Introduction

Au début du mois de mai de cette année, des informations concernant plus de 26 millions d’anciens combattants américains ont été dérobées.

Prenez quelques instants pour bien mesurer la portée de ce chiffre : 26 millions. Il est supérieur à la population groupée de la Suisse et des Pays-Bas, et il représente presque 10 % de la population globale des États-Unis.

Une enquête est en cours, mais certaines informations sont déjà disponibles :

1. Ces données comportaient des noms, des dates de naissance, des numéros de sécurité sociale (et aussi, dans certains cas, des informations sur le conjoint ainsi que des taux d’invalidité).
2. On estime que le but précis de ce crime n’était pas le vol de ces informations.
3. Ces informations ont été dérobées au domicile d’un employé du Department of Veterans Affairs (ministère des anciens combattants).
4. La personne qui détenait ces informations chez elle n’y était pas autorisée.
   

Du cas particulier à la généralisation

Que nous enseigne cet incident ?

Examinons les quatre éléments mentionnés ci-dessus pour voir s’il est possible d’en tirer quelques généralités, utiles dans d’autres circonstances.

1. Systématisation des informations personnelles

Les ordinateurs ainsi que le stockage électronique des données ont rendu possibles le stockage, la systématisation et l’analyse de volumes considérables de données dans un espace physique minimum et dans un temps réduit. Les problèmes posés par ces traitements quelques décennies auparavant ne sont plus d’actualité.

Ceci a des avantages évidents dont nous bénéficions tous chaque jour.

Cependant, cela entraîne également des risques. En voici quelques-uns :

• Les gros volumes de données stockés sur un périphérique minuscule sont plus faciles à déplacer (pour employer un euphémisme) qu’un immeuble ou une salle rempli(e) de papiers.
• La combinaison et l’analyse de données provenant de sources différentes peuvent révéler de nombreuses informations sur un individu. Elles pourront ensuite être employées pour une usurpation d’identité.
• La plupart des gens ont besoin - et ont le droit - d’avoir une vie privée. La capacité - avec mise en pratique - de collecter nos empreintes électroniques restreint cette confidentialité.
  

2. Découverte « accidentelle » d’un trésor

Les ordinateurs, en général, et plus particulièrement les ordinateurs portables sont des objets « populaires » auprès des cambrioleurs.

Même si le but du vol était l’ordinateur proprement dit, les informations qu’il contient peuvent avoir une valeur disproportionnée par rapport à celle de la machine.

3. Le danger du travail à distance

La popularité du travail à distance est croissante. Toutefois, il est tristement notoire que le domicile d’un employé moyen est bien moins sécurisé que les locaux de l’entreprise. Ceci est vrai pour la sécurité physique, mais aussi pour celle liée à l’informatique (pare-feu moins stricts, ordinateurs ne respectant pas les mêmes plans d’application des correctifs, logiciels antivirus non mis à jour, etc.).

Une entreprise doit prendre en compte ces faits lorsqu’elle envisage de mettre en place le travail à distance, et elle doit concevoir des systèmes permettant de rendre les risques « acceptables ».

4. Infractions à la politique de sécurité

Comme le démontre ce cas particulier, même la politique de sécurité mise en place par une société peut être une protection insuffisante pour les données précieuses. Les employés ne s’y conforment pas toujours pour plusieurs raisons (le travail doit être emporté à la maison pour être terminé à temps, la politique rend les méthodes de travail trop pesantes ou ses directives sont oubliées, etc.)

Dans certains cas un renforcement de la politique de sécurité par l’ajout de périphériques physiques ou logiques peut être nécessaire.

Résumé

Le cas du vol des informations concernant des millions de vétérans américains peut être considéré comme un incident extrême par rapport à bien d’autres. Toutefois, il n’est pas unique et il met en évidence le besoin de protéger les informations, même contre votre propre personnel.

Informations complémentaires

Des informations complémentaires sur ce vol de données sont disponibles auprès de diverses sources d’informations sur Internet, ainsi que sur le portail officiel du gouvernement des États-Unis, ici (s’ouvre dans une fenêtre de navigation séparée).