Japon : alerte aux entreprises après des fuites de données

Le Bureau relève aussi des lacunes côté exploitants : sécurité insuffisante lors du développement d'applications mobiles, erreurs de configuration de sites, et maintien en service de logiciels sans support ou présentant des vulnérabilités connues non corrigées.

Trois axes de protection

Le premier concerne l'exploitation. Les entreprises doivent recenser leurs logiciels et leurs vulnérabilités, puis fixer des priorités et des échéances de correction. Le Bureau cite des interfaces d'administration exposées sur internet, compromises par des mots de passe faciles à deviner ou par force brute, et demande de ne pas exposer les interfaces et fonctions inutiles. Il recommande également des tests de vulnérabilité continus, y compris avec l'IA, et l'analyse des journaux pour détecter les comportements suspects.

Le deuxième porte sur la conception et le développement. Le Bureau réclame une approche de « sécurité dès la conception ». Il a observé des attaquants analyser des applications publiées pour obtenir illégalement des données via les API ; il demande donc des restrictions d'accès et une gestion rigoureuse des identifiants, ainsi qu'un test de vulnérabilité avant la mise en ligne des systèmes traitant des données personnelles.

Le troisième vise la chaîne d'approvisionnement. Des intrus se servent de l'environnement de sous-traitants ou de prestataires de maintenance pour atteindre le donneur d'ordre. Les entreprises doivent recenser les accès tels que les VPN et le bureau à distance, et y imposer l'authentification multifacteur. Elles doivent aussi définir à l'avance la réaction à adopter lors de la publication d'une faille grave dans un logiciel libre ou une bibliothèque externe.

Le Bureau avait déjà publié une alerte le 9 octobre, appelant à appliquer rapidement les correctifs et à déployer l'authentification multifacteur. Le nouveau texte étend ces consignes à l'exploitation et au développement des sites et applications.