Données biométriques en ligne – Une norme ISO/CEI en assure la sécurité et la confidentialité

La biométrie, dont les deux moyens principaux sont les empreintes digitales et l’iris, est de plus en plus utilisée comme un mode fiable d’authentification pour les opérations en ligne. Mais comment être sûr que ces données ne seront pas exposées à des risques ? L’ISO et la Commission électrotechnique internationale (IEC) ont publié conjointement une nouvelle Norme internationale, ISO/CEI 24745:2011, Technologies de l'information – Techniques de sécurité – Protection des informations biométriques, visant à assurer la sécurité et la confidentialité dans l’administration et le traitement des informations biométriques.

 

La biométrie désigne l’identification automatisée des individus fondée sur leurs caractéristiques comportementales et physiologiques. Elle englobe les technologies de reconnaissance à partir de la capture de l’image du visage, de l’iris ou de la paume de la main, ou encore de la signature vocale et d’autres éléments du même type, tels que le balayage d’empreintes digitales pour accéder à un ordinateur ou la lecture de l’iris pour franchir le contrôle aux frontières.

 

Dans la biométrie, si les informations d’authentification sont utilisées à mauvais escient, il n’est pas possible de recourir aux solutions usuelles qui consistent à changer le mot de passe ou le badge d’identification, car il est difficile, voire impossible de modifier les caractéristiques biométriques. En outre, alors qu’un nombre toujours plus grand d’informations personnellement identifiables sont associées à des références biométriques, et que ces données sont communiquées au-delà des frontières, il est indispensable d’assurer la sécurité d’un système biométrique et de protéger la confidentialité des données des sujets concernés avec de solides contre-mesures telles que celles énoncées dans la norme ISO/CEI 24745.

La norme spécifie différents éléments :

• Analyse des menaces et contre-mesures inhérentes aux modèles biométriques et modèles d’application de système biométrique
• Exigences de sécurité pour rattacher une référence biométrique à une référence d’identité
• Modèles d’application de système biométrique comportant divers scénarios pour le stockage et la comparaison des références biométriques
• Lignes directrices relatives à la protection des renseignements personnels d’un individu lors du traitement des informations biométriques.

ISO/IEC 24745:2011, Technologies de l'information – Techniques de sécurité – Protection des informations biométriques, a été élaborée par le comité technique mixte ISO/CEI JTC 1, Technologies de l’information, sous-comité SC 27, Techniques de sécurité des technologies de l'information. Elle est disponible au prix de 150 francs suisses auprès des instituts nationaux membres de l’ISO.

 

mercredi 17 août 2011

 

http://www.infodsi.com/articles/122264/donnees-biometriques-ligne-norme-iso-cei-assure-securite-confidentialite.html

La fabrication des normes expliquée par l’ISO

Il est permis de dire que le fruit des travaux que mène l’Organisation internationale de normalisation (ISO) au quotidien est véritablement extraordinaire: un consensus international sur des outils concrets pour relever des défis mondiaux. En effet, s’il n’est jamais facile d’amener le monde entier à s’accorder sur un sujet donné, l’ISO y est parvenue avec brio pour plus de 18600 Normes internationales. Mais quel est son secret ?

Le numéro de juillet/août 2011 du magazine ISO Focus+ présente la recette du succès de l’ISO, qui n’est autre que son processus d’élaboration des normes.

Les Normes internationales sont élaborées au sein de centaines de comités techniques, sous-comités et groupes de travail qui réunissent des milliers d’experts du monde entier (issus de l’industrie, des milieux universitaires, des gouvernements, des organisations de consommateurs, et d’autres groupes de parties prenantes) en vue de déterminer les meilleures pratiques internationales sur des sujets aussi divers que les casques de hockey et la gestion des risques.

Le numéro de juillet/août explique comment l’ISO s’efforce, au travers de ses activités de normalisation, d’édifier un consensus véritable et représentatif, des prémices d’un projet jusqu’aux stades ultimes de sa réalisation. En suivant une norme depuis sa conception, il répond à des questions du type: «Qui décide d’élaborer une norme ?» De plus, les responsables des comités ISO disent comment ils relèvent les défis liés à l’obtention d’un consensus et à la participation des parties prenantes. Des nanotechnologies à l’industrie automobile, chaque comité technique a une histoire unique à raconter. Les experts expliquent enfin pourquoi ils sont si nombreux à offrir leur temps et leur énergie pour prendre part à ce processus.

Souplesse et innovation sont cardinales pour le processus d’élaboration des normes. Ce numéro d’ISO Focus+ examine les défis inédits représentés par l’élaboration d’ISO 26000:2010, Lignes directrices relatives à la responsabilité sociétale, compte tenu de l’ampleur de son domaine d’application et des multiples intérêts des parties prenantes en jeu, et quelques-unes des stratégies qui ont été adoptées pour les relever.


Vous pouvez lire et télécharger gratuitement la version électronique d’ISO Focus+ sur le site Web de l’ISO à l’adresse suivante: www.iso.org/isofocus.

mercredi 10 août 2011

http://www.infodsi.com/articles/122125/fabrication-normes-expliquee-iso.html

Sécurité sur Internet : l’ENISA, l’agence de cyber-sécurité de l’UE, met en évidence des correctifs de sécurité pour de nouvelles normes du Web

À un moment crucial dans le développement de HTML5, la nouvelle norme de base pour Internet, l’ENISA propose aujourd’hui d’importants correctifs de sécurité pour 13 normes du Web à venir. L’ENISA a identifié 50 menaces de sécurité et a proposé des solutions pour y répondre.

Les activités bancaires, le réseautage social, les achats, l’orientation, les paiements par carte et même la gestion d’infrastructures critiques comme les réseaux d’énergie - la quasi-totalité des activités imaginables ont aujourd’hui lieu au sein d’une fenêtre de navigateur. « Le navigateur Web est aujourd’hui l’une des composantes les plus sensibles de notre infrastructure d’information en termes de sécurité - une cible de plus en plus lucrative pour les cyberpirates, » a commenté le Prof. Udo Helmbrecht, Directeur Exécutif de l’ENISA.

Afin d’implémenter des innovations au sein des applications Web et leurs modèles opérationnels, et en vue de permettre à davantage d’individus d’utiliser Internet, le W3C (Worldwide Web Consortium) travaille actuellement sur des révisions majeures de ses normes de base.

L’ENISA a saisi cette opportunité pour passer en revue ces spécifications et pour proposer des améliorations visant à renforcer la sécurité des navigateurs pour tous les internautes. « Un grand nombre de ces spécifications vont atteindre un point de non-retour. Pour une fois, nous avons l’opportunité de réfléchir profondément à la question de la sécurité - avant que la norme ne soit gravée dans le marbre, au lieu d’essayer de recoller les morceaux après coup. Il s’agit d’une chance unique de développer l’approche de sécurité dès la conception, » a déclaré Giles Hogben, corédacteur du rapport.

« Nous accueillons avec joie ce rapport de sécurité opportun de l’ENISA. Nous avons encouragé l’ENISA à signaler les problèmes qu’elle avait identifiés auprès des Groupes de travail concernés du W3C, » a expliqué Thomas Roessler, principal chargé de la sécurité du W3C.

L’analyse de l’ENISA révèle 50 menaces et problèmes de sécurité, dont :
L’accès non protégé aux informations sensibles
De nouvelles façons de déclencher des soumissions de formulaires pour les cyberpirates
Des problèmes en termes de spécification et d’application des politiques de sécurité
De possibles décalages avec la gestion des autorisations des Systèmes d’exploitation
Des fonctionnalités sous-spécifiées, pouvant mener à des mises en oeuvres sujettes à erreurs ou conflictuelles
De nouvelles façons d’échapper à la protection et aux mécanismes de contrôle d’accès en utilisant le « click-jacking », ou « détournement de clic » en français (technique visant à pousser l’internaute à cliquer sur des liens ou boutons dangereux).

« Une conclusion importante de cette étude est qu’un nombre considérablement plus faible de problèmes de sécurité a été relevé dans ces spécifications, qui ont déjà fait l’objet d’un examen de sécurité détaillé. Cela démontre la valeur des examens de sécurité approfondis des spécifications à venir, » a déclaré Marnix Dekker, corédacteur du rapport.

août 2011 par enisa

http://www.globalsecuritymag.fr/Securite-sur-Internet-l-ENISA-l,20110801,25078.html