Reprise du message précédent :

 
dans mon ancienne COGIP, une nana assez naive s'envoyait des documents du bureau sur son adresse perso en mode "je veux me souvenir de ce que j'ai fait pour etre capable de l'expliquer lors de mes prochains entretiens"
 
ça a fini par triger la sécurité, audit de sa boit mail, virée dans l'apres midi (elle était presta)    
 
 
sinon, un prestataire de l'équipe sécurité qui avait utilisé un ticket déja existant pour justifier une exemption firewall pour Mektoube
 
viré la jourée ou il a été grillé  

Quand j'ai commencé à bosser j'ai fait de l'intérim pour une boite dans le service qui gérait les flottes de portables des commerciaux.

Un jour on a un retour pour panne d'écran (ça arrive).
Le gars nous demande expressément de bien récupérer les données qui sont "très importantes".
Résultat : on a trouvé toutes les photos/vidéos porno amateur de Monsieur avec Madame (enfin je suppose que c'était sa dame) !

On a remonté ça à la RH mais je ne sais pas comment ça s'est fini...
Comme quoi, on voit de tout (même si des fois on préfèrerais pas ...) sur le matériel d'une entreprise.

Ça ou le coup du gars qui a planté la prod en pleine nuit car il avait rempli le disque du serveur en rippant le DVD du Seigneur des Anneaux dessus (oui c'est pas récent )...

Nous plus récemment on a eu un serveur FTP saturé par l'intégrale Star Wars en blu-ray  

 
Ca craint de remonter ça aux RH

Je ne sais pas quelle partie de ton post est la plus nawak, la première ou la deuxième. On se met bien par chez vous question sécu.

Quand tu es dans une boite qui n'a pas 15 couches de hiérarchie, ça va vite "haut".

Dans certains cas, si ça s'apprend pas un autre biais, tu peux sauter pour ça...

Ne serait-ce que prévenir ta hiérarchie directe, qui elle, prendra sur elle ou dans 99% des cas, remontera à la direction.

 
On peut pas faire n'importe quoi avec le matos de la boite
J'imagine qu'ils ont fait selon leurs obligations et ce qui est autorisé par la cogip.
 

 
Ben c'est pourtant comme ça que ça marche chez nous, à la confiance mais sous surveillance. Sans oublier les nombreux trainings sur la sécurité et les tests menés régulièrement.
 
On est une grosse boite de conseil et d'intégration sur des outils informatiques. Donc logiquement on a une certaine culture informatique, dans mon département du moins (je veux bien croire que c'est pas forcément la même chose côté RH/compta... je ne suis même pas sûr qu'ils aient les droits d'admin de leurs ordis d'ailleurs ) et donc on sait ce qu'on fait, ce qu'on peut faire et ce qu'on ne peut pas faire. Mais je reconnais que ça ne va pas tout empêcher et qu'il faut d'autres barrières/contrôles.
 
Moi ça m'arrange d'être admin de mon poste, même si je ne m'en sers pas tous les jours.
 
Et je me demande comment le gars qui a installé Tor sur son ordi pro s'est dit que ça passait

les memes qui veulent utiliser leur ordi portable perso au boulot , dans le reseau interne .

 
Le problème c'est qu'il y a un peu de tout, et chaque politique d'entreprise est différente. Perso j'ai bossé dans un labo qui nous donnait un PC, pas de droits d'admins et installation de logiciel/packages seulement si extrêmement bien justifié. Et c'était quand même extrêmement handicapant.
Dans mon labo actuel j'ai commencé par bosser sur mon laptop perso, puis j'ai du demander l'achat d'un ordi plus puissant.
Mais au sein même de notre centre tout est mélangé, il y a des personnes avec laptop perso, d'autres avec ordi pros, d'autres avec ordi pros mais pas de droits d'admins, ...
Et encore, dans la plupart des cas ceux qui ont un ordi pro, les machines doivent être verrouillées mais le mot de passe doit être connu de toute l'équipe, ce qui finit souvent en post-it sur le bureau, le tout avec des données sensibles. Mot de passe qui du coup tourne entre les équipes puisque tel logiciel est dispo que sur tel PC.

 
Ah oui, comme Altran. Ou Airbus. Ou Deloitte. Ou Orange Business Service.
 
Être admin de son poste c'est une mauvaise pratique, quel que soit ton niveau technique. Le côté "on sait ce qu'on fait", sur énormément de réponses sur incidents, on le constate bien : des postes d'admin avec des persistances bien installées, des admins qui ont DL nawak (la dernière en date ? une update de keepass vérolée; y'a un an, ils ont DL un genre de Ccleaner sur un filer - un bon gros ransomware des familles - bon, pas les mêmes). Vu en bancaire y'a qqes années, un RSSI qui forwardait tous ses mails, automatiquement, sur son compte Gmail perso. Tous ces gens là savaient ce qu'ils faisaient... Sauf que non.

 
Mais, euh, pourquoi ?  
Déjà, pourquoi as-tu accédé à des données d'un utilisateur qui voulait simplement que tu les sauvegardes ? Ensuite, pourquoi avoir remonté ça alors qu'il ne s'agit en aucun cas d'une menace ou d'une dégradation du matériel ? Il y a une charte qui interdit expressément l'usage personnel du matos informatique ?

Ca fait déjà quelques années que le "on sait ce qu'on fait" ne fait pas un pli contre une attaque un poil sophistiquée. J'ai l'impression que vous n'avez simplement aucune culture de la sécurité des systèmes comme 99.999% des boites.

14 ans après son premier post sur le topic, Gloubi revient et ca tombe sur le même sujet. Je sais pas si c'est un signe et si oui, un signe de quoi.
Mais ca sent le bug dans la matrice. Si vous voulez mon avis, ca m'étonnerait pas qu'elle vienne de là, la deuzièmvague  

Je l'espère pour la boîte, d'ailleurs, c'est pas obligatoire à partir d'un certains nombre d'employés ?  

C'est pas vraiment des commerciaux, je bosse dans une ONG, c'est plutôt des types qui font du lobbying et qui ont un gros réseau de contacts.
 

genre avoir pris contact avec un ancien VIP dégagé avec pertes et fracas depuis leur boite pro, ou dénigré l'ONG en question depuis celle-ci...

Ah bah oui c'est pas pareil déjà. Parce que je voyais la masse de collègues inscrit sur tout et n'importe quoi depuis leur adresse pro (genre facebook et cie), je me disais que licenciement pour faute ce serait un poil dur.

Oui certes, mon post porte à confusion
 
Sinon pas de proxy vraiment restrictif ici, les seuls trucs verboten c'est le classique terro/pedo/porno, personne n'est admin de son poste sauf les devs et l'infra/support, et c'est via un deuxième compte généralement. 2 domain admin max genre le chef de l'infra et le data architect...

Un truc qui limite sérieusement la casse, c'est le store d'applications interne. Ça demande un paquet de packageurs, mais vous pouvez mettre les versions approuvées des softs, les gens gèrent eux-mêmes l'installation et les softs à licence sont soit directement facturé selon l'UO soit après validation du chef de service.
Et ajouter toute une dose d'utilitaires bien pratiques que tout le monde allait chercher en version portable avant (Mobaxterm, mRemote, filezilla, keepass et cie)

Du coup les gens sont contents et ils peuvent installer des logiciels simple sans faire de demande, les versions sont contrôlées, les maj se font toutes seules, bref c'est la solution la plus équilibrée à mon sens.

 
Alors c’est rigolo parce que justement je l’ai relu hier ou avant hier, mais quel cretin j’ai été là dessus, c’est ouf.  
Aujourd’hui je fais un gros focus sur la sécurité avec mon associé et justement, on traque ce genre d’approche par les DSI qui conduisent directement sur du shadow IT.  
Mon plus gros client est un très gros groupe dans la santé, tu verrais ce qui passe par Dropbox et GDrive. Mais on peut pas blâmer les lusers : ils ont un besoin métier formel, l’IT fait la sourde oreille. Eux il faut qu’ils avancent dans leur mission, ps qu’ils fassent plaisir à l’IT. Alors, ils font avec ce qu’ils connaissent.

À partir de 1. C’est pas obligatoire mais très fortement recommandé.

 
Tu rajoutes que l'IT a 0 moyen parce que "centre de coût" et la boucle est bouclée

 
C’est rarement ça le problème.  
Pis à mon TJM spa des boites sans budget qui nous appellent

Même si ça a 14 ans, un de mes clients DÎME c’est pas d’accès Internet sur les postes. Tu veux consulter un truc ? C’est ton téléphone ou se lever vers un poste Internet. Je parle même pas de vouloir installer un truc sur le PC

Le vaccin contre le covid sur drive donc  

J'ai un SI comme ça. Bientôt plusieurs. Contraintes réglementaires. Et les consultations sont logguées.
Au début c'est chiant, après tu t'y fait.

Mdr c'est ce que tu crois.

Pour que l'IT puisse mettre les solutions adéquates en place, déjà faut que le besoin soit remonté. Ensuite il faut monter le projet, benchmarker, valider les coûts, qualifier etc.
Ça prend du temps, et de l'argent.
L'IT a souvent d'autres priorités en égard de la feuille de route transmise par la direction, et du coup I'lT n'a ni les moyens ni les ressources nécessaires.
Vous, vous intervenez quand c'est déjà le caca.
Mais si déjà les services IT avaient un peu de marge pour faire de la veille, du service interne avec un vrai pilotage de projet, on en serait pas là.
Les solutions ne se trouvent pas en un claquement de doigt, et s'en découle toutes les problématiques structurelle derrière. Pas d'accompagnement par la direction, c'est mort.

Tant que t'as pas besoin de bosser ouais ça va

Euh, bah je sais pas l'xp que t'a avec les tiens, mais moi on rend bien du service avec, y'a des gens qui bossent avec... A un moment faut accepter que tu peux pas tout faire depuis un pc qui a un accès à internet.

La même. Les postes internet sont journalisés 1 an, avec des avertissements sur les poursuites et tout. Ça rigole pas. Après c’est le contexte de la boîte qui veut ça.

2/3 de l'activité de ma boîte consiste à browser et régurgiter Stackoverflow, sans internet ils savent plus rien faire

Là où je bosse les PCsont sur un LAN 100% étanche du net  
Les PC qui ont accès a internet n'ont pas le droit d'être dans la même pièce ( et le Proxi te renifle le cul d'encore plus près que les services secrets chinois a honk kong )

Avoir un téléphone/ ordinateur avec soi dans une zone restreinte est clairement indiqué comme un motif de licenciement Immédiat ( casiers a l'entré du bâtiment)

Et les rares  personnes a avoir des téléphones portables autorisée par la sécurité disent que ça capte de toute façon pas a l'intérieur des bâtiments  

On est au même endroit ?

Sans doute pas   a moins que tu ai changé de boîte

Je me déplace chez plusieurs clients, j’en ai 3 sur Bordeaux mais c’est du public.

Vous n'avez rien à faire sur internet en tout cas, vous n'avez pas lu la charte ou quoi ? Allez hop, virés tous les deux.

Ca a l'air chiant vos boîtes

Rien de tel qu'un bon porn pour se détendre le midi

 
Mais je suis d'accord. Ça fait un premier filtre, mais ça ne fait pas tout
 
Ceci dit, c'est pas moi qui décide la la politique de sécurité de la boite    
 
Concernant la culture sécurité, on a régulièrement des formations obligatoires sur la sécurité informatique (ne pas installer n'importe quoi, reconnaitre le fishing...) et l'IT envoie souvent des mails pour nous tester. Si on se plante dans le test, on doit repasser une formation plus poussée.
 
Pareil, c'est un autre élément de protection, ça contribue au truc mais ça ne fait pas tout.

Ben ... Barbelés et gardes armé devant le portail ça annonce le ton d'entrée  

La joie de faire de l'Open Source et d'avoir quasi que des devs, on a pas ce genre de questions