Reprise du message précédent :

 
"Monsieur l'assureur, M. Glouba a certifié dans le rapport ci-joint ainsi que dans les mails du 01/04 ci-dessous que la sécurité de notre entreprise était à l'état de l'art lors de l'attaque dont nous avons été victime.
 
Merci d'abouler le pognon.
 
Kindly"
 

 
Je ne vois pas en quoi ça contredit ce que dit gloubi, que sa crédibilité soit en jeu ou pas ne change rien au fait que le client fait ce qu'il veut du rapport, signé ou pas.

Oui et qu'il soit signé ou non le client peut toujours affirmer ne jamais avoir reçu le document....
Gloub tu envois tes rapports en recommandé avec accusé de réception ?

 
Si elle pouvait faire ma compta je préfèrerais
 

 
Nan je maintiens ce que j'ai dit, j'ai une relation commerciale avec mes clients, mon but c'est qu'ils continuent à me faire bosser pour eux voir que je puisse staffer des gens chez eux. Envoyer un message comme ça dès que tu ouvres la relation, ce sera nettement plus perçu comme de la défiance d'office que du professionnalisme.  
 

 
Sauf que c'est un petit monde dans lequel l'information file, et qu'on saura rappeler les gens à l'ordre si ce genre de choses se passent. Cf ce cas précis, le RSSI a été intercepté dans sa tentative de modifier le rapport.  
 

 
Mec, tu sais pas de quoi tu parles, tu connais pas la chaine de transmission, les acteurs en présence, etc.  
Non, je ne tombe pas de la Lune, je surveille justement ce genre d'évènements, sauf que ça n'était jusque maintenant jamais arrivé.  
Je suis plutôt bien placé pour savoir que même signé, on lui fera dire ce qu'on veut au rapport.  
 

 
Voilà, merci.  
 

 
Un de mes partenaires dans un contexte particulier fait carrément des remises en main propre qui ressemblent plus à une cérémonie des clés qu'à un postier qui te jette tes factures

 
Je parle de ce que je vois. Tu travailles dans la sécurité, tu ne signes pas, tu te fais hack ton rapport. Quoi de plus normal ?
 
La sécurité, ce n'est pas une obligation de résultats mais de moyens. Là tu donnes juste le mauvais exemple à tes clients en ne mettant pas de moyens en place pour authentifier tes communications.
 
En fait, la seule bonne raison de ne pas signer par défaut ses mails et ses documents, c'est pour permettre de faire des faux

Badidon t’en sais des choses.

Même si je suis d'accord sur le fait qu'un document peut toujours être modifié à postériori, je ne comprends vraiment pas en quoi tu vois de la défiance à signer numériquement un rapport    
Je t'avoue que ça me dépasse. De mon point de vue (pour avoir été RSI et gérer la sécurité la boite), ça reste un gage de sérieux et surtout une authenticité du rapport.
 
M'enfin après tu fais comme tu le sens si tu penses que c'est mieux comme ça  

Perso, la plupart des rapports d'audit que j'ai vu passer, c'était dans des Zed en lecture seule.
Alors ça empêche pas de le sortir du zed et de le modifier, mais comme en général tu le transmet dans le zed...

Zestion électronique de documents ?

Non, Zed!, l'un des outils de chiffrement qualifié par l'ANSSI.
https://www.ssi.gouv.fr/administrat [...] ation/zed/

Je connaissais pas merci pour le partage.

Gratuit pour ouvrir un conteneur, payant pour pouvoir en créer (globalement, y'a un peu plus de trucs que ça, mais ça donne une première idée). Et la licence est pas hors de prix.
Par contre a l'usage l'ergonomie est pas ouf non plus.

c'est horrible à utiliser ouais

Les captures donne une idée de l'ère technologique du machin

On dirait un Veracrypt du pauvre. Certifié en 2010 pour des environnements XP/Vista  

Azure RMS (l'évolution d'AD RMS) ça permettrait pas d'éviter ce genre de blague aussi? J'ai jamais utilisé mais la présentation avait l'air sexy..  comme souvent quand on se limite à la présentation

Pas de copier / coller possible pour le mdp

 
Parce qu'il y a plusieurs approches possibles. Effectivement certains comme toi ou mon associé vont apprécier de voir un document signé et à priori non modifié pendant le transfert, d'autres au contraire me le demandent carrément au format Word pour le faire évoluer. De plus certains docs ont trait à évoluer par leur nature et ne peuvent être fournis autrement.  
 
Faut comprendre que le doc ne m'appartient pas, je le vends. Et en plus, pas mal cher : rarement moins de 10k, souvent 25/30. Donc si je dis, pour ce prix, que le doc il est de telle forme, non transférable, non éditable, la je risque vraiment de me griller.  
 
Qui plus est ce sont des docs techniques, même s'ils intègrent une conclusion executive, donc ça ne représente aucune difficulté d'interception par le RSSI / directeur de prod parce que ça n'est pas le DG d'un groupe industriel ou d'un GHT qui va contrer ce que remonte son équipe. Et dans les rares cas où la mission arrive directement d'un codir/comex, y'a pas d'intermédiaire à risque.  
 
Si demain des clients émettent la demande d'avoir des docs systématiquement signés, je n'ai aucun souci à leur fournir sous cette forme, entendons nous bien  
Aujourd'hui je me contente d'archives chiffrées sur des formats ouverts ou je livre via des passerelles sécurisées genre BlueFiles ou Accellion, j'ai pas à me plaindre du résultat.

Le principe de RMS, c'est de coller des DRM sur des fichiers, donc logiquement oui. Ensuite à implémenter et administrer c'est une autre histoire...

Y'a moyen de setup Keepass pour qu'il tape dedans facilement

Non, t'as pas suivi, c'est d'enlever les DRM justement

 
Ca reste quand même dégueu et je comprends pas pourquoi l'ANSSI ne développe pas un tool de meilleure qualité.  
Ils livrent leurs rapports par ce biais, notamment les résultats Oradad et pour le coup, je trouve que ça ne fait pas super sérieux de demander ensuite aux gens d'aller DL chez primx l'installeur.

Réflexion d'un néophyte : pourquoi ça ne fait pas partie de la discussion de départ et du contrat négocié?

Parceque 1) c'est pas leur mission et 2) ils ont pas le budget et 3) si nécessaire, y'a d'autres applis (ACID).
 
Mais en tout cas, pas pouvoir copier/coller, limite c'est mieux, ça évite que les mots de passes se baladent dans un notepad.

Ah merci, je l'ignorais, le copier /coller depuis le presse papier keepass ne fonctionnait pas de base donc je n'ai pas cherché plus loin  

 
Parce qu'aujourd'hui c'est quelque chose qui n'est pas demandé.  
Pour moi le plus important aujourd'hui c'est que la commande arrive au client, intègre et non divulguée.  
Ca fait 4 ans que j'ai lancé cette activité, c'est la première fois que ce qui a lancé cette discussion -l'attribution de la validation d'une action- m'arrive.

Tu ouvres l'entrée dans ton Keepass -> onglet Auto-Type -> Override default sequence -> {PASSWORD}
Ensuite, soit tu utilise la commande "perform auto-type" depuis Keepass en ayant sélectionné la bonne entrée, soit dans le même onglet de l'entrée, tu ADD une "target windows" en pointant sur la fenêtre de creds Zed.
 
Sinon, t'utilise une clé et tu partages ton certificat

 
1/ Je vois pas ce qui te permet de dire ça, une agence de ce type qui se repose sur une boite privée pour garantir la transmission d'informations ça pose un souci, qui plus est du tooling en dev interne c'est pas ce qui manque chez eux https://github.com/ANSSI-FR  
2/ Oui c'est vrai, mais c'est pas un argument  
3/ Ca reste pas eux (mais au moins c'est l'Etat c'est toujours ça)

 
Attends de voir la gueule de l'extension Outlook sur client lourd, un régal  
 
T'ouvre le moindre .zed de 1.2mb, ta machine en i9 / 32gb de ram qui se met à ramer et  atteindre 100% d'UC , Outlook qui crash une fois sur deux, un régal.    
 
En même temps je comprends le besoin d'un outil propriétaire, y a rien qui permet de chiffrer une archive sinon

 
T'inquiète je connais très bien
 
Et a la grande époque de windows xp=>7 j'ai du me taper des intégrations de ces outils lors des refresh des postes de travail.
Quelle joie qd tu as du Folder Redirection/Offline files et que Primx a pas encore démarré ça te pétait le chargement du profil

Ça c'est la signature Prim'x.
Idem sur leur autres produits (Cryhod et Zone Zentral)

J'ai eu la chance de bosser pour un n+1 qui envoyait ___tout___ en .zed, y compris les menus de la cantine et les mails précédents - qui eux même avaient souvent des PJ en .zed, un régal absolu  

Ah oui les connard qui envoient des données accessibles publiquement de façon chiffrée

Sinon tu envoies ton rapport final signé et aussi en .doc.
Du moment, que contractuellement, c'est la version signée qui fait foi, t'es tranquille.

J'ai pas trouvé "déveloper des produits de sécu" ici : https://www.ssi.gouv.fr/agence/miss [...] up-doeil/.
L'ANSSI publie beaucoup de tooling, et contribue sur d'autre. Maintenant, je trouve pas ça comparable à un outil de chiffrement certifié (d'ailleurs, j'ai rien vu de produit par l'ANSSI qui le soit) fonctionnant sur plusieurs OS.

Et du coup ils sont censé faire comment ?  

L'argument c'était plus "si t'aime pas Zed, y'a d'autres produits, dont certains qualifiés".  
 
Moi je trouve rien de choquant à ce que l'état s’appuie sur des boites privées, quelques soit le sujet. Ce qui me dérange à la limite, c'est que ça pousse un modèle où un seul produit est qualifié pour tel ou tel contexte (genre Stormshield sur les pare-feux).

Je te laisse financer la qualification de l'outil open source de ton choix

WinRAR, tout le monde l'a gratuitement
 
Sinon, 7-zip et l'archive protégée par mdp ? C'est pas assez costaud ?

 
je dois avouer que travaillant désormais pour une boîte US, on utilise pas zed et du coup aucune confidentialité  
 
Plus sérieusement, c'est très révélateur du fonctionnement de l'État ce genre de décisions, ou on privilégie un produit FRANÇAIS MONSIEUR plutôt qu'un standard interopérable (coucou St0rmshi3ld)

 
C'est russe à l'origine donc bon....

En fait non, l'approche c'est "on utilise un produit qualifié ou certifié qui a fait l'objet de plusieurs audits et respecte un certain nombre de règle".
Le fait qu'il soit français (et c'est pas le cas de tous, je vous invite à consulter la liste des produits certifiés CSPN ou CC/qualifiés. Y'a même Huawei dans la liste.), c'est lié au fait que du coup le marché pour ces produits est surtout local, et que donc ce sont d'abord des boites nationales qui se lancent dans le process.
Je suppose que dans une boite US qui tombe sous le coup d'une ou l'autre réglementation US, y'a des listes de produits publiés par la DISA pour tels ou tels besoin.