À quelques mois des prochaines échéances électorales, le Sénat s’est penché sur les ingérences numériques qui menacent la sincérité du vote. Réunies en salle Médicis, les commissions des lois et de la culture ont entendu Viginum, la CNIL, l’Arcom, la Fondation Descartes et le ministère de l’Intérieur. Tous ont dressé le même constat : la manipulation de l’information ne vise pas tant à fausser un scrutin qu’à en altérer la confiance, et elle ne va aller qu’en s’accentuant.
Continuer la lectureArchives de catégorie : Généré/complété par LLM
Vision d’ensemble : OAuth → OAuth 2.0 → OIDC
Remettons tout cela en musique et replaçons les choses de façon compréhensible.
Continuer la lectureOIDC
OIDC en bref (page générée par ChatGPT)
🔐 OpenID Connect (OIDC) est un protocole d’authentification construit sur OAuth 2.0.
- OAuth2 → autorise une appli à accéder à des ressources pour un utilisateur.
- OIDC → ajoute la vérification de l’identité de l’utilisateur.
👉 Il permet donc le Single Sign-On (SSO) et la délégation d’authentification (ex. “Se connecter avec Google”).
Continuer la lectureDérogation ou acceptation du risque ?
Dans le cadre des normes ISO 27001 et ISO 27005, les notions de dérogation et acceptation du risque sont liées mais distinctes. Il est bon de se rappeler des bases et des définitions exactes et leur application en sécurité des systèmes d’information. Un vocabulaire précis permet souvent un raisonnement précis.
En résumé, l’acceptation du risque est une notion issue de l’analyse de risque et relève donc de la gestion du risque. Elle peut être temporaire ou permanente. La dérogation est issue d’une non conformité (en général à la PSSI) et ne peut être que temporaire.
Continuer la lectureLa rap de la sécurité
Un bon point pour ChatGPT : il sait rapper 😋. Voici deux exemples…
Continuer la lectureDORA
Explorons un peu DORA (facile). Ce règlement européen (DORA pour Digital Operational Resilience Act) vient d’être voté dans sa version définitive fin 2022, et il porte plus sur des sujets de sûreté que de sécurité, mais en informatique ces notions sont fortement liées.
Continuer la lectureCyberespace et droit
PAYS-BAS – Le pays publie une lettre remise au Parlement concernant la position du pays sur le droit international dans le cyberespace
Cette lettre, rédigée par le ministre des Affaires Étrangères et remise au Parlement début juillet 2019, vient d’être rendue publique. La pays présente ainsi sa vision face aux différents travaux sur le droit international appliqué au cyberespace qui ont été publiés par d’autres pays européens dont la France (voir revue de presse du 16/09/2019) ces derniers mois. Les Pays-Bas ont toujours été précurseurs dans le domaine des normes cyber notamment par la compréhension du droit international et son application dans le domaine cyber. Dans cette lettre, le ministre y décrit les positions du pays vis-à-vis de la souveraineté, la non-intervention, l’utilisation de la force, le droit humanitaire international ainsi que l’attribution des opérations cyber et le type de réponses possibles que le droit international cautionne.
– Ministère des Affaires Étrangères hollandais, Ministère des Affaires Étrangères hollandais, Just Security
Source : ANSSI
Résumé. Points clés
Ce résumé a été généré par LLM.
Un cadre juridique appliqué au cyberespace
Les Pays-Bas proposent une analyse complète et structurée de l’application du droit international au cyberespace, en l’absence de traité spécifique dédié. Ils considèrent que les règles existantes — notamment la Charte des Nations unies, le droit des conflits armés et le droit de la responsabilité des États — s’appliquent pleinement aux activités numériques des États. Cette approche vise à éviter un vide juridique et à ancrer les cyberopérations dans un cadre normatif déjà reconnu.
Les notions classiques sont ainsi transposées au cyber : souveraineté des États, interdiction d’intervention, usage de la force et droit à la légitime défense. L’ensemble forme une vision cohérente qui contribue à structurer un domaine encore en construction.
Des incertitudes sur la souveraineté et les seuils d’action
La souveraineté constitue un point de débat majeur. Certains États considèrent qu’une intrusion informatique sans effet tangible ne constitue pas une violation du droit international, tandis que d’autres estiment que toute atteinte aux systèmes situés sur leur territoire peut relever d’une violation de souveraineté. L’absence de consensus rend difficile l’établissement de règles claires.
Les seuils juridiques restent également flous. La distinction entre une simple opération d’influence, une intervention interdite, un usage de la force ou une attaque armée dépend de critères encore discutés, notamment l’intensité et les effets des actions menées. Cette incertitude complique la qualification juridique des incidents et les réponses appropriées.
Responsabilité et réponses possibles des États
L’attribution des cyberattaques est une condition essentielle pour engager la responsabilité d’un État, mais elle demeure complexe en pratique. Une fois cette attribution établie, le droit international permet différentes réponses, telles que les contre-mesures proportionnées, les actions diplomatiques ou, dans les cas les plus graves, le recours à la légitime défense.
Le principe de diligence impose par ailleurs aux États de ne pas laisser leur territoire être utilisé pour conduire des cyberattaques contre d’autres États. Cette obligation renforce la responsabilité indirecte, même en l’absence d’implication directe.
Une convergence progressive mais incomplète
Le droit international est reconnu comme applicable au cyberespace, mais son interprétation reste fragmentée. Les positions nationales contribuent progressivement à préciser les règles, sans pour autant éliminer les divergences. Le cyberespace demeure ainsi un domaine juridiquement instable, marqué par une évolution progressive des normes et des pratiques étatiques.