L’auteur : Thierry Julien, PDG du groupe TJC
Le démantèlement des systèmes existants est l’un des facteurs cruciaux que les organisations doivent prendre en considération. Elle permet non seulement de se prémunir contre les futures exigences de conformité, mais aussi contre les cyberattaques et les atteintes à la confidentialité des données. Voici pourquoi le déclassement est le pari le plus sûr aujourd’hui !
Des millions de données personnelles révélées à la suite d’une violation de données !
Il y a quelques mois, je suis tombé sur un titre frappant du magazine 01net : « L’ADN de 2,1 millions de personnes a été piraté à la suite d’une négligence inimaginable ».
L’histoire commence de manière classique : une entreprise est victime d’une extorsion et doit payer une rançon. Un logiciel appelé Cobalt Strike a permis de pénétrer le réseau du DNA Diagnostics Centre (DDC), une organisation américaine de soins de santé spécialisée dans les tests d’ADN et de paternité.
Le logiciel s’est emparé des bases de données de l’organisation, accédant à des millions de données personnelles. Lorsque cette intrusion a été détectée, les alertes ont été ignorées de manière incompréhensible. Pour une raison inconnue, le DNA Diagnostics Centre n’a pas réagi immédiatement à l’avertissement de son fournisseur de sécurité.
Mais le plus intéressant, c’est que le logiciel s’est avéré être le même que celui que les experts en cybersécurité utilisent pour tester la résistance des systèmes.
Au final, les conséquences de l’intrusion ont été lourdes, portant atteinte à la réputation de l’entreprise, tout en lui infligeant des amendes critiques. Sans parler des graves conséquences pour les victimes, telles que la divulgation de données personnelles et de santé.
Bien que cette situation soit trop fréquente dans nos journaux, ce qui rend ce cas particulier, c’est que nous parlons de l’implication de serveurs et de bases de données, au lieu d’une seule application. Selon les autorités fédérales américaines, « cinq serveurs ont été compromis et contenaient des sauvegardes de 28 bases de données : « Cinq serveurs ont été compromis et contenaient des sauvegardes de 28 bases de données, et un serveur hors service a été utilisé pour exfiltrer des données.
Un système hérité, l’épicentre
Ces serveurs étaient probablement des machines virtuelles, particulièrement vulnérables lorsqu’elles sont laissées sans surveillance. Mais ce qui rend cet article intéressant, c’est la raison de cette négligence : les données volées étaient des données héritées de l’acquisition par DDC d’une entreprise plus petite en 2012. Le spécialiste des tests ADN a reconnu qu’il n’avait pas la moindre idée que de telles données étaient stockées sur ses serveurs.
Comme indiqué dans l’article : « Lespécialiste du Centre de diagnostic ADN assure qu’un précédent inventaire de ses archives n’avait pas révélé la présence des données« .
En l’état, laisser un serveur en « stand-by » s’est avéré être une négligence grave. C’est cette négligence dans la gestion des systèmes existants qui a mis le DDC en grande difficulté. Les anciens systèmes ne sont plus mis à jour et ne bénéficient d’aucune assistance ou maintenance. Par conséquent, ils sont également surexposés aux vulnérabilités en matière de sécurité, et c’est la raison pour laquelle il est nécessaire de démanteler les anciens serveurs pour protéger ces données.
Aujourd’hui, il est beaucoup trop facile d’invoquer la « négligence ». La vraie question est de savoir à quelle fréquence nous avons « sauvegardé » les informations et les serveurs au fil des ans. Le passage à l’informatique dématérialisée et les réglementations en matière de confidentialité des données ont fait de ces anciennes pratiques, autrefois sûres, un risque important qui n’est plus acceptable. C’est pourquoi l’application d’un système patrimonial devient la norme aujourd’hui !
Le revers de la médaille des machines virtuelles
Les machines virtuelles (VM) sont considérées comme une solution réalisable et rapide pour stocker les systèmes existants. Cependant, les machines virtuelles posent trois graves problèmes lorsqu’elles sont utilisées comme solution de déclassement :
- Les machines virtuelles ne permettent pas de gérer les obligations en matière de confidentialité des données, ce qui expose l’entreprise à des risques de non-conformité.
- Ils permettent aux organisations de « déverser et oublier » les informations. Le jour où les employés quittent le projet, l’entreprise ou partent à la retraite, il sera difficile d’identifier les informations potentiellement nuisibles.
- Les machines virtuelles sont plus vulnérables aux ransomwares personnalisés conçus pour paralyser ces technologies.
C’est pourquoi, dans la situation présentée dans cet article, le pari le plus sûr pour DNA Diagnostics Centre aurait été, sans hésitation, de mettre hors service le système patrimonial acquis.
Pour en savoir plus sur les machines virtuelles, cliquez ici : Les machines virtuelles pour maintenir les systèmes existants : une bonne ou une mauvaise idée ?
Le démantèlement des systèmes, une valeur sûre
Le démantèlement des systèmes existants permet aux entreprises de conserver l’accès aux données existantes (la plupart du temps, pour des besoins professionnels ou des audits) tout en appliquant les contrôles nécessaires en matière de confidentialité des données lorsque cela s’avère nécessaire. Si le système patrimonial acquis par la DDC était pertinent ou sensible aux données, il aurait dû être géré par une application de système patrimonial, telle qu’ELSA de TJC Group. Enterprise Legacy System Application est une solution certifiée SAP BTP qui garantit que toutes les données patrimoniales peuvent être ré-accédées à tout moment, à partir de n’importe quelle source, après la mise hors service d’un ancien système.
Derniers enseignements
Il y a plusieurs raisons pour lesquelles une entreprise peut vouloir mettre hors service un système existant – l’une d’entre elles est de protéger l’organisation contre les cyberattaques ou les exigences futures en matière de conformité, deux facteurs sur lesquels nous n’avons pas de contrôle.
Si les systèmes existants ne sont pas mis hors service, il existe un risque élevé d’exposition future à des « bombes ». D’autre part, les systèmes existants sont basés sur des technologies anciennes qui, tôt ou tard, deviendront obsolètes. Il peut s’avérer difficile et coûteux de trouver des professionnels de l’informatique qui possèdent ce talent de niche, tandis que les nouveaux employés n’auront pas les connaissances nécessaires pour faire face aux problèmes futurs.
Pour conclure, il est impératif de noter que tous les systèmes informatiques contenant des informations sensibles doivent être mis hors service – et pas seulement « mis en veilleuse ». Si vous avez besoin de plus d’informations ou d’aide pour retirer un système existant, contactez-nous.
Sources d’information
- L’ADN de 2,1 millions de personnes a été piraté à cause d’une incroyable négligence, 01net magazine.
- Repenser la sécurité des machines virtuelles, CSO Online
- Les machines virtuelles sont-elles le nouvel or des cybercriminels ?, Mcafee.
