Suite à la cyberattaque de 2023 contre Xplain SA, le Conseil fédéral suisse a adopté des mesures renforcées pour la sécurité informatique, incluant des formations et révisions des protocoles de sécurité.
Dans son communiqué du 1er mai 2024 à l’issue de l’enquête administrative concernant la cyberattaque contre Xplain, le Conseil fédéral a adopté des mesures pour prévenir de futures fuites de données chez ses fournisseurs informatiques. Cette décision fait suite à un rapport d’enquête suite à la cyberattaque que l’entreprise Xplain SA avait subi une attaque en 2023. Des données avaient alors été publiées sur internet et incluaient des informations confidentielles de l’administration fédérale.
L’enquête menée par le cabinet OBERSON ABELS SA a révélé que des données ont été transmises à Xplain SA lors de tests, d’intégrations de logiciels, ou de services de maintenance par certains employés. Une fonctionnalité des applications de Xplain, maintenant désactivée, a également permis le transfert de données vers Xplain SA.
Offrez un café pour soutenir cette veille indépendante
☕ Je soutiens DCOD
Pour renforcer la sécurité, le gouvernement s’est engagé sur la mis en place d’un système de management de la sécurité de l’information dans toutes les unités administratives d’ici fin 2026, ce qui lui permettra également de se conformer pleinement à sa Loi sur la sécurité de l’information LSI.
Les mesures spécifiques adoptées et annoncées incluent :
- Le renforcement des règles de sécurité pour la collaboration avec les fournisseurs.
- Le développement d’un programme de formation sur la sécurité pour les employés.
- L’établissement d’un aperçu des moyens de communication pour les autorités fédérales.
En outre, le Département fédéral de la défense et l’Office fédéral de la cybersécurité devront examiner et améliorer la protection informatique de la Confédération.
Ces initiatives font suite à des actions immédiates prises après la fuite de données et selon les directives de la nouvelle législation sur la sécurité de l’information. Le Conseil fédéral a également mis fin à l’état-major de crise créé en réponse à l’attaque contre Xplain SA.
Des critiques dans la presse et des solutions à systématiser
La presse s’est pour sa part montrée critique et a plusieurs fois reproché, dans ses articles repris ci-dessous, à la Confédération la transmission de données sensibles à son prestataire informatique. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) avait par ailleurs également mis en évidence ces manques dans le cadre de ses enquêtes.
Ce cas de perte de données doit surtout rappeler les mesures essentielles de protection des données dans les relations avec les fournisseurs et en particulier par exemple:
- Le chiffrement : Cette technique consiste à convertir les données originales en un format codé qui ne peut être lu ou compris sans la clé de déchiffrement appropriée. Le chiffrement peut être appliqué aux données en repos (stockées sur un dispositif), aux données en transit (lorsqu’elles sont envoyées sur un réseau) et aux données en usage (pendant leur traitement). C’est l’une des méthodes les plus robustes pour protéger la confidentialité des données.
- L’anonymisation : Cette méthode vise à traiter les données de manière à ce que les personnes dont elles sont issues ne puissent pas être identifiées. L’anonymisation est irréversible; une fois anonymisées, les données ne peuvent plus être associées à un individu spécifique, même par le détenteur de la base de données.
- La pseudonymisation : Contrairement à l’anonymisation, la pseudonymisation est un processus réversible. Il remplace les identifiants dans les données par des pseudonymes qui ne peuvent pas être reliés à l’identité d’une personne sans informations additionnelles, généralement conservées séparément. Cette méthode aide à minimiser les risques lors du traitement des données tout en permettant leur utilisation à des fins analytiques ou de recherche.
- Le masquage de données : Cette technique consiste à masquer certaines parties des données pour protéger les éléments sensibles. Par exemple, les numéros de carte de crédit ou les numéros AVS peuvent être partiellement masqués sur des documents affichés ou imprimés pour éviter l’exposition complète de ces numéros sensibles.
- Les données de tests fictives: L’utilisation de données fictives ou « dummy data » est courante dans les phases de test du développement de logiciels pour s’assurer que les applications fonctionnent correctement. Ces données sont générées de manière à simuler des opérations typiques sans utiliser de données réelles potentiellement sensibles.
Ces techniques et leurs combinaisons sont clés pour garantir la sécurité des données tout en respectant les normes légales comme la nLPD en Suisse ou le RGPD en Europe. Elles réduisent le risque contre les accès non autorisés, les abus ou les fuites, offrant ainsi une sécurité essentielle dans notre ère de l’information.
Pour en savoir plus
(Re)découvrez également:
Des idées de lecture cybersécurité
💡 Ne manquez plus l'essentiel
Recevez les analyses et tendances cybersécurité directement dans votre boîte mail.
Vous appréciez nos analyses ?
Soutenez DCOD en offrant un café ☕
