Failles de sécurité : une dizaine de sanctions pour des institutions publiques délivrées par la CNIL, les données des administrés étaient exposées

La CNIL a prononcé dix sanctions simplifiées contre des collectivités territoriales et un établissement public en raison de manquements à leurs obligations de cybersécurité. Authentification insuffisante, serveurs obsolètes ou mots de passe peu sécurisés : plusieurs failles exposaient les données des administrés.

La cybersécurité des collectivités locales est dans le viseur de la CNIL. Au mois de novembre, le gendarme des données personnelles a prononcé dix sanctions à l’encontre de collectivités territoriales et d’un établissement public. Ces décisions font suite à des contrôles menés auprès des organismes concernés et de leurs prestataires.

Il ne s’agit pas de sanctions prononcées à la suite de fuites de données, mais de manquements au RGPD et à la loi Informatique et Libertés. La CNIL a notamment relevé des faiblesses dans des systèmes informatiques utilisés pour gérer l’état civil, les prestations sociales, les données financières ou encore les informations concernant des mineurs. Certaines collectivités ont même subi des violations de données rendues possibles par ces défaillances.  Parmi les problèmes constatés, la CNIL pointe des modalités d’authentification insuffisamment robustes pour les agents se connectant à distance. Certains ne bénéficiaient notamment pas d’une authentification multifacteur, y compris lorsqu’ils avaient accès à de nombreuses données.

Les prestataires externes disposaient parfois d’un accès permanent au réseau, avec des comptes partagés entre plusieurs salariés. La détection des comportements suspects, comme les téléchargements massifs, était également insuffisante. Enfin, l’absence de cloisonnement des réseaux pouvait faciliter la propagation d’une intrusion. D’autres faiblesses ont été relevées : des serveurs utilisant des systèmes d’exploitation obsolètes ou non mis à jour, des mots de passe peu robustes, voire transmis en clair aux usagers.

La CNIL a également constaté l’absence d’analyses d’impact pour certains traitements présentant des risques élevés pour les droits et libertés. C’est notamment le cas de téléservices liés aux activités scolaires et périscolaires ou de dispositifs de vidéoprotection sur la voie publique. Les sanctions prononcées vont de 3 000 à 20 000 euros, ce dernier montant correspondant au plafond légal de la procédure simplifiée. La CNIL a tenu compte du nombre et de la gravité des manquements, ainsi que de la nature des données concernées. Si ces montants restent relativement limités au regard des sanctions qui peuvent toucher les grandes entreprises, ils rappellent que les collectivités sont elles aussi tenues de protéger les informations personnelles qu’elles détiennent. Les failles relevées montrent que des mesures de sécurité élémentaires, comme les mises à jour, la gestion des accès et l’authentification renforcée, ne sont pas toujours correctement appliquées.

Source : Alloforfait

Cet article a été repris sur le site Univers FreeBox