La compagnie US Postal Services perd un CD contenant des infos sur 4000 personnes

Un CD contenant les données non-cryptées (mais protégées par mot de passe) de 4000 anciens employés de US Steel Mining a été perdu dans un incident chez US Postal Services.

La brèche de données a exposé les noms, dates de naissance et numéros de sécurité sociale des personnes affectées. L’incident a été fait publique car le CD envoyé en août par Benefits Administration Services n’était pas arrivé à la destination en mi-septembre.

L’expéditeur du CD travaille avec US Postal Services pour trouver le support de mémoire perdu, mais sans résultats jusqu’ici, même si on n’a pas encore des preuves que les données soient utilisées dans des buts frauduleux.

L’armée des Etats-Unis interdit les disques amovibles pour prévenir les fuites de données

Les militaires americains ont reçu l’ordre de ne pas utiliser des supports amovibles de mémoire, sinon, ils risquent une poursuite au tribunal militaire.
Le commandant d’Air Force Network Operations, le majeur-général Richard Webber a transmis à toutes les organisation liées à l’Air Force d’arrêter d’utiliser les supports amovibles (CD, DVD, clé USB, etc.) sur tout système, serveur et machine stand-alone qui résident sur SIPRNET (le réseau du Departement de la Défense). Cette mesure est un des demarches pour prévenir des possibles brêches de sécurité comme celle concernant les documents publiés sur WikiLeaks (Bradley Manning dit qu’il a téléchargé des centaines milliers de fichiers sur un CD nommé ‘Lady Gaga’ avant de les transmettre à WikiLeaks).

Les dirigéants savent que cet ordre va rendre l’utilisation des données plus difficile parce que les ordinateurs contenant des données sensibles sont souvent déconnectés du réseau ou se trouvent dans des zones avec une largeur de bande réduite. Neanmoins, si on découvre quelqu’un qui continue à utiliser les disques amovibles, il sera puni conformement à la décision du tribunal militaire.

Pour lire plus: http://www.wired.com/dangerroom/2010/12/military-bans-disks-threatens-courts-martials-to-stop-new-leaks/

Le Centre de Santé Physique et Mentale Lincoln perd 130.000 enregistrements concernant les patients

Une nouvelle perte de données aux Etats-Unis: le Centre de Santé Physique et Mentale Lincoln a exposé les données personnelles de 130.000 patients. Les données comprennaient les noms, adresses, numéros de sécurité sociale, diagnostiques et procédures des patients. Il semble que les enregistrements etaient stockés sur quelques CDs non cryptés qui avaient été envoyés au centre par FedEx. Les CDs n’ont jamais arrivé à déstination. Une enquête a été demarrée afin de trouver les CD perdus, mais les données n’ont pas été récupérées.
Il semble que les institutions qui traitent ce genre de données personnelles ne font pas beaucoup d’attention à la confidentialité de leurs patients, même si ça peut avoir des consequences très graves (vol d’identité).
Pour prévenir les pertes de données dans les hopitaux, centres médicaux ou cliniques, les spécialistes conseillent d’implémenter un logiciel de gestion et surveillance des terminaux et aussi un logiciel de cryptage des données sur les supports externes de mémoire. J’espère que les résponsables de sécurité vont faire ça une priorité afin de protéger l’identité et la confidentialité des malades.

Le vol de données à l’intérieur de l’entreprise

Les pertes et vols de données d’entreprise sont dus à des causes externes mais aussi internes.
Les causes externes sont représentées notamment par les attaques qui viennent de l’Internet, tandis que les causes internes sont représentées par les employés.
Les employés qui volent ou divulguent les données d’entreprise le font à l’occasion de leur départ vers un concurrent (70 % des cas) ou de la création de leur propre affaire (23 % des cas). Les méthodes qu’ils utilisent pour copier les données sont très diverses: messagerie électronique, copies papier, supports de copie tels que CD, DVD, clé USB ou disque externe, Smartphone, baladeur MP3.
Dans ces conditions, contrôler tous les biais par lesquels les employés peuvent copier les informations confidentielles peut devenir une tache très difficile pour les Responsables de Sécurité Informatique.
Mais il existent des solutions. Par exemple, Endpoint Protector de CoSoSys permet la gestion centralisée de tous les périphériques portables au sein de la compagnie. L’administrateur peut donner des droits d’accès pour un certain périphérique ou il peut en refuser l’accès. La gestion se fait à l’aide d’une interface centrale de commande, ce qui rend le travail de l’administrateur beaucoup plus facile, car il ne doit pas se déplacer partout dans l’entreprise. De plus, il reçoit des alertes chaque fois qu’un événement se passe.
Pour conclure, même si les menaces existent, des solutions très efficaces et très faciles à utiliser sont présentes pour y remédier.

Comment sécuriser mon ordinateur portable?

Que ce soient les ordinateurs portables d’entreprise ou personelles, leur perte (ou vol) peut apporter des problèmes très graves pour le proprietaire. On y garde des données confidentielles, telles que des fichiers clients, des devis, des codes sources de logiciels, ou des secrets de fabrication. Si ce type de données arrivent entre les mains de la concurrence, les consequences seront dramatiques.

Pour éviter ces situations, on a la possibilité de chiffrer l’information sur l’ordinateur portable ou de autentifier les utilisateurs qui s’y connectent. Biensûr, les deux solutions peuvent etre complementaires.

En ce qui concerne le chiffrement, il faut utiliser un logiciel qui employe des algorithmes de cryptage avancés. Il est recommandable d’utiliser le AES, qui offre une très bonne protection, mais on peut avoir aussi RC2, IDEA, GOST, RC5 ou Blowfish.

Le logiciel doit chiffrer les données dans le système informatique d’entreprise, mais il doit protéger aussi les périphériques portables (CD, DVD, clé USB, ZIP,etc.).

Ils existent des disques durs avec des systèmes de chiffrement intégrés, mais pour avoir accès à ses partitions, il faut que l’utilisateur s’authentifie.

Une autre mésure à prendre pour renforcer la sécurité est adopter un bon mot de passe. Il doit avoir au moins 8 caractères, dont une lettre en majuscule, une en miniscule, un chiffre et un caractère spécial et, le plus important, il doit etre modifié régulièrement, au moins une fois en trois mois, mais on peut le changer à chaque ouverture de session, à l’aide des clés physiques (elles ont la forme de calculettes, clés USB ou cartes à puce) qui générent des mots de passe statiques ou dynamiques.

On peur dire que les ordinateurs portables pour lesquels on a pris toutes ces mésures ont un niveau de sécurité excellent!