Quels outils de visioconférence ?

Depuis plus de 2 mois maintenant, la majorité d’entre nous pratique le télé-travail. Avec son arrivée soudaine, nous nous sommes tournés vers des outils de collaboration à distance, choisissant bien souvent le plus efficace sans trop savoir quels autres critères pouvaient être pris en compte.

Outre la performance, l’adéquation au besoin, le tarif, je pense à au moins 2 critères supplémentaires :

  • la sobriété : en un mot, ne pas faire de la visio conférence si un chat suffit. Il s’agit de choisir l’outil qui répond au besoin et pas forcément plus. [Merci au GDR EcoInfo pour le terme]
  • la sécurité : des données de votre ordinateur (ne pas installé un malware), des données évoquées et transmises lors de l’utilisation du service ou logiciel sélectionné, des données personnelles (celle que l’on fournit en créant un compte utilisateur et leur diffusion, c’est là où il faut bien lire les conditions d’utilisation t autres politiques de confidentialité mais aussi fouiller dans les paramètres utilisateurs et les configurer selon ses choix).

Sur le point sécurité, voici un copié-collé d’un message du CSSI du CNRS qui vous éclairera sur des aspects « sécurité informatique » : «

Bonjour

Je retransmets ici la position à jour du service du HFDS du ministère de l’ens. sup. et de la recherche, ceci pour appuyer les consignes CNRS sur le sujet.

Certaines phrases pouvant être polémiques ou étant hors sujet pour la recherche, elles ont été supprimées (marquage).

Bien cordialement

M CHABANNE
RSSI-C

De : JEAN-LUC LOTTI
Envoyé : mercredi 20 mai 2020 14:27
Objet : [rssi] [SDS/SSI] Outils Visio

Bonjour à toutes et tous,

L’intérêt commercial ou sur l’information DP (données personnelles), aidant, de nombreuses solutions de visioconférence ont fait peau neuve et se rachètent actuellement une vertu.

Exemple : https://zoom.us/privacy/

Cette Policy « s’applique dans le monde entier à toutes nos filiales et couvre toutes les données que vous nous fournissez, comme nous le décrivons ci-dessous… » « … nous traitons les données personnelles comme décrit ici, nous vous en informerons en publiant un avis mis à jour sur notre site Web. Nous vous encourageons à consulter cette page régulièrement pour les dernières informations sur nos pratiques de confidentialité. »

« Type de données – Contenu client: informations que vous ou d’autres personnes téléchargez, fournissez ou créez lors de l’utilisation de Zoom

Enregistrements dans le cloud, chat / messages instantanés, fichiers, tableaux blancs et autres informations partagées lors de l’utilisation du service, messages vocaux. »

« Adresse IP, adresse MAC, autre ID d’appareil (UDID), type d’appareil, type et version du système d’exploitation, version du client, type de caméra, microphone ou haut-parleurs, type de connexion, etc. »

« Le numéro de téléphone d’une personne effectuant un appel à l’aide des services Zoom (par exemple Zoom Phone) »

« Ville, Durée de la réunion / Zoom Appel téléphonique, Adresse e-mail, nom ou autres informations qu’un participant saisit pour s’identifier lors de la réunion, Rejoindre et quitter le temps de, les participants, Nom de la réunion, Date / heure de la réunion, Statut du chat (sauf si un paramètre est activement choisi par l’utilisateur), Appeler les enregistrements de données pour Zoom Phone » « l’hôte peut choisir d’enregistrer la session et, dans l’affirmative, l’hôte est responsable d’obtenir votre consentement. » «Les enregistrements peuvent contenir des données personnelles et peuvent être stockés dans le cloud de Zoom à la demande du client »  « Notre client peut également demander qu’une transcription soit faite de l’enregistrement stocké dans notre cloud » « Zoom ne surveille pas, n’accède pas ou n’utilise pas les enregistrements ou les transcriptions …, sauf s’il (le client) nous demande, par exemple, de fournir un support technique. ».

La limite de cet exercice étant le Cloud Act et FISA.

https://fr.wikipedia.org/wiki/CLOUD_Act

https://fr.wikipedia.org/wiki/FISA_Amendments_Act_of_2008

Vous trouverez par ici la révision de la position du CERT-EU (TLP-GREEN-TA-20-015) sur zoom et la position d’une société de formation comme HSC2 au sujet de son utilisation https://www.hs2.fr/wp-content/uploads/2020/04/hs2formation_pourquoi_zoom.mp4

Le maître mot reste : quel est le niveau de « SENSIBILITE » des échanges ?

<edit>

Il faut rester pragmatique et raisonnable.

Ne pas oublier d’expliquer à vos utilisateurs lors du choix de la solution que le nombre de participants, le besoin fonctionnel, la qualité visuelle ou sonore chez l’intervenant final en télétravail qui dépend de la « qualité » du flux video à T0 dans son salon (intérêt d’un outil comme CoSMon qui nous donne la métrologie sur nos flux http://www.rap.prd.fr/services/metrologieActive.php), n’a rien avoir avec la « sécurisation des échanges ».

Concernant le niveau de sensibilité il y a des évidences :
1) Confidentiel => HORUS
2) DR => Tixeo (bonne qualité… nous l’avons utilisé pendant le confinement jusqu’à 20 personnes) ou autre produit qualifié ANSSI.
3) « Sensible » personnel et travail courant :
→ Pour la gouvernance https://gouv.rendez-vous.renater.fr/home/
Pour le travail courant labo recherche https://renavisio.renater.fr/ , https://rendez-vous.renater.fr/home/ )
Pour une visio téléphonique à deux, « Signal » nous semble pour le moment une bonne solution (quand le mobile le permet).
4) Personnel non sensible : Zoom, WhatsApp, skype…
https://foundation.mozilla.org/fr/blog/video-call-apps-get-bit-more-secure/
Comme toujours, sur une vielle machine sacrifiée pour votre apéro-confinement avec vos amis à plus de 20 et voter le prochain menu.

<edit>

Tant qu’on peut considérer raisonnablement que la solution choisie permet d’établir des visio-conférences ou des espaces d’échanges dans un environnement auquel on peut accorder une confiance relative, il est envisageable d’avoir recours à des solutions tierces pour échanger du contenu non protégé.

Cela exclut formellement tout contenu :

  • sensible (tant au sens de l’instruction interministérielle n°901 sur les données sensibles, qu’au sens du Règlement général sur la protection des données),
  • « diffusion restreinte – DR »,
  • Relevant de la protection du patrimoine scientifique et technique et en particulier les « informations à régime restrictif »,
  • Relevant la protection du secret de la défense nationale.

Si l’on exclut ces contenus, qui ne peuvent qu’être traités qu’avec des solutions qualifiées au niveau requis par la sensibilité des informations, le recours à des solutions tierces pour assurer la continuité pédagogique doit clairement être encadré avec votre DPD et votre service juridique. Les éventuelles solutions choisies doivent relever des juridictions européennes.

Il est encore à ce jour inenvisageable d’avoir recours à des plateformes ou solutions dont la raison d’être est d’analyser le contenu échangé pour proposer des éléments commerciaux adaptés au « goût de l’utilisateur ».

Cela risque clairement d’influencer l’enseignement, de proposer des contenus qui n’ont strictement rien à voir avec des postures scientifiques enseignées ou proposer du contenu commercial adapté spécifiquement aux besoins évoqués dans les échanges.

Le recours à l’intelligence artificielle dans l’enseignement fait toujours l’objet d’études au comité d’éthique, il n’est pas envisageable actuellement d’avoir recours à des solutions d’intelligence artificielle sous contrôle de sociétés privées pour influencer l’enseignement.

À titre d’exemple la solution Discord propose des installations sur des serveurs locaux ou l’utilisation de serveurs tiers. Même si un établissement choisit d’installer localement un serveur pour cette solution, le modèle de cette solution semble s’intéresser de près au contenu entre autre pour filtrer ou en proposer d’autres en s’appuyant massivement sur du machine learning piloté par des data scientists (comme en témoignent les offres d’emploi proposées par la société ou l’utilisation de l’IA face aux groupes terroristes).

https://discord.com/jobs/4247835002

https://www.lesechos.fr/tech-medias/hightech/discord-nouveau-terrain-de-jeu-des-organisations-extremistes-et-terroristes-1019580

Il faudra donc en tenir compte.

Jean-Luc LOTTI
FSSI Adjoint
service de défense et de sécurité (SDS) du haut fonctionnaire de défense et de sécurité (HFDS) du MENJ-MESRI
secrétariat général

»


Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.