la propriété intellectuelle (PI) est l’élément vital de chaque organisation. Il n’a pas l’habitude d’être. En conséquence, maintenant plus que jamais, c’est une cible, placée carrément dans les poils croisés par diverses formes de cyberattaque. Assistez à la longue liste de piratages sur Hollywood et la propriété intellectuelle de l’industrie du divertissement, y compris « Pirates des Caraïbes” et plus récemment « Game Of Thrones » de HBO. »
la propriété intellectuelle de votre entreprise, qu’il s’agisse de brevets, de secrets commerciaux ou simplement du savoir-faire des employés, peut avoir plus de valeur que ses actifs physiques., Les professionnels de la sécurité doivent comprendre les forces obscures qui tentent d’obtenir ces informations de votre entreprise et les assembler de manière utile. Certaines de ces forces se présentent sous l’apparence de chercheurs en « veille concurrentielle » qui, en théorie, sont régis par un ensemble de lignes directrices juridiques et éthiques soigneusement élaborées par la Society of Competitive Intelligence Professionals (SCIP). D’autres sont des espions carrément embauchés par des concurrents, ou même des gouvernements étrangers, qui ne reculeront devant rien, y compris les pots-de-vin, le vol ou même un magnétophone activé par pression caché dans le fauteuil de votre PDG.,
la protection de la propriété intellectuelle est un devoir complexe dont les aspects relèvent des services juridiques, informatiques, des ressources humaines et autres. En fin de compte, un chef de la sécurité (OSC) ou un comité des risques sert souvent à unifier les efforts de protection de la propriété intellectuelle. La protection contre les cyberattaques étant désormais essentielle, le directeur de la sécurité de l’information (RSSI) joue désormais un rôle majeur.
Cette introduction couvre tout, de l’établissement de politiques de base aux procédures de protection de la propriété intellectuelle.
qu’est-Ce que la propriété intellectuelle?,
la propriété intellectuelle peut aller d’un processus de fabrication particulier aux plans de lancement d’un produit, à un secret commercial comme une formule chimique ou à une liste des pays dans lesquels vos brevets sont enregistrés. Il peut être utile de le considérer comme une information intangible et exclusive. La définition formelle de la propriété intellectuelle de l’Organisation Mondiale de la propriété intellectuelle (OMPI) est la création de l’esprit — inventions, œuvres littéraires et artistiques, symboles, noms, images et dessins utilisés dans le commerce.,
la propriété intellectuelle est divisée en deux catégories: la propriété industrielle comprend, sans s’y limiter, les brevets d’invention, les marques, les dessins et modèles industriels et les indications géographiques. Le droit d’auteur couvre les œuvres littéraires telles que les romans, les poèmes et les pièces de théâtre, les films, la musique et les œuvres artistiques, par exemple les dessins, les peintures, les photographies, les sculptures, les pages de sites web et la conception architecturale. Les droits liés au droit d’auteur comprennent ceux des artistes interprètes ou exécutants dans leurs prestations, des producteurs de phonogrammes dans leurs enregistrements et des radiodiffuseurs dans leurs émissions de radio et de télévision.,
pour de nombreuses entreprises, comme celles du secteur pharmaceutique, la propriété intellectuelle a beaucoup plus de valeur que n’importe quel actif physique. Le vol de propriété intellectuelle coûte aux entreprises américaines jusqu’à 600 milliards de dollars par an selon la Commission du vol de la propriété intellectuelle.
Les quatre catégories légalement définies de propriété intellectuelle pour lesquelles le vol peut être poursuivi sont:
Les brevets accordent le droit légal d’exclure quiconque de la fabrication ou de la commercialisation de vos objets tangibles uniques., Ils peuvent également être enregistrés dans des pays étrangers pour aider à empêcher les concurrents internationaux de découvrir ce que fait votre entreprise. Une fois que vous détenez un brevet, d’autres peuvent demander une licence pour votre produit. Les brevets peuvent durer 20 ans.
les marques de commerce sont des noms, des phrases, des sons ou des symboles utilisés en association avec des services ou des produits. Une marque relie souvent une marque à un niveau de qualité sur lequel les entreprises construisent une réputation. La protection de la marque dure 10 ans après l’enregistrement et peut être renouvelée à perpétuité.,
le droit d’auteur protège les expressions écrites ou artistiques fixées sur un support tangible — romans, poèmes, chansons ou films. Le droit d’auteur protège l’expression d’une idée, mais non l’idée elle-même. Le propriétaire d’une œuvre protégée a le droit de le reproduire, de créer des œuvres dérivées de celui-ci (comme un film basé sur un livre), ou de vendre, d’afficher ou de représenter l’œuvre au public. Vous n’avez pas besoin d’enregistrer votre matériel pour détenir un droit d’auteur, mais l’enregistrement est une condition préalable si vous décidez de poursuivre en justice pour violation du droit d’auteur. Un droit d’auteur dure pendant la vie de l’auteur plus 50 ans.,
Les secrets commerciaux peuvent être une formule, un modèle, un dispositif ou une compilation de données qui confère à l’utilisateur un avantage sur ses concurrents est un secret commercial. Ils sont couverts par la loi étatique plutôt que fédérale. Pour protéger le secret, une entreprise doit prouver qu’elle ajoute de la valeur à l’entreprise — qu’il s’agit en fait d’un secret — et que des mesures appropriées ont été prises au sein de l’entreprise pour protéger le secret, comme restreindre la connaissance à une poignée de cadres.
IP peut peut-être simplement une idée., Si le chef de votre département R & d a un moment eureka pendant sa douche matinale et applique ensuite sa nouvelle idée au travail, c’est aussi de la propriété intellectuelle.
comment protégez-vous la propriété intellectuelle?
Si votre adresse IP est volée par ne’er-do-wells, les attraper est difficile, les Poursuivre est plus difficile, et récupérer les informations volées — remettre le chat proverbial dans son sac — est généralement impossible. Dans ce domaine, un peu de paranoïa est très utile, parce que les gens sont vraiment là pour vous obtenir., C’est pourquoi il est important que le CSO, le RSSI et le directeur des risques (CRO) participent à la protection de la propriété intellectuelle. Considérez ces exemples réels.
- Un ingénieur déjeunait régulièrement avec un ancien patron travaillant maintenant pour un rival, et se considérait comme un héros pour la collecte de renseignements concurrentiels. Les informations qu’il renonçait en retour ont fait perdre à son employeur, anciennement le leader du marché, trois offres importantes en 14 mois.,
- Des scientifiques immigrants d’Europe de l’est qui travaillaient sur une défense américaine ont reçu des invitations non sollicitées de leur pays d’origine pour prendre la parole lors de séminaires ou servir de consultants rémunérés. Les invitations les ont séduits en tant que scientifiques — ils voulaient partager des informations sur leur travail avec leurs pairs. Les pays considéraient ce type de collecte de renseignements comme moins coûteux que la recherche et le développement.
Les étapes ci-dessous sont les étapes minimales à suivre pour protéger votre adresse IP.,
savoir quelle propriété intellectuelle vous avez
Si tous les employés comprennent ce qui doit être protégé, ils peuvent mieux comprendre comment le protéger et de qui le protéger. Pour ce faire, les OSC doivent communiquer en permanence avec les dirigeants qui supervisent le capital intellectuel. Rencontrez le PDG, le directeur des opérations et des représentants des RH, du marketing, des ventes, des services juridiques, de la production et de R&D au moins une fois par trimestre. Les dirigeants d’entreprise doivent travailler de concert pour protéger adéquatement la propriété intellectuelle.,
savoir où se trouve votre propriété intellectuelle
Si vous concentrez vos efforts sur vos systèmes informatiques de base pour sécuriser la propriété intellectuelle, vous négligerez d’autres domaines où elle pourrait être stockée ou traitée. Ceux-ci incluent:
- imprimantes, copieurs, scanners et télécopieurs: vos périphériques d’entrée/sortie stockent tous les documents qu’ils traitent, et ils sont généralement en réseau et connectés à des systèmes de gestion à distance. Des politiques et des procédures appropriées doivent être en place pour purger ces documents et les protéger contre tout accès non autorisé.,
- applications Cloud et services de partage de fichiers: ceux-ci peuvent être gérés par l’entreprise ou l’ombre. Vous devez savoir ce que vos employés utilisent pour pouvoir restreindre les services cloud non autorisés et vous assurer que les services sanctionnés par l’entreprise sont correctement configurés et sécurisés.
- appareils personnels des employés: un employé peut envoyer un document par courriel à la maison, généralement pour des raisons bénignes. Informez vos employés sur le traitement approprié de la propriété intellectuelle et mettez en place des systèmes de surveillance pour suivre l’endroit où votre adresse IP est envoyée.,
- systèmes Tiers: la propriété intellectuelle est souvent partagée avec les partenaires, fournisseurs ou clients. Assurez-vous que vos contrats avec ces parties définissent comment ces tiers doivent sécuriser votre PI et avoir des contrôles en place pour s’assurer que ces conditions sont respectées.
Priorisez votre propriété intellectuelle
les OSC qui protègent la propriété intellectuelle depuis des années recommandent de faire une analyse des risques et des coûts-avantages. Faites une carte des actifs de votre entreprise et déterminez quelles informations, si elles étaient perdues, pourraient nuire le plus à votre entreprise. Ensuite, déterminez lequel de ces biens est le plus à risque d’être volé., Mettre ces deux facteurs ensemble devrait vous aider à déterminer où dépenser le mieux vos efforts de protection (et votre argent).
étiquetez la propriété intellectuelle de valeur
Si l’information est confidentielle pour votre entreprise, mettez-y une bannière ou une étiquette qui le dit. Si les données de votre entreprise sont propriétaires, mettez une note à cet effet sur chaque écran de connexion. Cela semble trivial, mais si vous vous retrouvez au tribunal pour essayer de prouver que quelqu’un a pris des informations qu’il n’était pas autorisé à prendre, votre argument ne résistera pas si vous ne pouvez pas démontrer que vous avez clairement indiqué que les informations étaient protégées.,
Sécurisez physiquement et numériquement votre propriété intellectuelle
la protection physique et numérique est indispensable. Verrouillez les pièces où les données sensibles sont stockées, qu’il s’agisse de la batterie de serveurs ou de la salle d’archives papier moisi. Gardez une trace de qui a les clés. Utilisez des mots de passe et limitez l’accès des employés aux bases de données importantes.
sensibiliser les employés à la propriété intellectuelle
la formation de sensibilisation peut être efficace pour colmater et prévenir les fuites IP, mais seulement si elle est ciblée sur les informations qu’un groupe spécifique d’employés doit protéger., Lorsque vous parlez en termes spécifiques de quelque chose dans lequel les ingénieurs ou les scientifiques ont investi beaucoup de temps, ils sont très attentifs. Comme c’est souvent le cas, les humains sont souvent le maillon le plus faible de la chaîne défensive. C’est pourquoi un effort de protection de la propriété intellectuelle qui compte sur les pare-feu et les droits d’auteur, mais ne se concentre pas également sur la sensibilisation et la formation des employés, est voué à l’échec.
dans la plupart des cas, IP quitte une organisation par accident ou par négligence. Assurez-vous que vos employés sont conscients de la façon dont ils peuvent exposer involontairement IP.,tant d’applications de messagerie comme Whatsapp (35%)
avec un e-mail, L’adresse IP peut être envoyée à la mauvaise personne car:
- L’expéditeur a utilisé une mauvaise adresse-par exemple, Outlook a automatiquement inséré une adresse e-mail pour quelqu’un d’autre que le destinataire prévu
- Le destinataire a transmis l’e-mail
- Une pièce jointe contenait un contenu caché, comme dans un onglet Excel
- Les données ont été transmises à un compte de messagerie personnel
connaissez vos outils pour protéger la propriété intellectuelle
une variété croissante d’outils logiciels sont disponibles pour le suivi des documents et d’autres magasins IP., Les outils de prévention de la perte de données (DLP) sont maintenant un composant essentiel de nombreuses suites de sécurité. Ils localisent non seulement les documents sensibles, mais gardent également une trace de la façon dont ils sont utilisés et par qui.
Le chiffrement de L’adresse IP dans certains cas réduira également le risque de perte. Les données de L’enquête Egress montrent que seulement 21% des entreprises ont besoin d’un cryptage lors du partage de données sensibles en externe, et seulement 36% l’ont besoin en interne.,
vue d’ensemble
Si quelqu’un analyse le réseau interne et que votre système de détection d’intrusion s’éteint, quelqu’un de celui-ci appelle généralement l’employé qui effectue l’analyse et lui dit d’arrêter. L’employé offre une explication plausible, et c’est la fin. Plus tard, le veilleur de nuit voit un employé effectuer des documents protégés, et son explication est « Oups…Je ne savais pas que ai dans mon cartable., »Au fil du temps, le groupe des ressources humaines, le groupe de vérification, les collègues de la personne et d’autres personnes remarquent tous des incidents isolés, mais personne ne les rassemble et ne se rend compte que toutes ces violations ont été perpétrées par la même personne. C’est pourquoi les lacunes de communication entre les groupes d’infosecurity et de sécurité d’entreprise peuvent être si néfastes. La protection IP nécessite des connexions et une communication entre toutes les fonctions de l’entreprise. Le service juridique doit jouer un rôle dans la protection de la propriété intellectuelle. Tout comme les ressources humaines, IT, R&D, ingénierie, conception graphique et ainsi de suite.,
Appliquer une contre-espionnage état d’esprit
Si vous espionner votre propre entreprise, comment le feriez-vous? Réfléchir à de telles tactiques vous amènera à envisager de protéger les listes téléphoniques, de déchiqueter les papiers dans les bacs de recyclage, de convoquer un conseil interne pour approuver vos publications scientifiques R&D, ou d’autres idées qui pourraient s’avérer utiles pour votre entreprise particulière.,
penser globalement
Au fil des ans, la France, La Chine, l’Amérique latine et les états de l’ex-Union Soviétique ont tous développé une réputation de lieux où l’espionnage industriel est largement accepté, voire encouragé, comme moyen de promouvoir l’économie du pays. De nombreux autres pays sont pires. L’indice de perception de la Corruption publié chaque année par Transparency International est une bonne ressource pour évaluer la menace de faire des affaires dans différentes parties du monde., En 2016, l’indice de perception de la Corruption a classé les 12 pays suivants comme étant « perçus comme les plus corrompus »: Somalie, Soudan du Sud, Corée du Nord, Syrie, Yémen, Soudan, Libye, Afghanistan, Guinée-Bissau, Venezuela, Irak et Érythrée.
comment fonctionnent les espions et les voleurs IP
Leonard Fuld, expert en veille concurrentielle, affirme que la sécurité laxiste d’une entreprise fait plus de dégâts que les voleurs. Toutes les données que les voleurs peuvent recueillir à partir des exemples ci-dessous indiquent à un concurrent ce que fait votre entreprise.,les fournisseurs se vantent des ventes sur leurs sites web
« Cinquante personnes sur 100 sont disposés à nous parler avec ce genre de renseignements. »Les 50 autres? Ils demandent ce Qu’est Phoenix Consulting Group. Nolan répond (et c’est vrai) que Phoenix est une société de recherche travaillant sur un projet pour un client qu’il ne peut pas nommer à cause d’un accord de confidentialité. Quinze personnes raccrochent alors généralement, mais les 35 autres commencent à parler. Pas un mauvais taux de succès.
Nolan commence à prendre des notes qui finiront par se frayer un chemin dans deux fichiers., Le premier fichier est des informations pour son client, et le second est une base de données de 120 000 sources passées, y compris des informations sur leur expertise, leur amitié et des détails personnels tels que leurs passe-temps ou où ils sont allés à l’école supérieure. Souvent, les cueilleurs de business intelligence utilisent des tactiques bien pratiquées pour obtenir des informations sans les demander directement, ou en impliquant qu’ils sont quelqu’un qu’ils ne sont pas.
cette tactique est connue sous le nom d ‘ « ingénierie sociale., »Ces escroqueries peuvent également inclure des appels « prétextes » de quelqu’un prétendant être un étudiant travaillant sur un projet de recherche, un employé à une conférence qui a besoin de documents, ou la secrétaire d’un membre du Conseil d’administration qui a besoin d’une liste d’adresses pour envoyer des cartes de Noël. La plupart de ces appels ne sont pas illégaux. Les avocats disent que même s’il est contraire à la loi de prétendre être quelqu’un d’autre, il n’est pas illégal d’être malhonnête.
aller sur le terrain
pendant le boom de la technologie, un vol tôt le matin D’Austin à San Jose a gagné le surnom de « l’oiseau nerd., »Faisant la navette entre des hommes d’affaires d’un centre de haute technologie à un autre, ce vol et d’autres comme celui-ci sont devenus d’excellents endroits pour les professionnels de la veille concurrentielle pour entendre des discussions entre collègues ou pour jeter un coup d’œil à la présentation PowerPoint ou à la feuille de calcul financière d’un autre passager.
tout lieu public où les employés vont, les fouineurs peuvent également aller: aéroports, cafés, restaurants et bars à proximité des bureaux de l’entreprise et des usines, et, bien sûr, des salons professionnels., Un agent travaillant pour la compétition peut coincer l’un de vos chercheurs après une présentation, ou se faire passer pour un client potentiel pour essayer d’obtenir une démonstration d’un nouveau produit ou en apprendre davantage sur les prix auprès de votre équipe de vente. Cet agent pourrait simplement enlever son badge avant d’approcher votre stand à un salon. Les employés doivent savoir ne pas parler d’Affaires sensibles dans les lieux publics, et comment travailler avec le service marketing pour s’assurer que les risques de révéler des informations privilégiées lors d’un salon professionnel ne l’emportent pas sur les avantages de tambouriner les affaires.,
les entretiens d’embauche sont une autre fuite possible. Les concurrents audacieux peuvent risquer d’envoyer un de leurs propres employés à un entretien d’embauche, ou ils pourraient embaucher une firme de veille concurrentielle pour le faire. Inversement, un concurrent peut inviter l’un de vos employés à un entretien d’embauche sans autre but que de glaner des informations sur vos processus.
Mettre les morceaux ensemble
À certains égards, les secrets commerciaux sont faciles à protéger. Leur vol est illégal en vertu de la Loi de 1996 sur l’espionnage économique., Les employés savent généralement qu’ils sont précieux, et les accords de non-divulgation peuvent protéger davantage votre entreprise. Ce qui est plus compliqué, c’est d’aider les employés à comprendre comment des détails apparemment anodins peuvent être assemblés dans une image plus grande— et comment une simple liste de téléphone d’entreprise devient une arme entre les mains de fouineurs comme John Nolan.
considérez ce scénario: Nolan a déjà eu un client qui voulait qu’il découvre si des rivaux travaillaient sur une certaine technologie., Au cours de ses recherches sur les documents publics, il est tombé sur neuf ou 10 personnes qui publiaient des articles sur ce domaine spécialisé depuis qu’ils étaient étudiants diplômés ensemble. Soudain, ils ont tous cessé d’écrire sur la technologie. Nolan a fait un travail de fond et a découvert qu’ils avaient tous déménagé dans une certaine partie du pays pour travailler pour la même entreprise.
rien de tout cela ne constituait un secret commercial ou même, nécessairement, une information stratégique, mais Nolan a vu une image se former., « Ce que cela nous a dit, c’est qu’ils avaient arrêté parce qu’ils reconnaissaient que la technologie était arrivée à un point où elle allait probablement être rentable », explique Nolan. Ensuite, en appelant les gens au téléphone, en allant à des réunions où ils parlaient sur d’autres sujets, et en les interrogeant ensuite sur la recherche dont ils ne parlaient plus publiquement, L’entreprise de Nolan a pu déterminer quand la technologie arriverait sur le marché. Cette information, dit-il, a donné à son client une tête de deux ans sur les plans de la concurrence.,
aller au-delà des zones grises
D’autres pays peuvent avoir des lignes directrices éthiques et juridiques très différentes pour la collecte d’informations. Presque tout ce dont nous avons parlé jusqu’à présent est légal aux États-Unis, ou du moins sans doute entre les mains d’un avocat intelligent. Il y a un autre domaine de la recherche d’entreprise, en utilisant des bugs, des pots-de-vin, le vol et même l’extorsion qui est largement pratiqué ailleurs.
en tant que consultant en sécurité mondiale, Bill Boni, vice-président de la sécurité de L’information chez T-Mobile USA, a vu plusieurs choses se produire qui n’arriveraient probablement pas aux États-Unis., Une banque en Amérique du Sud qui soupçonnait l’Espionnage a fait appel à un cabinet de conseil en sécurité pour balayer la place des bugs. Lorsque la perte d’informations a continué, la banque a embauché une autre équipe de sécurité. « Ils ont trouvé 27 appareils différents », se souvient Boni. « Toute la suite exécutive a été câblée pour le mouvement et le son. La première équipe qui est venue chercher des bugs était probablement en train de les installer. »
L’Espionnage est parfois sanctionné – ou même pratiqué – par des gouvernements étrangers, qui peuvent considérer aider les entreprises locales à surveiller leurs rivaux étrangers comme un moyen de stimuler l’économie du pays., C’est pourquoi aucun ensemble unique de lignes directrices pour la protection de la propriété intellectuelle ne fonctionnera partout dans le monde. Le travail du CSO consiste à évaluer les risques pour chaque pays dans lequel l’entreprise fait des affaires et à agir en conséquence. Certaines procédures, telles que rappeler aux gens de protéger leurs ordinateurs portables, seront toujours les mêmes. Certains pays exigent plus de précautions. Les cadres voyageant au Pakistan, par exemple, pourraient avoir besoin de s’inscrire sous des pseudonymes, de faire nettoyer leurs chambres d’hôtel ou leurs espaces de travail pour détecter des bogues, ou même d’avoir des gardes de sécurité pour protéger les informations.,
utiliser L’Internet des objets (IoT)
l’un des environnements les plus vulnérables est l’industrie des soins de santé. Dans de nombreux hôpitaux, chaque lit peut avoir jusqu’à 15 appareils IoT bio-med, avec potentiellement la moitié connectée à internet. Les pirates informatiques prennent conscience du fait que la valeur des informations de santé protégées (PHI) est beaucoup plus précieuse que les informations personnellement identifiables (PII).
la faiblesse d’un réseau hospitalier via ces appareils IoT en fait une cible plus facile que par le passé., Il devient extrêmement dangereux pour les patients si le pirate commence à changer les protocoles d’administration de médicaments sur une pompe connectée à Internet IoT.
la plupart conviendront que les fabricants IoT ont précipité leurs appareils sur le marché pour répondre à la demande, sans réfléchir à la façon de les sécuriser. Parmi les problèmes: les processeurs de ces appareils sont trop petits pour abriter des identifiants et peu d’appareils peuvent être mis à jour. Les fabricants s’efforcent de rendre les appareils faciles à mettre à jour ou à mettre à jour automatiquement, car de nombreux consommateurs ne prennent pas la peine d’effectuer eux-mêmes les mises à jour.,
cela dit, la plupart des pirates ne sont pas assez proches géographiquement pour rester à portée de l’appareil et cibler le maillon le plus faible, le serveur final. Les organisations doivent développer et mettre en œuvre leurs propres stratégies qui pourraient inclure la sécurisation des serveurs finaux, des serveurs centraux et des points d’accès sans fil, car ils sont les plus susceptibles d’être la cible d’une effraction.
Infiltrer les réseaux d’entreprise inaperçue et y vivre pendant de longues périodes de temps
R. P., Eddy, PDG D’Ergo a Global intelligence firm, déclare : »j’ai travaillé sur plusieurs équipes M&A et recommande fortement à mes clients de réaliser un audit sur toutes leurs protections IP, cyber et autres, pour voir à quel point elles sont réellement protégées et si elles en sont vraiment propriétaires. S’il est divulgué à la Chine, à la Russie ou à un concurrent, il prendra en compte de manière significative les données financières dans une acquisition, et pas dans le bon sens., »Il n’avait aucun client le prenant sur l’offre jusqu’à L’acquisition de Verizon/Yahoo où plus de 500 millions de comptes d’utilisateurs ont été compromis par un acteur parrainé par l’état. Le prix de la transaction a dû être restructuré en raison de la crédibilité de Yahoo.
pour plus de données sur l’impact du cyber-vol de propriété intellectuelle, téléchargez l’infographie ci-dessous, qui provient d’une enquête récente menée par Bitdefender.
Leave a Reply