Connect with us

Technologie

De Montfort, KCL, Universités de Newcastle rejoindre la liste des victimes Blackbaud

Published

on


Blackbaud, le fournisseur de services cloud basé en Caroline du Sud aux États-Unis au centre d’un incident de violation de données en cours, fait face à une pression renouvelée après que d’autres universités britanniques et un certain nombre d’organismes de bienfaisance ont averti leurs étudiants et anciens élèves que leurs informations personnelles pourraient avoir été exposées.

L’attaque ransomware sur Blackbaud a eu lieu en mai 2020, mais l’entreprise, qui prétend « pouvoir du bien social », non seulement payé ses pirates, mais gardé des informations sur l’attaque de ses clients britanniques dans le secteur de l’éducation et de la charité pendant deux mois, seulement les informer le 16 Juillet. Il n’a fait aucune autre déclaration depuis.

Il est maintenant apparu qu’en plus de l’Université de York, les données de l’Université De Montfort, du King’s College de Londres (KCL) et de l’Université de Newcastle ont été volées, ainsi que de l’Université d’Aberystwyth et de l’Université du Pays de Galles du Sud, selon la BBC; Sheffield Hallam, selon le Sheffield Star; et University College Oxford, selon les Infosecurity Magazine.

Pendant ce temps, magazine du secteur de la charité Troisième secteur a rapporté que l’organisme de bienfaisance pour sans-abri Crisis et l’organisme de bienfaisance en santé mentale Young Minds sont également victimes des pirates Blackbaud.

De Montfort, KCL et Newcastle ont informé les personnes touchées par la violation dans des courriels consultés par Computer Weekly. Les trois institutions ont déclaré qu’elles prenaient la protection des données au sérieux et étaient confiantes qu’aucun détail financier ou mot de passe n’avait été pris, mais les trois ont également confirmé qu’elles avaient pris au sérieux l’assurance de Blackbaud que les données détenues par les cybercriminels avaient été détruites après le paiement de la rançon, ce qui n’est en aucun cas une garantie.

KCL a déclaré qu’elle avait résilié son contrat avec Blackbaud, et ces trois institutions ont fait leurs propres rapports au Commissariat à l’information (ICO).

Un porte-parole de l’OIC a déclaré : « Les gens ont le droit de s’attendre à ce que les organisations traitent leurs renseignements personnels de manière sécuritaire et responsable. La société de logiciels cloud Blackbaud a signalé un incident de violation de données qui a potentiellement affecté un grand nombre d’organisations britanniques en utilisant ses services et nous faisons des enquêtes.

« Les organisations concernées devraient entrer en contact avec leurs clients pour les informer si leurs données personnelles ont été affectées. Toute personne qui s’inquiète de la façon dont ses données ont été traitées devrait d’abord soulever ces préoccupations auprès de l’organisation, puis nous faire rapport s’il n’est pas satisfait.

Jamie Akhtar, co-fondateur et PDG de CyberSmart, a ajouté : « L’éducation est l’une des industries les plus vulnérables et les moins protégées. En mai 2020, Microsoft Security Intelligence a constaté que 61 % des près de 7,7 millions de rencontres de logiciels malveillants d’entreprise provenaient de ceux du secteur de l’éducation, ce qui en fait l’industrie la plus touchée par les cyberattaques.

« Le passage à l’apprentissage en ligne et à distance en ligne a été une tendance avant même que Covide-19 et les organisations souffrent d’un manque de ressources informatiques pour la protection. L’an dernier, un test de simulation de pirates a prouvé qu’il avait réussi à 100 % à violer 50 universités à travers le pays pour accéder aux données personnelles des étudiants et du personnel, aux systèmes financiers et aux réseaux de recherche précieux.

Jonathan Knudsen, stratège principal en sécurité chez Synopsys, a ajouté : « L’incident de Blackbaud montre que la gestion du risque logiciel a une portée plus large qu’une seule organisation. Les lacunes en matière de sécurité logicielle des organisations partenaires ou fournisseurs deviennent votre propre problème lorsque vous dépendez d’eux pour la livraison de produits ou de services.

« La gestion correcte des logiciels et des risques commerciaux englobe la gestion des risques des fournisseurs externes. Il est facile de tenir les logiciels pour acquis comme faisant partie de faire des affaires, mais il est crucial de comprendre que le logiciel que nous utilisons tous est lui-même une source importante de risque et doit être géré comme n’importe quel autre risque commercial.

Pendant ce temps, les statistiques compilées par Redscan à partir d’une série de demandes de liberté de l’information (FoI) ont révélé que 54% des universités britanniques ont signalé une sorte de violation de données à l’OIC au cours des 12 derniers mois.

Dans un rapport mettant à nu l’ampleur du sous-investissement dans la sécurité dans le secteur de l’éducation, Redscan a également constaté qu’un quart des universités n’ont effectué aucun test de pénétration externe, et près de 50 % n’ont pas donné à leur personnel une formation appropriée en matière de sécurité au cours de la dernière année. Il a également constaté que 12 % d’entre nous n’offraient aucun service de sécurité, de soutien ou de formation aux étudiants.

Mark Nicholls, CTO de Redscan, a déclaré : « Les universités britanniques comptent parmi les centres d’apprentissage et de recherche les plus respectés au monde, mais notre analyse met en évidence les incohérences dans l’approche adoptée par les établissements pour protéger leur personnel, leurs étudiants etpropriété tellectual contre les dernières cybermenaces.

« Le fait qu’un si grand nombre d’universités n’offrent pas de formation en cybersécurité au personnel et aux étudiants, ni ne commandent de tests de pénétration indépendants, est préoccupant. Ce sont des éléments fondamentaux de chaque programme de sécurité et des éléments clés pour aider à prévenir les atteintes aux données.

« Même en cette période de pression budgétaire intense, les institutions doivent veiller à ce que leurs équipes de cybersécurité reçoivent le soutien dont elles ont besoin pour se défendre contre des adversaires sophistiqués. Les violations peuvent avoir un impact sérieux sur la réputation et le financement des organisations.

M. Nicholls a ajouté : « La menace que représentent les attaquants des États-nations pour les universités rend la nécessité d’améliorations encore plus cruciale. Le coût de l’omission de protéger la recherche scientifique est incommensurable.

Continue Reading
Click to comment

Leave a Reply

Your email address will not be published. Required fields are marked *

Technologie

Les Pays-Bas enquêtent sur la technologie innovante de protection de la vie privée SSI

Published

on


L’organisation de recherche néerlandaise TNO étudie des applications concrètes de la technologie de l’identité auto-souveraine (SSI) pour faciliter la vie des citoyens et permettre aux organisations de réaliser des économies considérables dans les processus administratifs.

SSI offre de nouvelles façons aux citoyens de gérer leur vie privée, élimine la nécessité de se connecter avec des mots de passe, et accélère les transactions sur Internet et dans la vie réelle.

« Nous étudions comment SSI peut être adapté aux demandes », a déclaré Rieks Joosten, scientifique principal dans les processus d’information des entreprises et la sécurité de l’information à TNO. « La demande la plus importante est peut-être le remplissage électronique des formulaires administratifs. Si vous voulez faire une demande d’hypothèque, vous devez recueillir toutes sortes d’informations à soumettre au prêteur. Non seulement vous devez souvent remplir les mêmes données à plusieurs reprises, mais vous avez également besoin de documents autorisés, de votre employeur et de la banque, par exemple.

À mi-chemin de l’année dernière, le médiateur national des Pays-Bas a publié un rapport, Gardez les choses simples, qui examinent les formalités administratives auxquelles sont confrontés les citoyens lorsqu’ils font affaire avec les ministères et les entreprises. Le rapport a montré que ces processus sont souvent longs et frustrants pour les citoyens.

« Mais c’est aussi coûteux pour les parties qui doivent valider ces formulaires », a déclaré M. Joosten. « Nous estimons que les organisations néerlandaises dépensent plus d’un milliard d’euros par an pour la validation. »

Grâce à SSI, cela peut être fait plus efficacement et plus efficacement à l’avenir. Derrière elle se cachent les technologies cryptographiques, par exemple la cryptographie à clé publique, les épreuves de connaissances zéro et souvent la blockchain. Ces technologies donnent à l’utilisateur le contrôle sur les données personnelles avec lesquelles, tandis que le destinataire peut vérifier rapidement ces données par voie électronique.

« Cela permet un échange sécurisé et efficace d’informations numériques », a déclaré M. Joosten. « Les parties peuvent maintenant obtenir des données de qualité qui proviennent de sources qui proviennent d’organisations en qui elles ont confiance et qui n’ont pas été modifiées en transit. »

SSI peut aider les entreprises à se conformer à la législation européenne en matière de protection de la vie privée et à réduire les coûts considérables des processus administratifs. Pour les citoyens, le système permet d’économiser énormément de temps et de frustration, et peut empêcher les gens d’« abandonner » dans un processus administratif complexe et donc de ne pas obtenir ce à quoi ils ont droit. En outre, ils n’ont plus à se connecter avec des noms d’utilisateur et des mots de passe.

Joosten a ajouté: « Vous remplissez un formulaire parce que vous voulez obtenir quelque chose, dire un permis de stationnement ou une hypothèque. Ce formulaire est conçu de sorte que le fournisseur puisse obtenir des réponses à trois questions. Un, qu’est-ce que j’ai de toi et qu’est-ce que tu reçois de moi ? Deuxièmement, est-ce que j’apprécie ce que j’ai plus que ce que je donne? Et trois, est-ce que le risque que je prends avec cette transaction est acceptable pour moi?

Cela permet au fournisseur de décider s’il doit ou non fournir ce qui est demandé, at-il dit. « SSI ajoute la possibilité d’annoter électroniquement le formulaire, ce qui permet au fournisseur de spécifier les organisations auxquelles il fait confiance pour fournir quelles données. »

L’application SSI de l’utilisateur peut lire ces annotations et, après avoir obtenu le consentement de l’utilisateur, obtient ces données du portefeuille numérique de l’utilisateur et les envoie au serveur Web du fournisseur, y compris des preuves vérifiables électroniques de provenance et d’intégrité. « Ainsi, le fournisseur obtient des données de qualité à partir d’une source en qui il a confiance », a déclaré M. Joosten.

« Plusieurs solutions ‘locales’ existent déjà pour ce faire », a-t-il ajouté. « Aux Pays-Bas, nous avons Irma, en Belgique C’est moi, et des initiatives similaires existent dans d’autres pays. Ils soutiennent les marchés « locaux » de l’ISS, ont leur propre infrastructure, leur propre gouvernance et leurs propres formes de références.

« Cela ressemble à la façon dont les réseaux de données fonctionnaient dans les premiers jours de l’Internet. Nous avions des réseaux locaux [LANs], chacun utilisant son propre protocole. Avec l’avènement de iPv4, il est devenu possible d’envoyer des données à travers différents LAN, partout dans le monde. Nous recherchons une infrastructure réseau SSI qui n’appartient pas à un seul parti, et fait pour des solutions « locale » ce qu’IPv4 a fait pour les LAN.

Croissance organique

Bien que les Pays-Bas, l’Allemagne et la Belgique ouvrent la voie en Europe avec le développement de la recherche et des applications SSI, Joosten voit la nécessité d’une collaboration. « Les partis individuels, petits et grands, doivent contribuer à l’ensemble », a-t-il dit. « Nous avons non seulement besoin de techniciens, mais aussi de visionnaires et de personnes ayant des connaissances politiques et commerciales.

« ertains d’entre eux contribueront à l’infrastructure horizontale SSI, d’autres aux marchés verticaux SSI, et d’autres encore pour que tout fonctionne together, de sorte que SSI peut croître organiquement. Nous travaillons avec de nombreux partis dans des collectivités comme la Coalition néerlandaise blockchain Ou Techruption, des consortiums tels que Déverrouiller, des programmes tels que EBSI/ESSIF, dans des événements tels que Odyssey.org Ou Redémarrage du Web de confiance, et d’autres.

Au sein de son laboratoire SSI à Groningue, TNO travaille sur des composants qui pourraient faire partie de l’infrastructure SSI, s’intégrant dans la mesure du possible avec les composants que d’autres développent. De plus, des applications sont en cours d’élaboration pour soutenir les marchés ssi et à des fins de démonstration.

« Le laboratoire SSI n’est pas seulement pour TNO », a déclaré M. Joosten. « Il offre à d’autres organisations un environnement sûr pour expérimenter plusieurs technologies, ce qui leur permet de faire l’expérience de l’état de l’art et de se constituer une analyse de rentabilisation. En outre, le laboratoire SSI développe des modèles mentaux et d’autres histoires dans le but d’aligner les différentes et non interopérables façons dont les gens pensent à SSI.

Toutefois, de nombreux défis technologiques et organisationnels restent à résoudre avant que les citoyens, les entreprises et les pouvoirs publics puissent bénéficier de l’ISS. « Nous devons comprendre exactement comment les différentes personnes et organisations utiliseront la même technologie et ce qui doit être pris en charge », a déclaré M. Joosten. « Nous devons fournir des assurances concernant la sécurité et l’intégrité des différentes applications utilisateur et professionnelle, qui peuvent être vérifiées au niveau de l’entreprise. Pour trouver des réponses, nous travaillons avec de nombreuses autres parties.

Depuis novembre de l’année dernière, le eSSIF-Lab a été lancé, avec des fonds de l’Union européenne disponibles pour les petites entreprises et les startups qui veulent construire ou améliorer les composants SSI. « L’objectif est de créer plusieurs composants SSI interopérables open source qui sont réellement utilisés », a déclaré M. Joosten. « En fait, le laboratoire SSI entre en Europe de cette façon. »

Continue Reading

Technologie

Le compte à rebours est en cours pour TikTok après Schrems II

Published

on


Les récents commentaires du président Trump sur la volonté d’interdire la populaire application mobile de partage de vidéos, TikTok, ont immédiatement attiré l’attention internationale.

L’accent sur les retombées potentielles pour l’application a continué après le secrétaire d’État américain, Mike Pompeo, commentant le dimanche 2 août 2020 que TikTok, ainsi que d’autres logiciels et applications avec des connexions à la Chine, peut avoir des mesures prises contre eux dans les prochains jours, après les remarques initiales de Trump.

Les préoccupations exprimées par les États-Unis sont liées à des préoccupations en matière de sécurité nationale. En particulier, les inquiétudes concernant les données qui sont saisies et qui pourraient être consultées par le gouvernement chinois, même si TikTok a nié qu’un tel accès ait lieu actuellement. Pourtant, même le risque théorique d’un tel accès par le gouvernement chinois a été suffisant pour commencer à inciter les États-Unis à agir.

Ceux qui sont en Europe peuvent faire des parallèles entre les récentes annonces américaines et ce qui a eu lieu à la suite de l’arrêt du 16 juillet 2020, de la plus haute cour d’Europe, la Cour de justice de l’Union européenne (UE).

Cette décision européenne, appelée Schrems II dans les médias, a donné un « coup de mort » aux transferts de données à caractère personnel vers les États-Unis conformément au mécanisme du Bouclier de protection de la vie privée. Toutefois, la décision est allée beaucoup plus loin, en envoyant des ondes de choc du Règlement général sur la protection des données (GDPR) dans tous les transferts internationaux de données personnelles en provenance de l’UE, que ce soit vers les États-Unis, la Chine, l’Inde ou ailleurs.

Le Bouclier de protection de la vie privée était auparavant un mécanisme de transfert valide pour effectuer des transferts internationaux conformes au GDPR. Toutefois, sa disparition est due à des préoccupations concernant l’absence de garanties pour les données à caractère personnel transférées de l’Union européenne, sur fond de critiques sur la surveillance et les mesures d’intervention américaines.

La décision européenne a clairement indiqué que cela affectait également d’autres transferts de données à caractère personnel, qu’ils soient effectués en vertu du Bouclier de protection de la vie privée ou d’autres garanties appropriées telles que les clauses contractuelles standard ou les règles d’entreprise contraignantes – qui sont les mécanismes communs approuvés par le GDPR utilisés par les organisations pour les transferts internationaux de données à caractère personnel.

Cela a conduit à des commentaires selon lesquelles cela va peut-être aboutir à une approche centrée sur l’Europe en matière de stockage, d’hébergement et d’accès de données. Toutefois, les commentaires des États-Unis au cours du week-end dernier au sujet de TikTok suggèrent que les États-Unis sont maintenant potentiellement à la recherche d’une approche plus centrée sur les États-Unis à la conservation des données et l’accès. Il s’agit d’une situation intéressante, étant donné que les transferts de données personnelles entre l’Europe et les États-Unis font actuellement l’objet d’un examen minutieux.

Certains commentateurs s’étaient inquiétés à la suite de Schrems II qu’il serait difficile d’évaluer les lois étrangères en ce qui concerne la protection des données et les activités de surveillance gouvernementale.

Cependant, d’après les événements récents – y compris les actions américaines contre Huawei, les menaces d’actions contre TikTok et les résultats de Schrems II – il est clair que les projecteurs sont désormais fermement braqués sur les transferts internationaux de données – en particulier sur les garanties contre l’ingérence du gouvernement étranger dans la vie privée et les droits des individus à l’égard de leurs données.

Les organisations ne pourront pas simplement s’asseoir et attendre les retombées. Ils devront agir de façon proactive dès maintenant contre ce paysage en mutation. Cela comprend l’évaluation de leurs flux de données internationaux actuels, en particulier les transferts intragroupe, ainsi que l’utilisation de fournisseurs de services cloud et de centres de soutien offshore.

Les régulateurs européens de la protection des données ont clairement indiqué qu’une laissez-faire approche ne sera pas tolérée. Compte tenu des amendes massives et de la publicité défavorable associée aux mesures d’application de la loi du GDPR et des réclamations potentielles de particuliers, il semble qu’une vague d’activités des organisations sera nécessaire pour éviter que les flux de données personnelles ne soient également mis en lockdown.

Continue Reading

Technologie

Deuxième vague de cyberattaques Covide-19 bloquées

Published

on


Une nouvelle augmentation des cyberattaques exploitant la pandémie de coronavirus Covid-19 est très probable dans un proche avenir, surtout s’il y a des progrès substantiels vers un vaccin, selon Interpol.

L’organisation a déclaré que si un vaccin devenait disponible, il était très probable qu’il y aura un deuxième pic dans les attaques de phishing liées aux vaccins et autres produits médicaux, ainsi que l’intrusion du réseau et d’autres attaques pour voler des données de recherche.

Plus largement, Interpol estime que les vulnérabilités liées à la période de plus en plus longue du travail à distance et au potentiel d’augmentation des avantages financiers verront les attaques ciblant les travailleurs à domicile devenir plus fréquentes et plus sophistiquées.

À cet égard, les programmes de compromis sur les courriels d’affaires (BEC) augmenteront probablement au cours des prochains mois grâce à la dépression économique qui s’annonce et au changement connexe dans le paysage des affaires.

L’organisation a déclaré que les acteurs de la menace étaient également susceptibles de continuer à proliférer les campagnes d’escroquerie liées à Covid pour exploiter l’inquiétude du public et la peur du virus.

« Les cybercriminels développent et renforcent leurs attaques à un rythme alarmant, exploitant la peur et l’incertitude causées par l’instabilité de la situation sociale et économique créée par Covide-19 », a déclaré le secrétaire général d’Interpol, Jürgen Stock.

« La dépendance accrue en ligne des gens à travers le monde crée également de nouvelles opportunités, de nombreuses entreprises et individus ne s’assurant pas que leurs cyberdéfenses sont à jour.

« Les conclusions du rapport soulignent une fois de plus la nécessité d’une coopération plus étroite entre le secteur public et le secteur privé si nous voulons nous attaquer efficacement à la menace que Covide-19 représente également pour notre cybersanté », a déclaré M. Stock.

Comme d’autres organismes d’application de la loi et des équipements de cybersécurité, Interpol suit l’impact de Covid-19 sur la cybercriminalité depuis un certain temps. Son rapport complet – qui contient des commentaires provenant de tous ses différents pays membres – examine en profondeur le phishing et les escroqueries, les logiciels malveillants et les ransomwares, le vol de données, les domaines malveillants et la désinformation pendant la pandémie.

Il énonce également un certain nombre de priorités et de recommandations pour l’application de la loi nationale afin de lutter contre la cybercriminalité pendant la pandémie.

Il s’agit notamment de permettre un partage rapide de l’information sur l’ensemble du réseau mondial d’Interpol, en particulier lorsqu’il s’agit de menaces contre les infrastructures nationales essentielles, les organismes gouvernementaux; renforcer la collaboration et la coopération policières pour faire face aux menaces transfrontalières; mise en œuvre de campagnes de sécurité publique – Interpol mène sa propre campagne appelée #WashYourCyberHands depuis le mois de mai; former le personnel chargé de l’application de la loi sur les cybermenaces; renforcer les partenariats avec le secteur privé; et l’élaboration et la mise en œuvre d’une stratégie nationale de cybercriminalité.

« Interpol prend des mesures proactives et toutes les mesures pertinentes pour soutenir les pays membres dans une crise sans précédent. Il se prépare également pour le paysage de la menace post Covid-19 », a déclaré l’organisation.

« La pandémie a créé des occasions cruciales de réfléchir aux capacités et aux ressources actuelles en matière d’amélioration afin d’améliorer la préparation et la résilience à tout choc futur. Enfin, la pandémie mondiale a prouvé l’importance d’une réponse mondiale de manière collaborative et coordonnée.

« La priorité la plus urgente pour faire face à ces cybermenaces croissantes est de renforcer davantage la coopération policière internationale pour les activités opérationnelles et d’améliorer l’échange d’informations sur la cybercriminalité avec divers partenaires au sein de l’écosystème mondial de la cybersécurité. »

Continue Reading

Trending