La prévention de la perte de données n’est pas une science rocket, mais la NASA n’a pas réussi à l’intégrer à Microsoft 365.

L’Office de vérificateur général (OIG) de la NASA a passé en revue le régime de confidentialité de l’agence aérospatiale et a constaté de nombreuses bonnes choses – mais des améliorations sont nécessaires. Dans une enquête publiée mardi [PDF], l’OIG a constaté que la NASA dispose d’un «programme de confidentialité complet qui comprend des processus permettant de déterminer si les systèmes d’information collectent, stockent et transmettent des informations à caractère personnel (PII) ; publication de notices de système de dossiers ; et fourniture de formation générale sur la confidentialité à son personnel». Il s’agit là d’une évaluation la bienvenue, compte tenu du fait que la NASA emploie environ 16 000 personnes et – comme toutes les agences du gouvernement – collecte des PII à leur sujet et à celui des contractants, partenaires et membres du public avec lesquels elle entre en contact. Mais le document constate également que l’agence «doit prendre des mesures supplémentaires pour mieux protéger les informations personnelles des individus qu’elle collecte, utilise et maintient». Parmi ces mesures figure la mise en œuvre des fonctionnalités de protection des données de Microsoft 365. La NASA utilise la suite Microsoft et met en œuvre ses fonctionnalités de protection des données. Toutefois, actuellement, les utilisateurs signalent eux-mêmes les pertes de données – et l’ont fait 118 fois entre octobre 2021 et mars 2023. Cependant, les données collectées pour ces incidents «n’ont pas identifié de manière cohérente le nombre de comptes touchés, la façon dont les PII ont été divulguées, les causes premières et les facteurs de risque, ni les leçons apprises».