Japon : l'agence NCO exige un socle de sécurité contre les fuites
L'agence japonaise de cybersécurité NCO publie huit mesures pour les entreprises traitant des données personnelles, après une série de fuites liées à des failles élémentaires.
SUMO · le puzzle de nombres
Dialo · apprenez les langues en parlant
ediviewer · lisez les fichiers EDI comme des documents
giftdetect · le bon cadeau en quelques minutesLe Bureau national de la cybersécurité du Japon (NCO), rattaché au Secrétariat du Cabinet, a publié le 5 novembre un document destiné aux entreprises pour prévenir les accès non autorisés à l'origine de fuites de données personnelles. Il vise les sites web et applications mobiles et réclame l'application rigoureuse des mesures de base.
Selon le NCO, les récentes fuites de données clients tiennent souvent à des vulnérabilités logicielles non corrigées et à des erreurs de configuration. Le texte détaille huit mesures dans trois domaines : exploitation et gestion, conception et développement, chaîne d'approvisionnement.
Exploitation : connaître ses actifs, réduire la surface d'attaque
Les entreprises doivent recenser les logiciels, leurs versions et leurs emplacements, collecter les vulnérabilités connues et les corriger, en priorité sur les serveurs et équipements réseau. Le NCO demande aussi d'inventorier et de réduire en continu la surface d'attaque : interfaces d'administration exposées, environnements de développement et de test, partages de stockage cloud mal configurés.
Troisième mesure : des analyses de vulnérabilités continues et la surveillance des comportements suspects, y compris par l'IA. Les usages cités vont de la recherche de chemins d'attaque à l'évaluation de l'impact et de la priorité des failles, l'analyse des journaux et alertes, et la proposition de réponses. Un humain doit vérifier le fondement des résultats de l'IA et trancher.
Développement et chaîne d'approvisionnement
Pour la conception, le NCO recommande la sécurité dès la conception, le renforcement des API et des tests avant mise en ligne. Il cite la modélisation des menaces, des outils comme SAST, SCA, DAST et IAST, ainsi que le contrôle des droits, des identifiants et des limites de débit des API. Il met en garde contre les attaques « App-to-Backend » (A2B). Parmi les failles : injection SQL, injection de commandes système, exécution de code à distance, SSRF et traversée de répertoires.
Côté chaîne d'approvisionnement, une entreprise peut être touchée par la faille d'un prestataire malgré ses propres protections. Le NCO préconise l'authentification multifacteur, la restriction des adresses IP, des connexions limitées aux interventions, la revue des droits d'administrateur, des exigences de sécurité inscrites aux contrats et un contrôle d'accès « zero trust ». Il demande aussi des procédures de réaction aux failles zero-day et la fourniture d'une SBOM par contrat.
Le NCO précise que ces mesures visent les méthodes d'attaque actuelles et qu'il faut anticiper un usage malveillant de l'IA plus sophistiqué.
Des apps à découvrir
SUMO : le puzzle de nombresTouche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.
Dialo : apprenez les langues en parlantDiscutez avec un partenaire IA ; chaque phrase revient corrigée et expliquée dans votre langue. 9 langues, de A1 à C2.
ediviewer : lisez les fichiers EDI comme des documentsOuvrez des messages EDIFACT et X12, chaque segment expliqué, conversion JSON/XML, export PDF et Excel. Fonctionne en local, sans envoi.
giftdetect : le bon cadeau en quelques minutesChoisissez pour qui, l'occasion et la personnalité. Le moteur lit les descriptions de produits de boutiques locales et classe ce qui convient. Gratuit, sans inscription.
Plus d'actus de ce jour
Tout voir →
GOG GALAXY arrive enfin nativement sur Linux, 18 ans après
Claude Code accusé de divulguer l'adresse email de ses utilisateurs
Alta Ares décroche six lots anti-drone auprès de l’OTAN
