SÉcuritÉ

Par le passé, l'EU-ETS a été confronté à la fraude et au vol d'unités d'émission. Différentes mesures ont donc été prises afin d'éviter ce type de problèmes au niveau du registre dans le futur. Ainsi, la sécurité informatique du registre de l'Union a été améliorée au fil des ans, l'échange international des émissions est surveillé de près par les autorités fiscales et a été l'objet d'un renforcement de la loi. De même, les exigences liées à l'ouverture d'un compte utilisateur ont été augmentées.

Ainsi que pour tout autre système informatique similaire (ex. une application bancaire), les utilisateurs de celui-ci doivent prendre certaines mesures et précautions lorqu'ils accèdent au registre. Les exigences minimales communes en matière de sécurité sont les suivantes :

PATCHES, VERSIONS

  • Le système d'exploitation (OS) et les autres logiciels installés sur la machine doivent être mis à jour avec les derniers correctifs de sécurité publiés par leur éditeur de logiciels.
  • Le système d'exploitation mobile (OS mobile) sur lequel l'application mobile Soft token est installée doit être mis à jour avec les derniers correctifs de sécurité publiés par son éditeur de logiciel.
  • L'application mobile de jeton logiciel doit toujours être mise à jour avec la dernière version disponible dans la boutique d'applications appropriée (Google ou Apple).

RESTRICTION DES PRIVILÈGES DES ADMINISTRATEURS

  • Les comptes administrateur doivent être utilisés par des personnes de confiance et uniquement pour installer des programmes autorisés par leur organisation (voir le point 6 ci-dessous). En général, la machine doit être aussi bien protégée que possible.
  • Pour se connecter au registre de l'Union et à Internet, les utilisateurs utilisent une machine sur laquelle ils se connectent en tant qu '«utilisateur», jamais en tant qu' «administrateur».

POLITIQUE ANTI-PROGRAMME MALVEILLANT / ANTIVIRUS

  • L'utilisateur a l'obligation d'utiliser et de mettre à jour régulièrement des logiciels antivirus et pare-feu, au minimum une fois par semaine.
  • Une analyse complète et approfondie des virus / logiciels espions malveillants doit être configurée de manière à être effectuée automatiquement au moins toutes les deux semaines à l'aide d'un logiciel antivirus et anti-malware à jour.

VERROUILLAGE DU SYSTÈME

  • Les ordinateurs doivent avoir un écran de verrouillage configuré de sorte qu'après 15 minutes d'inactivité au maximum, le poste de travail soit verrouillé. Une politique doit également s'appliquer de ne pas laisser un ordinateur sans surveillance sans appliquer un écran de verrouillage - cela garantit qu'un écran de verrouillage est toujours appliqué lorsqu'un utilisateur n'est pas à son bureau.

CONTRÔLE MULTIMÉDIA AMOVIBLE

  • Les utilisateurs ne doivent connecter à leur PC que les périphériques USB fournis ou autorisés par leur organisation.
  • Les ordinateurs doivent être configurés pour désactiver l'utilisation du port USB. Au moins, ils doivent surveiller et enregistrer lorsqu'un périphérique USB non autorisé a été connecté.

LISTE BLANCHE DES APPLICATIONS

  • Il est recommandé de définir une liste exhaustive des logiciels autorisés installés sur les ordinateurs des utilisateurs.
  • Il est recommandé aux administrateurs de s'assurer qu'aucun autre logiciel n'est installé sur l'ordinateur de l'utilisateur, en effectuant une surveillance ou une analyse.
  • Il est recommandé de supprimer tout logiciel non autorisé.

AUDIT ET JOURNALISATION

  • L'accès externe, les événements d'accès à l'ordinateur doivent être consignés et analysés fréquemment par les administrateurs. Toute anomalie, même élémentaire, doit conduire à une enquête.

CONNEXION INTERNET SÉCURISÉE

  • Toute utilisation du Registre se fera via une connexion Internet sécurisée.
  • La connexion sécurisée doit inclure une protection logique (basée sur un pare-feu) entre le réseau interne où se trouve l'ordinateur de l'utilisateur et Internet, y compris un système de détection d'intrusion au niveau du réseau et de l'hôte (HIDS) et une capacité antivirus.
  • La connexion Internet sécurisée limitera l'accès à Internet à l'aide des fonctionnalités de liste blanche / liste noire.

FORMATION DES UTILISATEURS

  • Les utilisateurs doivent être formés à l'utilisation du registre de l'Union et sensibilisés aux problèmes de sécurité de l'information.
  • Les utilisateurs évitent de partager l'ordinateur utilisé pour se connecter au registre de l'Union avec d'autres personnes.
  • Les liens contenus dans les e-mails pour accéder au registre de l'Union ne seront jamais utilisés.
  • La Commission, l'administrateur central, l'administrateur national ou le service d'assistance de l'administration nationale ne demanderont jamais aux utilisateurs leur mot de passe et / ou tout type de logiciel.
  • Les utilisateurs évitent d'ouvrir des pièces jointes à des e-mails qui ne proviennent pas du registre de l'Union et, si c'est absolument nécessaire, de l'ouvrir après un examen attentif de leur source et de leur contenu, et n'ouvrent jamais de pièces jointes avec, par exemple, dans Microsoft Windows un .com,. bat, .vbs, .wsh ou .exe sur le nom de fichier.
  • Si les utilisateurs ont des raisons de soupçonner les e-mails reçus, ils doivent contacter le Helpdesk de l'administration nationale.
  • Sur les appareils des utilisateurs sur lesquels l'application mobile Soft token est installée, ils doivent respecter les règles de sécurité et d'hygiène des appareils mobiles décrites au chapitre XX des conditions générales de l'application mobile EU Login.
  • Le helpdesk du registre envoie tous les e-mails de helpdesk@climateregistry.be.
  • Si les utilisateurs ont des raisons de soupçonner, ils doivent immédiatement contacter le Helpdesk de l'administration nationale.
  • Contact du Helpdesk de l'administration nationale:

CONFIGURATION DE L'ORDINATEUR DES UTILISATEURS

  • Les ordinateurs doivent être configurés de manière à ce que la fonction «connexion automatique» ne soit pas utilisée. Après le démarrage du système d'exploitation ou du logiciel, le mot de passe de connexion pour le service doit toujours être demandé.
  • Les navigateurs doivent être configurés de manière à ce que les informations d'identification ne soient pas stockées par le navigateur et toutes les informations de navigation stockées temporairement (telles que l'historique, les mots de passe, les cookies) sont automatiquement supprimées lors de la fermeture du navigateur.
  • Le démarrage à partir de CD / DVD et / ou de périphériques USB (par configuration du BIOS) doit être évité. Les utilisateurs ne doivent pas pouvoir accéder au configurateur de configuration du BIOS (verrouillé par un mot de passe fort et différent du mot de passe de connexion).
  • Les ordinateurs doivent être configurés de manière à ce qu'aucune ressource ne puisse être partagée avec des entités externes en dehors de l'organisation de l'utilisateur final (par exemple en utilisant un logiciel de partage de fichiers tel que BitTorrent) sur le PC utilisé pour se connecter au registre de l'Union.
  • L'ordinateur doit être configuré de telle sorte que l'utilisateur ne se connecte pas à Internet avec des privilèges "administrateur" mais des droits restreints. Les utilisateurs ne doivent pas avoir la possibilité d'installer des logiciels en utilisant le compte avec lequel ils se connectent à Internet et au registre de l'Union.

UTILISATION DU REGISTRE DE L'UNION

  • Le mot de passe de connexion au registre de l'Union est strictement personnel. Toute action dans le Registre de l'Union effectuée avec une adresse e-mail et un mot de passe donnés est réputée sous la responsabilité de l'utilisateur de cette adresse e-mail et de ce mot de passe.
  • Tous les utilisateurs autorisés du registre de l'Union veillent à ce que le mot de passe de l'adresse e-mail et les codes de connexion SMS à usage unique ne soient pas connus d'autres personnes, y compris les autres titulaires de comptes dans le registre de l'Union. Les administrateurs nationaux ou le service d'assistance ne peuvent demander aux utilisateurs de communiquer leur adresse électronique que par téléphone, mais ni la Commission ni les administrateurs nationaux ne demanderont jamais aux utilisateurs finaux de communiquer leur mot de passe.
  • Pour accéder au site Web du registre de l'Union, il est recommandé de toujours saisir le site Web directement dans la zone d'adresse du navigateur. Pour le registre de l'Union, il s'agit de https://unionregistry.ec.europa.eu/euregistry/BE/index.xhtml . Si les utilisateurs ne saisissent pas l'adresse, à chaque fois qu'ils se connectent, ils doivent vérifier que la connexion SSL est définie ( "http s " et non "http" apparaît dans la barre d'adresse du navigateur) et que le certificat SSL qui apparaît en cliquant sur l'icône de verrouillage du navigateur :
    • Est délivré par "GlobalSign Extended Validation CA - SHA 256 - G2" à "* .unionregistry.ec.europa.eu",
    • Est valable jusqu'au 14 septembre 2021 et
    • a l'empreinte suivante (valeur d'algorithme SHA-256): "51: 47: E6: 75: E6: 81: 8C: B5: 86: 61: 3E: 82: E0: DE: 4E: 00: 47: EA: 80 : E1: 49: 96: C1: D4: 89: 5A: 81: 98: 52: 9E: E9: 20 "
  • Lorsqu'ils quittent leur ordinateur, les utilisateurs se déconnectent du registre de l'Union afin que les personnes non autorisées ne puissent pas accéder à leur compte dans le registre de l'Union.
  • Les utilisateurs doivent prendre des précautions raisonnables pour empêcher l'utilisation non autorisée des appareils mobiles, dont les numéros sont utilisés dans la communication du registre.
  • L'appareil mobile qui reçoit les codes de connexion SMS à usage unique et / ou l'appareil mobile sur lequel l'application mobile Soft token est installée ne doivent pas être utilisés pour des transactions sur Internet en même temps.

 

[Retourner en haut]