Après la newsletter cybersécurité de juillet portant sur les cookies, « la cybersécurité du web français » faisait partie des thématiques prioritaires de la CNIL en 2021.
Et les résultats sont sans appels : 70% (15 sur 21) des organismes contrôlés par la CNIL en 2021 ont été mis en demeure pour des défauts de chiffrement des données ou de gestion et de sécurisation de comptes d’utilisateurs.
Ces organismes concernaient des sites web d’organismes français
- Du secteur public (communes, centres hospitaliers universitaires, ministères…)
- Du secteur privé : plateformes de e-commerce, prestataires de solutions informatiques
Les organismes mis en demeure disposent d’un délai de trois mois pour prendre toute mesure permettant d’assurer un niveau de sécurité adapté.
Mais qu’est-ce que la cybersécurité du web français
Les défauts de sécurité des sites web figurent parmi les manquements les plus souvent constatés lors des contrôles et peuvent notamment conduire à des violations de données
Quelques chiffres sur la violation de données :
- En 2020 : 2 825 notifications reçues, soit 24 % de plus qu’en 2019
- En 2021 : 5 037 notifications reçues, soit 79 % de plus qu’en 2020 (43% concernent une attaque pat rançongiciel)
Imaginons alors pour 2022 : 18 135 notifications, 260% de plus qu’en 2021. (Espérons que cela ne soit qu’Utopie)
L’objectif de la CNIL est de contrôler le niveau de sécurité des sites web français les plus utilisés dans différents secteurs avec une attention particulière sur :
- Les formulaires de recueils de données personnelles (« ce sont juste quelques champs faciles à intégrer en base »)
- L’utilisation du protocole HTTPS (« Avoir un certificat valide, ca va nous mettre en retard dans le projet »)
- La conformité des acteurs à la recommandation de la CNIL sur les mots de passe. (« personne ne vas s’inscrire si je les oblige à mettre 8 caractères, un chiffre, une majuscule et un caractère »)
Avec en bonus : Les stratégies mises en place pour se prémunir contre les rançongiciels. (Oups, pourtant dans le mail il était indiqué que j’allais devenir riche en ouvrant juste ce PDF)
NB : je cite « les collectivités territoriales, notamment car elles sont particulièrement susceptibles d’être victimes d’attaques informatiques telles que des rançongiciels. ». Un rapport avec l’actualité ?
Bilan des organismes contrôlés
justifiées par la faible gravité des manquements constatés, prennent la forme d’un courrier alertant les responsables de traitement sur les mesures à mettre en œuvre afin de se conformer totalement au RGPD
portant sur des pratiques non conformes à des points de sécurité importants, rendant les organismes vulnérables à des attaques informatiques