Secure e-mail de la Suva

Secure e-mail de la Suva
Brochure à l’intention des cadres et des
responsables informatiques
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
1
Sommaire
Secure e-mail de la Suva en bref
3
Problèmes lors de l’envoi d’e-mails classiques
4
Vos avantages grâce à Secure e-mail de la Suva
5
Nos variantes
6
Informations complémentaires pour responsables
informatiques
8
Annexe: informations générales sur le cryptage d'e-mails
9
Nous vous soutenons volontiers
12
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
2
Secure e-mail de la Suva en bref
La communication par e-mail est simple, rapide et confortable. Elle est donc un moyen
apprécié et souvent utilisé par beaucoup de collaborateurs. Toutefois, les e-mails non
protégés peuvent être lus et modifiés par des tiers non autorisés, sans que l’expéditeur
ou le destinataire ne s’en rende compte. Aussi, les entreprises, dont la Suva, sont
toujours plus nombreuses à miser sur une communication sécurisée par e-mail.
Le système Secure e-mail permet à nos clients et partenaires d’échanger en toute
sécurité et sous une forme cryptée des informations confidentielles par e-mail avec la
Suva.
En cas d’utilisation occasionnelle, la Suva met à disposition Secure Webmail. Ce service
est gratuit. L’utilisateur doit uniquement s’enregistrer sur notre serveur Webmail
sécurisé.
Aux clients et partenaires qui échangent régulièrement des informations confidentielles
avec la Suva, nous recommandons d'opter pour l'une des variantes suivantes:
•
•
•
•
Certificat e-mail sur le client de messagerie
Certificat de domaine ou d'entreprise (axé sur l'ordinateur)
TLS (Transport Layer Security)
HIN (Health Info Net: le réseau sécurisé destiné aux cabinets médicaux et aux
institutions suisses de la santé auquel la Suva est aussi raccordée.)
Les déclarations de sinistres ou les décomptes de salaires électroniques doivent toujours
être envoyés via les canaux de communication existants de la Suva (Sunet, e-sinistres,
e-salaire, etc.). Secure e-mail est exclusivement destiné à la transmission et à l’échange
d’informations sensibles ne pouvant pas être fournies par l’intermédiaire de ces canaux.
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
3
Problèmes lors de l’envoi d’e-mails classiques
Problème des e-mails non sécurisés
Les e-mails envoyés sous une forme non sécurisée présentent les inconvénients
suivants:
•
•
•
Confidentialité insuffisante du message, qui peut être lu par des tiers.
L’intégrité du message n’est pas garantie: celui-ci peut être intercepté ou modifié
par des tiers non autorisés.
L’authenticité de l’expéditeur n’est pas garantie: il peut arriver que le message ne
provienne pas de l’expéditeur indiqué.
Exigences légales
Les e-mails envoyés sous une forme sécurisée permettent aussi de respecter des
exigences légales qui, sans Secure e-mail, ne seraient pas nécessairement remplies:
•
•
•
•
•
•
•
Protection des données
Droits de la personnalité
Loi spéciales (fournisseurs de services de télécommunication, loi sur les banques, lois
sur la surveillance des assurances, avocats, notaires, etc.)
Règles déontologiques
Devoir de diligence découlant du code des obligations
Accord concernant le maintien du secret
Devoir de discrétion
Conséquences possibles en cas d’envoi d’e-mails confidentiels
non cryptés
Les informations confidentielles et secrètes devraient toujours être échangées sous une
forme cryptée afin d’éviter les conséquences suivantes:
•
Dégât d’image (par ex. en cas de publication dans les médias)
•
Conséquences pénales (amende, voire emprisonnement selon la loi sur la protection
des données et le Code pénal)
•
Conséquences financières
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
4
Vos avantages grâce à Secure e-mail de la Suva
Le système Secure e-mail de la Suva permet à nos clients et partenaires d’échanger en
toute sécurité par e-mail des informations confidentielles et sensibles avec la Suva.
•
•
•
•
Les exigences légales peuvent ainsi être respectées et vous remplissez votre devoir
de diligence dans la gestion des données confidentielles.
Les informations confidentielles peuvent être échangées par voie électronique et
remplacent le courrier postal, plus laborieux.
Vos messages électroniques ne peuvent être ni lus ni modifiés durant leur
acheminement.
L’expéditeur du message est clairement identifiable grâce à une signature
électronique.
Pour accroître la sécurité et la confidentialité des échanges d'e-mails, la Suva dote
automatiquement ses messages sortants d'une signature numérique depuis janvier 2013.
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
5
Nos variantes
La Suva propose à ses clients et partenaires les variantes d’utilisation suivantes:
Secure Webmail de la Suva
Si vous n’échangez qu’occasionnellement des informations confidentielles avec votre
partenaire Suva, nous vous recommandons d’utiliser Secure Webmail de la Suva.
Lorsque vous recevez pour la première fois un e-mail crypté de la Suva, vous devez vous
enregistrer avec votre nom sur notre plateforme Webmail sécurisée et définir votre mot
de passe personnel. Vous pouvez utiliser votre compte Webmail pour l’échange de tous
les e-mails confidentiels avec la Suva, tout en continuant à utiliser votre adresse
électronique habituelle. Dès que votre partenaire Suva vous envoie un e-mail crypté,
vous recevez automatiquement dans votre programme de messagerie habituel une
notification comportant le lien vers le message sur votre compte Secure Webmail de la
Suva.
Pour pouvoir utiliser le système Secure Webmail de la Suva, vous avez uniquement
besoin d’un accès Internet (protocole https) et d’un navigateur Internet standard. La
Suva met gratuitement ce service à la disposition de ses clients et partenaires.
Attention: la capacité de mémoire maximale par compte Webmail est de 20 MB et les emails, pièces jointes comprises, sont détruits automatiquement par la Suva au bout de
60 jours, après notification préalable.
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
6
Certificat e-mail sur le client de messagerie
Le cryptage d’e-mails confidentiels au moyen de certificats numériques est très
confortable pour l’utilisateur, qui peut envoyer et recevoir ses e-mails confidentiels par
l’intermédiaire de son programme de messagerie habituel (par ex. Outlook). Il suffit à
l’utilisateur de sélectionner l’option de cryptage avant l’envoi. Nous recommandons le
cryptage par certificat à tous les clients et partenaires qui échangent souvent des
données confidentielles avec la Suva. En règle générale, pour l’installation du cryptage
par certificat, un investissement initial est nécessaire pour l’acquisition et l’installation
des certificats. Les certificats déjà installés valables pour le cryptage des e-mails peuvent
aussi être utilisés pour Secure e-mail de la Suva.
Certificat de domaine ou d’entreprise (axé sur l'ordinateur)
Si votre entreprise utilise un dispositif de messagerie Secure e-mail tel que Totemo,
SEPPmail etc., la variante domaine ou entreprise est adaptée. Les administrateurs
systèmes doivent échanger et installer les certificats d’entreprise correspondants.
Ensuite, tous les e-mails sont cryptés automatiquement.
TLS (Transport Layer Security)
Pour garantir l'envoi d'e-mails sécurisés, il est aussi possible d'installer une connexion
cryptée SMTP entre les passerelles e-mail par TLS. De cette façon, toute la
correspondance électronique échangée entre les partenaires est automatiquement
cryptée. La Suva propose à ses partenaires les deux variantes Enforced ou Best-effort
TLS. Pour la variante Enforced, une discussion préalable entre votre responsable IT et
nous est nécessaire.
HIN (Health Info Net)
Des milliers de cabinets médicaux et des centaines d’institutions suisses de la santé dont
la Suva sont raccordés à ce réseau. Les membres du réseau HIN échangent déjà leurs emails avec la Suva sous forme cryptée.
Notre team de spécialistes vous soutient et vous conseille volontiers dans l’évaluation
d’une variante adaptée à votre entreprise. Le chapitre suivant contient des informations
complémentaires sur Secure e-mail de la Suva à l’intention de vos responsables
informatiques
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
7
Informations complémentaires pour responsables
informatiques
Secure e-mail de la Suva respecte les standards et les technologies existant dans
l’environnement PKI. Secure e-mail de la Suva est donc compatible avec tous les produits
et solutions répondant aux standards de sécurité relatifs aux e-mails selon S/MIME ou
PGP.
Pour la variante certificat e-mail, vous devriez tenir compte des points suivants:
•
•
•
•
Secure e-mail de la Suva accepte les certificats S/MIME ou PGP.
Les certificats S/MIME peuvent être achetés chez des émetteurs de certificats tels
que QuoVadis, SwissSign, VeriSign, etc. pour différentes classes de confidentialité.
Plus la classe est élevée, plus l’identité du détenteur et du service émetteur
enregistrée pour le certificat est fiable. Pour l’échange d’e-mails cryptés, la Suva
accepte toutes les classes de certificat dans la mesure où les certificats ont été
établis pour l’utilisation prévue.
La clé privée («private key», par ex. contenue dans les fichiers comportant
l’extension *.pfx) doit impérativement être gardée secrète par l’utilisateur et ne doit
en aucun cas tomber en possession de tiers non autorisés. Veuillez aussi noter que
les e-mails cryptés archivés ne peuvent être décodés ultérieurement qu’avec le
fichier *.pfx original.
La clé publique («public key», par ex. contenue dans les fichiers comportant
l’extension *.cer ou *.crt) doit être diffusée autant que possible. La clé publique peut
être transmise à l’interlocuteur de communication par le simple envoi d’un e-mail
muni d’une signature numérique.
Variante certificat de domaine ou d’entreprise
Pour le cryptage des e-mails, la Suva utilise le produit «Totemo TrustMail® Secure
Messaging Gateway» (www.totemo.ch). Si votre entreprise utilise le même produit ou un
produit semblable, seules les clés publiques des passerelles Secure e-mail doivent être
échangées. La confidentialité des communications entre les passerelles est ainsi assurée.
Pour cela, le certificat de domaine doit contenir la partie de nom de domaine (selon
RFC822) de l’adresse e-mail du destinataire.
Enforced TLS
Pour garantir un cryptage stable et durable entre votre passerelle e-mail et la nôtre, nous
vous recommandons d'installer Enforced TLS. Si vous choisissez cette variante,
demandez notre formulaire TLS avec les données correspondantes.
HIN
Vous trouverez des informations détaillées sur Health Info sous www.hin.ch.
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
8
Annexe: informations générales sur le cryptage
d’e-mails
Fonctionnement d’un certificat numérique
Un certificat numérique contient une clé privée («private key») pour la signature (de
l’expéditeur) et le décodage (par le destinataire) et une clé publique («public key») pour
le cryptage (par l’expéditeur) et le contrôle de la signature (par le destinataire). De plus,
un certificat valable contient une confirmation d’authenticité établie par un service de
certification (QuoVadis, SwissSign, etc.).
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
9
Fonctionnement de la signature numérique d’e-mails
Si un e-mail comporte une signature numérique, une valeur de hachage du message est
calculée par le programme de messagerie lors de l’envoi du message et cryptée avec la
clé privée de l’expéditeur. Ensuite, le message, la valeur de hachage cryptée et la clé
publique sont transmis au destinataire. Le destinataire calcule de son côté une valeur de
hachage du message, décode la valeur de hachage cryptée transmise avec la clé publique
jointe de l’expéditeur et compare les deux valeurs de hachage. Si ces dernières
concordent, le message est en ordre ou authentifié, ce qui signifie qu’il est attesté qu’il
provient effectivement de l’expéditeur et n’a pas été modifié en cours d’envoi.
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
10
Fonctionnement du cryptage d’e-mails
En bref: un message est crypté et transmis avec la clé publique du destinataire. Comme
seul le destinataire possède la clé appropriée (clé privée), lui seul peut décoder le
message. Pour pouvoir crypter des e-mails, les deux interlocuteurs de communication
doivent chacun avoir installé un certificat (une paire de clés publique et privée) sur leur
ordinateur et s’échanger mutuellement leurs clés publiques.
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
11
Nous vous soutenons volontiers.
Vous trouverez de plus amples informations ainsi
qu’une brochure de questions et réponses sur
notre page d’accueil.
N’hésitez pas à nous contacter.
Suva
Distribution E-Services (KME/VES)
Fluhmattstrasse 1
6002 Lucerne
Tél. 041 419 58 00
E-mail: [email protected]
Web: www.suva.ch/securemail-f
SEM_Informationsbroschuere_06-2013_fr / WasWoShop: 2979/1.F
12