Y a du sport au village des RSSI

RGPD, tout le monde commence à s’exciter légèrement. Il serait temps. Bon, en même temps il reste à peu près cinq mois, mais rien que sur la partie des mises à jour des avenants fournisseurs, y a du boulot. Nul doute qu’au prochain congrès de l’Apssis(1) ça va être dur de parler d’autre chose. Bref, prévoyez un peu de temps tout de même, avec votre DSI, votre DRH (il est responsable de traitement), votre CME (elle aussi), vos juristes, etc.

Fuite de plusieurs millions de comptes réseaux sociaux : certains de ces comptes ont des identifiants de messagerie d’hôpitaux français et – forcément –, dans le lot, des mots de passe vont matcher avec les comptes de messagerie webmail de ces agents. Je préfère ne pas donner le nombre de comptes hospitaliers qui ont été compromis et qui apparaissent dans la liste (tous les mots de passe ne matchent pas forcément d’ailleurs), mais je suggère à l’ensemble de la profession de faire une communication interne, rappelant de ne JAMAIS utiliser le même mot de passe sur tous les comptes des réseaux sociaux. Bref, prévoyez de passer un peu de temps avec les utilisateurs.

Mercredi 3 janvier, annonce(2) des failles Intel. Il est très rare qu’une faille de sécurité implique un composant matériel de très bas niveau, mais là on a gagné le gros lot : il va falloir certainement patcher les OS et le Bios. Sauf que les patches ne sont pas tous disponibles. Sauf que certains éditeurs d’antivirus(3) suggèrent de procéder à certaines vérifications de compatibilité avant de patcher. Sauf qu’il y aura certainement un impact sur les machines en termes de diminution de performance, mais que les estimations varient entre 5 % et 35 % de baisse, c’est large. Sauf qu’entre les PC, les serveurs internes et les serveurs de la DMZ – a fortiori pour les offreurs de prestation d’hébergement –, les urgences ne sont pas du même niveau. Sauf qu’on est tout ric-rac sur les ressources des machines, sur les machines de spare, sur les machines en stock, etc. Bref, prévoyez de passer du temps à patcher, de passer du temps à résoudre les effets de bord des patches, de passer du temps avec vos clients hébergés, si vous en avez, prévoyez d’acheter des machines en plus, etc. 

En fait, je me demande si les seuls trucs qu’il ne faudrait pas arrêter de prévoir, c’est le plan projet utilisateurs, le schéma directeur, le plan d’investissement, les plans de charge des équipes DSI et tout le tralala, parce qu’on est tous partis pour tout chambouler à chaque alerte majeure.

(1)   https://www.apssis.com/le-congres-2018/rendez-vous-2018.html

(2)   http://www.lemonde.fr/pixels/article/2018/01/05/meltdown-et-spectre-les-deux-failles-critiques-decouvertes-dans-la-plupart-des-processeurs_5237712_4408996.html ;

http://www.01net.com/actualites/intel-amd-arm-7-questions-pour-comprendre-les-mega-failles-des-processeurs-1341798.html

(3)    https://success.trendmicro.com/solution/