Une série de fuites de données très médiatisées au Royaume-Uni a mis en évidence les risques liés à la sécurité et à la confidentialité liés à l'utilisation de feuilles de calcul. Les incidents étaient si graves que l'organisme de réglementation de la protection de la vie privée, le Bureau du commissaire à l'information (ICO), a été contraint d'intervenir. Pourtant, ils offrent également des opportunités d'apprentissage aux entreprises. Les meilleures pratiques recommandées par l'ICO et codifiées dans des normes comme ISO 27001 peuvent grandement contribuer à atténuer ces risques.
Qu'est-il arrivé?
En décembre dernier, une fiducie du NHS basée à Cambridge confirmé que deux violations de données s'étaient produites lorsqu'elle a répondu aux demandes d'accès à l'information (FoI) en divulguant les données des patients dans des feuilles de calcul Excel.
De même, une grande feuille de calcul exposait les informations personnelles des officiers et du personnel en service dans le Service de police d'Irlande du Nord (PSNI). La feuille de calcul accessible en ligne comprenait des informations sensibles telles que les noms, le grade et l'emplacement des agents, compromettant sérieusement leur sécurité.
Comment les tableaux croisés dynamiques étaient à blâmer
Les tableaux croisés dynamiques sont décrits par Microsoft comme l'une des fonctionnalités les plus puissantes d'Excel, conçue pour permettre aux utilisateurs de voir « des comparaisons, des modèles et des tendances » dans les données. Cependant, ils peuvent également constituer un risque pour la sécurité, selon Maria Opre, experte en cybersécurité et analyste principale chez EarthWeb.
Premièrement, ils permettent aux utilisateurs de regrouper de grands ensembles de données. Bien que cela puisse sembler inoffensif, Opre explique à ISMS.online que résumer et combiner de grandes quantités d'informations facilite le partage et la visualisation de détails sensibles. Le fait que les tableaux croisés dynamiques soient souvent liés à d’autres bases de données et sources d’informations est une autre source de préoccupation.
"Cela soulève des risques si les mesures de sécurité appropriées ne sont pas prises, car des informations privées pourraient être exposées", ajoute-t-elle.
Les tableaux croisés dynamiques peuvent également augmenter la visibilité des informations sensibles et potentiellement entraîner des violations de données. Elle explique : « Les tableaux croisés dynamiques peuvent accidentellement afficher plus de données que prévu, en particulier avec des ensembles de données complexes. Cela peut conduire à une exposition accidentelle d’informations confidentielles.
Matt Aldridge, consultant principal en solutions chez OpenText Cybersecurity, convient que les tableaux croisés dynamiques sont problématiques, arguant qu'ils sont complexes de par leur conception et ne fournissent pas toujours des données claires aux utilisateurs. Par conséquent, ils ne pourront peut-être voir qu’un petit sous-ensemble de données alors qu’il y en a en réalité davantage stockées dans la feuille de calcul.
"Les fichiers Microsoft Office sont en fait stockés au format compressé zip, contiennent de nombreux fichiers et incluent souvent des informations d'annulation montrant l'historique de toutes les modifications apportées au document au cours de son cycle de vie - cela peut également entraîner de graves pertes de données", explique-t-il à ISMS.online.
Jake Moore, conseiller mondial en cybersécurité chez ESET, explique à ISMS.online que les demandes de FoI « sont souvent laborieuses dans leurs exigences et que des erreurs se produisent donc ».
Les conseils de l'ICO
Suite aux incidents soulignés ci-dessus, l'ICO lignes directrices publiées sur la manière dont les autorités publiques (AP) du Royaume-Uni peuvent éviter des incidents similaires à l'avenir. Il prévient que les feuilles de calcul « présentent des défis pratiques et des risques de divulgation par inadvertance de renseignements personnels qui peuvent ne pas être évidents à la suite d’un simple coup d’œil à la feuille de calcul ».
Ayant ces défis à l’esprit, l’ICO a formulé huit recommandations clés que les autorités publiques doivent suivre lors de l’utilisation de feuilles de calcul. La première consiste à mettre en œuvre un moratoire pour les utilisateurs souhaitant télécharger des feuilles de calcul sources originales sur des plateformes en ligne lorsqu'ils répondent à des demandes de FoI.
L'ICO recommande également d'utiliser des formats de texte ouverts et réutilisables tels que les fichiers CSV (Comma-Separated Value). Les AP devraient s’abstenir d’utiliser des feuilles de calcul contenant un grand nombre de lignes – en particulier si elles se comptent par centaines ou par milliers – et utiliser des systèmes de gestion de données pour sécuriser les informations sensibles, ajoute-t-il.
Pour les employés utilisant des logiciels de données et divulguant des informations sensibles, les autorités publiques doivent fournir une formation suffisante – éventuellement éclairée par conseils pertinents émis par l'ICO.
Cependant, les autorités publiques doivent continuer à se conformer aux responsabilités de la FOIA, l'ICO avertissant que ses conseils ne constituent pas « une raison supplémentaire pour ne pas publier d'informations en tant qu'AP ». L'ICO recommande également de s'assurer que les feuilles de calcul n'exposent pas les données de manière inattendue s'il est nécessaire de conserver la version originale pour préserver les macros et les équations.
Enfin, l'ICO exhorte les organismes publics à partager les données sensibles en utilisant le « format le plus approprié et le plus sécurisé », ce qui peut impliquer le transfert d'informations d'un format de fichier à un autre. Le gouvernement britannique fournit également conseils sur la création et la divulgation de feuilles de calcul.
Suivre les meilleures pratiques de l'industrie
Les experts en cybersécurité recommandent une série de bonnes pratiques, en plus de suivre les directives de l'ICO.
Aldridge d'OpenText conseille d'utiliser une plate-forme de sécurité des données – parallèlement à des politiques, à la formation du personnel et à une stratégie de cyber-résilience – pour atténuer les fuites de données. Il affirme que ces mesures permettront aux AP de « fonctionner en toute sécurité » dans un paysage de menaces de cybersécurité en évolution rapide.
Ilia Sotnikov, stratège en sécurité et vice-président de l'expérience utilisateur chez Netwrix, affirme que les organisations peuvent réduire les erreurs humaines lors de la divulgation d'informations sensibles en appliquant un processus d'examen rigoureux.
"La personne qui prépare le contenu demandé ne devrait pas pouvoir l'envoyer au demandeur sans approbation", explique-t-il à ISMS.online. "Tout comme un pilote d'avion ne peut pas décider de décoller, un flux de travail de vérifications et de recoupements doit être mis en place pour garantir que ces données peuvent être utilisées en toute sécurité."
Moore d'ESET ajoute que les PA peuvent éviter de divulguer accidentellement des informations en chiffrant les données sensibles et en garantissant que seuls les employés autorisés peuvent les consulter.
« Ces mesures contribuent collectivement à protéger les informations sensibles », affirme-t-il.
En suivant les normes de l'industrie telles que ISO 27001, Moore affirme que les organisations peuvent réduire les risques de violations de données causées par une erreur humaine. Il explique que la norme ISO 27001 définit une série de procédures et de politiques de protection des données dans le cadre d'un cadre global de sécurité de l'information, mais prévient qu'elle n'est « pas infaillible contre tous les types d'erreurs ou de violations ».
Opre d'EarthWeb prend également en charge les cadres industriels tels que la norme ISO 27001, car ils permettent aux organisations de gérer les informations sensibles de manière robuste et d'éviter les violations de données causées par de mauvaises pratiques de confidentialité des données. Elle recommande également de revoir régulièrement les processus de données pour identifier toute faille cachée et s'assurer que tout le monde au sein de l'organisation respecte les règles de sécurité.
Les feuilles de calcul constituent un moyen simple et rapide de partager des informations importantes, mais comme l'ont démontré les récentes violations de données au Royaume-Uni, elles présentent certains inconvénients critiques en matière de confidentialité des données. Ce qui est clair, c'est qu'en suivant les directives de l'ICO, les meilleures pratiques du secteur et les normes telles que ISO 27001, les organisations peuvent utiliser des feuilles de calcul et d'autres méthodes de partage de données de manière sûre et sécurisée.
