurité et de continuité d’exploitation qui commandent la définition et la mise en place d’un plan de sauvegarde total des serveurs sur de multiples supports. L’enjeux : L’adoption de cette directive est motivée par un objectif de « clarté et de rationalité », le contenu de la directive de 1991 ayant été modifié en 1993 par la directive 93/98/CEE sur l’harmonisation de la durée de protection du droit d’auteur et de certains droits voisins. Peu de changement au cadre juridique La directive en vigueur depuis le 25 mai 2009, apporte relativement peu de changement au cadre juridique de la protection des programmes d’ordinateurs. Par ailleurs, elle ne prévoit toujours pas les modalités d’accès aux codes sources pour exercer les droits conférés à l’acquéreur légitime, tels que par exemple, la réalisation de l’interopérabilité de programmes. Enfin, la directive ne contient plus aucune disposition sur la durée de protection, qui couvre donc soixante-dix ans à compter du 1er janvier de l’année civile suivant l’année de la publication du programme, conformément à la directive du 29 octobre 1993 relative à l’harmonisation de la durée de protection du droit d’auteur et de certains droits voisins. Rappelons que la date de publication est déterminée par tout mode de preuve de droit commun, et notamment par le dépôt légal. Les conseils : Comme par le passé, il demeure très important d’apporter des précisions dans les contrats sur les modalités de corrections des erreurs. (1) Directive 2009/24/CE du 23-4-2009. (2) Art. L. 122-6 et s. (Mise en ligne Novembre 2009) Paru dans la JTIT n°94/2009 Autres brèves La responsabilité du DSI en matière de SI : les mesures de préventions à prendre (Mise en ligne Mars 2006) Gérer la convergence des systèmes d’information (Mise en ligne Juin 2006 ) Renforcer sa politique de sécurité : une préocupation constante de l’entreprise (Mise en ligne Mars 2006) Les implications de la SOX sur les SI (Mise en ligne Juillet 2002)

Informatique, Informatique, Sécurité des SI

Les 10 conseils de la Cnil pour sécuriser son système d’information

/

Les 10 conseils de la Cnil pour sécuriser son système d’information La Cnil a publié sur son site web « 10 conseils pour sécuriser votre système d’information », le 12 octobre dernier. Ces 10 conseils s’inscrivent naturellement dans le cadre de la loi Informatique et libertés. Pour mémoire, cette loi organise la gestion des données personnelles autour de quatre axes :    les formalités préalables (déclarations normales, simplifiées, autorisations,…) ; le droit des personnes (droit à l’information, droit d’accès, droit de modification,…) ; les flux transfrontières de données ; la sécurité des traitements et de leurs données. Ce dernier axe relatif à la sécurité, bien trop souvent ignoré, repose essentiellement sur les articles 34 et 35 de la loi Informatique et libertés. L’article 34 de la loi dispose que « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. […] ». Pour sa part, l’article 35 vise les cas où le responsable du traitement sous-traite tout ou partie de ses traitements automatisés de données auprès d’un tiers et définit les relations entre le sous-traitant et le responsable du traitement, pour ce qui concerne la sécurité. Ces 10 conseils s’intègrent donc dans le cadre des conditions d’application des articles 34 et 35 de la loi. Si la Commission s’est déjà prononcée de très nombreuses fois sur les questions de sécurité, lorsqu’un dossier ou un projet lui est soumis, c’est en revanche la première fois ou l’une des premières fois que la Commission se penche sur cette question en l’abordant selon une approche générale. S’agissant du statut du document lui-même, il s’agit de « conseils » et non d’une « délibération ». Ces « conseils » ne sont pas liants au plan juridique, mais leur portée ne sauraient être pour autant sous-estimée. A tout le moins, ces conseils s’intègrent dans ce qu’on pourrait qualifier de référentiel de « bonnes pratiques ». Ainsi, les entreprises, sans y être contraintes sont vivement invitées à suivre ces conseils de la Cnil, gardienne de la loi Informatique et libertés.   Sans entrer dans le détail de ces dix conseils, il convient de relever que le conseil n°2 « Concevoir une procédure de création et de suppression des comptes utilisateurs » doit être mis en place au sein des entreprise, mais également intégré dans la charte de l’utilisation des systèmes d’information. S’agissant des conseils n°9 et 10, respectivement « Anticiper et formaliser une politique de sécurité du système d’information » et « Sensibiliser les utilisateurs aux risques informatiques et à la loi informatique et libertés », ils imposent à l’entreprise de dépasser le stade de la simple charte et de passer à celui d’une véritable gouvernance de la sécurité au sein de laquelle on retrouvera la charte des personnels pour l’utilisation des systèmes d’information mais aussi la charte « administrateur», la charte « accès », ou encore la charte « Informatique et libertés ». De même que le conseil n°10 impose également le passage d’une gouvernance statique à une gouvernance dynamique à travers des plans de formations ou de sensibilisation encore bien peu nombreux dans les entreprises. Les 10 conseils de la Cnil. (Mise en ligne Novembre 2009)

Retour en haut