%% nav-debut : généré par gen_navigation.py, ne pas modifier à la main %% > [!nav] > ↩ [[Code et Développement/Culture Numérique/Sécurité Numérique/Sécurité Numérique|Accueil · Sécurité Numérique]] > > | [[Code et Développement/Culture Numérique/Sécurité Numérique/03_Securite_en_deplacement\|← Securite_en_deplacement]] | | > |:---|---:| %% nav-fin %% **Accueil : [[Code et Développement/Culture Numérique/Sécurité Numérique/Sécurité Numérique|Sécurité Numérique]]** # Sécurité à la maison > *Objectif : adopter les bons réflexes de sécurité et de protection des données personnelles dans un contexte de télétravail ou d'usage personnel du numérique, en particulier face au phishing et à la manipulation de fichiers.* --- ## I. Le web et les données personnelles au quotidien ### 1. L'utilité des cookies > [!info] Définition > Un **cookie** est un petit fichier déposé par un site web sur l'appareil de l'utilisateur, permettant de conserver des informations d'une visite à l'autre. > [!info] À quoi servent-ils ? > - **Cookies fonctionnels** : garder une session ouverte, mémoriser un panier d'achat ou des préférences de langue. > - **Cookies analytiques** : mesurer la fréquentation et l'usage d'un site. > - **Cookies publicitaires** : suivre la navigation pour proposer des publicités ciblées. > > 👉 Depuis le RGPD, un site doit demander le **consentement** de l'utilisateur avant de déposer des cookies non essentiels, via une bannière dédiée. ### 2. Reconnaître un captcha > [!info] Définition > Un **CAPTCHA** (*Completely Automated Public Turing test to tell Computers and Humans Apart*) est un test destiné à vérifier qu'un utilisateur est bien un humain et non un robot automatisé. > [!tip] Formes courantes > - Recopier une suite de lettres/chiffres déformés. > - Sélectionner des images correspondant à un critère (feux tricolores, vélos...). > - Simple case à cocher **"Je ne suis pas un robot"** (reCAPTCHA), qui analyse le comportement de navigation. > > 👉 Un captcha protège notamment les formulaires de connexion et d'inscription contre les tentatives automatisées (création de faux comptes, attaques par force brute). ### 3. Le RGPD : principaux champs d'action > [!info] Définition > Le **RGPD (Règlement Général sur la Protection des Données)** est le cadre légal européen encadrant la collecte et le traitement des données personnelles. > [!tip] Principaux domaines couverts > - **Le consentement** : recueil d'un accord clair et explicite avant toute collecte de données non indispensable. > - **La finalité** : les données ne peuvent être collectées que pour un objectif précis et légitime. > - **La durée de conservation** : les données ne doivent pas être conservées indéfiniment. > - **Les droits des personnes** : accès, rectification, effacement, opposition, portabilité (voir ci-dessous). > - **La sécurité des données** : obligation de protéger les données contre la perte, le vol ou l'accès non autorisé. > - **Les transferts hors Union européenne** : encadrement strict du transfert de données vers des pays tiers. ### 4. Utiliser ses droits sur ses données personnelles > [!tip] Principaux droits > - **Droit d'accès** : obtenir la confirmation qu'une organisation traite ses données, et en obtenir une copie. > - **Droit de rectification** : faire corriger une donnée inexacte ou incomplète. > - **Droit à l'effacement (« droit à l'oubli »)** : demander la suppression de ses données lorsque leur conservation n'est plus justifiée. > - **Droit d'opposition** : s'opposer à un traitement de ses données, notamment à des fins de prospection commerciale. > > 👉 Ces droits s'exercent en général directement auprès de l'organisation concernée (formulaire dédié, contact du DPO), et en cas de non-réponse, auprès de la **CNIL**. ### 5. Sécuriser ses données personnelles sur les réseaux sociaux > [!tip] Fonctionnalités de sécurité à connaître et activer > - **Paramètres de confidentialité** : restreindre la visibilité des publications et du profil (amis uniquement plutôt que public). > - **Authentification à deux facteurs (MFA)** disponible sur la plupart des plateformes. > - **Contrôle des applications tierces** connectées au compte, à réexaminer régulièrement. > - **Validation des identifications (tags)** avant publication sur son profil. > - **Limitation des informations sensibles affichées** : numéro de téléphone, adresse, date de naissance complète. ### 6. Prévenir la fuite de données professionnelles sur les réseaux sociaux > [!warning] Un risque souvent négligé > Des informations professionnelles peuvent fuiter via des comptes personnels ou professionnels sans intention malveillante : > - Une **photo prise au bureau** peut révéler un écran, un document, un badge ou un organigramme en arrière-plan. > - Un post évoquant un **projet, un client ou une technologie interne** peut donner des informations stratégiques à un concurrent. > - La **géolocalisation** d'une publication peut révéler la localisation de locaux sensibles ou des habitudes de déplacement. > > 👉 Réflexe simple : avant de publier, se demander si l'information serait acceptable de communiquer publiquement au nom de l'entreprise. --- ## II. Détecter et réagir face au phishing ### 1. Vérifier le caractère de confiance d'un email > [!tip] Éléments à vérifier > - **L'adresse complète de l'expéditeur** (pas seulement le nom affiché) : vérifier le domaine après le `@`. > - **La cohérence du domaine** avec l'organisme censé envoyer le mail (attention aux domaines très proches mais légèrement modifiés). > - **La présence de fautes d'orthographe ou de tournures inhabituelles** dans le corps du message. > - **Le ton du message** : urgence excessive, menace, promesse trop belle pour être vraie. > - **Les liens proposés** : survoler le lien (sans cliquer) pour vérifier l'URL réelle affichée en bas du navigateur. > - **Les pièces jointes non attendues**, en particulier si elles demandent d'activer des macros. ### 2. Reconnaître une tentative de phishing par email > [!warning] Signaux d'alerte > - Demande de **saisir un mot de passe ou des coordonnées bancaires** via un lien. > - Message se faisant passer pour un **service connu** (banque, livreur, administration, service informatique interne). > - **Urgence artificielle** : "votre compte sera bloqué sous 24h", "action requise immédiatement". > - Expéditeur inhabituel pour ce type de demande, ou **contexte incohérent** (mail professionnel envoyé un dimanche soir, par exemple). ### 3. Réagir en cas de suspicion de phishing > [!warning] Bons réflexes > 1. **Ne pas cliquer** sur les liens, ne pas ouvrir les pièces jointes, ne pas répondre au message. > 2. **Vérifier l'information par un autre canal** : contacter directement l'organisme concerné via son site officiel ou un numéro connu, sans utiliser les coordonnées présentes dans le mail suspect. > 3. **Signaler le mail** au service informatique ou via la fonction de signalement de sa messagerie professionnelle. > 4. Si un lien a déjà été cliqué ou une information saisie : **changer immédiatement le mot de passe concerné** et alerter le service informatique. ### 4. Vérifier le caractère de confiance d'un appel ou d'un SMS > [!tip] Éléments à vérifier > - **Le numéro appelant/expéditeur** : numéro masqué, très court, ou étranger inhabituel. > - **La cohérence de la demande** : un service légitime (banque, administration) ne demande jamais un mot de passe ou un code de validation par téléphone ou SMS. > - **La pression exercée** : insistance pour agir vite, refus de laisser raccrocher et rappeler. > - **Les liens envoyés par SMS (smishing)** : à ne jamais ouvrir si le message est inattendu ou provient d'un numéro inconnu. > > 👉 En cas de doute, **raccrocher et rappeler** l'organisme via un numéro officiel trouvé indépendamment (site internet, document contractuel), jamais celui communiqué par l'appelant. --- ## III. Manipuler des fichiers en toute sécurité ### 1. Télécharger un document externe ou une pièce jointe > [!tip] Bonnes pratiques > - Ne télécharger que des documents **attendus** ou provenant d'un expéditeur **vérifié**. > - En cas de doute, **analyser le fichier avec un antivirus** (voir VirusTotal, cours [[Code et Développement/Culture Numérique/Sécurité Numérique/02_Securite_au_bureau|Securite_au_bureau]]) avant de l'ouvrir. > - Éviter d'ouvrir un document directement depuis la messagerie sans passer par un dossier de téléchargement contrôlé. ### 2. Vérifier l'extension d'un fichier externe > [!warning] Un indice essentiel mais parfois masqué > L'extension d'un fichier (`.pdf`, `.docx`, `.exe`...) indique sa nature réelle. Or, par défaut, Windows peut **masquer les extensions connues**, ce qui permet à un fichier malveillant de se faire passer pour un document inoffensif (ex : `facture.pdf.exe` affiché comme `facture.pdf`). > [!tip] Méthode pour afficher les extensions > Dans l'Explorateur de fichiers Windows : **Affichage → Afficher → Extensions de noms de fichiers**. > [!warning] Extensions à surveiller particulièrement > `.exe`, `.scr`, `.bat`, `.vbs`, `.js`, ou les documents bureautiques **avec macros** (`.docm`, `.xlsm`, `.pptm`), souvent utilisés pour dissimuler un code malveillant. ### 3. Les caractéristiques de sécurité d'un fichier joint > [!tip] Points de vigilance avant d'ouvrir une pièce jointe > - **Type de fichier** : un exécutable ou un fichier avec macro est plus à risque qu'un simple PDF ou une image. > - **Cohérence avec l'expéditeur et le contexte** : un fichier reçu sans échange préalable ou hors sujet doit alerter. > - **Taille et nom du fichier** : un nom générique ("Facture", "Document") ou une taille anormalement faible/élevée peut être suspect. > - **Demande d'activation de contenu** ("Activer le contenu" / "Activer les macros") : un signal d'alerte fréquent en cas de document piégé. ### 4. Manipuler des fichiers envoyés par pièce jointe > [!tip] Bonnes pratiques > - Vérifier l'extension et la cohérence du fichier (voir ci-dessus) avant toute ouverture. > - **Ne jamais activer les macros** d'un document bureautique reçu par mail, sauf certitude absolue de la légitimité et de la nécessité de cette action. > - Ouvrir les fichiers sensibles dans un environnement contrôlé si un doute persiste (analyse antivirus au préalable). > - En cas de doute persistant, contacter l'expéditeur par un **autre canal** pour confirmer l'envoi. ### 5. Extraire les métadonnées d'un fichier > [!info] Définition > Les **métadonnées** sont des informations associées à un fichier mais non visibles directement à l'affichage : auteur, dates de création/modification, logiciel utilisé, historique des révisions, ou encore localisation GPS pour une photo (données EXIF). > [!warning] Un risque de fuite d'information > Partager un fichier sans en retirer les métadonnées peut révéler involontairement : le nom réel de l'auteur, la structure des dossiers internes, des commentaires ou versions antérieures d'un document, voire la localisation précise d'une photo prise en interne. > [!tip] Méthode pour consulter/nettoyer les métadonnées > - **Sous Windows** : clic droit sur le fichier → **Propriétés** → onglet **Détails**, puis **"Supprimer les propriétés et les informations personnelles"**. > - **Sous Word/Excel/PowerPoint** : **Fichier → Informations → Vérifier l'absence de problèmes → Inspecter le document**, qui permet de détecter et supprimer les métadonnées, commentaires et informations cachées. > - **Pour une image** : les données EXIF (dont la géolocalisation) peuvent être consultées et supprimées via les propriétés du fichier ou un outil dédié. > > 👉 Il est recommandé de **nettoyer les métadonnées** avant de transmettre un document en dehors de l'entreprise. --- ## IV. Stocker et transférer ses données pro/perso ### 1. Séparer les stockages personnels et professionnels > [!warning] Ne pas mélanger les usages > Utiliser son compte cloud personnel (Google Drive, iCloud, Dropbox personnel...) pour stocker des documents professionnels expose l'entreprise à une perte de contrôle sur ses données : absence de sauvegarde maîtrisée, risque en cas de départ du collaborateur, non-conformité RGPD. > [!tip] Bonnes pratiques > - Utiliser **exclusivement les outils validés par l'entreprise** pour les documents professionnels. > - Ne jamais synchroniser un dossier professionnel avec un compte cloud personnel. > - Sur un ordinateur personnel utilisé en télétravail, créer un **espace dédié et cloisonné** pour les fichiers professionnels. ### 2. Stocker des fichiers professionnels sur le cloud > [!tip] Bonnes pratiques > - Utiliser uniquement le ou les services cloud **fournis et approuvés par l'entreprise**. > - Vérifier les **droits d'accès et de partage** des dossiers (éviter les partages publics par défaut). > - Activer, si disponible, une **authentification multi-facteurs** sur le compte cloud professionnel. ### 3. Envoyer numériquement des fichiers volumineux publics > [!tip] Bonnes pratiques > - Pour des données **publiques ou non sensibles**, privilégier les outils de transfert **validés par l'entreprise** plutôt qu'un service grand public choisi au hasard. > - Vérifier la **durée de disponibilité** du lien de téléchargement et le supprimer une fois le transfert confirmé si l'outil le permet. > - Vérifier le **destinataire** du lien envoyé, notamment lorsqu'il est transmis par mail. ### 4. Envoyer numériquement des fichiers sensibles > [!warning] Une vigilance renforcée > Pour des fichiers sensibles (données personnelles, informations stratégiques, documents confidentiels), les précautions doivent être renforcées par rapport à un envoi de fichier public : > - Utiliser une **plateforme de transfert chiffrée et validée par l'entreprise**. > - **Protéger le fichier par un mot de passe**, transmis par un **canal différent** de celui utilisé pour l'envoi du fichier (ex : mot de passe donné par téléphone). > - Privilégier un **lien à accès restreint et limité dans le temps** plutôt qu'une pièce jointe classique. > - Ne jamais transmettre un fichier sensible via une messagerie personnelle ou une application grand public non approuvée. > - Nettoyer les **métadonnées** du fichier avant envoi (voir ci-dessus) si celui-ci contient des informations qui ne doivent pas être divulguées. --- ## Conclusion La sécurité à la maison repose sur une vigilance de tous les instants face aux tentatives de manipulation (phishing par email, appel ou SMS), une bonne **compréhension de ses droits** et de ses traces numériques (RGPD, cookies, réseaux sociaux), ainsi que des réflexes rigoureux dans **la manipulation et le partage de fichiers** (extensions, métadonnées, stockage cloud, séparation pro/perso). Ces bonnes pratiques permettent de **limiter les risques de fuite de données**, aussi bien personnelles que professionnelles, dans un cadre où les frontières entre les deux sont parfois ténues. --- %% nav-debut : généré par gen_navigation.py, ne pas modifier à la main %% > [!nav] > ↩ [[Code et Développement/Culture Numérique/Sécurité Numérique/Sécurité Numérique|Accueil · Sécurité Numérique]] > > | [[Code et Développement/Culture Numérique/Sécurité Numérique/03_Securite_en_deplacement\|← Securite_en_deplacement]] | | > |:---|---:| %% nav-fin %%