L'autorité britannique de protection des données a prononcé une réprimande à l'encontre du Bureau des casiers judiciaires (ACRO) en raison de défaillances fondamentales en matière de cybersécurité, notamment une gestion des correctifs et une surveillance des alertes inadéquates, qui ont permis un accès non autorisé prolongé à son site internet.

Faits et contexte

L'autorité britannique de protection des données (ICO) a publié une décision de réprimande à l'encontre du Bureau des casiers judiciaires (ACRO) pour des manquements graves en matière de cybersécurité ayant potentiellement exposé les données personnelles, y compris des informations sensibles, de près de 10 920 personnes.

L'affaire découle d'une enquête menée par l'autorité de contrôle suite à un incident de cybersécurité ayant permis à un attaquant d'accéder sans autorisation au site internet et au système de gestion de contenu de l'organisme entre août 2022 et mars 2023.

Motifs de la décision

• Obligation de garantir la sécurité du traitement : l'autorité a estimé que l'organisme n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Bien qu'ayant fait appel à des prestataires tiers pour la gestion des correctifs, ACRO n'a pas défini clairement les responsabilités pour l'identification et le suivi des mises à jour de sécurité critiques de son système de gestion de contenu. De plus, l'organisme n'a pas maintenu un processus de gestion des correctifs efficace et n'a pas enquêté de manière adéquate sur les alertes de sécurité, ce qui aurait pu permettre de détecter l'activité de l'attaquant plus tôt.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre du Bureau des casiers judiciaires (ACRO). Pour décider de cette mesure, l'autorité a tenu compte de facteurs atténuants, notamment la segmentation du réseau qui a empêché l'attaquant d'accéder aux systèmes principaux, ainsi que les mesures correctives rapides mises en œuvre par l'organisme.

Enseignements

Cette décision rappelle que :

• La responsabilité de l'identification, de l'évaluation et de l'application des mises à jour de sécurité doit être clairement définie, y compris lorsque ces tâches sont externalisées à des prestataires.
• Les alertes de sécurité doivent faire l'objet d'une surveillance active et d'enquêtes approfondies pour identifier et traiter les menaces avant qu'elles ne se transforment en incidents majeurs.
• La mise en place de processus robustes pour la gestion des correctifs et des vulnérabilités, ainsi que la réalisation de tests de sécurité réguliers, constituent des défenses essentielles contre les cyberattaques.
• La segmentation du réseau est une mesure technique efficace pour limiter la portée d'une compromission et réduire l'ampleur des dommages potentiels en cas d'intrusion.