Votre base de données avec des informations personnelles sera piratée

Vous avez un site Web qui collecte des données, par exemple via un formulaire ? Ces données contiennent des informations personnelles ? (Rappelez-vous que ce n'est pas parce que le nom de l'utilisateur n'apparait pas que ce n'est pas une donnée personnelle.) Eh bien, vos données seront piratées un jour, c'est certain. Si vous pensez que non, c'est que vous êtes plus fort en sécurité que Sony, Equifax, l'Express et Yahoo.

La question n'est donc pas d'empêcher le piratage, mais « que faire avant » et « que faire pendant ». Avant, vous *devez* vous habituer à récolter moins de données, principe déjà posé par la loi Informatique et Libertés… en 1977. Vous avez vraiment besoin du genre de l'utilisateur ? Et de sa date de naissance ? Et de son numéro de téléphone ? Et, si oui, vous avez vraiment besoin de le garder aussi longtemps ? Moins de données, c'est aussi moins d'ennuis POUR VOUS.

Et pendant la crise ? Si vous voulez gérer la crise comme toutes les autres boites :
1) ignorez les signalements et les alertes
2) niez tout
3) avouez finalement à contre-cœur la fuite, en la minimisant, quitte à mentir.

Toutes les entreprises citées plus haut ont procédé ainsi, pourquoi pas vous ?

Non, en fait, c'est une blague, on proposera une meilleure gestion des fuites de données.

Bonjour,
Tout le monde m'entends bien?

Donc, je m'appelle Stéphane Bortzmeyer.

Je travaille à l'AFNIC qui est
le registre des noms de domaine en .fr

Donc si vous avez des questions
sur les noms de domaine,

sur votre .fr, tout ça,
n'hésitez pas à venir me voir aussi

Mais le sujet d'aujourd'hui,
ce n'est pas sur les

noms de domaine,
c'est sur le piratage

des bases de données personnelles.
Donc le message important

et une fois que je l'aurais donné
vous pourrez quitter la salle si vous voulez.

Le message important
c'est que de toute façon,

votre base de données sera piratée
un jour ou l'autre.

Il y a eu des tas d'exposés à Paris Web
web ou ailleurs

sur la sécurité des données,
comment les sécuriser.

Comment les protéger.

C'est très bien il faut le faire
mais il y a un point qui a plus

rarement été traité c'est qu'est
ce qu'on fait quand ça n'a pas marché.

Et tôt ou tard ça ne marchera pas.

Ha, là on a un bon
exemple déjà

Voilà c'est fait.

C'est pour sauver la planète que
mon ordinateur éteint son écran

automatiquement au bout
de quelques secondes d'inutilisation

donc c'est plutôt
une bonne idée.

Merci de m'avoir prévenu.

Autre point j'avais je suis un
utilisateur du réseau social.

Fais diverses, Mastodon, Play Roma
et compagnie.

Donc j'avais lancé un petit défi
que si j'avais plus de 1000 repouet

de mon message je venais avec un T-shirt
de la boutique de l'Elysée.

Je n'en ai eu que 500.

C'est pas assez.

Donc je n'ai pas pris un vrai T-shirt
de la boutique de l'Elysée.

J'en ai acheté un sur une autre
boutique mais avec une phrase du

même auteur ça convient aussi.

Et puis c'est un sujet qui vient
souvent à Paris Web.

Il y a des gens qui se promènent avec
le badge "je cherche un job"

Et bien ils ont tort de venir à Paris Web pour
ça ils devraient plutôt traverser la rue...

applaudissements

Donc, le public visé, vous,
C'est les gens qui ont un site web

web qui collectent des
données personnelles.

Alors en pratique, à Paris Web, ça
fait vraiment beaucoup de monde.

Une grande partie du public.

Il y a un truc qu'il faut rappeler

c'est évident depuis longtemps.

et je m'excuse pour ceux qui savent mais,
les gens oublient souvent que

"Personnelles",

Ce n'est pas uniquement quand il
y a le nom de la personne dedans...

J'ai vu des tas de fois dans des
réunions des gens écarter un problème

de protection données
personnelles en disant

"Non mais y'a pas les noms
des personnes dans la base"

ça n'est pas une bonne raison

C'est des données personnelles.

à partir du moment on peut retrouver
la personne avec.

Et en général c'est bien plus
simple que ça n'en a l'air.

Donc en pratique les gens qui sont
concernés c'est quasiment tout le monde

sauf si vous faites un site web
statique avec juste quelques

pages HTML dessus mais dès que
vous récoltez des données même

dont vous avez l'impression
qu'elles ne sont pas personnelles,

elles peuvent l'être.

Alors les exemples de piratage avec fuite
des données personnelles c'est tout le temps.

Je n'en avais pas préparé avant
de soumettre ma conférence à Paris Web

parce que j'étais sûr qu'entre
le moment où je répondais

à l'appel à conférence et Paris Web
il y aurais des tas d'exemples

et je n'ai pas été déçu.

Il en a eu plein, par exemple,
British Airways le 13 septembre

il y a pas longtemps.

Voilà ce qu'il affichait sur leur
site web.

Ils se sont fait piquer des
centaines de milliers de données

personnelles sur les gens, leurs numéros
de carte bleue, des trucs comme ça.

C'est un peu embêtant mais c'est banal.
J'ai pris par British Airways

parce que c'est récent,
pas parce qu'ils étaient les pires

ou parce qu'ils sont le plus mal
débrouillés. D'ailleurs ils ont

fait de la communication, c'était sympa...

Du point de vue technique

il y a une analyse après.
La raison pour laquelle se sont fait piquer

leurs données personnelles,
la raison technique,

c'est parce qu'ils chargeaient du
JavaScript depuis un site tiers.

Le site tiers à été piraté et
le JavasScript piraté à été chargé.

Je vous renvoie à l'excellente
conf d'après le King hier qui

expliquait par exemple
la Content Security Policy

pour ne pas charger depuis des sites tiers;
ou si on le fait de mettre un hash du code

JavaScript dedans pour que s'il
ait été changé ça ne soit pas exécuté.

Des trucs comme ça.

Les détails techniques ne sont
pas importants.

British Airways aurait pu faire mieux,
il aurait pu éviter de charger

du JavaScript tiers n'importe comment
mais tôt ou tard on aura une erreur.

Il n'y a pas qu'il n'y a pas qu'eux
qui ont une erreur.

Bon un autre exemple,
Twitter, le 10 septembre.

Quand on se connectais, on avait
le message disant qu'il y avait un bug

sur l'API, ce qui permettait à des
développeurs d'applications tierces

de récupérer les messages privés.
- théoriquement privés - ou

- vendus comme étant privés -
sur Twitter.

Là encore je ne veux pas taper
spécifiquement sur Twitter.

Le point ce n'est pas de se moquer
d'une boite ou de l'autre

c'est de de rappeler que les problèmes sont
des problèmes fréquents.

Ça arrive tout le temps.

L'ONU aussi.
l'ONU à fait ça.

Eux par contre n'ont pas communiqué.
Les précédents messages que vous

voyez, c'est la boîte qui a communiqué
et prévenu les gens de la faille de sécurité

L'ONU ne l'a pas fait,
et là ce qui est rigolo c'est qu'il y a

pas de piratage volontaire
ç'est simplement qu'il avait laissé tout

un tas de documents y compris des
choses avec les noms des gens;

leurs numéros de téléphone; leurs mots
de passe traîner sur des serveurs publics.

Juste avant on a parlé de couche DB.

Bon ben c'est étonnant le nombre
de serveurs CoolDB, MongoDB etc

qui sont grand ouverts sur l'internet
où il y a plein de données.

Là je crois que c'était... il y a les noms ici.
ils en avait mis certains sur Google Docs.

Des listes de mots de passe sur Google Docs,
Ce n'est pas une idée géniale.

Et puis leur JIRA qui était mal configuré.

Qui utilise JIRA dans la salle ?

Bon c'est très bien mais souvent
dans JIRA on met des informations

un peu sensibles.

C'est du travail en cours.

Donc attention à ne pas l'exposer
à toute la planète.

Le message vraiment important c'est
que vos données seront piratées un jour.

Régulièrement quand il
y a une réunion ou une analyse

des problèmes de sécurité avant
la création d'un nouveau service.

Régulièrement on voit quelqu'un
qui assure d'un ton très ferme

"Non non mais il n'y a pas de problème.
Nous on est sécurisé"

Y a quelqu'un dans la salle qui dit
"oui mais quand même est ce

qu'on récolte pas un peu trop de
données? s'il y a des fuites

on aura l'air bête quand même et on
parlera de nous à Paris Web. C'est gênant"

et là le chef répète
"Non Non. C'est sécurisé il n'y a pas de problème"

Rappelez vous que les gens qui
dans les réunions parlent

avec assurance, avec certitude,

des fois ils disent n'importe quoi.

Il faut se dire qu'on est habitué
à juger ce que disent les gens

en fonction de leur degré de certitude
dans la voix.

Ce n'est pas toujours une bonne
façon de procéder.

Des fois il y a des gens qui disent
absolument n'importe quoi.

Je me souviens d'une réunion où
on parlait de données médicales

il y avait un médecin qui était
venu avec une blouse blanche à la réunion.

Il n'avait pas besoin d'une blouse
blanche pour une réunion.

Quand il travaille à l'hôpital, je comprends,

Je comprends mais pour faire une réunion,
quel intérêt ?

A part pour impressionner et pour
dire n'importe quoi en terme de sécurité

J'avais fini par lui dire
"Ecoutez docteur, on fais un pacte :

je ne parle pas de pneumologie et
vous ne vous parlez pas de sécurité informatique."

Le point important c'est que les
données seront piratées un jour

et même si on vous dit "non".

Et ben "si".
"Si".

Sauf effectivement si vous
êtes très fort en sécurité informatique

si vous êtes super fort en sécurité
informatique y'a des boites comme

ça, par exemple Google des fuites
de données personnelles il n'y en a pas souvent.

Il y a même très peu ils prennent
la sécurité très au sérieux et

globalement c'est bien protégé
ça ne veut pas dire

qu'ils n'auront pas de problème.

Il y a déjà eu un petit peu mais
ça veut dire qu' ils sont plutôt bons.

Le problème c'est que tout le monde
n'est pas aussi bon ou plus exactement

tout le monde n'a pas forcément
les moyens,

à la fois financier et organisationnel,
de le faire.

Donc quand les gens me disent
"Mais nous on sera pas piraté !"

Ouais, bon d'accord, si vous êtes
effectivement exceptionnel et dans

ce cas là si vous êtes exceptionnel
à ce point, vous n'allez pas suivre mes confs...

En effet les gens qui font la
sécurité à Google ne vont pas écouter

mes conférences à Paris Web.
Mais pour des gens un peu plus ordinaires

et ça peut inclure des grosses
boites comme celles que j'ai donné

en exemple avant. Ceux-là, oui ils seront
piratés un jour. simplement et si

Simplement, si vous vous demandez Sony a été piraté,
Equifax aussi,

avec des moyens British Airways
et Yahoo.

Bon là c'est vraiment les plus
nuls des nuls mais il y en a.

Il y en a il y en a dans le Lot
qui n'étaient pas mauvais ou

ridicules..

Yahoo ça a toujours été n'importe quoi.

Malgré toute la campagne de com
qui avait eu avec la nouvelle PDG

n'a pas fait mieux que les autres.

Mais il y avait des boites dans
le Lot qui n'étaient pas ridicules

en sécurité et qui faisaient des
efforts raisonnables des efforts

raisonnables ça suffit pas.

Donc un jour ou l'autre on est
piraté à pas cité le dernier vendredi

dernier Facebook aussi avec la
fuite de données personnelles aussi

qui leur est arrivée.

Avant ils avaient l'habitude avant
la fuite de données personnelles

c'est Facebook qui les vendait.

Là ils se laissent pirater c'est
plus embêtant.

Tous tout cela ont été piratés.

Donc si vous dites je suis plus
fort que Sony et fax express British

Airways Yahoo.

Ok néanmoins peut être peut être
mais ce n'est pas le cas de tout

le monde donc ça ne veut pas dire.

Alors attention à ne pas confondre
le message cela ne veut pas dire

vous renoncer à toute mesure de
sécurité.

Faut laisser tomber toute façon
on s'en fout le type il a dit appareil

web qu'on serait piraté fait plus
attention.

Non évidemment non.

C'est un peu comme de dire un jour
on meurt.

Donc je ne vais pas prendre de
précautions particulières en traversant

la route.

Non évidemment non.

Vous cherchez à retarder le problème
à en minimiser les conséquences.

Bien sûr il faut prendre des mesures
de sécurité c'est évident.

D'ailleurs en plus c'est une obligation
légale mais de toute façon il faut

le faire.

Simplement il y a déjà eu pas mal
d'exposer là dessus à Paris web

ou ailleurs.

Vous en avez déjà entendu parler
vous avez des idées si vous êtes

responsable d'une base de données
avec des données personnelles vous

avez une idée des risques et des
mesures de sécurité nécessaires.

Par contre j'ai vu très peu de
gens parler de du jour d'après

des ennuis de ce qui se passe ensuite
et donc de se préparer à ça en

disant ça va arriver.

Donc là encore pour reprendre un
exemple sinistre mais utile et

qui est commun à tout le monde.

On sait qu'on va mourir un jour
on prend des précautions on prend

une assurance vie des choses comme
ça et on fait quand même attention

en traversant la route donc faut
être conscient du problème qui

arrivera et il faut se préparer.

Alors qu'est ce qu'on peut faire avant.

Avant le piratage avant que les
données personnelles.

à chaque fois il y a deux méthodes
à faire comme tout le monde ou

faire correctement.

Alors faire comme tout le monde
c'est répéter répéter.

On est sécurisé on est sécurisé
et il n'y a pas de problème.

On est super sécurisé.

Alors là vous pouvez balancer des
mots par exemple quand quelqu'un

dit à propos d'un fichier les données
sont anonymisées.

Là ça doit tout de suite faire
un signal d'alarme.

Ce que les gens disent ça en général
n'importe comment.

En général quand ils disent c'est
anonymisées ça veut dire on a remplacé

le nom de l'utilisateur par un
idee et après ils appellent ça

anonymisées.

Non non non ce c'est pas ça anonymisées
anonymisées c'est faire en sorte

qu'on ne puisse même pas tracer
de plusieurs actions du même

utilisateur parce que si on peut
en tracer plusieurs.

Tôt ou tard on pourra en déduire
qu'il y a eu depuis 10 ans énormément

d'articles scientifiques publiés
sur des Anonymous.

Comment à partir d'un jeu de données
où il n'y a pas le nom des gens

retrouvés le nom commence à partir
d'un jeu de données où les actions

du même utilisateur n'étaient pas
corrélées.

Comment retrouver les mêmes
utilisateurs.

ça c'est un sujet sur lequel on
a fait énormément de progrès grâce

à Big Data et machine learning
et leurs copains et donc en général

quand quelqu'un qui n'est pas un
expert en sécurité dit que la base

est anonymisées.

En général c'est plutôt inquiétant.

C'est plutôt mauvais signe.

Alors si vous voulez rassurer les
gens vous pouvez ajouter les termes

techniques cryptage crypto monnaies
cryptées.

Personne ne sait ce que cela veut
dire mais vous dites notre base

de données cryptées en 4000 96
bits tout de suite.

Il y a peu de chance que dans la
salle il y ait un expert en sécurité

qui puisse dire non mais c'est
n'importe quoi ça.

Et même s'il le sait il n'osera
pas le dire en anglais.

C'est encore mieux.

Vous dites que vous êtes sécurisé
militaires.

ça marche bien.

Ou bien vous citez des normes vous
citez des normes vous dites on

est compatible avec puis vous citez
une série de normes.

ça n'a même pas besoin d'être des
vraies les gens les connaissent

pas et là là aussi ça impressionne.

ça donne l'impression que quelque
chose va fonctionner.

Ces méthodes là ça marche.

Vous pouvez aussi rajouter en plus
des protections physiques parce

que là on parle d'informatique
mais la plupart des réflexes de

sécurité qu'on a nous êtres humains
ils viennent d'un monde où les

dangers physiques et donc on peut
toujours être plus rassuré quand

on est dans une pièce fermée que
quand on est dehors.

Par exemple en informatique ça
ne devrait pas jouer mais nos réflexes

continuent à fonctionner comme ça.

L'exemple le plus beau ça avait
été pour la base radar qui est

à la base de données des citoyens
indiens ou lors d'une réunion où

des gens s'inquiétaient de la sécurité
des données de radar.

L'attorney général avait dit aucun
problème.

Le data center est entouré par
des murs de 13 pieds de haut.

ça fait évidemment toute une série
de plaisanteries sur on voyait

dans la presse indienne tout un
tas de caricatures avec des murs

des variantes de mur.

Alors à votre avis après les
déclarations de la tendance générale

il s'est écoulé combien de temps
avant que la base soit piratée

avec toutes les données fruit non
un mois un mois.

Un mois après la base était piratée
malgré les murs de 13 pieds de haut.

Donc ça c'est un bon exemple de
ce que font la plupart des boîtes

et qu'il ne faut pas faire en fait
en vrai en vrai les vrais conseils.

Sérieux ce n'est pas de faire ça
c'est premièrement de minimiser

les données et en minimiser les
données.

ça commence par un truc le plus
radical qui soit.

Est ce qu'on a vraiment besoin
de faire un fichier de données

personnelles.

Hier le gouvernement a annoncé
par exemple dans le cadre du plan

pour protéger les gens du porno
la création d'une base de données

où les gens devraient s'enregistrer
pour indiquer qu'ils ont plus de

18 ans et qui veulent aller voir
du porno et ensuite les fournisseurs

d'accès ou quelqu'un d'autre trajet
bloquerait si on n'a pas un token

issu de cette base.

On va donc faire une base de données
nationale des gens qui disent Je

veux voir du porno en ligne.

Moi quand j'ai lu ça j'ai vérifié
l'URL il n'y avait pas le Gorafi

point fr je me suis dit ça doit
être un concours des mauvaises idées.

En fait il doit y avoir entre ministres
un concours des mauvaises idées

et celui là effectivement mérite
un prix.

La première question à se poser
quand on parle de minimisation

des données c'est est ce que vraiment
on veut on a envie de faire un

fichier de données personnelles
sachant que ce n'est pas un avantage

pour la boîte.

ça peut être au contraire une
responsabilité voire il peut y

avoir un prix à payer si on veut
quand même faire une base de données

au moins faut la réduire.

Dire que le bonheur ne vient pas
forcément de la collecte massive

des données au contraire ça peut
entraîner des tas d'ennuis.

Comme le disait Laurianne Bourdin
hier dans son exposé sur les données

personnelles si votre base de données
avec des données personnelles fruit

le vendredi soir vous avez passé
un très mauvais week end donc les

données n'écoutez pas forcément
ce qu'on vous raconte.

Les données sont le pétrole du
21ème siècle.

C'est peut être vrai quand vous
êtes Facebook vous avez les moyens

de les exploiter et effectivement
d'en tirer beaucoup de fric.

Mais la plupart des boites stockent
des données sans trop savoir pourquoi

juste en disant off on ne sait
jamais ça peut servir ou ils ont

dit à la télé que ça serait le
pétrole du 21ème siècle et ça en

général c'est une mauvaise idée.

Donc pour chaque donnée faut se
demander est ce qu'on en a vraiment

besoin.

Est ce que c'est vraiment nécessaire.

Un exemple que j'aime bien c'est
les dates de naissance par exemple

pour les dates de naissance.

C'est assez sensible.

Vous allez me dire ce n'est pas
un secret ce n'est pas comme le

fait qu'on regarde du porno des
trucs comme ça mais si parce que

c'est un élément assez précis qui
peut donc permettre la ré

identification par exemple de croiser
deux bases de données et de

découvertes.

C'est le même utilisateur si on
a la date de naissance alors des

fois des gens me disent Mais c'est
pour vérifier que les gens sont

majeurs ou bien c'est pour faire
des statistiques sur l'âge parce

que vous n'avez pas besoin de la
date pour demander la date de naissance

complète l'année suffirait.

Et si c'est pour des statistiques
probablement une plage de 10 ans

suffirait même largement.

Ce genre de mentalité c'est ça
la mentalité minimisation des données

et c'est ça qu'il faut faire avant.

J'en ai déjà parlé à Paris Web
j'ai pas insisté mais c'est le

point important minimiser les données
ne vous dites pas plus on en a

mieux c'est sinon comme le dit
vous allez passer un mauvais week

end bon bon argument final définitif
c'est une obligation légale.

Déjà dans la loi Informatique et
Libertés c'est encore plus rappelé

dans le répéter encore plus gros.

Là encore je vous renvoie à l'exposé
de Laurianne Bourdin hier.

C'est une obligation légale de
réfléchir à ce que j'ai vraiment

le minimum de données nécessaires
à ce que j'en récolte pas trop.

Et quand les gens disent à propos
du PD ah oui c'est arrivé trop vite.

On n'a pas eu le temps de se préparer.

C'était déjà dans la loi Informatique
et Libertés.

Il y a 40 ans beaucoup d'entre
vous étaient même pas nés le coup

de je n'ai pas eu le temps de m'y
préparer.

Ce n'est pas sérieux.

Pendant pendant le problème pendant
la crise comme lorsque j'ai montré

au début il y a eu un article dans
Intercept avec les données elles

ont fuité.

Qu'est ce qu'on va faire alors
là aussi deux méthodes celle que

font toutes les boites et la bonne
donc la méthode classique.

Déjà c'est quand vous le signal
de l'ignorer que sur les réseaux

sociaux il y a eu des gens qui
par des fuites de données des gens

vous ont envoyé des mail des gens
vous ont signalé sur tweeter avec

le nom de la boite.

Et au fait c'est normal des données
qu'on trouve à tel endroit.

Bonne solution dans la plupart
des boîtes on ignore tout ça.

Ce qu'on ne connait pas ne peut
pas nous faire de mal donc on n'en

tient aucun compte au bout.

Et puis au bout d'un moment quand
même des gens finissent par vous

poser des questions des journalistes
appellent alors là il y a deux

méthodes à ne pas ne pas les rappeler
où il a tout nié.

Dire non non il n'y a pas eu de
problème il n'y a pas eu de fuites

de données.

Non ce n'est pas vrai.

Et d'ailleurs je fais un procès
si vous insistez.

Ou bien si ça suffit pas bien on
finit par au bout d'un moment par

avouer Ah oui il y a eu une fuite
mais on la minimise on dit oui

à une fuite mais ce n'étaient pas
des données personnelles ou anonymisées

c'était juste des données de test
ou c'était dans le cas de l'Express

par exemple c'était mais c'est
des vieilles données qui n'avaient

c'était une base qu'on avait copié
à un moment mais vieille depuis

plusieurs années.

Puis là il y a un journaliste qui
a pris un abonnement qui a vu que

dans la base en question qui était
publique.

Pas tout à cause d'un abonnement
qui venait de prendre apparaissaient

dans la base des données soi disant
qui dataient de plus plusieurs

années et qui n'étaient pas les
données de production.

Donc ça c'est aussi une bonne méthode
ça marche très souvent.

Toutes les boites l'utilisent il
n'y a pas de raison de raconter

n'importe quoi ça marche bien les
entreprises que j'ai cité là où

on fait ça à des degrés divers.

C'est pour ça que j'ai pas mis
Facebook dans la liste précédente

je l'ai citée verbalement et je
n'ai pas finaliste Facebook pour

l'instant à communiquer correctement
ça ne veut pas dire que si des

petits anges à l'état de choses
que l'on peut leur reprocher mais

sur cette fuite de données la dernière
ils ont communiqué de manière à

peu près correct et c'est bien
sûr la solution que je recommande

en vrai ce qu'il faudrait faire
vraiment dans le cas d'une fuite

de données c'est commencer déjà
par faire circuler l'information

même déjà en interne déjà en interne
Communities Managers et les équipes

techniques.

Là je vous renvoie à l'exposé de
ses arrières qui parlait de boulette.

Qu'est ce qu'on fait quand il y
a une boulette et c'est un cas

particulier de boulette déjà la
première chose c'est en interne

on communique et quand on donne
l'information correcte que parce

que avant même de penser à la
communication vers l'extérieur.

Au cas où la boulette comme on
va ouvrir ça aux clients comment

on va raconter ça dans les médias.

Qu'est ce qu'il veut les gens vont
dire sur Twitter.

Mais avant même ça il y a déjà
la communication en interne.

Est ce en interne tout le monde
est vraiment au courant et a vraiment

compris.

Par exemple la plupart des entreprises
cloisonnées.

Il y a quelques personnes qui
connaissent à peu près la vérité.

Les autres non seulement ne connaissent
pas mais sont même tenus à l'écart

de l'information.

ça donne des résultats très rigolos
pendant une crise ou par exemple

sur Tweeter le malheureux community
manager.

Ils raconte n'importe quoi parce
que lui même n'est pas au courant.

Des fois il raconte n'importe quoi
parce que c'est un menteur ou on

lui a donné l'ordre de mentir.

C'était la question que posait
Tristan Nitot hier après l'exposé

de sa sphère privée boulette quand
Tristan demandait Mais qu'est ce

qu'on fait si c'est le directeur
qui nous demande de mentir

publiquement.

Problème intéressant mais souvent
le communiqué émane des heures

il ne ment pas il est réellement
pas au courant il n'a aucune idée.

C'est arrivé pour une fuite de
données chez Orange par exemple

ou le communisme si elle leur mentait
effrontément.

Les gens se disaient ça ils disaient
mais c'est pas possible.

Il y a eu des tas de preuves données
et il continue à dire qu'il n'y

a pas eu de fuites de données parfaites
c'est que lui même n'était pas

au courant et qu'en fait il a fini
par l'apprendre sur Twitter.

Pas en interne par les relais internes
de la boîte.

Donc ça c'est le premier chose
que je dirais en cas de crise.

Faut avoir une politique de
communication en interne qui permet

d'éviter que le service comme le
community manager ou des gens comme

ça ne racontent n'importe quoi
sur les publiquement et puis il

faut réagir vite faut réagir vite
parce que sur Internet les choses

vont vite.

Sur les réseaux sociaux ça va vite.

Les journaux ils ont leurs délais.

Il y a un quotidien qui parait
le lendemain matin si le journaliste

vous appelle à 17h en disant on
va boucler on va publier cette

histoire est ce que vous avez quelque
chose à raconter.

Ben oui il faut réagir vite.

Ce qui peut rentrer en conflit
avec certaines politiques internes.

Il y a beaucoup de boites qui ont
des process ça ça fait partie des

mots sacrés qu'on cite quand il
y a des problèmes on a des process

on va suivre les process et ses
process qui était conçu à l'origine

pour améliorer le travail en interne
sont souvent devenus des choses

sacrées qu'on ne touche plus qu'on
ne remet plus en cause.

C'est comme ça et en cas de crise
c'est une mauvaise idée.

C'est bien d'avoir des plans c'est
bien de réfléchir avant c'est bien

d'avoir des plans mais comme l'a
dit Clausewitz aucun plan ne survit

à la première rencontre avec l'ennemi.

Parce que la crise ne suivra pas
forcément quelque chose de attendu.

Evidemment si elle était attendue
il n'y aurait pas eu de crise on

aurait pris les précautions
nécessaires.

Donc on a des surprises et donc
à vouloir à tout prix suivre les

process on peut se retrouver dans
l'incapacité de gérer la crise

correctement.

Donc à partir du moment où il y
a une crise il faut quelque part

passer en mode crise.

Faire changer les règles on ne
peut plus procéder comme avant.

C'est souvent difficile par exemple
pour les services communication

service communication les habitudes
ce soit eux qui dictent le tempo

on fait.

On a décidé qu'on ferait une campagne
de communication telle date on

la fait à telle date on a décidé
qu'on ferait une conférence de

presse à telle date à telle date.

Et ils ont l'habitude de fonctionner
comme ça alors qu'ici il faut passer

en mode plutôt réaction.

Les choses arrivent on ne l'a pas
voulu on ne l'a pas fait exprès

mais les choses arrivent et il
faut réagir et donc passer dans

un mode spécial où au lieu de
simplement tamponner les documents

on fait un double temps prenez
ça la crise.

Non je plaisante Bon bien sûr quand
même un truc classique des crises

c'est qu'on fait des boulettes
on fait des comme on disait sur

boulettes on fait des boulettes
en cas de crise on panique et on

en fait d'autres alors.

Les deux conseils que je donne
là sont plutôt contradictoires.

D'un côté je dis faut oublier les
process et faut improviser et de

l'autre Geodis faut réfléchir sinon
sinon on va faire des bêtises.

Effectivement les deux conseils
sont assez contradictoires mais

les deux sont quand même justes
une façon de les combiner.

C'est par exemple d'avoir des gens
différents au moment de la crise

il y a des gens qui sont en première
ligne qui résolvent des problèmes

et d'autres qui sont une pièce
à côté pour ne pas être influencés

par l'atmosphère de crise et qui
réfléchissent un peu plus en regardant

un peu plus de hauteur.

Ils ont pas de décisions immédiates
à prendre mais ils peuvent suivre

le déroulement de la crise et par
exemple de faire des idées

intelligentes de Dior mais ce n'est
pas ce qu'on pense ou fait il y

a d'autres points.

Donc ça secoue d'avoir deux équipes
en cas de crise.

C'est souvent la bonne solution
qui permet d'appliquer des conseils

contradictoires.

Et puis alors prévenir les clients
ça c'est un bon exemple.

Crise donc de British Airways dans
un tweet d'un consommateur mécontent.

Le problème c'est que le client
a été prévenu par ne pas tweeter

ou une autre source alors qu'il
est client et pour les compagnies

aériennes en plus on est connu
de la boite lui enlever la carte

hybride Gold Platinum s'il veut
en faire des trucs que les compagnies

aériennes adorent distribuer avec
une communication du genre vous

êtes quelqu'un d'important pour nous.

Vous n'êtes pas juste un numéro
mais quand il y a un problème on

n'est pas prévenu.

Et là c'est quand même très très
embêtant et les gens râlent gardent

une mauvaise impression et c'est
cette mauvaise impression qui va

rester.

D'autant plus que le community
manager de British Airways sur

Tweeter ne s'est pas montré que
je ne suis pas méchant à ce point

mais il a en plus envoyé un tweet
pour dire ah oui on n'a pas prévenu

les gens mais parce que c'est compliqué
d'envoyer un mail à tous les clients

alors même que la même boite tous
les mois elle envoyait un spam

aux membres Gold pour informer
qui a t elle de nouvelles offres

et le nouveau truc et là tout à
coup en cas de crise j'ai dit ah

ben non.

Envoyer un mail à 11 Vous comprenez
on a des centaines de milliers

de clients envoyer un mail à tous
c'est compliqué.

C'est donc ce genre de bêtise ne
va pas aider la réputation de la boite.

Donc prévenez les clients et d'ailleurs
en plus ça tombe bien c'est une

obligation légale c'est une obligation.

Je parle pour le contexte européen
dans d'autres pays les choses peuvent

être différentes mais quand vous
avez une fuite de données personnelles

vous êtes censés prévenir et prévenir
la Cnil.

Et en France et aussi prévenir
les clients eux mêmes que leurs

données personnelles sont dans
la nature.

C'est pour cela que je ne m'étais
pas trop moqué de Facebook par

exemple Facebook à tweeter d'ailleurs
aussi avaient prévenu les gens.

Donc il y a des fois où les gens
sont prévenus.

Des fois c'est rigolo le plus rigolo
que l'inversion de notification

c'était un hôtel à San Diego en
Californie où il m'envoie un message

disant ah ben notre base de données
s'est fait pirater puis avec votre

numéro de carte bleue dedans et
ce qui est rigolo c'est que cet

hôtel était allé qu'une fois c'était
pour aller à une conférence de

sécurité informatique.

Mais ils ont fait les choses bien
ils m'ont prévenu J'ai eu un mail

voilà c'est piraté alors j'ai trouvé
ça.

On trouve d'innombrables textes
soit en ligne soit hors ligne sur

la gestion de crise.

Que faire en cas de problème.

Le texte qui est entre guillemets
ici je l'ai trouvé sur un de ces

documents une boîte qui fait du
conseil aux dirigeants et qui explique

en cas de crise déterminée une
stratégie de communication à

destination des clients.

Ce que je disais pour préserver
l'image de l'entreprise c'est pour

préserver l'image de l'entreprise
qui m'a fait tiquer non.

Non seulement c'est une obligation
légale mais le vrai but c'est de

résoudre le problème que les gens
soient prévenus par exemple de

dire votre numéro de carte de crédit
était dedans c'est une façon de

dire aux gens bien surveiller un
peu les prélèvements dans les jours

et semaines qui viennent.

Peut être qu'il faut être plus
vigilant que d'habitude.

Le but c'est d'aider les gens à
s'en sortir qu'ils puissent prendre

des précautions et à leur tour
déployer des stratégies.

Le but n'est pas de préserver l'image
de l'entreprise qui est vite compris

par pas mal de gens dans l'entreprise
comme on va faire de la propagande

pour essayer de minimiser le problème.

Donc non.

Donc prévenez les clients c'est
important et les choses évidentes

à les prévenir c'est à dire leur
dire la vérité ne pas minimiser

bêtement par défaut on ne sait
pas au début d'un problème on n'est

pas sûr de l'ampleur exacte de la fuite.

Donc le dire le dire nous savons
qu'il y a eu une brèche du système

des données personnelles ont fuité.

Nous ne connaissons pas encore
tous les détails mais nous vous

tiendrons au courant parce que
le client nous vous aimons et votre

vie privée est notre priorité.

Des trucs comme ça au moins ce
n'est pas du mensonge à part peut

être la dernière phrase mais au
moins ce n'est pas du mensonge

et qu'on sait pas on dit franchement
qu'on ne sait pas donc en conclusion.

Bon bien sûr je le répète il faut
tout faire pour ne pas être piraté

donc bien sûr qu'il faut prendre
des précautions.

Bien sûr que la base de données
ne doit pas être un e-mail SQL

ouvert à tout l'internet par défaut
avec le mot de passe admin.

Bien sûr qu'on ne met pas les données
personnelles sur Google Docs bien

sûr etc.

etc.

Il y a tout un tas de précautions
à prendre.

Mais je le répète il ne faut pas
se faire d'illusions.

Il faut aussi prévoir le problème.

Il faut aussi prévoir que le pire
peut arriver c'est déjà une préparation

psychologique arrêter d'être en
mode de déni.

Non non moi ça n'arrivera pas.

Moi je n'aurais pas moi ma base
de données ne sera pas piraté.

Arrêter d'être en mode déni et
réfléchir à ce qu'on peut faire.

On peut survivre au piratage il
y a des tas de boites qui ont survécu

et qui fax n'a pas fermé.

Bruno PDG a dû démissionner mais
il a eu droit à son parachute doré

il non.

Il a dû démissionner.

Il a perdu son parachute doré.

C'est quand même grave mais il
a le droit de garder les stock

options et après une baisse du
cours en bourse c'est remonté ça va.

Je ne suis pas trop inquiet pour lui.

Il doit maintenant traverser la
rue pour trouver un autre boulot.

Mais en dehors de ça par rapport
à l'ampleur de la fuite de données

par rapport à la négligence et
la malhonnêteté de la boite je

trouve qu'il s'en tire plutôt bien.

La perte de réputation ça peut
être plus gênant.

Comme disait ma grand mère la
réputation on la gagne à la pipette

et on perd au saut que ça ça arrive
très vite de perdre et après pendant

des années on reste la mauvaise
boite bon Yahoo par exemple a

maintenant une réputation exécrable
bien méritée.

Je ne sais pas si cela se traduit
vraiment par une perte financière

pour eux.

Enfin en tout cas c'est mauvais
en tout cas pour la boite.

Ne faites pas comme la plupart
des piratés actuellement la plupart

des boites qui ont vécu une fuite
de données personnelles ont fait

exactement ce qu'il ne fallait
pas faire.

Tous les trucs qui étaient dans
les slides ce que font les autres

boites.

Essayer de faire mieux alors c'est
ce que j'ai écrit ça c'est les

bons conseils que j'ai écrit c'est
un peu la conclusion officielle.

Il y a aussi une conclusion non
officielle que je n'ai pas écrit.

C'est vraiment est ce que vraiment
c'est un problème.

Vraiment c'est un problème.

Vraiment les boites qui font mal.

Il y a des conséquences.

Ben Ashley Madison est toujours
en service.

C'est le site de rencontres orienté
adultères qui a été piraté et qui

est toujours en service.

Bon leur cours en Bourse a baissé
mais il est remonté.

Bon Yahoo.

A été racheté par Verizon pour
moins cher que ce qu'il prévoyait

il y a des fois des conséquences.

Mais bon les boites ont pas forcément
perdu des clients.

On a fait beaucoup d'histoires
sur des gens qui quittaient Facebook

par exemple.

C'est une goutte d'eau.

Il y a deux types liquides Facebook
et qui mettent ça sur leurs blogs.

Ce n'est pas ça qui va empêcher
Zuckerberg de dormir et ce n'est

pas ça qui va faire que le conseil
d'administration va décider de le virer.

Malheureusement on pourrait si
on était cynique mais à Paris Web

on n'est pas cynique on est des
bisounours.

Licornes tout ça tout va bien.

On veut améliorer les choses on
veut que le Web soit meilleur donc

on donne des bons conseils les
conseils officiels si on est cynique

on pourrait dire oui bon en fait.

En pratique c'est pas grave quand
on se fait pirater les données

personnelles des clients business
comme avant continuer et

malheureusement pour l'instant
ça a été le cas.

Je ne suis pas sûr que l'expression
ait perdu beaucoup d'abonnés.

Je ne suis pas sûr qu'il fasse
et vu son cours en Bourse baisser.

Je ne suis pas sûr que les gens
arrêteront de prendre un avion

sur British Airways.

Malheureusement pour l'instant
il faut aussi constater que souvent

les salauds qui s'en tirent.

Voilà j'espère ne pas avoir été
trop long ou trop déprimant.

Il y a maintenant de la place pour
question discussions remarques

critiques compléments d'expérience
tout ça.