L’agence de renseignement britannique est censée protéger les secrets les plus sensibles du pays. Pourtant, elle est toujours incapable de rendre compte de milliers de ses propres supports de stockage, dont certains pourraient contenir des informations top secrètes.
Le Government Communications Headquarters (GCHQ), l’agence britannique de renseignement, peine depuis des années à déterminer ce qu’il est advenu des supports de stockage amovibles enregistrés pour être utilisés au sein de l’agence, selon Politico et The Register. Les supports manquants pourraient contenir des éléments de renseignement sensibles, ce qui soulève des inquiétudes quant à la manière dont l’agence suit et protège les informations classifiées.
Malgré des années d’examen, le GCHQ est toujours incapable de fournir un inventaire définitif des appareils. La situation soulève une question préoccupante pour les équipes de sécurité du monde entier : comment les organisations peuvent-elles protéger les informations sensibles lorsqu’elles ne sont pas en mesure de suivre de manière fiable l’endroit où elles sont stockées ?
Pourquoi les appareils manquants du GCHQ soulèvent des inquiétudes en matière de sécurité
Selon The Register, l’agence a qualifié le nombre de supports perdus de « très important ». Toutefois, les chiffres réels restent inconnus, même si le média précise qu’ils se comptent par milliers.
Un porte-parole du GCHQ a déclaré à The Register que le problème résultait d’un ancien système de gestion qui n’était pas suffisamment robuste pour suivre les supports amovibles enregistrés en vue de leur utilisation. L’agence se retrouve ainsi sans inventaire fiable des supports qu’elle a distribués.
Selon Brian Leveson, commissaire aux pouvoirs d’enquête, les appareils contiennent apparemment des informations sensibles. Le GCHQ « est toujours incapable de me dire ce qui est arrivé aux supports amovibles susceptibles de contenir des données sensibles, des années après que j’ai soulevé cette question auprès de l’agence », a déclaré Leveson, selon un article de Politico.
Le GCHQ affirme avoir lancé de nouvelles opérations pour localiser autant d’appareils que possible et prévoit de mettre en place un système automatisé de suivi des actifs d’ici la fin de 2026. L’agence espère alors disposer d’un décompte plus précis des supports manquants.
Pourquoi les supports de stockage présentent des risques de sécurité
Les supports de stockage amovibles constituent un risque de sécurité, car ils peuvent emporter des informations sensibles hors des systèmes et des réseaux conçus pour les protéger. Contrairement aux données conservées sur les serveurs sécurisés de l’agence, sur site, une clé USB ou un autre support de données portable peut être égaré, volé ou connecté à un ordinateur non autorisé.
Il est important de noter que le risque ne se limite pas à la perte de l’appareil lui-même. Si un support manquant contient des dossiers de renseignement, du matériel de surveillance ou des informations personnelles, son contenu pourrait révéler des sources sensibles ou des informations sur des personnes faisant l’objet d’une enquête.
Même le chiffrement et la protection par code PIN, bien qu’ils constituent des mesures de protection importantes, ne rendent pas un appareil manquant inoffensif. Ils réduisent le risque d’accès non autorisé, mais ne garantissent pas que le contenu est à l’abri, notamment lorsque les copies des données sont rares. C’est pourquoi un suivi fiable est essentiel. Sans cela, une organisation peut ignorer si un appareil a été égaré dans ses locaux, s’il est sorti de son périmètre de contrôle ou s’il est tombé entre de mauvaises mains.
Pour une agence de renseignement, ou pour une organisation qui traite des informations sensibles pour ses clients, les supports de stockage doivent être considérés non seulement pour ce qu’ils sont, mais aussi pour ce qu’ils contiennent.
Ce que les équipes de sécurité peuvent retenir des appareils manquants du GCHQ
Les difficultés du GCHQ mettent en évidence un problème de sécurité fondamental : les organisations ne peuvent pas protéger efficacement les informations sensibles si elles sont incapables de rendre compte des appareils qui les stockent.
Pour les équipes de sécurité, cet incident rappelle l’importance de plusieurs pratiques :
- Tenir à jour un inventaire complet des appareils. Consignez chaque support de stockage amovible, son propriétaire attitré, son emplacement et le type d’informations qu’il est autorisé à contenir.
- Suivre les mouvements des appareils. Demandez aux employés de documenter la remise, le transfert, le retour ou la destruction des supports de stockage portables.
- Chiffrer les informations sensibles. Utilisez un chiffrement et des contrôles d’accès appropriés pour réduire le risque d’accès non autorisé en cas de disparition d’un appareil.
- Restreindre les supports amovibles. Limitez l’accès au stockage USB aux appareils approuvés et aux employés qui en ont un besoin professionnel légitime.
- Auditer régulièrement les inventaires. Rapprochez les registres des actifs avec les appareils physiques et examinez les écarts avant qu’ils ne deviennent des problèmes persistants.
- Établir des procédures en cas d’appareil manquant. Définissez la manière dont les employés signalent les appareils perdus, dont les équipes de sécurité évaluent l’exposition potentielle et les cas dans lesquels un incident doit être porté à un niveau supérieur.
Ces mesures sont particulièrement importantes pour les administrations, les établissements de santé, les institutions financières et les entreprises qui traitent des informations confidentielles sur leurs clients.
L’expérience du GCHQ montre que même les organisations dotées de systèmes de sécurité sophistiqués peuvent être exposées à des risques importants lorsque les contrôles fondamentaux de gestion des actifs sont insuffisants.
Pour plus de conseils sur la prévention de la perte ou de l’exposition d’informations sensibles, découvrez les 12 meilleures pratiques de prévention des pertes de données, notamment le chiffrement, les contrôles d’accès et les audits de sécurité réguliers.