La prévention de la perte de données n’est pas une science rocket, mais la NASA n’a pas réussi à la faire fonctionner dans Microsoft 365.

L’Office de l’Inspecteur Général de la NASA a passé en revue le régime de confidentialité de l’agence aérospatiale et a constaté qu’il y avait beaucoup de points positifs, mais que des améliorations étaient nécessaires. Dans une enquête publiée mardi [PDF], l’OIG a constaté que la NASA dispose d’un « programme de confidentialité complet qui comprend des processus permettant de déterminer si les systèmes informatiques collectent, stockent et transmettent des informations à caractère personnel (PII); la publication de notifications de systèmes de dossiers; et la formation générale du personnel sur la protection des données ». C’est un constat très positif, compte tenu du fait que la NASA emploie environ 16 000 personnes et, comme toutes les agences gouvernementales, recueille des PII à leur sujet, ainsi que sur les contrats, les partenaires et les membres du public avec lesquels elle est en contact. Mais le document a également constaté que l’agence « a encore des progrès à faire pour mieux protéger les informations personnelles des individus qu’elle collecte, utilise et maintient ». Parmi ces mesures figure l’activation de la protection contre la perte de données (DLP) dans Microsoft 365. La NASA utilise la suite Microsoft et met en œuvre ses fonctionnalités de DLP. Toutefois, actuellement, les utilisateurs signalent eux-mêmes les pertes de données, comme ce fut le cas 118 fois entre octobre 2021 et mars 2023. Cependant, les données collectées pour ces incidents « ne permettent pas de déterminer de manière cohérente le nombre de comptes affectés, la façon dont les PII ont été divulguées, les causes premières et les facteurs de risque, ni les éléments à retenir des leçons apprises ».