La prévention des pertes de données n’est pas une science exacte, mais la NASA n’a pas réussi à la mettre en œuvre dans Microsoft 365.

L’Office de l’Inspecteur Général de la NASA a passé en revue le régime de confidentialité de l’agence aérospatiale et a découvert de nombreux éléments positifs, mais des améliorations sont nécessaires. Dans une enquête publiée mardi, l’OIG a constaté que la NASA dispose d’un «programme de confidentialité complet qui comprend des processus pour déterminer si les systèmes informatiques collectent, stockent et transmettent des informations à caractère personnel (PII); la publication de notices de système de dossiers; et la formation générale en matière de confidentialité de son personnel». C’est un jugement accueilli avec satisfaction, compte tenu du fait que la NASA emploie environ 16 000 personnes et, comme toutes les agences gouvernementales, recueille des PII à leur sujet et à celui des contractants, des partenaires et des membres du public avec lesquels elle entre en contact. Cependant, le document a également constaté que l’agence «doit prendre des mesures supplémentaires pour mieux protéger les informations personnelles des individus qu’elle collecte, utilise et conserve». Parmi ces mesures figure le fait de mettre en œuvre la protection des données perdues (DLP) dans Microsoft 365. La NASA utilise la suite Microsoft et met en œuvre ses fonctionnalités de DLP. Toutefois, actuellement, les utilisateurs signalent eux-mêmes les pertes de données, 118 fois entre octobre 2021 et mars 2023. Cependant, les données collectées pour ces incidents «n’ont pas permis d’identifier de manière cohérente le nombre de comptes touchés, la façon dont les PII ont été divulguées, les causes profondes, ni de déterminer un niveau de risque ou d’apprendre des leçons».