09 novembre 2021

|

Marc-Antoine LEDIEU

Marc-Antoine LEDIEU – Avocat et RSSI

#358 cyberattaque malware vulnérabilité : quelle responsabilité ?

cyberattaque ? malware ? vulnérabilité ? quelle responsabilité ? C’est la question qui m’a été posée par le Club Cyber de l’Ecole de Guerre Economique.

Il va falloir faire un peu de technique (et d’histoire) pour remettre le problème dans son contexte, avant de se pencher sur la responsabilité pénale, civile (négligence) et contractuelle que peuvent induire une cyberattaque, un malware et/ou une vulnérabilité.

Cette conférence étant (enfin) organisée en présentiel, celles et ceux qui n’auraient pas pu y assister pourront profiter du replay via l’enregistrement vidéo que l’EGE ne manquera pas de mettre en ligne…

Pour ma part et comme toujours, vous trouverez mes slides en BD ci-dessous, par chapitre, histoire de vous en rendre la consultation plus facile.

cyberattaque malware vulnérabilité : petite introduction

slider INTRO © Ledieu-Avocats technique droit numerique 2022.001

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.003

slider INTRO © Ledieu-Avocats technique droit numerique 2022.003

RSSI Responsable sécurité système d'information © Ledieu-Avocats

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.005

le BLOG en BD © Ledieu-Avocats technique droit numérique

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.007

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.008

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.009

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.010

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.011

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.013

cyberattaque ? malware ? vulnérabilité ? responsabilité pénale ? civile ? contractuelle ? D'abord un peu d'histoire...

Les cyberattaques ont eu le mérite (???) de faire s’écrouler le « mythe » de la sécurité des logiciels, et de manière générale, de l’informatique (on dirait plutôt aujourd’hui « des systèmes d’information »…).

Pourquoi un tel échec ? Car manifestement – comme aiment à le répéter certains professionnels – « la sécurité est un échec »…

Prenons un peu de hauteur et voyons les 3 grandes révolutions industrielles de l’histoire de l’humanité.

La « science informatique » ne s’est développée que depuis la Seconde guerre mondiale, pour décrypter les messages du III° Reich chiffrés avec la machine Enigma.

Petit aperçu (rapide) dans les slides ci-dessous de la chronologie du développement de l’informatique, en corollaire avec l’apparition des premières cyberattaques.

Si vous cherchez une version plus détaillé et en vidéo de cette chronologie, cliquez sur ce lien pour accéder à ma conférence du 11 mars 2021.

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.014

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.015

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.016

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.017

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.018

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.019

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.020

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.021

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.022

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.023

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.024

cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD #358

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.026

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.027

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.028

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.029

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.030

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.031

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.032

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.033

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.034

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.035

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.036

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.037

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.038

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.039

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.040

cyberattaque : tentative de définition et problématiques techniques et juridiques

Cyberattaque ?

De quoi parle-t-on ?

Existe-t-il une définition légale ? En France ? Dans l’Union Européenne, grand pourvoyeur de législation en la matière ? Vous allez être déçu(e).

Je vous propose une tentative de définition à partir de concepts légaux parfaitement identifiés dans la slide ci-dessous.

Voyons ensuite le déroulement « type » d’une cyberattaque, avant de voir le problème que les cyberattaques posent (i) aux « techniciens », (ii) aux juristes et (iii) aux « politiques ».

Retenez que l’identification des attaquants est quasi impossible !

Ces problématiques sont illustrées dans les slides ci-dessous.

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.042

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.043

définition cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numériques

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.045

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.046

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.047

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.048

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.049

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.050

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.051

cyberattaque : quelle responsabilité pénale ?

Commençons par envisager quelques incriminations pénales applicables aux cyberattaque. C’est important, pour les juristes, les incriminations pénales (ça permet de faire peur aux clients…).

Bref… Voyons les grandes incriminations des articles 323-1 à 323-3 du Code pénal, avant de nous pencher sur une incrimination classique (l’extorsion) qui se révèle parfaitement adaptée àa la répression des cryptolockers (ransomware ou rançongiciel en Molière dans le texte)

Le problème actuel de cet arsenal pénal ? La répression des délinquants ne fonctionne pas.

Pourquoi ? Parce que, techniquement, ces délinquants sont très très difficilement identifiables.

Et, dans un état de droit comme la France, il est difficile de faire un procès à des personnes que l’on n’a pas réussi à identifier…

Le détail se trouve dans les slides ci-dessous.

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.052

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.053

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.054

la répression pénale des cyberattaques vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numérique blog BD

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.056

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.057

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.058

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.059

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.060

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.061

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.062

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.063

malware ? logiciel malveillant ? cryptolocker ? ver ? virus ? cheval de Troie ?

Voyons maintenant un des outils de réalisation d’une cyberattaque : les malware.

Ce terme anglophone regroupe l’ensemble des programmes d’ordinateur utilisés… pour nuire à l’exploitant d’un système d’information.

Comme il n’existe aucune définition légale, ni en France, ni dans l’UE, il sera nécessaire dans un contrat BtoB de prévoir une définition solide…

Vous trouverez cette proposition de clause contractuelle, ainsi que quelques explications relatives aux malware, dans les slides ci-dessous.

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.064

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.065

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.066

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.067

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.068

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.069

vulnérabilité : un vaste problème (technique et juridique)

Vous trouverez dans au moins deux textes légaux français l’utilisation du terme « vulnérabilité« .

Le problème ? Le terme de « vulnérabilité » n’est accompagné d’aucune définition légale qui puisse servir aux juristes.

Alors ? comment fait-on ?

Et bien, il faut allez chercher des éléments techniques dans des définitions techniques, comme celle proposée par l’ANSSI, pour en faire des définitions contractuelles.

Vous trouverez le détail des définitions utilisables et celles que je manipule dans mes contrats dans les slides ci-dessous.

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.070

les textes légaux en France utilisant le terme "vulnérabilité" EGE 09-11-2021 © Ledieu-Avocats technique droit numérique blog BD

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.072

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.073

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.074

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.075

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.076

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.077

cyberattaque malware vulnérabilité : quelle responsabilité civile ? pour NEGLIGENCE...

Puisque nous sommes d’accord sur les définitions de cyberattaque, de malware et de vulnérabilité, voyons ce qu’est une faute de négligence.

Négligence ? C’est le non-respect de l’état de l’art.

Et qui décide de l’état de l’art ? Les autorités de contrôle (dans un premier temps) puis les tribunaux…

En matière de cyberattaque, de malware et de vulnérabilité, qui sont les autorités de contrôle en France ? La CNIL et l’ANSSI !

Coup de chance (?!?!), nous avons de la jurisprudence française récente en matière de négligence, de cyberattaque et de vulnérabilité.

Vous trouverez les principales décisions de jurisprudence résumées dans les slides ci-dessous.

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.078

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.079

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.080

les autorités de contrôle fixent l'état de l'art cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.082

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.083

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.084

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.085

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.086

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.087

358 cyberattaque vulnérabilité malware responsabilité EGE 09-11-2021 © Ledieu-Avocats technique droit numerique blog BD.088

cyberattaque malware vulnérabilité : quelle responsabilité contractuelle ?

Il est temps de se pencher sur les usages contractuels, c’est-à-dire comment fonctionne le business qui tient compte de cette menace des cyberattaques, des malware et des vulnérabilités.

En d’autre termes : qui va être responsable de quoi dans une relation client / prestataire ?

Il est temps de conclure (provisoirement) sur le sujet.

Et la conclusion dans le slider ci-dessous n’est pas très gaie…