Discussion :

[Adrian-SafeSync]

Bonjour,

Effectivement, quel que soit le service de stockage en ligne utilisé, la justice sera en mesure d'accéder à vos données en cas d'enquête. Mais il en est de même pour un coffre-fort physique dans une banque ou pour tout autre lieu de stockage sécurisé.
Cependant, il est aussi important de préciser que la police/justice n'aura pas un accès direct et physique aux données mais que nous serons dans l'obligation de leur fournir une copie de celles-ci.

Si vous restez dans un cadre légal, nous pouvons garantir à 100% qu'aucun autre utilisateur ne sera en mesure d'accéder à vos données illégalement

Bonne journée.

[gangsoleil]

Si vous restez dans un cadre légal, nous pouvons garantir à 100% qu'aucun autre utilisateur ne sera en mesure d'accéder à vos données illégalement

Pas tout a fait : au mieux, vous pouvez garantir qu'il n'existe aucune faille connue sur vos serveurs, et que personne de votre societe ne dispose d'un acces privilegie sur les serveurs (ce qui est quasiment impossible puisque certaines taches d'administration doivent etre faites en root).

[Adrian-SafeSync]

Merci pour votre réponse, vous avez tout à fait raison sur ce point. Et je comprend votre méfiance envers ce service.

Nous pouvons garantir qu'il n'existe pas de failles connues sur nos serveurs. Cependant le problème est le même pour vos données bancaires par exemple ou pour un stockage sur un serveur loué.

Nous avons effectivement certains accès privilégiés afin d'administrer les serveurs, mais nous ne pouvons faire sans

Nous faisons tous les efforts possibles pour garantir une sécurité maximale et à nouveau, vos fichiers étant stockés éclatés en plusieurs parties, un accès malveillant au serveur ne permettrait pas forcément de lire vos données.

[gangsoleil]

Encore une fois, je me repete : le cloud n'est pas tout mal, mais j'en ai marre que tout le monde considere qu'il est tout bien.

Oui, la probabilite de perte des donnees est plus faible si elles sont chez un hebergeur externe qui les duplique/replique/... que si elles sont en interne (avec ou sans sauvegarde).
Oui, acceder a un service externe via l'internet est moins sur que de restreindre un acces interne, du point de vue espionnage industriel notamment.
Oui, il y a deja eu mention d'editeurs qui auraient acces aux donnees utilisateur.

Et enfin, je ne sais pas s'il est possible de mettre en place une externalisation de donnees cryptees, car la gestion des clefs devient alors un vrai calvaire : soit elles sont toutes stockees sur chaque machine, ce qui n'est vraiment pas genial, soit il faut un "tiers de confiance", dans lequel il est impossible d'avoir confiance (voir les problemes recents de l'autorite de certification et de RSA).

[DonQuiche]

Je n'ai pas les connaissances suffisantes pour estimer cela, mais je reste très sceptique.

J'en sais sans doute davantage mais juste assez pour savoir que ma machine est vulnérable et que je n'ai pas le temps ni les connaissances pour la sécuriser (et que cela est incompatible avec l'usage que je fais au quotidien de ma machine). Sans compter les risques d'incendie, de cambriolage, etc... Du coup je préfère savoir mes données bien à l'abri chez des gens qui, eux, savent et ont déployé les moyens nécessaires et mis en place une redondance distante.

Maintenant, le point un peu fallacieux dans mon argumentaire c'est qu'en infiltrant ma machine ils peuvent sans doute obtenir les identifiants avec lesquels je me connecte chez mon hébergeur. Mais cela fait toujours une barrière supplémentaire et un bot ne fera pas ça, on parle là d'attaque manuelle. D'ailleurs un bot s'intéresserait peu aux données que je mets à l'abri. Par contre un virus pourrait vouloir les détruire. La solution distante satisfait avant tout la pérennité des données, moins leur confidentialité : pour cette dernière, rien ne vaut la paranoïa éduquée.

Enfin, j'aimerais trouver un hébergeur qui me propose une solution clé en main pour disposer d'un petit authentificateur physique à conjuguer avec mes identifiants.

[el_slapper]

J'en sais sans doute davantage mais juste assez pour savoir que ma machine est vulnérable et que je n'ai pas le temps ni les connaissances pour la sécuriser (et que cela est incompatible avec l'usage que je fais au quotidien de ma machine). Sans compter les risques d'incendie, de cambriolage, etc... Du coup je préfère savoir mes données bien à l'abri chez des gens qui, eux, savent et ont déployé les moyens nécessaires et mis en place une redondance distante. (.../...)

Pareil pour moi, mais les gens de l'exploitation de la banque ou je bosse, eux, peuvent se permettre de penser autrement. D'ou ma conclusion : le cloud, c'est pour certaines applis, dans certains cas.

[The_Sorrow]

J'ai parlé de ce sujet à un collègue qui utilise un service en cloud, mais il n'y met que des archives chiffrées. Ce qui va bien avec le concept de paranoïa éduquée dont parle DonQuiche.

[vol-de-mort]

Les gens qui s'en méfient ont raison de se méfier pour le moment. Tout n'est pas clair au niveau des lois sur la confidentialité et la sécurité. On pourrait dans un premier temps éviter de mettre des données sensibles sur le cloud, on n'est jamais trop prudents.

[pprasqui]

Si une société française est en concurrence avec une entreprise suffisamment importante pour avoir le soutien des agences de renseignement (et elles sont nombreuses), il n'y a plus de "risque" d'espionnage industriel mais une certitude. Pour beaucoup d'entreprises françaises moyennes et grande, c'est inacceptable.

A priori, tu as raison: il vaut mieux pêcher par excès de paranoïa que par excès de naïveté. Néanmoins, la paranoïa peut aussi être très coûteuse, notamment dans la mesure où elle incite à limiter le nombre de personnes qui ont accès aux informations et donc à risquer d'en devenir dépendant, voire pire. Mais, là encore, ce problème ne peut se résoudre logiquement qu'en comparant des probabilités:
- quelle est la probabilité que mon entreprise soit en concurrence avec une entreprise américaine? (cette probabilité est probablement haute dans bcp de secteurs)
- quelle est la probabilité que ma concurrente américaine puisse solliciter le soutien des agences de renseignement? (autant je veux bien croire que la question puisse se poser dans les secteurs aéronautiques et militaires, autant j'ai du mal à l'envisager dans à peu près tous les secteurs qui restent)
- quelle est la probabilité que ces agences de renseignement, au mépris des propres lois de leur pays, travestissent une requête à visée purement commerciale en requête d'intérêt national, susceptible de susciter la remise des données concernées par Google? (à noter que Google n'accède pas à toutes les requêtes, même lorsqu'elles proviennent des "agences de renseignement").

* Ensuite parce que pénétrer le système de Google ce n'est pas qu'accéder aux données d'une entreprise mais à celles de milliers d'entreprises [...] j'estime donc le risque d'espionnage posé par le cloud d'un grand acteur comme supérieur.

Là encore, oui en théorie mais à voir en pratique. En effet, si Google est une cible de choix pour une organisation mafieuse, je doute qu'il y ait bcp d'entreprises ou d'états dans le monde qui aient les ressources techniques et financières pour se protéger. Et, de fait, pour accéder au réseau de Google dans une optique de revente des données, il faudrait:

• oublier la voie physique puisque les données sont cryptées, obfusquées et dispersées dans divers data centers de par le monde, dans des lieux maintenus secrets et gardés par des vigiles armés ;
• connaître l'environnement logiciel utilisé par Google, à savoir que celui-ci est propriétaire et ses spécifications ne sont pas accessibles même pour la plupart des employés de chez Google ;
• passer le filtre formé par des dizaines d'ingénieurs dédiés à la sécurisation du système...

Alors, certes, le risque zéro n'existe pas et rien ne dit qu'à moyen-terme, une organisation très motivée ne trouvera pas une brêche. Mais le problème est identique pour une société qui gère ses données. Ce que 99% d'entre elles gagnent en discrétion, elles le perdent vraisemblablement en capacité de protection.

Le Cloud est une bonne nouvelle pour elles, du moins si celui-ci accompagne ses clients dans une vraie démarche de sécurisation (double authentification, alertes aux connexions suspectes, péremption des mots de passe, etc). Je ne sais pas ce qu'il en est de ce dernier sujet, je serais curieux de voir par exemple comment Google approche le problème.

Google Apps répond à ces questions de la manière suivante (entre autres):

• Double authentification: oui. Google utilise pour cela un code dynamique généré sur le téléphone portable (iOS, Android, Blackberry, SMS...) de l'utilisateur du compte.
• Alerte aux connexions suspectes: oui. L'historique des IP de connexion est disponible, les sessions existantes peuvent être déconnectées en remote et une alerte apparaît lorsqu'une connexion suspecte a été détectée.
• Mots de passe: le niveau de sécurité et la taille des mots de passe des utilisateurs est visible par les administrateurs, qui peuvent forcer un changement de mot de passe.

Il existe aussi des moyennes et grandes entreprises qui pourraient être intéressées par le Cloud mais à la condition impérative que celui-ci soit français et basé en France.

J'ai beau apprécier les romans de Tom Clancy, je ne suis pas convaincu que la préférence nationale soit un critère valide de sélection du prestataire de services cloud pour 99% des entreprises. Et si çà l'était, alors il faudrait poursuivre le raisonnement jusqu'au bout et:

• N'utiliser que des OS de chez Bull parce que qu'est-ce qui empêche Microsoft de faire envoyer par Windows 7 le contenu des disques durs à Seattle?
  Bull parce que IBM et Microsoft
• S'interdire de recourir aux plus grandes institutions financières mondiales (HSBC, ING, Barclays…) et ne confier notre argent qu'à des banques françaises
• Ne pas utiliser de routeurs Cisco
• Ne pas utiliser Internet de manière générale puisque les données peuvent être amenées à transiter par New York avant d'atteindre Papeete
• etc.

[Bluedeep]

- quelle est la probabilité que ces agences de renseignement, au mépris des propres lois de leur pays, travestissent une requête à visée purement commerciale en requête d'intérêt national

Là, tu sous-estimes grandement la portée du "Patriot Act".

[DonQuiche]

@ppuasqi
En vrac...

Les secteurs concernés par l'espionnage industriel sont extrêmement nombreux. D'abord tous les secteurs dépendant d'innovations technologiques. A cela tu peux aussi ajouter toutes les sociétés visant des contrats publics et qui sont donc intéressées par les détails des propositions de leurs concurrents. Et bon nombre d'autres cas de figure, tels que l'intérêt dans la finance de détenir certaines informations en avance. Bref, autant dire qu'à peu près toutes les grandes entreprises sont concernées.

Concernant les requêtes des agences de renseignement, il faut aussi comprendre que beaucoup ne sont pas publiques (via une procédure judiciaire, une requête couverte par la loi, etc). Il existe aussi d'autres requêtes, soit informelles, de bouche à oreille, soit encadrées par des contrats privés entre les deux parties (agence de renseignement et entreprise) et éventuellement rémunérés. Et bien malin qui peut dire ce que Google accepte ou refuse. Mais en général les agences de renseignement ont entre leurs mains les cartes pour se montrer convaincantes.

Il y a une raison au fait que les systèmes open source soient privilégiés dans certains secteurs. Bien que cela ne soit pas toujours suffisant. Une histoire digne de Tom Clancy, tu ne trouves pas ? Il ne faut pas virer à la parano et penser que la réalité ressemble à Hollywood mais il ne faut pas non plus être naïf et réaliser que les moyens déployés sont parfois très poussés.

Enfin, je te remercie pour les précisions sur les Google Apps.

[zaventem]

Quand on sait que la France est un des leaders mondiaux en ce qui concerne l'espionnage industriel, cela relative pas mal le risque encouru à héberger ses données chez un prestataire américain...

[Bluedeep]

Quand on sait que la France est un des leaders mondiaux en ce qui concerne l'espionnage industriel,

As tu des références sérieuses à l'appui de ton affirmation on doit on la considérer comme étant juste du bruit ? (ce qui est généralement le cas des affirmations commençant par "quand on sait que ....", "il est bien connu que ...", etc ...)

Pour ma part, je pense (malheureusement) que tu as tort.

[gangsoleil]

je ne suis pas convaincu que la préférence nationale soit un critère valide de sélection du prestataire de services cloud pour 99% des entreprises.

Bien sur que non, ce n'est pas suffisant. Mais si tu t'adresses aux services de renseignements francais, ils te donneront une liste de prestataires qu'ils ont evalues, et en qui tu peux a priori avoir un peu plus confiance qu'en d'autres.

Et si çà l'était, alors il faudrait poursuivre le raisonnement jusqu'au bout et:

• N'utiliser que des OS de chez Bull parce que qu'est-ce qui empêche Microsoft de faire envoyer par Windows 7 le contenu des disques durs à Seattle?
• Ne pas utiliser Internet de manière générale puisque les données peuvent être amenées à transiter par New York avant d'atteindre Papeete
• etc.

Dans toutes les entreprises dans lesquelles il y a de la securite, les donnees sensibles sont sur un reseau independant, non-relie a l'internet. Donc tu peux bien utiliser l'OS que tu veux.


Sinon, pour revenir a la base de ton discours, tu ne suppose que des attaques (externes ou internes) du prestataire. Mais dans la mesure ou le prestataire vit, entre autres, de la fouille de donnees, ne crois-tu pas qu'il faut aussi prendre en compte le fait que l'analyse des donnees peut etre une demarche de l'hebergeur ?

[gangsoleil]

Pour ceux qui pensent que le cryptage suffit a securiser leurs donnes : Le MIT a devoile un outil permettant de faire des recherches sur des bases de donnees cryptees (sans les decrypter).
News slashdot

Encore une fois, je ne dis pas que n'importe quel employe de n'importe quel fournisseur de services cloud pourra mettre ca en place, je dis simplement que ca existe, et que je ne vois pas de raison d'externaliser les donnes chez un prestataire externe en qui je n'ai pas confiance.
Pour moi, cela revient a rajouter un niveau de potentielles failles.

[pprasqui]

si tu t'adresses aux services de renseignements francais, ils te donneront une liste de prestataires qu'ils ont evalues, et en qui tu peux a priori avoir un peu plus confiance qu'en d'autres.

Je ne savais pas qu'une telle étude avait été faite. Peux-tu, stp, m'indiquer où je peux la trouver?

Dans toutes les entreprises dans lesquelles il y a de la securite, les donnees sensibles sont sur un reseau independant, non-relie a l'internet. Donc tu peux bien utiliser l'OS que tu veux.

Pour combien de temps encore le désagrément de devoir maintenir et faire cohabiter sans les relier un réseau indépendant et celui relié à l'extérieur va-t-il perdurer? Je constate souvent avec étonnement que, dans ce genre de situations, de plus en plus de passerelles sont mises en place, qui font porter des risques inversement proportionnels à leur utilité marginale.

Mais dans la mesure ou le prestataire vit, entre autres, de la fouille de donnees, ne crois-tu pas qu'il faut aussi prendre en compte le fait que l'analyse des donnees peut etre une demarche de l'hebergeur ?

Au risque de me répéter, je considère que, aussi évident que cet argument puisse paraître, il ne résiste pas à une analyse rationnelle du coût d'opportunité de ce type de démarche. Tout d'abord, dans le cas des services professionnels (payants) fournis par Google aux entreprises (Google Apps for Business), les termes d'utilisation stipulent que les données sont propriété des entreprises et qu'elles ne seront éventuellement consultées par les robots de Google qu'à titre technique (détecter les virus, les spams, etc.). Donc, si Google "analysait les données" (sans même rentrer dans l'argument que je ne vois pas en quoi le fait de se faire proposer de la publicité -ce qui n'est pas le cas- pourrait réellement nuire à une entreprise...), elle serait immédiatement attaquée par ses 4 millions de clients Entreprise devant les tribunaux américains (qui sont très regardants sur l'application des engagements contractuels).

En tant que société cotée, dont une partie au moins de ses 25 000 employés doit adhérer sincèrement au credo "Don't do evil", elle aura du mal à cacher ses agissements.

Enfin, la perte de confiance que cela générerait mettrait en danger non seulement ses activités Entreprise mais également son moteur de recherche. Dans la mesure où ces deux activités sont extrêmement rentables, pourquoi les mettre en péril?

Je ne fais donc pas confiance naïvement à la "conscience morale" de Google sur ce point. En revanche, je confie en la capacité de ses dirigeants à prendre des décisions rationnelles qui optimisent leur ratio bénéfice/risques. Et dans le cas présent, l'arbitrage tend vers la solution qui convient aux entrerprises clientes et respecte la privacité de leurs données.

[zaventem]

As tu des références sérieuses à l'appui de ton affirmation on doit on la considérer comme étant juste du bruit ? (ce qui est généralement le cas des affirmations commençant par "quand on sait que ....", "il est bien connu que ...", etc ...)

Pour ma part, je pense (malheureusement) que tu as tort.

Un exemple parmis d'autres...
La France, as de l'espionnage industriel

[gangsoleil]

Je ne savais pas qu'une telle étude avait été faite. Peux-tu, stp, m'indiquer où je peux la trouver?

Je n'ai pas le lien directe, mais je pense que l'on peut trouver des elements de reponse sur le site de l'anssi : http://www.ssi.gouv.fr/

les termes d'utilisation stipulent que les données sont propriété des entreprises et qu'elles ne seront éventuellement consultées par les robots de Google qu'à titre technique (détecter les virus, les spams, etc.). Donc, si Google "analysait les données", elle serait immédiatement attaquée par ses 4 millions de clients Entreprise devant les tribunaux américains (qui sont très regardants sur l'application des engagements contractuels).

Je ne fais donc pas confiance naïvement à la "conscience morale" de Google sur ce point. En revanche, je confie en la capacité de ses dirigeants à prendre des décisions rationnelles qui optimisent leur ratio bénéfice/risques. Et dans le cas présent, l'arbitrage tend vers la solution qui convient aux entrerprises clientes et respecte la privacité de leurs données.

On pourrait ergoter longtemps sur ce qu'une analyse de robots est capable de trouver comme donnees interessantes, mais je ne pense pas que ce soit le point principal.
Je suis d'accord avec toi sur le fait que, aujourd'hui, les informations que l'on a ont tendances a montrer que le respect des donnees professionnelles serait effectif (pour Apps, a separer de Gmail pour lequel ce n'est pas le cas).
Mais ce qui est le cas pour un prestataire ne l'est pas forcement pour d'autres, et on a deja eu un certain nombre de surprises (comme l'autorite de certification qui etait une vaste fumisterie et qui a coule depuis).

[pprasqui]

Un exemple parmis d'autres...
La France, as de l'espionnage industriel

Merci pour cet étonnant article qui me donne un nouvel argument de vente pour Google Apps: "Mettez vos données sur le cloud de Google aux US pour les mettre à l'abri des Grands Comptes français!"

[pprasqui]

Suite à ces intéressantes discussions, j'ai décidé de lancer un blog sur un sujet corrélé: la pertinence de Google Apps pour les entreprises françaises. J'espère étendre ce débat et j'en appelle à votre contribution pour me convaincre que j'ai tort de proposer cette solution à mes clients!