L’un des principaux problèmes que peut poser le traitement massif de données est l’exposition de données personnelles à des tiers non autorisés. Une violation des données pourrait causer des dommages considérables à des milliers ou des millions d’utilisateurs, dont la vie privée pourrait être compromise. Par exemple, au Qatar, une faille de sécurité dans l’application nationale de recherche des contacts a exposé les données personnelles sensibles de plus d’un million de personnes en mai 2020. [1]
Ces risques doivent être atténués par la mise en œuvre de contrôles de sécurité techniques et/ou organisationnels. Les mesures techniques comprennent, sans s’y limiter, l’utilisation de techniques cryptographiques de pointe, capables de sécuriser les données stockées dans les serveurs et les applications, les échanges entre les applications et le serveur distant. Une authentification mutuelle entre l’application et le serveur doit également être effectuée. Si l’application signale des utilisateurs, cela doit faire l’objet d’une autorisation appropriée, par exemple au moyen d’un code à usage unique lié à une identité pseudonyme de l’utilisateur. Si la confirmation ne peut être obtenue de manière sécurisée, aucun traitement de données ne doit avoir lieu qui présume de la validité du statut de l’utilisateur.[2]
Les mesures organisationnelles doivent garantir une mise en œuvre adéquate de principes de sécurité bien établis tels que le “besoin de savoir” (c’est-à-dire autoriser l’accès à des informations ou à des connaissances si cela est nécessaire pour accomplir une tâche donnée), la création de rôles avec différentes autorisations d’accès aux données, ou la “sécurité par couches” (c’est-à-dire une stratégie de sécurité défensive comportant plusieurs couches conçues pour ralentir une attaque de sécurité). Il est important de savoir que le niveau global de sécurité d’une solution est aussi fort que le maillon le plus faible. Ainsi, “chaque composant d’une solution, qu’il s’agisse de systèmes centraux ou de dispositifs distants, doit être sécurisé de manière adéquate”.[3] Or, bien souvent, ce maillon faible peut être dû à une erreur humaine. Prenons, par exemple, le cas de mots de passe faibles faisant l’objet d’attaques de phishing ou la perte d’un appareil stockant des données. C’est pourquoi les mesures de sécurité doivent inclure des programmes de formation et de sensibilisation du personnel concerné.
Avant de déployer l’outil dans le monde réel, il est conseillé d’effectuer des tests de sécurité (tests de données aléatoires, également appelés “fuzzing”, analyse de vulnérabilité, etc.) Ceux-ci serviront à vérifier que le produit continue à fonctionner de manière acceptable lorsque son utilisation normale est abandonnée et qu’il ne présente aucune vulnérabilité qui pourrait permettre à des tiers de compromettre sa sécurité. Ces deux types de tests sont importants pour le bon fonctionnement de l’outil. Par exemple, un système d’intégration continue devrait être configuré pour exécuter des tests automatiquement après chaque modification du code source.
| Encadré 5 : Vérification et contrôle des identifiants et des participants dans l’outil
Lorsqu’une application crée ou utilise un identifiant unique, des mesures doivent être prises pour garantir que l’identifiant est lié à l’utilisateur légitime de l’application et que cette information est tenue à jour. Chaque partie utilisant des identifiants est responsable de prendre des mesures pour : – mettre en œuvre des mesures destinées à garantir que tout identifiant unique ne s’applique qu’à un seul utilisateur unique. Si cela est trop complexe, introduisez des mesures visant à prévenir ou à atténuer les conséquences indésirables et informez-en les personnes concernées. – veiller à ce que les identifiants uniques soient tenus à jour et ne soient conservés que le temps nécessaire à la réalisation de l’objectif de l’application et des raisons notifiées aux utilisateurs. – empêcher qu’un identifiant unique soit associé à un autre utilisateur, sauf si un besoin justifié du PROJET l’exige. L’utilisation d’un identifiant permanent (tel qu’un numéro IMEI ou un identifiant publicitaire) crée généralement plus de risques que l’utilisation d’un identifiant aléatoire ou rotatif. En outre, la gestion des profils des utilisateurs finaux/participants doit être réfléchie avant le développement. Authentifier les utilisateurs lorsque cela est possible en utilisant des méthodes d’authentification adaptées au risque. Lorsque l’affirmation d’une identité réelle est une composante importante d’un service, une authentification plus forte, telle qu’une authentification à deux facteurs utilisant un téléphone portable et un UICC, devrait être appliquée. |
| Liste de contrôle : [4]
☐ Le responsable du traitement a évalué les formes potentielles d’attaques auxquelles l’outil pourrait être vulnérable, a introduit des mesures d’atténuation et les a documentées. ☐ Le responsable du traitementa examiné différents types et natures de vulnérabilités, comme la pollution des données, les infrastructures physiques et les cyberattaques. ☐ Le responsable du traitementa mis en place des mesures ou des systèmes pour garantir l’intégrité et la résilience du système contre les attaques potentielles. ☐ Le responsable du traitementa vérifié comment le système se comporte dans des situations et des environnements inattendus. ☐ Le responsable du traitementexamine dans quelle mesure le système pourrait être à double usage. Si c’est le cas, le responsable du traitementa pris des mesures préventives appropriées contre cela. ☐ Le responsable du traitements’est assuré que le système dispose d’un plan de repli suffisant s’il est confronté à des attaques adverses ou à d’autres situations inattendues (par exemple, procédures de commutation technique ou demande d’un opérateur humain avant de poursuivre). ☐ Les données envoyées au serveur central sont transmises par un canal sécurisé. L’utilisation des services de notification fournis par les fournisseurs de plateformes OS est soigneusement évaluée et ne conduit pas à la divulgation de données à des tiers. ☐ Les demandes ne sont pas vulnérables à la falsification par un utilisateur malveillant. ☐ Des techniques cryptographiques de pointe sont mises en œuvre pour sécuriser les échanges entre l’application et le serveur et entre les applications et, en règle générale, pour protéger les informations stockées dans les applications et sur le serveur. ☐ Le serveur central ne conserve pas les identifiants de connexion réseau (par exemple, les adresses IP) des utilisateurs. ☐ Afin d’éviter l’usurpation d’identité ou la création de faux utilisateurs, le serveur authentifie l’application. ☐ L’application authentifie le serveur central. ☐ Les fonctionnalités du serveur sont protégées contre les attaques par rejeu. ☐ Les informations transmises par le serveur central sont signées afin d’authentifier leur origine et leur intégrité. ☐ L’accès à toutes les données stockées dans le serveur central et non accessibles au public est limité aux seules personnes autorisées. ☐ Le gestionnaire d’autorisations de l’appareil au niveau du système d’exploitation ne demande que les autorisations nécessaires pour accéder aux modules de communication et les utiliser, pour stocker les données dans le terminal et pour échanger des informations avec le serveur central. ☐ Lepersonnel et autre personne physique du projet a été informé et sensibilisé aux mesures de sécurité. |
- https://www.amnesty.org/en/latest/news/2020/05/qatar-covid19-contact-tracing-app-security-flaw/ ↑
- EDPB, Lignes directrices 04/2020 sur l’utilisation des données de localisation et des outils de recherche des contacts dans le contexte de l’épidémie de COVID-19 Adopté le 21 avril 2020 ↑
- Rapports techniques du JRC, Lignes directrices pour les administrations publiques sur la confidentialité de la localisation, à l’adresse suivante : https://publications.jrc.ec.europa.eu/repository/handle/JRC103110. ↑
- Cette liste de contrôle a été construite sur la base de ces documents : EDPB, Lignes directrices 04/2020 sur l’utilisation des données de localisation et des outils de recherche des contacts dans le contexte de l’épidémie COVID-19 Adoptées le 21 avril 2020 ; Groupe d’experts de haut niveau sur l’intelligence artificielle (2019) Lignes directrices éthiques pour une IA digne de confiance. Commission européenne, Bruxelles. Disponible à l’adresse : https://ec.europa.eu/digital-single-market/en/news/ethics-guidelines-trustworthy-ai. ↑