Qu’est-ce qu’une fuite de données ?

Lorsque des données sensibles sont divulguées à un tiers non autorisé, on parle de “fuite de données” ou de “divulgation de données” (data leak en anglais).

Les termes “fuite de données” et “violation de données” sont souvent utilisés de manière interchangeable, mais une fuite de données ne nécessite pas l’exploitation d’une vulnérabilité. Une fuite de données peut simplement consister en la divulgation de données à un tiers en raison de mauvaises politiques de sécurité ou de mauvaises configurations de stockage.

Cela peut sembler insignifiant, mais il est important de comprendre la différence entre une fuite de données et une violation de données. Les deux peuvent être coûteuses et avoir des conséquences critiques, mais une fuite de données implique beaucoup plus de négligence qu’une violation de données.

L’erreur humaine est un risque important pour les organisations, et une fuite de données est souvent le résultat de menaces internes, souvent involontaires mais tout aussi dommageables qu’une violation de données.

Les violations de données sont dues à des risques imprévus ou à des vulnérabilités inconnues dans les logiciels, le matériel ou l’infrastructure de sécurité. Un attaquant doit trouver la vulnérabilité et l’exploiter, c’est pourquoi les administrateurs doivent continuellement mettre à jour les logiciels obsolètes et installer immédiatement les correctifs ou mises à jour de sécurité.

Une fuite de données entraîne une violation des données, mais elle ne nécessite pas l’exploitation d’une vulnérabilité inconnue. En général, une erreur humaine est à l’origine d’une fuite de données. Un excellent exemple de fuite de données est un bucket S3 mal configuré d’Amazon Web Services (AWS).

Les buckets S3 sont des espaces de stockage en cloud utilisés pour télécharger des fichiers et des données. Ils peuvent être configurés pour un accès public ou verrouillés afin que seuls les utilisateurs autorisés puissent accéder aux données. Il est fréquent que les administrateurs configurent mal l’accès, divulguant ainsi des données à un tiers. Les buckets S3 mal configurés sont si courants qu’il existe des sites qui recherchent les buckets S3 mal configurés et les publient pour que chacun puisse les examiner.

Une mauvaise configuration d’AWS S3 n’est qu’un exemple de problème sous-jacent à l’origine de fuites de données, mais les données peuvent être exposées à cause d’une myriade d’autres mauvaises configurations et erreurs humaines. La frontière est floue entre les violations de données et les fuites de données, mais en général, une fuite de données est causée par :

• Une infrastructure non corrigée : Lorsque les développeurs sont conscients des vulnérabilités, ils déploient des correctifs de sécurité. Sans eux, les logiciels pourraient divulguer des données à des utilisateurs non autorisés.
• Des politiques de sécurité faibles : Les données peuvent être divulguées à notre insu lorsque les politiques de sécurité ne bloquent pas les utilisateurs non autorisés.
• Pare-feu mal configuré : Les pare-feu sont censés empêcher le trafic d’atteindre les ressources internes. Cependant, une mauvaise configuration peut ouvrir des ports et des applications à leur insu et divulguer des données.
• Fichiers open-source : Certains développeurs incluent des informations d’identification et des clés d’accès codées en dur dans des référentiels publics qui peuvent être utilisées par un tiers pour accéder aux données.
• Problèmes liés aux fournisseurs : Les fournisseurs ayant accès à des données sécurisées peuvent être un vecteur permettant à un attaquant d’accéder à des données confidentielles.

Bien que la liste ne soit pas exhaustive, les administrateurs commettent des erreurs courantes associées aux fuites de données. Bien qu’une erreur humaine commise par des employés ou des fournisseurs soit souvent à l’origine d’une fuite de données, ce n’est pas la seule raison des divulgations non souhaitées.

Les facteurs à l’origine d’une fuite de données ou data leak sont les suivants :

• Mauvaise configuration de l’infrastructure : La plupart des incidents de fuite de données sont dus à des erreurs de configuration en interne ou dans le cloud. Les applications de sécurité mal configurées peuvent également permettre la divulgation de données. Les entreprises, les administrations et les petites entreprises sont toutes coupables de cette erreur.
• Erreurs des employés : La formation à la cybersécurité est essentielle pour les employés, en particulier ceux qui ont accès à des données sensibles. La divulgation malveillante ou les erreurs humaines involontaires des employés qui manipulent mal les données sont courantes dans les fuites de données.
• Erreurs système : Des erreurs système inattendues peuvent entraîner un accès ouvert à des utilisateurs non autorisés. Ces erreurs peuvent même persister sur les moteurs de recherche, ce qui permet aux utilisateurs non autorisés de les découvrir facilement en recherchant des informations sensibles divulguées publiquement.

Les stratégies de protection des données doivent toujours inclure l’éducation et la formation des employés, mais les administrateurs peuvent prendre des mesures supplémentaires pour empêcher les fuites de données.

Voici quelques moyens de prévenir un data leak :

• Auditez et classez les données : Il est fréquent que les entreprises en pleine croissance perdent la trace des données et de leurs emplacements de stockage. Sans savoir où se trouvent les données et sans découvrir les applications et les utilisateurs qui les déplacent, il est impossible de couvrir toutes vos bases. La classification des données permet également de déceler les abus de permission des employés et les fuites de données potentielles dues à des accès inutiles.
• Soyez proactif : Une évaluation et une gestion des risques permettent d’identifier les risques et de fournir aux administrateurs des stratégies d’atténuation. Cela peut nécessiter des mesures de sécurité supplémentaires, des politiques et la formation des employés.
• Protégez les données en fonction de leur valeur et de leur sensibilité : Les fuites de données sur des données sans importance ne sont pas idéales, mais elles sont beaucoup moins dommageables que la divulgation de données sensibles. Après un audit et la découverte de données, concentrez d’abord vos efforts sur les données les plus précieuses. L’utilisation d’un logiciel de découverte de données peut y contribuer car il est capable de fournir une analyse de contenu fiable et automatisée et de suivre les informations sur l’ensemble de votre réseau.
• Proposez une formation à la cybersécurité : Il a été démontré que l’éducation réduit les risques d’erreurs humaines dues au phishing ou à l’ingénierie sociale. Elle permet également aux employés de savoir comment gérer correctement les données et leur protection.
• Surveillance : Le déploiement des bons outils de surveillance aide les administrateurs à identifier plus rapidement les anomalies et les rend plus proactifs pour contenir et éradiquer une menace. Certains outils permettent également d’identifier les mauvaises configurations et les problèmes potentiels de fuite de données.
• Disposez d’un plan de reprise après sinistre : La reprise après sinistre avec des sauvegardes permet de restaurer les données détruites. Un plan de reprise inclut les personnes impliquées dans la récupération des données et les nombreuses étapes de communication avec les clients affectés et les éventuels organes de presse.

Pour mieux concevoir l’infrastructure de sécurité autour des données sensibles, il est utile de connaître les scénarios de data leak courants. Il se peut même que vous n’identifiiez pas ces scénarios avant qu’ils ne se produisent dans votre organisation. Voici quelques façons dont une organisation peut être victime d’un data leak ou fuite de données :

• Un employé ramène des fichiers du travail à la maison : Il y a une raison pour laquelle les grandes entreprises verrouillent l’accès aux clés USB. Les employés peuvent penser qu’il est inoffensif d’apporter leur travail à la maison et de stocker des données sur leurs appareils, mais cela peut entraîner une fuite de données si l’appareil est perdu ou stocké de manière non sécurisée.
• Stockage de données non cryptées : Les utilisateurs et les attaquants pourraient obtenir des données non cryptées, que ce soit à la suite d’une erreur de permission ou d’un transfert accidentel vers un stockage en cloud accessible au public. Les données envoyées dans des messages instantanés ou des courriels sont également vulnérables si elles ne sont pas cryptées.
• Mauvaise utilisation des mots de passe : Les employés qui notent leurs mots de passe ou les stockent de manière non sécurisée pourraient les divulguer accidentellement à un tiers. Des mots de passe forts sont essentiels pour prévenir les violations et les pertes de données, c’est pourquoi il est si important de sensibiliser votre personnel aux meilleures pratiques de mots de passe et à la password awareness en général.
• Logiciels obsolètes : Les développeurs corrigent les logiciels dont les vulnérabilités sont connues, mais les administrateurs doivent prendre l’initiative de les installer. Les correctifs de sécurité doivent être installés immédiatement, sinon les attaquants pourraient profiter des systèmes vulnérables qui stockent des données.
• Mauvaise configuration des logiciels : Lorsqu’un logiciel n’est pas configuré correctement pour stocker des fichiers ou des données, il pourrait divulguer ouvertement des données sans que les administrateurs ne soient au courant du problème.
• Compromission du serveur de développement : les environnements de développement sont souvent peu protégés, mais les données de production sont répliquées sur le serveur de développement pour que les développeurs puissent y accéder. Cela peut sembler inoffensif, mais les développeurs peuvent potentiellement configurer le serveur ou l’environnement pour divulguer des données.

Les scénarios généraux aident à la gouvernance des données et à la gestion des risques, mais même les grandes entreprises sont victimes de menaces.

Voici quelques exemples de grandes organisations ou d’entités gouvernementales qui ont été victimes de risques de fuite de données :

• L’administration des anciens combattants a perdu 26,5 millions de dossiers contenant des données sensibles, notamment des numéros de sécurité sociale et des informations sur les dates de naissance, après qu’un employé ait emporté des données chez lui.
• L’Idaho Power Company à Boise, Idaho, a été victime d’une fuite de données après avoir vendu sur eBay des disques durs usagés contenant des fichiers sensibles et des informations confidentielles.
• Des ordinateurs de l’université Loyola contenant des informations sensibles sur les étudiants avaient été mis au rebut sans que les disques durs ne soient effacés. Le résultat a été la divulgation de numéros de sécurité sociale et de dossiers d’aide financière.
• Un ordinateur portable de fournisseur contenant des milliers de noms, de numéros de sécurité sociale et d’informations sur des cartes de crédit a été volé dans une voiture appartenant à un contractant de l’Université du Dakota du Nord.
• Une erreur dans le logiciel d’une université du Texas a permis aux utilisateurs ayant un accès d’accéder également aux noms, cours et notes de 12 000 étudiants.

L’identification des erreurs de configuration et des lacunes dans la Data Loss Prevention (DLP) nécessite un personnel qui sait comment surveiller et analyser ces problèmes. De nombreuses organisations ne disposent pas du personnel nécessaire pour planifier correctement les catastrophes et mettre en place une infrastructure permettant de protéger les données contre les fuites involontaires.

Proofpoint peut vous accompagner du début à la fin pour concevoir un plan de prévention des pertes de données et le mettre en œuvre. Nous disposons d’experts en protection de l’information pour vous aider à classer les données, à automatiser les procédures relatives aux données, à rester en conformité avec les exigences réglementaires et à construire une infrastructure qui favorise une gouvernance efficace des données.