Lors de sa séance du 19 février 2025, le Conseil fédéral a été informé de l’avancement des mesures qu’il avait décidées suite à la cyberattaque contre Xplain
Cyberattaque contre Xplain : rappel du contexte de la cyberattaque et de l’enquête administrative
Si vous avez manqué cette information marquante du printemps 2023, une attaque par rançongiciel contre Xplain SA, fournisseur de logiciels de sécurité, a conduit au vol de données sensibles, incluant des informations confidentielles et des données personnelles de l’administration fédérale suisse.
En réponse, le Conseil fédéral a ordonné en août 2023 une enquête administrative externe pour clarifier les circonstances de cette fuite de données.
Mesures adoptées pour renforcer la sécurité de l’information
Suite aux conclusions de l’enquête, le 1er mai 2024, le Conseil fédéral a mis en place un ensemble de mesures visant à réduire significativement le risque de futures fuites de données. Ces mesures s’articulent autour de trois axes principaux :
- Renforcement de la gestion de la sécurité : mise en œuvre de prescriptions de sécurité supplémentaires pour la collaboration avec les fournisseurs, avec une capacité accrue pour effectuer des contrôles et des audits.
- Programme de formation : élaboration, d’ici fin 2024, d’un programme destiné à former et sensibiliser les collaborateurs aux prescriptions de sécurité existantes.
- Évaluation des moyens de communication : établissement d’une vue d’ensemble des moyens de communication utilisés par les autorités fédérales pour assurer leur conformité aux normes de sécurité.
Avancement de la mise en œuvre des mesures
Lors de la séance du 19 février 2025, le Conseil fédéral a été informé de l’état d’avancement des mesures. Le Secrétariat d’État à la politique de sécurité (SEPOS) a notamment mandaté l’entreprise InfoGuard SA pour examiner la protection informatique de base de la Confédération.
Le rapport, remis en janvier 2025, souligne (bien sûr et comme toujours en matière de sécurité) que des améliorations sont possibles, notamment en intégrant de nouveaux thèmes de sécurité, en renforçant la formation et en évaluant l’efficacité des mesures techniques. Les recommandations seront analysées et les directives modifiées d’ici fin 2025.
Par ailleurs, le SEPOS a élaboré un nouveau concept de contrôle et d’audit chez les fournisseurs, validé par un groupe d’experts interdépartemental, dont la mise en œuvre est prévue courant 2025. De nouvelles clauses contractuelles standard sont également en cours de consultation et devraient être publiées d’ici fin 2025. Un programme de formation, en collaboration avec l’Office fédéral du personnel, est en phase d’adaptation et devrait entrer en vigueur d’ici fin 2025.
Rachat de Xplain par Chapters Group SA : évaluation des risques
Concernant la société Xplain SA, elle a été rachetée en octobre 2024 par Chapters Group SA, une société de participation basée à Hambourg. Le SEPOS a mené une procédure d’audit de sécurité, concluant que ce rachat ne présente aucun risque particulier pour la sécurité de l’information de la Confédération.
Pour en savoir plus
Cyberattaque contre Xplain : mesures pour éviter de futures fuites de données et contrôle de sécurité après son rachat
Berne, 19.02.2025 – Lors de sa séance du 19 février 2025, le Conseil fédéral a été informé de l’avancement de la mise en œuvre des mesures qu’il avait décidées, le 1er mai 2024, visant à éviter de futures fuites de données chez les fournisseurs informatiques de l’administration fédérale. La mise en œuvre des mesures est en cours.
(Re)découvrez également:
La Confédération annonce la clôture de l’enquête sur la cyberattaque Xplain
Suite à la cyberattaque de 2023 contre Xplain SA, le Conseil fédéral suisse a adopté des mesures renforcées pour la sécurité informatique, incluant des formations et révisions des protocoles de sécurité.
Le cas Xplain continue de faire des vagues en Suisse
L’administration cantonale d’Argovie se voit reprocher d’avoir transmis illégalement des données sensibles à Xplain. D’un autre côté, Xplain gagne son recours au Tribunal pénal fédéral pour bloquer la transmission de données a un cabinet d’avocats.
