{"id":5750,"date":"2018-06-24T20:33:32","date_gmt":"2018-06-24T19:33:32","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog?p=5750"},"modified":"2018-06-24T20:53:46","modified_gmt":"2018-06-24T19:53:46","slug":"rgpd-optical-center-va-payer-250000-euros","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/gdpr\/rgpd\/rgpd-optical-center-va-payer-250000-euros","title":{"rendered":"RGPD: Optical Center va payer 250.000 \u20ac d’amende! Et vous?"},"content":{"rendered":"

La formation restreinte de la CNIL a prononc\u00e9 le 7 mai dernier une sanction de 250.000 euros \u00e0 l\u2019encontre de la soci\u00e9t\u00e9 OPTICAL CENTER. Celle-ci est accus\u00e9e avoir insuffisamment s\u00e9curis\u00e9 les donn\u00e9es de ses clients effectuant une op\u00e9ration en ligne sur son site internet. Heureusement, \u00e0 cette date, le RGPD n’\u00e9tait pas encore entr\u00e9 en vigueur. Ceci explique le montant relativement faible de l’amende inflig\u00e9e. Apr\u00e8s le 25 mai, la m\u00eame infraction aurait pu \u00eatre sanctionn\u00e9e d’une amende allant jusqu’\u00e0 20 millions d’Euros.<\/em><\/p>\n

Et vous? O\u00f9 en \u00eates-vous de votre mise en conformit\u00e9 un mois apr\u00e8s l’entr\u00e9e en vigueur des sanctions?\u00a0<\/strong><\/em><\/p>\n

\"RGPD
Cr\u00e9dits \u00a9 J\u00fcrgen F\u00e4lchle<\/figcaption><\/figure>\n

C’est la premi\u00e8re fois que la CNIL inflige une amende cons\u00e9quente pour un d\u00e9faut de s\u00e9curit\u00e9 sur un site web. Alors des questions se posent. Pourquoi et comment les donn\u00e9es personnelles des clients d’une entreprise peuvent-elles se retrouver accessibles par un simple clic dans un navigateur\u2026 par la plan\u00e8te enti\u00e8re ?<\/p>\n

La d\u00e9cision de\u00a0la CNIL<\/a> (Commission nationale informatique et libert\u00e9s)\u00a0a \u00e9t\u00e9 prise deux semaines seulement avant l’entr\u00e9e en vigueur du R\u00e8glement G\u00e9n\u00e9ral de Protection des Donn\u00e9es Personnelles (RGPD). Apr\u00e8s le 25 mai<\/a>, Optical Center aurait pu payer jusqu’\u00e0 20 millions d’euros \u2014 ou 4% du chiffre d’affaire du groupe \u2014 au lieu des 250.000 \u20ac exig\u00e9s. Ce qui est reproch\u00e9 \u00e0 la soci\u00e9t\u00e9 est tr\u00e8s grave et nous allons essayer de l’analyser. Pourtant, l’Entreprise a \u00e9t\u00e9 tr\u00e8s r\u00e9active. Le d\u00e9faut de s\u00e9curit\u00e9 sur son site web a \u00e9t\u00e9 corrig\u00e9 le lendemain de sa d\u00e9couverte. Cependant la CNIL a estim\u00e9 qu’elle ne pouvait pas laisser une telle infraction \u00e0 la loi sans sanctions. Il faut souligner que Optical Center avait d\u00e9j\u00e0 \u00e9t\u00e9 condamn\u00e9e \u00e0 25.000 \u20ac pour le m\u00eame type de manquement en 2015<\/a>.<\/p>\n

Il s’agit d’un d\u00e9faut de s\u00e9curit\u00e9 et non d’une faille exploit\u00e9e<\/h2>\n

C’est quoi la diff\u00e9rence?<\/h3>\n

Suite \u00e0 un signalement, la CNIL a effectu\u00e9 un contr\u00f4le en ligne. Le site web d’Optical Center permettait l’acc\u00e8s direct par navigateur \u2014 sans v\u00e9rification d’authentification \u2014 \u00e0 334.000 factures de ses clients. Autrement dit, n’importe qui pouvait t\u00e9l\u00e9charger les documents en question. Il suffisait de taper l’adresse web y donnant l’acc\u00e8s. Ces factures contenaient les noms et les pr\u00e9noms des clients ainsi que leur adresse postale, leurs coordonn\u00e9es t\u00e9l\u00e9phoniques et pour certains, leur num\u00e9ro de s\u00e9curit\u00e9 sociale et des informations m\u00e9dicales (correction ophtalmique). Selon la CNIL, qui a \u00e9t\u00e9 inform\u00e9e d’une \u00ab\u00a0fuite de donn\u00e9es cons\u00e9quente\u00a0\u00bb\u00a0<\/em>en juillet 2017 du site\u00a0\u00a0www.optical-center.fr<\/a>, \u00ab\u00a0le site\u00a0n\u2019int\u00e9grait pas de fonctionnalit\u00e9 permettant de v\u00e9rifier qu\u2019un client est bien connect\u00e9 \u00e0 son espace personnel (\u00ab\u00a0espace client\u00a0\u00bb) avant de lui afficher ses factures. Il \u00e9tait ainsi relativement simple d\u2019acc\u00e9der aux documents d\u2019un autre client de la soci\u00e9t\u00e9\u00a0\u00bb.<\/em><\/p>\n

Le site web d’Optical Center n’a donc pas \u00e9t\u00e9 pirat\u00e9. La fuite de donn\u00e9es provenait simplement d’un d\u00e9faut d’administration du site. C’est tr\u00e8s diff\u00e9rent d’un piratage exploitant une \u00ab\u00a0faille\u00a0\u00bb du serveur. Dans le cas d’un piratage, des comp\u00e9tences techniques pointues auraient \u00e9t\u00e9 n\u00e9cessaires pour contourner la s\u00e9curit\u00e9 \u00e9tablie. Il aurait fallu p\u00e9n\u00e9trer par un moyen technique dans le syst\u00e8me distant afin d’y copier des fichiers. Dans l’affaire Optical Center, il n’y avait aucun besoin de prouesses techniques pour copier les 334.000 documents. L’acc\u00e8s aux factures des autres clients \u00e9tait direct, comme pour acc\u00e9der \u00e0 ses propres factures.<\/p>\n

La sanction tient compte des pr\u00e9c\u00e9dents<\/h3>\n

Cette fois, la CNIL indique que Optical Center a imm\u00e9diatement averti son prestataire. \u00ab\u00a0Tout en soulignant la r\u00e9activit\u00e9 de la soci\u00e9t\u00e9 dans la r\u00e9solution de la faille, la formation restreinte [de la CNIL, en charge de l’instruction des sanctions] a consid\u00e9r\u00e9 que la question de la restriction d’acc\u00e8s aux documents mis \u00e0 disposition des clients, \u00e0 partir de leur espace r\u00e9serv\u00e9, aurait d\u00fb faire l’objet d’une attention particuli\u00e8re de la part de la soci\u00e9t\u00e9\u00a0\u00bb pr\u00e9cise l’autorit\u00e9 administrative ind\u00e9pendante.<\/p>\n

Compte tenu notamment de la particuli\u00e8re sensibilit\u00e9 des donn\u00e9es ayant \u00e9t\u00e9 rendues librement accessibles, du nombre de clients impact\u00e9s et du volume de documents contenus dans la base de donn\u00e9es de la soci\u00e9t\u00e9 \u00e0 la date de l\u2019incident (plus de 334.000), la formation restreinte a d\u00e9cid\u00e9 de rendre publique sa d\u00e9cision. Donc, ce sont la r\u00e9cidive et la quantit\u00e9 de donn\u00e9es accessibles qui expliquent la lourdeur de la sanction.<\/p>\n

Les sites internet doivent \u00eatre mieux s\u00e9curis\u00e9s<\/h2>\n

Le coup de poing sur la table de la CNIL<\/h3>\n

L’amende de 250.000 \u20ac \u00e0 l’encontre d’Optical Center est un coup de semonce. Cela devrait faire r\u00e9fl\u00e9chir les entreprises sur leurs obligation de s\u00e9curisation de leurs sites web. Cette affaire n’est pas sans rappeler celle de la fuite de donn\u00e9es sur le site web de Darty. Celle-ci avait conduit la CNIL \u00e0 infliger \u00e0 la c\u00e9l\u00e8bre marque d’\u00e9lectrom\u00e9nager une amende de 100.000 \u20ac pour des raisons similaires.<\/p>\n

La mise en place de contr\u00f4les d’acc\u00e8s s\u00e9curis\u00e9s, leur v\u00e9rification par des administrateurs, sont le b.a.ba de la s\u00e9curit\u00e9 informatique \u2014 dont celle des sites internet. Il est surprenant que des entreprises recueillant des informations sur leurs clients ne soient pas en mesure de faire le minimum \u00e0 ce niveau l\u00e0. Ce constat est inqui\u00e9tant, surtout pour des entreprises aux chiffres d’affaire importants et dont les moyens sont parfaitement suffisants pour s’assurer une \u00ab\u00a0qualit\u00e9 normale\u00a0\u00bb de s\u00e9curit\u00e9 de leurs sites internet.<\/p>\n

Des entreprises focalis\u00e9es uniquement sur les co\u00fbts<\/h3>\n

D’ailleurs, c’est bien l\u00e0 que r\u00e9side la raison de ces d\u00e9fauts de s\u00e9curit\u00e9. Payer des gens comp\u00e9tents est un \u00e9l\u00e9ment vital en s\u00e9curit\u00e9 informatique. Or la culture des entreprises fran\u00e7aises, de ce point de vue l\u00e0, ne semble pas \u00eatre encore \u00e0 la hauteur des enjeux. Les Entreprises Fran\u00e7aises sont malheureusement toujours focalis\u00e9e sur les co\u00fbts au d\u00e9triment des risques. Souvent, les salaires des techniciens sont faibles, leur nombre est insuffisant. Dans de nombreux cas les Responsables de la S\u00e9curit\u00e9 des Syst\u00e8mes d’Information (RSSI) sont inexistants. Enfin, plus souvent encore, l’Entreprise n’a pas nomm\u00e9 de CISO (Chief Information Security Officer) \u00e0 son comit\u00e9 de direction.<\/p>\n

De fait, les \u00ab\u00a0\u00e9conomies\u00a0\u00bb des entreprises (et des structures publiques) sont souvent r\u00e9alis\u00e9es sur le dos de la s\u00e9curit\u00e9 des SI. Par cons\u00e9quent la France apparait, en mati\u00e8re de protection des donn\u00e9es personnelles, comme un tr\u00e8s mauvais \u00e9l\u00e8ve. Un chiffre est \u00e9loquent concernant la s\u00e9curit\u00e9 des SI. Selon les derni\u00e8res statistiques de l’ISO, la France compte 209 entreprises certifi\u00e9es ISO 27001. Ce chiffre est \u00e0 mettre en relation avec les statistiques de nos voisins. On recense 1338 entreprises certifi\u00e9es ISO 27001 en Allemagne, 3367 au Royaume Uni, 1220 en Italie et 752 en Espagne. Il y a donc un gros travail \u00e0 faire pour les Entreprises Fran\u00e7aises pour revenir dans la moyenne europ\u00e9enne.<\/p>\n

Enfin, le dernier probl\u00e8me concerne les lanceurs d’alerte en s\u00e9curit\u00e9 informatique. Ils sont la plupart du temps attaqu\u00e9s en justice en France, plut\u00f4t qu’\u00e9cout\u00e9s. Pas certain que dans ces conditions la s\u00e9curit\u00e9 des sites web n’y gagne beaucoup\u2026<\/p>\n

Et vous? Avez-vous pris toutes les mesures n\u00e9cessaires?<\/h2>\n

Si vous en doutez, n’h\u00e9sitez pas \u00e0 poster vos commentaires et vos questions. Nos consultants experts se feront un plaisir de vous r\u00e9pondre.<\/p>\n

Partager\u00a0:<\/h3>