{"id":27527,"date":"2023-05-15T20:08:31","date_gmt":"2023-05-15T14:38:31","guid":{"rendered":"https:\/\/www.tjc-group.com\/blogs\/confidentialite-des-donnees-et-cybersecurite-pourquoi-le-declassement-est-il-la-solution-la-plus-sure\/"},"modified":"2025-03-18T07:40:22","modified_gmt":"2025-03-18T02:10:22","slug":"confidentialite-des-donnees-et-cybersecurite-pourquoi-le-declassement-est-il-la-solution-la-plus-sure","status":"publish","type":"blog","link":"https:\/\/www.tjc-group.com\/fr\/blogs\/confidentialite-des-donnees-et-cybersecurite-pourquoi-le-declassement-est-il-la-solution-la-plus-sure\/","title":{"rendered":"Confidentialit\u00e9 des donn\u00e9es et cybers\u00e9curit\u00e9 : pourquoi le d\u00e9classement est-il la solution la plus s\u00fbre ?"},"content":{"rendered":"\r\n

L\u2019auteur : Thierry Julien, <\/a>PDG du groupe TJC<\/p>\r\n\r\n\r\n\r\n

Le d\u00e9commissionnement des syst\u00e8mes legacy est un \u00e9l\u00e9ment crucial que les organisations doivent absolument prendre en consid\u00e9ration. Il permet non seulement de se pr\u00e9parer aux exigences de conformit\u00e9 \u00e0 venir, mais aussi de se pr\u00e9munir contre les cyberattaques et les atteintes \u00e0 la confidentialit\u00e9 des donn\u00e9es. Voici pourquoi le d\u00e9commissionnement est plus que jamais un pari gagnant !<\/p>\r\n\r\n\r\n\r\n

Des millions de donn\u00e9es personnelles r\u00e9v\u00e9l\u00e9es \u00e0 la suite d\u2019une violation de donn\u00e9es !<\/h2>\r\n\r\n\r\n\r\n

Il y a quelques mois, je suis tomb\u00e9 sur un titre du magazine 01net qui m\u2019a particuli\u00e8rement frapp\u00e9 : \u00ab L\u2019ADN de 2,1 millions de personnes a \u00e9t\u00e9 pirat\u00e9 \u00e0 cause d\u2019une incroyable n\u00e9gligence \u00bb<\/em>.<\/p>\r\n\r\n\r\n\r\n

L\u2019histoire commence de mani\u00e8re classique : une entreprise est victime d\u2019une cyberattaque et se voit contrainte de payer une ran\u00e7on. Un logiciel appel\u00e9 Cobalt Strike a permis d\u2019infiltrer le r\u00e9seau du DNA Diagnostics Centre (DDC)<\/strong>, une structure de soins de sant\u00e9 am\u00e9ricaine sp\u00e9cialis\u00e9e dans les tests ADN et les tests de paternit\u00e9.<\/p>\r\n\r\n\r\n\r\n

Le logiciel a r\u00e9ussi \u00e0 r\u00e9cup\u00e9rer les bases de donn\u00e9es de la structure, acc\u00e9dant de fait \u00e0 des millions de donn\u00e9es personnelles. Lorsque cette intrusion a \u00e9t\u00e9 d\u00e9tect\u00e9e, les signaux d\u2019alerte ont \u00e9t\u00e9 ignor\u00e9s, de mani\u00e8re parfaitement incompr\u00e9hensible. Pour une raison inconnue, le DNA Diagnostics Centre n\u2019a pas r\u00e9agi imm\u00e9diatement \u00e0 l\u2019avertissement transmis par le prestataire en charge sa s\u00e9curit\u00e9.<\/p>\r\n\r\n\r\n\r\n

Mais le plus int\u00e9ressant, c\u2019est que le logiciel s\u2019est av\u00e9r\u00e9 \u00eatre le m\u00eame que celui que les experts en cybers\u00e9curit\u00e9 utilisent pour tester la r\u00e9sistance des syst\u00e8mes.<\/p>\r\n\r\n\r\n\r\n

Au final, les cons\u00e9quences de l\u2019intrusion ont \u00e9t\u00e9 lourdes : l\u2019entreprise a subi des dommages en termes de r\u00e9putation, mais aussi financiers, puisqu\u2019elle a d\u00fb s\u2019acquitter d\u2019amendes importantes. Sans parler des cons\u00e9quences pour les victimes, loin d\u2019\u00eatre anodines, puisque nous nous trouvons face \u00e0 un cas de divulgation de donn\u00e9es personnelles et de sant\u00e9<\/strong>.<\/p>\r\n\r\n\r\n\r\n

Les incidents de ce genre ne sont pas rares et les journaux les relaient r\u00e9guli\u00e8rement. Mais, ce qui rend ce cas bien particulier, c\u2019est que ce sont des serveurs et des bases de donn\u00e9es qui sont impliqu\u00e9s, et non pas une seule application. Selon les autorit\u00e9s f\u00e9d\u00e9rales am\u00e9ricaines, \u00ab cinq serveurs ont \u00e9t\u00e9 compromis et contenaient des sauvegardes de 28 bases de donn\u00e9es, et un serveur hors service a \u00e9t\u00e9 utilis\u00e9 pour exfiltrer des donn\u00e9es \u00bb.<\/p>\r\n\r\n\r\n\r\n

Le c\u0153ur du probl\u00e8me : un syst\u00e8me legacy<\/h2>\r\n\r\n\r\n\r\n

Ces serveurs \u00e9taient tr\u00e8s probablement des machines virtuelles<\/strong>, particuli\u00e8rement vuln\u00e9rables lorsqu\u2019elles sont laiss\u00e9es sans surveillance. Ce qui rend l\u2019article en question d\u2019autant plus int\u00e9ressant, c\u2019est la raison de la n\u00e9gligence : les donn\u00e9es vol\u00e9es \u00e9taient des donn\u00e9es legacy issues de l\u2019acquisition par DDC d\u2019une entreprise plus petite, en 2012. Le sp\u00e9cialiste des tests ADN a reconnu qu\u2019il n\u2019avait pas la moindre id\u00e9e que des donn\u00e9es de cette nature \u00e9taient stock\u00e9es sur ses serveurs.<\/p>\r\n\r\n\r\n\r\n

Comme il est pr\u00e9cis\u00e9 dans l\u2019article, \u00ab le sp\u00e9cialiste du Centre de tests ADN assure qu\u2019un pr\u00e9c\u00e9dent inventaire de ses archives n\u2019avait pas r\u00e9v\u00e9l\u00e9 la pr\u00e9sence des donn\u00e9es<\/em> \u00bb.<\/p>\r\n\r\n\r\n\r\n

En l\u2019\u00e9tat, laisser un serveur en \u00ab stand-by \u00bb s\u2019est av\u00e9r\u00e9 \u00eatre une n\u00e9gligence grave. C\u2019est cette n\u00e9gligence dans la gestion des syst\u00e8mes legacy qui a mis le DDC en grande difficult\u00e9. Les syst\u00e8mes legacy ne sont plus mis \u00e0 jour et ne font l\u2019objet d\u2019aucune assistance ou maintenance. Par cons\u00e9quent, ils sont \u00e9galement surexpos\u00e9s aux vuln\u00e9rabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9. C\u2019est la raison pour laquelle il est n\u00e9cessaire de d\u00e9commissionner les serveurs legacy <\/strong>afin de prot\u00e9ger ce type de donn\u00e9es.<\/p>\r\n\r\n\r\n\r\n

Aujourd\u2019hui, il est beaucoup trop facile d\u2019invoquer la \u00ab n\u00e9gligence \u00bb. La vraie question est de savoir \u00e0 quelle fr\u00e9quence nous avons \u00ab sauvegard\u00e9 \u00bb les informations et les serveurs au fil des ans. Le passage \u00e0 l\u2019informatique d\u00e9mat\u00e9rialis\u00e9e et les r\u00e9glementations en mati\u00e8re de confidentialit\u00e9 des donn\u00e9es ont fait de ces anciennes pratiques, autrefois s\u00fbres, un risque important, qui n\u2019est plus acceptable \u00e0 cette heure. C\u2019est ce qui explique que le recours \u00e0 une application de syst\u00e8me legacy devienne la norme !<\/p>\r\n\r\n\r\n\r\n

Le revers de la m\u00e9daille des machines virtuelles<\/h2>\r\n\r\n\r\n\r\n

Les machines virtuelles (MV) sont consid\u00e9r\u00e9es comme une solution facilement r\u00e9alisable et rapide pour stocker les syst\u00e8mes legacy. Cependant, les machines virtuelles posent trois graves probl\u00e8mes <\/strong>lorsqu\u2019elles sont utilis\u00e9es comme solution de d\u00e9commissionnement :<\/p>\r\n\r\n\r\n\r\n