L'autorité espagnole de protection des données a sanctionné une entreprise pour une violation de données résultant de l'absence de mesures de sécurité de base, notamment le chiffrement et la surveillance, sur un système informatique mal intégré suite à une acquisition.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de COINSOFT 21, S.L. (comprenant le prononcé d'une amende de 3 000 €) pour des manquements en lien avec la sécurité des données personnelles.

L'affaire trouve son origine dans la notification d'une violation de données par l'entreprise elle-même le 17 juin 2024, complétée par la plainte d'un ancien salarié dont les données avaient été compromises lors d'une exfiltration de 300 Go de données par un groupe de cybercriminels.

Motifs de la décision

• Obligation d'assurer l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a constaté que l'entreprise n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. L'enquête a révélé plusieurs défaillances critiques : les données stockées sur le système affecté n'étaient pas chiffrées au repos, et aucun outil de surveillance ou d'audit actif n'était en place, ce qui a empêché la détection proactive de l'intrusion. La violation n'a été découverte qu'après que les données volées ont été publiées sur le web profond. L'autorité a qualifié ces manquements de négligence grave, soulignant que le système compromis n'avait pas été correctement intégré et sécurisé après l'acquisition de l'entreprise par le groupe LIDER IT, le laissant sans les mesures de sécurité standard.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 3 000 € à COINSOFT 21, S.L. Le montant initial de 5 000 € a été réduit de 40 % suite à la reconnaissance de responsabilité et au paiement volontaire par l'entreprise.

En outre, l'autorité a ordonné à l'entreprise d'adopter les mesures correctives nécessaires pour se conformer à la réglementation et de prouver leur mise en œuvre effective dans un délai d'un mois.

Enseignements

Cette décision rappelle que :

• L'absence de chiffrement des données au repos constitue une vulnérabilité majeure qui, en cas d'intrusion, facilite l'exfiltration et l'exploitation des données, caractérisant un manquement à l'obligation de sécurité.
• Lors de l'acquisition d'une entreprise ou de l'intégration de nouveaux systèmes d'information, une diligence particulière doit être apportée pour garantir que les politiques et mesures de sécurité du groupe acquéreur y sont correctement appliquées et auditées.
• La détection d'une violation de données par un tiers suite à la publication des informations compromises, et non par des outils de surveillance internes, démontre une insuffisance des mesures de résilience et de suivi des systèmes.