La prévention de la perte de données n’est pas une science exacte, mais la NASA n’a pas réussi à la mettre en œuvre dans Microsoft 365.

L’Office de l’Inspecteur Général de la NASA a passé en revue le régime de confidentialité de l’agence spatiale et a trouvé beaucoup de choses à aimer, mais des améliorations sont nécessaires. Dans une enquête publiée mardi, l’OIG a constaté que la NASA dispose d’un «programme de confidentialité complet qui comprend des processus permettant de déterminer si les systèmes informatiques collectent, stockent et transmettent des renseignements personnels identifiables (PII) ; la publication de notifications sur les systèmes de dossiers ; et une formation générale sur la confidentialité de son personnel». C’est une évaluation accueillie, étant donné que la NASA emploie environ 16 000 personnes et, comme toutes les agences gouvernementales, recueille des renseignements personnels les concernant et sur les sous-traitants, les partenaires et les membres du public avec lesquels elle entre en contact. Mais le document a également constaté que l’agence «doit prendre des mesures supplémentaires pour mieux protéger les informations personnelles des individus qu’elle recueille, utilise et maintient». Parmi ces mesures figure l’activation de la protection contre la perte de données (DLP) dans Microsoft 365. La NASA utilise la suite Microsoft et met en œuvre ses fonctionnalités de DLP. Toutefois, actuellement, les utilisateurs signalent eux-mêmes les pertes de données, 118 fois de octobre 2021 à mars 2023. Cependant, les données collectées pour ces incidents «n’ont pas permis d’identifier de manière cohérente le nombre de comptes affectés, la façon dont les PII ont été divulguées, les causes profondes et les risques, ni une cote de risque n’a été attribuée ou des leçons tirées capturées».