Archives de catégorie : Cybersécurité

Le Québec adopte sa nouvelle loi quant à la protection des données personnelles

Publié le par

Eh bien, notre législateur provincial n’a effectivement pas tardé à adopté sa version révisée du Projet de loi 64, alors que la nouvelle loi en résultant était finalement adoptée la semaine dernière. La loi refondue visant à protéger les renseignements personnels au Québec est ainsi publiée en version finale. C’est donc maintenant fait, le Québec s’est mis à la page pour ce qui est de ses propres règles (dont sa Loi sur la protection des renseignements personnels dans le secteur privé) visant à renforcer la protection des données que manipulent les entreprises à l’intérieur de la province.

Comme le mentionnaient récemment les médias, le Législateur espère ainsi débarrasser le Québec de sa «culture de négligence» désinvolte par rapport aux pratiques d’entreprise en matière de renseignements personnels. Avec une loi datant de la préhistoire des données, le Québec faisait jusqu’ici figure de parent pauvre de la protection des données, la plupart des entreprises préférant ne pas entendre parler de ce sujet, fort de l’impression (réelle!) que la loi québécoise n’avait que très peu de chances de mener à de véritables sanctions, même si on finissait par se faire prendre les doigts dans le piège à souris.

La nouvelle loi comporte des dispositions modernisées inspirées du règlement européen (le fameux  Règlement général sur la protection des données, ou «RGPD»), assorties de réelles sanctions pour les entreprises jugées délinquantes. Avec des amendes éventuelles pouvait s’élevées à des millions de dollars, on croit que la loi québécoise a ce dont elle a besoin pour FINALEMENT attirer l’attention des dirigeants d’entreprises, incluant ceux de simples PME, jugeant souvent jusqu’ici ne pas réellement avoir à se préoccuper de ce genre de choses.

Eh oui, bien qu’on le sache depuis longtemps (en principe), toute organisation qui collecte, utilise, partage ou communique des données à caractère personnel de tiers DOIT se conformer aux règles en matière de protection des renseignements visés. La négligence (ou l’aveuglement volontaire) quant à ces règles pourra désormais coûter cher aux organisations délinquantes, bien que la Commission d’accès à l’information (la «CAI»), affirme qu’elle « prendra en compte la capacité de payer des entreprises » en faisant appliquer cette loi.

La loi vient notamment aussi réaffirmer clairement qu’un consentement explicite, libre et éclairé s’avère nécessaire AVANT toute utilisation de données personnelles, à l’instar de ce qui se fait par exemple en Europe.

Malgré son adoption formelle par le Québec, la majorité des dispositions de la nouvelle loi n’entreront réellement en vigueur (dont ses amendes éventuelles) que dans deux (2) ans, le 22 septembre 2023.

Par contre, un petit nombre de dispositions entreront, elles, en vigueur dès septembre 2022, dont les celles qui prévoient l’obligation pour les entreprises d’aviser les victimes (et la CAI) des incidents tels de piratage informatique et qui auraient exposés leurs données à des fuites. En vertu de la nouvelle loi, en effet, toutes les organisations ont l’obligation de déployer des mesures de sécurité appropriés afin de protéger le genre de renseignements personnels qu’elles détiennent quant à autrui.

D’ici là, la CAI et nos entreprises ont pas mal de devoirs à faire pour se préparer à cette nouvelle réalité.

Des millions en récompense pour tenter d’endiguer le problème des rançongiciels

Publié le par

Les États-Unis offrent depuis peu une récompense de millions de dollars, pour tout renseignement pouvant mener à l’identification, l’arrestation ou la condamnation des cyberpirates responsables d’attaques de rançongiciels récentes.

Nos voisins du sud se rendent en effet récemment à l’évidence que le gouvernement s’avère à lui seul bien incapable de protéger l’infrastructure américaine contre les attaques de type rançongiciel (ou «ransomware»). Compte tenu de ce qui devient récemment une épidémie (une pandémie, même), le gouvernement cherche donc de nouvelles façons de mieux protéger les citoyens et les entreprises, particulièrement contre les gestes et les attaques de ce type qui sont initiées (directement ou indirectement) par des gouvernements étrangers, tels ceux de la Chine, de la Russie ou de la Corée du nord. Pour ce faire, comme certains le proposait depuis un moment (nous en parlions il y a quelques semaines), le gouvernement espère maintenant pouvoir compter sur le concept des chasseurs de prime, en offrant désormais des récompenses pour les cyber-experts et cyber-enquêteurs qui fourniraient des renseignements menant à la capture des pirates informatiques responsables de certaines attaques récentes particulièrement efficaces.

Selon plusieurs, l’offre de telles récompenses s’avère un indicateur clair à l’effet que l’administration Biden entend bien agir pour tenter d’endiguer un problème devenu critique et auquel font désormais face des individus et des organisations de toutes sortes. En plus de telles récompenses, les États-Unis entendent aussi renforcer leurs cyberdéfenses, continuer à resserrer les contrôles du système bancaire et financier (en rendant plus difficile d’encaisser de la cryptomonnaie payée en rançon), en plus d’améliorer la collaboration entre les divers pays affectés ou impliqués.

Bien que le concept d’une affiche du genre «REWARD» fasse un peu «Wild West», il faut bien avouer que les attaques récentes de type «ransomware» nous donne à tous une impression de vivre dans un territoire (numérique) où la loi semble ne pas encore réellement s’appliquer. Ce faisant, peut-on blâmer le gouvernement américain de vouloir revenir aux récompenses afin de motiver le privé et les citoyens à s’en mêler?

Faire payer la rançon liée à une attaque informatique par un assureur: une fausse bonne idée?

Publié le par

Confrontées à un risque sans cesse grandissant d’attaques par rançongiciel («ransomware»), certaines entreprises s’assurent désormais spécifiquement contre ce risque. Certains assureurs offrent, en effet, une telle couverture, payant essentiellement la rançon si jamais une société assurée se retrouve aux prises avec un incident lié à un rançongiciel. Eh oui, le problème est à ce point préoccupant pour les entreprises, ce qui a ouvert un nouveau marché pour les assureurs.

Récemment, l’assureur européen AXA a pris la décision, en France, de suspendre ses activités liées à la couverture d’assurance liée aux rançons de ce genre, dont suite à des commentaires des autorités. Sans y être obligée, AXA opte ainsi pour ne plus assurer ces nouveaux clients français afin de payer les rançons de ce type à l’avenir pour eux.

Selon plusieurs (dont le FBI), le paiement des rançons (et donc l’existence d’assurance destinée à les payer), exacerbe indirectement le problème, les criminels réalisant qu’une partie des entreprises paieront effectivement les rançons qui leur seraient demandées. Ce type de couverture d’assurance augmente donc les chances qu’une victime typique opte de payer une rançon. Puisque les attaques de ce type s’avèrent plus susceptibles de résulter en un paiement, elle s’avèrent plus viables pour les criminel (dans l’ensemble), aggravant ainsi le problème à moyen terme. Effet pervers, si vous voulez.

D’ailleurs, après la déclaration d’AXA qu’elle cessait d’offrir ce type spécifique d’assurance en France, les pirates informatiques (du groupe russe Avaddon) semblent avoir délibérément ciblé AXA avec une attaque de type DDoS, dans le but de la punir. La décision de l’assureur semble donc déranger les criminels, ce qu’on pourrait certainement voir comme un argument pour tenter d’interdire désormais aux assureurs  d’offrir ce genre de couverture d’assurance. Devrait-on modifier nos lois pour l’interdire? La question se pose.

Bien que cela ne règlera certainement pas le problème, on pourrait peut-être ainsi cesser de jeter de l’huile sur le feu. D’ailleurs, devant un problème qui s’aggrave, plusieurs sont à proposer qu’on repense notre approche collective pour tenter d’endiguer le problème des rançongiciels.