1. Les utilisateurs de l’établissement se plaignent du ralentissement de l’accès à Internet à une certaine heure de la journée. À la demande du chef d’établissement, le responsable informatique effectue une analyse volumétrique, à partir des journaux de consultation du web, et ne constate aucun transfert particulièrement volumineux à l’heure concernée. Il poursuit ses investigations sur d’autres journaux des systèmes de l’établissement et finit par découvrir qu’il s’agit du processus de remontée de données du logiciel de gestion de parc informatique. Suite à cela, il reconfigure le processus de remontée afin que ce dernier opère la nuit et tout rentre dans l’ordre.

2. Un élève a usurpé le compte d’un de ses camarades dans l’application Gibii (Gestion Informatisée du Brevet Informatique et Internet). L’usurpateur a déposé, dans l’application, des insultes envers un professeur qui a porté plainte. Pour les besoins de l’enquête, la gendarmerie demande au responsable juridique du système d’information (le chef d’établissement) les journaux informatiques qui vont permettre d’innocenter le propriétaire du compte usurpé et de remonter à l’auteur du délit.

• Quels sont les éléments du système d’information qui nécessitent une journalisation ? Pour répondre à quelles finalités ?
• Qui a accès à ces traces ? Sous la responsabilité et/ou sous l’injonction de qui ? Selon quelles procédures ? Quels degrés d’agrégation ou d’anonymisation utiliser en fonction des finalités et des objectifs poursuivis ?
• La sécurité de ces traces est-elle suffisamment assurée, au regard de la loi informatique et libertés ? Et pour pouvoir constituer des preuves recevables ?
• Combien de temps dois-je conserver les différentes traces et à quelles fins ? Lesquelles dois-je anonymiser ? À partir de quel moment ?
• Les utilisateurs sont-ils bien informés de la mise en place de la traçabilité au sein du système d’information ? En connaissent-ils les finalités ?
• Concernant les traces contenant des données à caractère personnel, connaissent-ils leurs droits d’accès et de rectification, les limites et les conditions dans lesquelles ils peuvent l’exercer et auprès de qui ?

La traçabilité est une notion importante dans la vie d’un système d’information. Elle permet de savoir qui fait quoi et quand avec le réseau informatique et les applications, qu’il s’agisse de personnes ou de processus appartenant aux systèmes informatiques eux-mêmes. L’analyse humaine ou automatisée de ces données, permet, en particulier, d’assurer le bon fonctionnement des services numériques de l’établissement. Ces données sont également nécessaires dans un cadre légal lors d’une instruction judiciaire.

Les actions de journalisation, au sein d’un établissement, répondent à plusieurs objectifs :

• contrôler le niveau d’utilisation des ressources informatiques et anticiper l’évolution des besoins avant d’arriver à une situation de blocage,
• résoudre les problèmes techniques et optimiser le fonctionnement des systèmes informatiques (lenteur des systèmes ou du réseau, activités virales…),
• vérifier que les règles de sécurité du système d’information sont appliquées,
• détecter toute tentative d’intrusion ou d’altération du système d’information,
• détecter les activités illégales, contraires au règlement intérieur ou portant atteinte aux principes de la charte,
• fournir des éléments d’enquête pertinents, voire des preuves, en cas de procédure judiciaire.

M. L., chef d’établissement dans un collège : « Mes élèves accèdent à Internet à travers l’équipement de sécurité géré par le rectorat. Cet équipement filtre les contenus illicites et journalise les connexions internet. Étant le responsable juridique de mon établissement, il est important pour moi de pouvoir fournir des traces en cas de problèmes. Je suis, bien sûr, sensible au respect de l’individu et je veille à la mise en place de chartes permettant d’informer sur les droits et devoirs de chacun quant à l’utilisation des outils informatiques. »

Un système informatique est constitué de nombreux éléments matériels ou logiciels (téléphonie, serveurs web, serveurs de fichiers, serveurs de bases de données, pare-feu, commutateurs réseaux, contrôle d’accès aux bâtiments). Ces systèmes sont capables de générer des traces permettant à la fois de surveiller le bon fonctionnement de l’ensemble et de suivre l’utilisation qui en est faite.

 Les aspects organisationnels et légaux à respecter  

• Il est important de comprendre que d’enregistrer des journaux uniquement pour respecter les obligations légales n’est pas l’aspect le plus profitable. L’intérêt principal réside dans la possibilité de maintenir le système d’information de l’établissement disponible et en bon état de fonctionnement.

•  Il est impératif d’informer les utilisateurs sur la mise en place de la traçabilité ainsi que sur la finalité recherchée. Pour ce faire, le chef d’établissement doit mettre en place une charte d’utilisation du système d’information qui devra être portée à la connaissance du personnel et de tous les élèves.

• Les journaux informatiques ne doivent pas être accessibles à tout le monde. Le responsable juridique doit veiller à ce que les personnes qui ont besoin d’y accéder soient bien identifiées.

• La charte administrateur est une garantie contractuelle indispensable pour la préservation des données personnelles et de la vie privée des utilisateurs. Il est indispensable d’y rappeler que l’engagement de confidentialité n’a pas valeur de blanc-seing et que tout accès à des données à caractère personnel, à moins d’être imposé par une requête judiciaire, doit être motivé par les finalités des traitements et proportionné aux objectifs poursuivis.

• Le temps de conservation des journaux doit respecter le droit en vigueur. La CNILCNIL
  « La Commission nationale de l’informatique et des libertés est chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. » (www.cnil.fr)
  La CNIL remplit des missions :
    * d’information générale ;
    * de veille (droit d’accès des particuliers aux données numériques les concernant) ;
    * de recensement et de publication des fichiers déclarés ;
    * de contrôle et d’investigation auprès des créateurs de fichiers et des systèmes informatiques les traitant ;
    * de proposition pour faire évoluer les réglementations.
  Contactez la CNIL pour :
    * les SMS frauduleux (tél. : 33700) ;
    * les spams insidieux (www.signal-spam.fr).
  , dans son guide sécurité 2010 (Fiche numéro 8), recommande de : «  Prévoir un système de journalisation (c’est-à-dire un enregistrement dans des fichiers de logs) des activités des utilisateurs, des anomalies et des évènements liés à la sécurité. Ces journaux doivent conserver les évènements sur une période glissante ne pouvant excéder six mois (sauf obligation légale, ou demande de la CNIL, de conserver ces informations pour une durée plus longue). » 

 Les aspects techniques à retenir : 

Chaque élément du système d’information est généralement capable de journaliser lui-même son activité ou d’envoyer ces traces à un autre système. Cependant, enregistrer des masses d’informations sans jamais les exploiter peut être non seulement inutile mais contre-productif (cela mobilise des ressources informatiques). Il est donc important d’évaluer ce qui doit être enregistré, pour quelles raisons, comment l’exploiter, dans quels délais et selon quelles procédures le nettoyer.

On retiendra trois types de stratégies pour gérer les traces, sachant que selon les équipements et les applications en place, la réalité peut être mixte :

•  de manière répartie : les journaux sont stockés sur chaque équipement. C’est souvent ce qu’on retrouve dans les établissements. Il y a plusieurs inconvénients à cette pratique. Il faut gérer la politique de rétention des journaux et la sauvegarde sur chaque élément générant des traces. La sécurité est plus difficile à assurer ou à gérer et on peut, de ce fait, perdre des preuves ou ne pouvoir en garantir l’intégrité au point qu’elles ne soient plus recevables en tant que telles ;

•  de manière centralisée : chaque équipement envoie les traces de son activité en direction d’un équipement central ou des politiques cohérentes de sécurité, de rétention et de sauvegarde pourront être appliquées plus facilement ;

•  de manière intermédiaire : les journaux enregistrés sur chaque équipement sont envoyés périodiquement et consolidés sur un équipement central et nettoyés en local. Par rapport au cas précédent, on conserve les avantages d’exploitation, de sauvegarde et de nettoyage centralisés des traces mais on perd d’autant plus en sécurité que la périodicité est faible. 

Pour vous informer des questions de sécurité liées à la traçabilité et aux journaux informatiques, il est possible de contacter le RSSI de l’académie.