L’interdiction de TikTok au Royaume-Uni nous donne à tous des raisons de considérer la sécurité des médias sociaux

Deux poids, deux mesures

Dans sa réponse à la déclaration de Dowden hier, la chef adjointe du Parti travailliste, Angela Rayner, a été cinglante en accusant le gouvernement d’être à la traîne et de faire des revirements soudains, et pour certains membres de la communauté de la cybersécurité, sa décision a quelque chose de nettement louche.

Matthew Hodgson, cofondateur et PDG du fournisseur de services de communication sécurisée Element, a déclaré que d’une manière importante, l’interdiction est carrément hypocrite.

« Le gouvernement britannique interdisant aux fonctionnaires d’avoir TikTok sur leurs téléphones tout en faisant adopter une législation qui donnera au gouvernement britannique accès à toutes les communications britanniques crie à deux poids, deux mesures », a déclaré Hodgson.

« Extérieurement, il semble qu’ils prennent la sécurité des données au sérieux en empêchant la Chine d’avoir une porte dérobée dans les données britanniques, bien que seulement pour les représentants du gouvernement actuellement. Cependant, le gouvernement britannique fait adopter le projet de loi sur la sécurité en ligne, qui crée une porte dérobée très similaire dans toutes les plates-formes de communication utilisées par les citoyens britanniques.

« Donc, il n’est pas acceptable pour la Chine d’accéder aux communications gouvernementales, mais il est acceptable de leur fournir un moyen d’accéder aux communications des citoyens via la sécurité en ligne B.Mauvaises faiblesses? Nous devons protéger la vie privée des citoyens britanniques aujourd’hui contre les mauvais acteurs et les États-nations de toutes formes et tailles », a-t-il déclaré.

TikTok s’exprime

Naturellement, les pensées de Westminster ne sont pas partagées par TikTok, qui continue de souligner que le gouvernement chinois ne lui a jamais demandé de remettre des données et insiste sur le fait qu’il ne le ferait jamais si on le lui demandait.

Dans un communiqué publié à la suite de l’annonce de Dowden le 16 mars, un porte-parole de TikTok a déclaré: « Nous sommes déçus de cette décision. Nous pensons que ces interdictions sont basées sur des idées fausses fondamentales et motivées par une géopolitique plus large, dans laquelle TikTok et nos millions d’utilisateurs au Royaume-Uni ne jouent aucun rôle.

« Nous demeurons déterminés à travailler avec le gouvernement pour répondre à toutes les préoccupations, mais nous devrions être jugés sur les faits et traités de la même manière que nos concurrents. Nous avons commencé à mettre en œuvre un plan complet pour protéger davantage nos données d’utilisateurs européens, qui comprend le stockage des données des utilisateurs britanniques dans nos centres de données européens et le renforcement des contrôles d’accès aux données, y compris une surveillance indépendante de notre approche par une tierce partie. »

L’organisation estime qu’il est inexact de la décrire comme appartenant à des Chinois, car sa présence européenne est incorporée et réglementée au Royaume-Uni et en Irlande, et sa société mère, Bytedance, est constituée en dehors de la Chine, et ne serait donc pas soumise aux lois qui l’obligent à remettre des données à Pékin si on le lui demande.

La société a récemment annoncé le projet Clover, une « enclave » européenne sécurisée dédiée à l’hébergement de ses données utilisateur au Royaume-Uni et dans l’Espace économique européen (EEE). La réalisation de ce projet verra également les données des utilisateurs britanniques – actuellement stockées dans des centres de données à Singapour et aux États-Unis – transférées au sein de la juridiction européenne.

Il a également nommé une société de cybersécurité tierce pour auditer ses contrôles et ses protections, surveiller les flux de données et vérifier sa conformité aux lois pertinentes, ce qui, selon lui, va au-delà de ce que toute autre plate-forme technologique fait actuellement.

Simon Mullis, directeur de la technologie de Venari Security, convient que l’interdiction de TikTok est politiquement motivée, dans une certaine mesure. « Les préoccupations sont vraiment enracinées dans la capacité à assurer la chaîne de confiance de la protection des données du début à la fin, et à toutes les étapes intermédiaires », a-t-il déclaré. « Avec TikTok, cela s’est avéré extrêmement difficile pour diverses raisons techniques et politiques.

« En toute justice, l’interdiction est autant politique que conséquence de la conception technique de l’application », a déclaré Mullis. « La conception et l’architecture de TikTok sont-elles si différentes des autres applications de médias sociaux largement utilisées qu’elles provoquent des craintes massives en matière de sécurité? La réponse est « probablement pas ».

Longtemps à venir

Mais Jamie Moles, directeur technique principal chez ExtraHop, a déclaré que compte tenu de ce que nous savons du fonctionnement de TikTok et, surtout, de ce que nous savons des données qu’il demande et auxquelles nous devons avoir accès pour fonctionner sur un appareil, il est mystifiant de savoir pourquoi le gouvernement britannique a traîné si longtemps.

« Je suis un expert en sécurité qui a téléchargé et utilisé TikTok quand il est sorti comme tant d’autres, y compris ceux qui travaillent dans le gouvernement britannique », a-t-il déclaré. « Mais voici la différence: je l’ai supprimé dès qu’il est devenu clair que l’application pouvait récolter n’importe quoi de mon téléphone, y compris les contacts – données GPS, informations d’authentification d’autres applications, etc.

« Avoir cette application sur votre téléphone équivaut à donner au gouvernement chinois les clés de notre économie. »

Adam Marrè, directeur de la sécurité de l’information (RSSI) d’Arctic Wolf, a déclaré: « TikTok collecte des quantités massives d’informations auprès des consommateurs, telles que l’emplacement des utilisateurs, les empreintes vocales, les informations de calendrier et d’autres données sensibles. Le problème est que nous ne savons pas à quoi servent ces données, ni si un gouvernement étranger y a accès.

« Avec la montée en puissance des courtiers en données qui gagnent leur vie en vendant des informations utilisateur, cette plate-forme peut servir de véhicule aux acteurs malveillants. Ils peuvent ensuite vendre ces informations, qui peuvent être utilisées pour cibler des personnes via des e-mails de phishing, influencer via la propagande, ou même contrôler ou accéder à des dispositifs. Que cela nous rappelle que rien n’est vraiment « gratuit » et que nous devons tous faire preuve de prudence. »

Faaki Saadi, directeur des ventes pour le Royaume-Uni et l’Irlande chez SOTI, a déclaré : « Toute application qui récolte les données que vous y mettez doit être traitée avec prudence. Surtout pour les personnes à qui l’on fait confiance avec des informations sensibles de l’entreprise.

« L’interdiction de TikTok sur les appareils du gouvernement britannique devrait servir de signal d’alarme aux autres organisations – avez-vous une visibilité totale sur les applications que vos employés ont sur leurs appareils d’entreprise? Si ce n’est pas le cas, c’est peut-être le moment de faire le point. Et cela n’a pas besoin d’être un gros fardeau – il existe des solutions disponibles qui peuvent le faire pour vous et effacer toutes les applications indésirables en un instant.

SocSécurité des supports Ial

Marrè et Faadi parlent toutes deux d’un problème plus large avec les médias sociaux en général. D’autres plateformes de médias sociaux telles que Facebook et le propriétaire d’Instagram, Meta, se sont montrées à plusieurs reprises très blasées en ce qui concerne leurs données utilisateur et leurs politiques de sécurité. Twitter, sous le contrôle de l’erratique Elon Musk, se dirige dans une direction similaire.

Et Robert Huber, responsable de la sécurité chez Tenable, a déclaré que se concentrer uniquement sur TikTok signifie que nous risquons de manquer la forêt pour les arbres. « Il y a des centaines d’applications logicielles utilisées dans les agences gouvernementales chaque jour qui introduisent des risques, et les vulnérabilités connues non corrigées sont la source la plus probable de violations de données », a-t-il déclaré.

« La clé est que les responsables de la sécurité comprennent le profil de risque unique de leur organisation, découvrent où les vulnérabilités existent et hiérarchisent les efforts de remédiation pour éradiquer celles qui pourraient être les plus nuisibles en premier. »

Devrions-nous tous interdire TikTok?

Ismael Valenzuela, vice-président de la recherche et du renseignement sur les menaces chez BlackBerry, a déclaré qu’il voyait déjà des RSSI envisager d’interdire l’utilisation de TikTok sur les appareils de l’entreprise. Ceci est particulièrement pertinent pour ceux qui travaillent pour des organisations qui opèrent dans des environnements hautement réglementés, tels que le secteur des services financiers, où les entreprises sont censées à juste titre effectuer leurs propres tests de sécurité des produits et examiner juridiquement les positions de politique de confidentialité pour, à tout le moins, limiter l’utilisation sur les appareils d’entreprise ou par les utilisateurs de grande valeur.

« Il ne fait aucun doute que les organisations disposant de modèles de menaces régulièrement mis à jour basés sur des informations contextuelles, des pratiques de gestion des actifs matures et des solutions de gestion intégrée des terminaux sont mieux placées pour gérer ce risque à l’échelle de l’entreprise », a déclaré Valenzuela.

« Il souligne l’importance de la gestion des risques dans l’ensemble de l’organisation et la nécessité d’évaluer, et donc de contrôler, l’impact de l’introduction de nouveaux produits et technologies sur la sécurité globale de l’organisation. Cela inclut l’utilisation d’applications de chat et de médias sociaux apparemment inoffensives.

« Je soupçonne que seul un nombre limité de RSSI sont au courant de la déclaration de politique de confidentialité de TikTok », a-t-il poursuivi. « Alors que les attaques sur la chaîne d’approvisionnement sont une réelle préoccupation aujourd’hui, le risque d’atteinte à la vie privée devrait également être une priorité absolue pour les RSSI des organisations à haut risque. En effet, les données personnelles des dirigeants d’entreprise et d’autres personnes importantes peuvent être d’une grande valeur entre les mains d’attaquants motivés financièrement ou de l’État.

En fin de compte, la question de savoir si les responsables de la sécurité devraient interdire ou restreindre l’utilisation de TikTok sur les appareils appartenant à l’entreprise est une question à laquelle eux seuls peuvent répondre. Mais étant donné le nombre croissant d’interdictions gouvernementales proposées ou promulguées, à tout le moins, une évaluation approfondie des risques est de mise, associée à un audit plus large de l’activité des entreprises sur les médias sociaux.