La prévention de la perte de données n’est pas une science exacte, mais la NASA n’a pas réussi à la mettre en œuvre dans Microsoft 365.

L’Office de l’Inspecteur Général de la NASA a passé en revue le régime de confidentialité de l’agence aérospatiale et a trouvé beaucoup de choses à aimer, mais des améliorations sont nécessaires. Dans une enquête publiée mardi [PDF], l’OIG a constaté que la NASA dispose d’un « programme de confidentialité complet comprenant des processus pour déterminer si les systèmes informatiques collectent, stockent et transmettent des informations d’identification personnelle (PII) ; publiant des avis de systèmes de dossiers ; et fournissant une formation générale en matière de confidentialité à son personnel ». C’est une évaluation la bienvenue, étant donné que la NASA emploie environ 16 000 personnes et, comme toutes les agences gouvernementales, recueille des informations à leur sujet et celles des contractants, partenaires et membres du public avec lesquels elle entre en contact. Mais le document a également constaté que l’agence « doit prendre des mesures supplémentaires pour mieux protéger les informations personnelles des individus qu’elle collecte, utilise et maintient ». Parmi ces mesures figure l’activation de la protection des pertes de données (DLP) dans Microsoft 365. La NASA utilise la suite Microsoft et met en œuvre ses fonctionnalités de DLP. Toutefois, actuellement, les utilisateurs signalent eux-mêmes les pertes de données, ce qui s’est produit 118 fois entre octobre 2021 et mars 2023. Mais les données collectées pour ces incidents « n’ont pas identifié de manière cohérente le nombre de comptes touchés, la divulgation des PII, les causes profondes et les facteurs de risque, ni les leçons apprises ».