14/09/2011

ARRÊT N°

N° RG : 10/01899

C. CO/MFM

Décision déférée du 01 Mars 2010 – Conseil de Prud’hommes – Formation paritaire de TOULOUSE – 07/01850

A. AJ

M E

C/

SA STUDEC

CONFIRMATION

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

***

COUR D’APPEL DE TOULOUSE

4^e Chambre Section 1 – Chambre sociale

***

ARRÊT DU QUATORZE SEPTEMBRE DEUX MILLE ONZE

***

APPELANT(S)

Madame M E

XXX

XXX

représentée par M^e Vincent BOUILLAUD, avocat au barreau de TOULOUSE

INTIME(S)

SA STUDEC

XXX

XXX

XXX

représentée par M^e Florence VAYSSE-AXISA, avocat au barreau de TOULOUSE

COMPOSITION DE LA COUR

L’affaire a été débattue le 08 Juin 2011, en audience publique, devant la Cour composée de:

C. CONSIGNY, président

C. PESSO, conseiller

C. CHASSAGNE, conseiller

qui en ont délibéré.

Greffier, lors des débats : H. ANDUZE-ACHER

ARRET :

— Contradictoire

— prononcé publiquement par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de procédure civile

— signé par C. CONSIGNY, président, et par H. ANDUZE-ACHER, greffier de chambre.

EXPOSE DU LITIGE

Selon un contrat à durée indéterminée du 29 janvier 2003 prenant effet le 3 février 2003, Madame M E a été embauchée par la société Studec en qualité d’administrateur systèmes et réseau, statut cadre, position 2-11, coefficient 115 de la convention collective nationale des bureaux d’études techniques, cabinets d’ingénieurs-conseils et sociétés de conseil.

Le 5 juillet 2007, elle a été convoquée à un entretien préalable à un éventuel licenciement G mise à pied à titre conservatoire.

Par lettre recommandée du 25 juillet 2007 la société Studec lui a notifié son licenciement pour faute grave en invoquant les motifs suivants :

« Vous avez été embauchée le 3 février 2003 au poste d’Administrateur Réseaux. A ce titre vos principales missions consistaient à assurer la conduite, l’évolution, la surveillance et par-dessus tout la sécurité des équipements et systèmes informatiques des sites de Blagnac et de Colomiers.

Pour cela, conformément aux règles de l’art, il vous appartenait de :

mettre en 'uvre l’organisation (architecture, protections … ) du réseau conformément aux instructions de sécurité,

effectuer les manipulations, contrôles … nécessaires à la mise en route et au fonctionnement des équipements,

défInir et mettre en 'uvre des méthodes, processus, outils, matériels … facilitant et fiabilisant les travaux informatiques,

vous assurer des moyens matériels et logiciels permettant la sauvegarde des données,

assurer la maintenance des matériels et la mise à jour de la documentation associée.

Vous n’êtes pas sans ignorer l’importance que requiert notre réseau informatique puisqu’il est, d’évidence, l’élément essentiel de notre outil de production.

Devant les enjeux majeurs que représente l’évolution du réseau informatique de notre agence de Toulouse et face à son manque de fiabilité détectée à plusieurs reprises, nous avons confié à un cabinet extérieur un audit pour le rationaliser et l’optimiser et au directeur technique le suivi de la mise en 'uvre des préconisations de cet audit.

Quelle n’a pas été notre surprise de constater le 29 juin 2007, lors de l’intervention que nous avons missionné pour reconfigurer les matériels réseau, que contrairement à toutes les règles de l’art en vigueur dans la profession le serveur FTP, qui doit être protégé par une sécurité matérielle inconditionnelle (firewall) permettant de l’isoler dans une zone protégée (DMZ) afin d’éviter toute intrusion dans notre réseau de production (LAN), outre les protections logicielles de rigueur, était en réalité directement connecté sur le réseau LAN de Blagnac, c’est-à-dire sur le même réseau qu’H.

Cette configuration, dont vous êtes à l’origine, est extrêmement dangereuse car elle entraîne une grave faille dans la sécurité de notre réseau mais aussi dans la sécurité de notre principal client H.

Au surplus elle est complètement contraire au schéma de notre réseau, que vous avez présenté en novembre 2006, schéma qui masquait donc la vraie réalité de l’architecture du réseau.

Quand bien même il se serait s’agit d’une erreur concernant cette véritable architecture, la mise en conformité sécurisée du réseau (c’est-à-dire celle correspondant au schéma que vous avez présenté) ne représentait pas plus d’une demi-journée de travail.

Pour autant plus de 6 mois après la dite présentation du schéma du réseau sécurisé, cette sécurisation n’était toujours effective le 29 juin 2007.

Ce grave manquement, outre le fait qu’il ne reflète pas les règles de sécurité les plus élémentaires à respecter, est, au surplus, contraire aux conditions de la signature du contrat A400 M G H, qui comme vous le savez, est un programme aéronautique militaire, et dont vous n’êtes pas sans ignorer les contraintes sévères de sécurité, propres au domaine militaire.

En votre qualité d’Administrateur Réseaux, vous avez commis une faute très grave en -matière de sécurité des systèmes.

La mission du 29 juin 2007, diligentée par Studec montre si besoin est, votre absence totale de rigueur professionnelle au plan de la sécurité. Cette situation aurait pu avoir pour conséquence la remise en question pure et simple du contrat A400M et par voie de conséquence des répercutions financières économiques et sociales désastreuses pour Studec.

Lors de l’entretien du 10 juillet 2007 G W AA X, I J, et en présence de AC AD-AE, vous avez reconnu être responsable de cette architecture réseau qui pouvait permettre, y compris à un non spécialiste, de s’introduire sans difficulté dans les systèmes informatiques d’H.

Par votre action, vous avez porté gravement atteinte à la fiabilité, à la sécurité et à la confidentialité de notre réseau informatique. Ce que vous ne pouviez ignorer.

Ces graves manquements dans la sécurité de notre réseaux pouvant aller jusqu’à la perte de notre principal client, ne nous permettent pas de vous maintenir dans nos effectifs.

Pour rappel, ces graves manquements professionnels font suite à vos graves insuffisances professionnelles constatées au cours de ces 6 derniers mois.

Pour exemples:

non respect du plan d’action préconisé suite à l’audit interne de décembre 2006,

absence de pilotage des systèmes de sauvegarde après une coupure de courant programmée au mois de mai 2007,

choix inopérant dans les switchs CISEO (limités à 1 Méga pour un réseau dimensionné de l Giga)

18 écrans plats qui devaient être installés en début d’année ne le sont toujours pas,

Absence de documentation et d’organisation du réseau informatique, … « 

Par acte du 1^er août 2007, Madame M E a saisi le conseil de prud’hommes de Toulouse pour contester son licenciement et obtenir le paiement des indemnités de rupture.

Par jugement du 1^er mars 2010, le conseil de prud’hommes a :

dit que le licenciement de M^me M E repose sur une cause réelle et sérieuse

débouté M^me E de sa demande de dommages et intérêts

condamné la société Studec à payer à M^me E :

8.109 € à titre d’indemnité compensatrice de préavis

810,90 € au titre des congés payés s’y rapportant

3.979,42 € à titre d’indemnité conventionnelle de licenciement

1.372,29 € à titre de rappel de salaire pour la mise à pied conservatoire

137,23 € au titre des congés payés s’y rapportant

1.500 € en application de l’article 700 du code de procédure civile

condamné la société Studec aux dépens.

Par déclaration enregistrée le 30 mars 2010, M^me E a régulièrement interjeté appel du jugement.

****

**

Reprenant oralement ses conclusions auxquelles il convient de se référer pour plus ample exposé de ses moyens, M^me E demande à la cour de :

dire et juger que son licenciement ne repose pas sur une cause réelle et sérieuse à défaut pour la société Studec d’apporter la preuve de la faute grave qu’elle invoque à son encontre ;

condamner la société Studec à lui payer :

1.372,29 € bruts au titre des salaires dus pendant la période de mise à pied à titre conservatoire

8.109 € en règlement de l’indemnité compensatrice de préavis

948,12 € au titre des congés payés afférents

4.055 € au titre de l’indemnité conventionnelle de licenciement

30.000 € de dommages et intérêts sur le fondement de l’article L.1235-3 du code du travail

2.000 € sur le fondement de l’article 700 du code de procédure civile

condamner la société Studec aux dépens.

Au soutien de ses demandes M^me E fait principalement valoir les moyens suivants :

elle n’a jamais eu connaissance de la fiche de poste produite aux débats par la société Studec ; ce document, établi pour les besoins de la procédure, doit être écarté des débats

les trois salairées du service informatique n’étaient pas placées directement sous sa responsabilité

un entretien préalable à son licenciement s’est déroulé le 10 juillet 2007 au cours duquel elle était assistée d’un délégué du personnel de la société

contrairement à ce que prétend la société Studec, le réseau informatique était parfaitement sécurisé et aucune intrusion n’a jamais été décelée

les décisions de sécurisation ont toujours été prises par la direction (Monsieur X, officier de sécurité Studec et directeur technique, Monsieur A, direction technique et Monsieur Z, directeur informatique)

la présence d’un cable reliant directement le serveur FTP au coeur du réseau (LAN) de Blagnac n’est pas contestée ; cette connexion avait été mise en place plusieurs années auparavant et n’avait pas été remise en cause par le rapport d’audit du mois de novembre 2006 car elle ne présentait aucun risque dès lors qu’elle transitait par le Firewall

la société H dispose de ses propres moyens de sécurisation totalement indépendants des systèmes de sécurité propres à la société Studec

la restructuration du réseau informatique a été négociée G la société Arès par Monsieur Z, son supérieur hiérarchique, qui n’a pas sollicité son avis

la responsabilité de Monsieur B, ingénieur système et réseau, n’a jamais été recherchée alors qu’il était en charge du dossier A 400 M, sans être son subordonné

le non respect du plan d’action préconisé suite à l’audit interne de décembre 2006 est imputable à Monsieur Z, directeur informatique, tout comme le choix inopérant dans les switchs et le défaut d’installation des écrans plats

le grief portant sur l’absence de pilotage des systèmes de sauvegarde après une coupure de courant programmée au mois de mai 2007 n’est pas justifié dès lors le problème purement technique ne pouvait pas être anticipé ; qu’il s’est produit pendant la phase de restauration des données qui est entièrement automatisée et que toutes les données ont été récupérées à son retour le lundi matin

la documentation technique se trouvait sur le serveur de fichiers et Monsieur B, son homologue était parfaitement informé de l’organisation du réseau informatique auquel d’ailleurs lui aussi contribuait.

****

**

Reprenant oralement ses conclusions auxquelles il convient de se référer pour plus ample exposé de ses moyens, la société Studec demande à la cour de :

réformer le jugement du conseil de prud’hommes de Toulouse

dire et juger que le licenciement pour faute grave de M^me E est pleinement justifié

condamner M^me E à lui rembourser les sommes versées en exécution du jugement

condamner M^me E à lui payer la somme de 2.000 € en application de l’article 700 du code de procédure civile

condamner M^me E aux dépens.

La société Studec rappelle qu’elle exerce une activité d’ingéniérie informatique et documentaire consistant à créer des documentations techniques destinéres à l’utilisation des matériels industriels de haute technologie ;

qu’elle intervient dans le secteur industriel aéronautique, la construction navale, l’informatique, l’industrie de pointe et l’automobile ainsi que pour des missions classées « confidentiel » ou « secret défense » ;

que l’informatisation du stockage des données l’oblige à accéder par voie informatique aux bases de données de ses clients et à disposer d’un système informatique performant et efficace, fiable et sécurisé ;

que c’est dans ces conditions qu’elle a embauché M^me E le 29 janvier 2003 en qualité d’administrateur système et réseau, dirigeant une équipe de 3 salariés, G pour mission de veiller à ce que la société dispose d’un système fiable et efficace permettant aux 190 salariés de travailler en toute sécurité.

Elle prétend qu’à la suite d’un audit réalisé en 2006, un plan d’action a été transmis le 23 janvier 2007 à M^me E, prévoyant en priorité le changement du serveur FTP, des switchs qui venaient d’être acquis quelques mois plus tôt, et d’un nouveau pare-feu ;

que le changement du serveur FTP nécessitant 2 heures de travail devait être effectué par M^me E dès la livraison du matériel tandis que le changement des switchs et du pare-feu devait être réalisé par une équipe de 3 personnnes (dont deux ingénieurs du siège) au cours du week-end du 29 juin au 1^er juillet 2007 ;

que M^me E n’a pas jugé utile d’être présente pour assister à cette délicate opération au cours de laquelle les intervenants ont découvert qu’un câble volant marqué « FTP » directement connecté au coeur du réseau et que le nouveau serveur FTP avait été mis sous tension depuis 7 mois mais n’avait jamais été installé en remplacement de l’ancien.

Selon la société Studec, toute personne mal intentionnée ayant accès via Internet au réseau interne de la société pouvait tenter de pirater les codes d’accès au réseau H en utilisant une ligne dédiée et le portail d’accès H et aurait pu constater que le réseau interne de Studec qui contient des données confidentielles n’était pas protégé.

La société Studec indique que si les mots ont un sens les fonctions « d’administrateur systèmes et réseaux » consistent bien à assurer la surveillance et la sécurité des systèmes informatiques ;

que Monsieur Z et un responsable administratif et non technique ce qui explique le recrutement de M^me E qui avait la responsabilité des missions techniques et d’expertises inhérentes à ses fonctions ;

que Monsieur B, spécialiste réseaux, était le subordonné de M^me E et travaillait sous son contrôle.

La société Studec reprend les autres griefs mentionnés dans la lettre de licenciement portant sur :

le non respect du plan d’action à la suite de l’audit interne conduit par Monsieur Y

l’absence de pilotage des systèmes de sauvegarde

les choix inopérants de switchs Cisco sous dimensionnés

l’absence de 18 écrans plats qui devaient être installés en début d’année

l’absence de documentation et d’organisation informatique.

MOTIFS DE LA DECISION

Sur le grief relatif à la mauvaise configuration du réseau informatique

Attendu que Madame E a été recrutée le 29 janvier 2003 en qualité d’administrateur système et réseau ;

qu’à la suite de dysfonctionnements (lenteur d’accès au système d’information) constatés au cours de l’année 2006, un audit a été confié en novembre 2006 à Monsieur Y, ingénieur système réseau et sécurité, portant sur la qualité des équipements utilisés et non sur l’architecture du système d’information ni sur la sécurité du réseau (attestation de Monsieur Y ' pièce Studec n°28)

qu’à la suite de cet audit, la société décida de procéder au remplacement de certains matériels (remplacement du pare feu de marque Arkoon par un pare-feu de marque Watchguard, remplacement des switches sous-dimensionnés) ;

que cette opération technique a été réalisée le 29 juin 2007, par Messieurs U A et S D, ingénieurs informatiques rattachés au siège parisien de la société et par Monsieur K B, ingénieur informatique en poste à Toulouse Blagnac ;

que Monsieur U A a attesté les faits suivants : « j’ai personnellement effectué le remplacement des matériels du coeur de réseau, situés dans la salle informatique au sous-sol… J’ai été étonné de trouver un câble volant marqué « FTP » connecté au coeur de réseau au milieu des autres câbles. Sur le coup j’ai pensé à une erreur de marquage, tant sa présence sur cette partie du réseau (l’interne) était incongrue….Nous avons donc suivi le câble jusqu’à l’équipement terminal qui s’est révélé être le serveur FTP de l’agence, visible et accessible depuis l’extérieur, qui plus est G une adresse IP choisie dans le domaine de l’agence (le même que tous les autres postes connectés au réseau interne). Devant cette faille de sécurité importante, nous avons contacté M X (OCSSI) et après consultation supprimé cette fonctionnalité » ;

que Monsieur S D atteste également : « nous avons trouvé une machine branchée sur le réseau interne de l’agence qui concernait, après interrogatoire, le serveur FTP de l’agence, accessible depuis l’Internet. Une telle machine ne doit pas être branchée dans la partie interne de l’agence mais dans une DMZ. Après avoir rebouclé G notre Directeur de Sécurité, M. W-AA X, le poste a été reconfiguré et passé dans une zone démilitarisé ».

Attendu qu’en sa qualité d’administrateur système et réseau, M^me E ne pouvait pas ignorer que pour des raisons de sécurité anti intrusion, le serveur FTP utilisé pour le transfert des fichiers G la société H devait être placé dans une zone DMZ (dite zone démilitarisée) et donc relié au seul pare-feu à l’exclusion de toute liaison directe G le réseau interne ;

qu’au cours de l’entretien préalable à son licenciement (cf. compte-rendu établi par le délégué du personnel assistant M^me E) elle a déclaré : « quand j’ai monté ce serveur il y a 4 ans à la demande de W-AJ Z, le firewall CISCO PIX en place ne permettait pas de le mettre en DMZ. J’ai sécurisé le serveur protégé par le firewall par d’autres moyens qu’une DMZ »

que même s’il existait une impossibilité technique G l’ancien firewall, cette impossibilité a disparu G le nouveau firewall, comme le démontre l’action entreprise par Messieurs A et D qui ont pu débrancher le câble reliant le serveur FTP du réseau interne ;

que les dirigeants de la société Studec et notamment Monsieur W-AA X, directeur technique et expert sécurité, n’ont pas pu découvrir cette erreur de configuration à partir du schéma du réseau non conforme à la réalité ;

Attendu que le manquement aux règles de sécurité est établi même si aucune intrusion n’a été décelée.

Attendu que Madame E produit des attestations émanant d’ingénieurs sécurité réseaux de la société H selon lesquels « le réseau Studec n’est pas raccordé directement au réseau d’H et n’est donc absolument pas sur le même réseau physique ; la sécurité du réseau d’H est assurée vis-à-vis de Studec comme des autres sous-traitants par ses propres moyens et équipements de sécurité : Firewall, Authentification forte, sonde de détection d’intrusion, analyse de contenu, filtrage, etc.. »

Mais attendu que ces attestations sont établies à partir d’un modèle dactylographié unique et sont toutes datées du 2 août 2007 ;

que surtout, comme l’a exactement relevé le conseil de prud’hommes, ces attestations sont inopérantes puisque le réseau interne Studec comporte en lui-même des fichiers transmis par H.

Attendu qu’il convient de confirmer le jugement en ce qu’il a considéré que cette faute commise par M^me E est réelle et sérieuse mais ne peut révêtir la qualification de faute grave privative de préavis.

Sur les autres griefs qualifiés d’insuffisances professionnelles

Sur le non respect du plan d’action préconisé suite à l’audit interne de décembre 2006

Attendu que selon les pièces produites aux débats, ce plan d’action a été établi à la suite d’une réunion tenue les 12 et 13 avril 2007 en l’absence de M^me E qui en a reçu copie par courriel de Monsieur Z, responsable du service informatique, en date du 19 avril 2007 ;

que comme l’a constaté le conseil de prud’hommes, la société Studec n’établit pas que M^me E ait reçu des directives auxquelles elle ne se serait pas conformée.

Sur le défaut d’installation de 18 écrans plats

Attendu que dans la lettre de licenciement du 25 juillet 2007, la société Studec invoque le défaut d’installation de 18 écrans plats qui devaient être installés en début d’année et qui ne le sont toujours pas.

Mais attendu que si Monsieur O B a effectivement adressé un courriel à M^me E le 6 février 2007 pour lui rappeler qu’il manquait 18 écrans plats à Colomiers pour que toutes les personnes soient équipées, ce message ne suffit pas à établir que la décision d’acquérir ces écrans plats relevait de la responsabilité de M^me E, le directeur du service étant Monsieur Z.

Sur l’absence de pilotage des systèmes de sauvegarde après une coupure de courant programmée au mois de mai 2007

Attendu qu’il n’est pas contesté que le vendredi 11 mai 2007, une coupure de courant a été programmée pour mesurer la fiabilité du système et que M^me E a quitté le service dès le lancement de la procédure de restauration automatique qui s’est interrompue au cours du week-end à cause d’une cartouche défectueuse ;

que la procédure de restauration des données a pu être relancée le lundi matin à 7 heures, au moment de la reprise du travail de M^me E ;

qu’aucune pièce du dossier ne permet de constater un arrêt de la production de l’entreprise pendant la durée de la restauration des sauvegardes ou une perte de données ;

que comme l’a jugé le conseil de prud’hommes, cette insuffisance professionnelle n’est pas caractérisée.

Sur le choix inopérant dans les switches CISCO (limités à 1 Méga pour un réseau dimensionné de 1 Giga)

Attendu que le conseil de prud’hommes a, à juste titre, retenu ce grief ;

qu’en effet, même si la commande de ces switches a été passée par Monsieur Z sur une proposition commerciale de la société Arès, M^me E devait, en sa qualité d’administrateur système et réseau, alerter son employeur sur le sous-dimensionnement des switches acquis au prix de 43.857 € ;

que M^me E était en mesure d’intervenir puisqu’elle était destinataire des courriels échangés avant la commande entre la société Arès et Monsieur Z.

Sur l’absence de documentation et d’organisation du réseau informatique

Attendu qu’aucun élément probant n’est produit par l’employeur pour établir une insuffisance professionnelle de M^me E concernant la documentation et l’organisation du réseau informatique.

Sur la cause du licenciement et ses conséquences indemnitaires

Attendu qu’au vu de ce qui précède il convient de confirmer le jugement du conseil de prud’homme dans l’ensemble de ses dispositions relatives à la cause du licenciement et à ses conséquences indemnitaires.

Attendu qu’il n’y a pas lieu de faire application de l’article 700 du code de procédure civile au profit de la société Studec.

PAR CES MOTIFS

Confirme le jugement du conseil de prud’hommes de Toulouse du 1^er mars 2010 en toutes ses dispositions ;

Déboute la société Studec de ses demandes reconventionnelles ;

Condamne M^me M E aux dépens de l’instance d’appel.

Le présent arrêt a été signé par monsieur CONSIGNY, président et madame H. ANDUZE-ACHER, greffier.

Le greffier Le président

H. ANDUZE-ACHER C. CONSIGNY

.