UK Government Investments a laissé les coordonnées de responsables publics et des informations de gestion internes accessibles au public pendant environ 40 heures, attirant une nouvelle fois l’attention sur les contrôles de cybersécurité élémentaires au sein des organismes publics britanniques.
La faille a touché 51 responsables publics et incité l’organisme à renforcer sa sécurité interne après un examen externe.
Selon The Guardian, UKGI a indiqué qu’un fichier interne contenant des « informations de gestion de haut niveau », des noms et des adresses e-mail professionnelles était devenu accessible au public après qu’un membre du personnel n’a pas respecté les politiques établies en matière de sécurité de l’information.
UKGI, qui gère les intérêts des contribuables dans des entreprises telles que Channel 4 et the Post Office, n’a pas communiqué la date exacte de l’exposition. L’organisme a indiqué que l’incident avait été signalé aux membres du conseil d’administration et à l’Information Commissioner’s Office.
Une exposition limitée peut mettre à l’épreuve des contrôles plus larges
Il ne s’agissait pas d’une fuite de données touchant des millions de consommateurs, mais cela ne la rend pas inoffensive pour autant. UKGI fait partie du dispositif qui gère les participations publiques dans de grandes organisations, et même l’exposition d’un fichier limité peut révéler si les mesures de protection élémentaires fonctionnent.
Ces mesures comprennent des restrictions d’accès, la formation du personnel, des contrôles sur les fichiers, des procédures de remontée des incidents et un registre clair de la personne responsable du risque en cas de problème. Pour les organismes publics, ces éléments fondamentaux sont importants, car les documents internes peuvent être étroitement liés aux décisions politiques, aux relations commerciales et aux investissements garantis par les contribuables.
UKGI a indiqué que des experts externes avaient examiné ses protocoles de sécurité et recommandé de renforcer les contrôles et la préparation aux incidents. L’organisme a déclaré avoir mis en œuvre, ou prévoir de mettre en œuvre, la plupart de ces recommandations.
Le même problème de responsabilité apparaît dans toute la sécurité des entreprises. Les entreprises ajoutent des systèmes d’IA, des outils cloud et des flux de travail automatisés plus rapidement que de nombreuses équipes ne peuvent déterminer qui dispose des accès, qui approuve les changements et qui intervient en cas de défaillance. Une lacune de gouvernance de l’IA peut transformer la visibilité et la responsabilité en problèmes de sécurité bien avant le début d’une attaque majeure.
Les lacunes de cybersécurité du secteur public augmentent les enjeux
L’incident survient dans un contexte difficile pour la sécurité du gouvernement britannique. Le Cyber Action Plan du gouvernement indique que le risque cyber pesant sur le secteur public est « actuellement extrêmement élevé » et estime que 28 % du patrimoine technologique du gouvernement repose sur des technologies obsolètes.
La National Audit Office a également averti que le gouvernement n’avait pas atteint son objectif pour 2025, qui consistait à rendre les fonctions critiques résilientes aux cyberattaques. Dans son examen government cyber resilience, la NAO a déclaré que les ministères présentaient encore d’importantes lacunes dans des contrôles fondamentaux pour la cyberrésilience.
Dans un secteur public qui peine déjà avec les technologies obsolètes, la pénurie de compétences en cybersécurité et des activités de contrôle inégales, une exposition de courte durée peut devenir un test pour déterminer si les organismes sont capables d’appliquer les mesures élémentaires avant que les auditeurs, les attaquants ou le public ne découvrent les premiers la défaillance.
Pour les entreprises qui travaillent avec des organismes liés au gouvernement, la leçon est celle de la diligence raisonnable. Les partenaires devraient être en mesure d’indiquer qui est responsable du risque cyber, comment les fichiers exposés sont supprimés, quand les autorités de régulation sont informées et si les plans de reprise ont réellement été testés. Cette pression ne fait que croître à mesure que les rançongiciels agentiques et les attaques automatisées plus rapides mettent davantage à l’épreuve les équipes d’intervention.
UKGI a désormais communiqué la cause générale de l’incident, le type de données exposées et son signalement à l’ICO. Le prochain élément utile serait de savoir si les nouveaux contrôles suffiront à empêcher une nouvelle exposition évitable.
À lire également : le Cyber Shield plan montre que la défense nationale assistée par l’IA dépend toujours d’une autorité, d’une confiance et d’une supervision clairement définies.