La prévention de la perte de données n’est pas une science exacte, mais la NASA n’a pas réussi à la mettre en œuvre dans Microsoft 365.

L’Office de l’Inspecteur Général de la NASA a passé en revue le régime de confidentialité de l’agence aérospatiale et a constaté qu’il y avait beaucoup de choses à aimer, mais des améliorations étaient nécessaires. Dans une vérification publiée mardi [PDF], l’OIG a constaté que la NASA dispose d’un «programme de confidentialité complet qui inclut des processus pour déterminer si les systèmes informatiques collectent, stockent et transmettent des informations d’identification personnelle (PII) ; la publication de notifications de système de dossiers ; et la formation générale en matière de confidentialité de son personnel». C’est une évaluation souhaitable, compte tenu du fait que la NASA emploie environ 16 000 personnes et, comme toutes les agences gouvernementales, recueille des données PII à leur sujet et sur les fournisseurs, partenaires et membres du public qu’elle sollicite. Mais le document a également constaté que l’agence «doit prendre des mesures supplémentaires pour mieux protéger les données personnelles des individus qu’elle collecte, utilise et maintient». Parmi ces mesures figure l’activation de la protection des données (DLP) dans Microsoft 365. La NASA utilise la suite Microsoft et met en œuvre ses fonctionnalités DLP. Toutefois, actuellement, les utilisateurs font état eux-mêmes des pertes de données, à 118 reprises entre octobre 2021 et mars 2023. Mais les données collectées pour ces incidents «ne faisaient pas toujours correctement apparaître le nombre de comptes affectés, la façon dont les PII ont été divulguées, les causes profondes, ni une cote de risque n’a été attribuée ou des leçons apprises n’ont été capturées».