The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK
Cet article identifie un « écart de couverture » critique dans le cadre de la cybersécurité du Chili, révélant que seulement 1,7 % de ses 915 opérateurs d'infrastructures vitales désignés publient des canaux de divulgation de vulnérabilités vérifiables — un contraste frappant avec la conformité quasi universelle aux États-Unis et dans l'UE — et propose une feuille de route en quatre étapes ainsi qu'un outil open source pour combler ce retard réglementaire de plusieurs années.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
La vue d'ensemble : Le « Fossé de Couverture »
Imaginez que le Chili vient de construire une immense forteresse de haute technologie pour protéger ses bâtiments les plus importants (hôpitaux, banques, centrales électriques, systèmes d'eau). Ils ont une nouvelle loi (Ley 21.663) et une nouvelle agence de sécurité (ANCI) pour les surveiller.
Cependant, cet article pose une question simple : Si quelqu'un trouve un trou dans le mur de cette forteresse, sait-il qui appeler pour en informer les propriétaires ?
Les auteurs appellent cela le « Fossé de Couverture » (Coverage Gap). C'est la distance entre la visibilité de ces bâtiments pour le public et le fait qu'ils possèdent ou non un panneau « Ne pas déranger » fonctionnel indiquant : « Si vous voyez un problème, envoyez-nous un message ici. »
Le résultat principal : Une forteresse silencieuse
Les chercheurs ont examiné 915 de ces organisations critiques (les « OIV »). Ils ont utilisé une méthode qui consiste à descendre la rue pour regarder les portes d'entrée et les fenêtres, sans jamais essayer de s'introduire ou de frapper à la porte.
Voici ce qu'ils ont trouvé :
- La sonnette est cassée : Seules 16 organisations sur 915 (environ 1,7 %) possèdent un panneau « Ne pas déranger » public et fonctionnel (un fichier numérique spécifique appelé
security.txt) qui indique aux chercheurs comment signaler un bug. - Les grands acteurs sont silencieux : Aucune des quatre grandes banques du Chili et aucune des deux plus grandes entreprises de téléphonie ne possède ce panneau.
- Le résultat : Si un chercheur bienveillant trouve une faille de sécurité dans 98,3 % de ces systèmes critiques, il n'a aucun endroit où la signaler. Il pourrait simplement repartir, ou pire, l'information pourrait être vendue à des criminels.
Le problème de l'« E-mail » : La boîte aux lettres déverrouillée
L'article a également vérifié si ces organisations protégeaient leurs adresses e-mail. Imaginez si l'adresse e-mail d'une banque était écrite sur un morceau de papier que n'importe qui pourrait facilement falsifier.
- La statistique : 84 % de ces organisations ont mal configuré la sécurité de leurs e-mails.
- L'analogie : C'est comme si une banque envoyait des lettres avec une adresse de retour que n'importe qui peut copier-coller. Cela rend très facile pour les escrocs de se faire passer pour la banque et de tromper les gens.
- La comparaison : Aux États-Unis, au Royaume-Uni et aux Pays-Bas, presque 100 % des systèmes gouvernementaux et critiques ont corrigé cela. Le Chili a environ 8 ans de retard sur eux concernant cette correction spécifique.
Le problème du « Vieux Logiciel » : Le port rouillé
Les chercheurs ont également jeté un coup d'œil aux logiciels utilisés par ces organisations.
- La statistique : Environ 23 % d'entre elles utilisent des logiciels en « fin de vie » (comme un modèle de voiture pour lequel le fabricant ne fabrique plus de pièces depuis 10 ans).
- Le risque : Si un pirate trouve un moyen de briser ce vieux logiciel, les propriétaires ne pourront pas obtenir de correctif pour le réparer car le fabricant ne le supporte plus.
Comment le Chili se compare au reste du monde
Les auteurs ont comparé le Chili à cinq autres pays (États-Unis, Royaume-Uni, UE, Pays-Bas, Danemark).
- L'écart : Dans ces pays, le gouvernement a émis un ordre strict (un mandat) disant : « Vous devez corriger la sécurité de vos e-mails et afficher une adresse de signalement de bugs. » En un an ou deux, presque tout le monde l'a fait.
- La situation du Chili : Le Chili a la loi sur le papier, mais il n'a pas encore émis l'ordre spécifique pour corriger ces détails techniques. Les auteurs affirment que le Chili a environ 8 ans de retard sur les leaders en matière de sécurité des e-mails et 3 ans de retard dans d'autres domaines.
La solution proposée : Une feuille de route simple
L'article ne suggère pas de construire un nouveau super-système coûteux. Au lieu de cela, il suggère quatre étapes simples que le Chili peut prendre immédiatement, similaires à ce que d'autres pays ont déjà fait :
- L'ordre de « Réparation » : L'agence de sécurité (ANCI) devrait émettre une règle simple disant : « D'ici l'année prochaine, chaque organisation critique doit corriger la sécurité de ses e-mails et afficher une adresse de signalement de bugs. » (C'est ce que les États-Unis ont fait en 2017).
- L'annuaire : Créer une liste publique où quiconque peut consulter l'adresse e-mail correcte pour signaler un bug pour n'importe laquelle des 915 organisations.
- Le service d'aide : Le gouvernement devrait offrir un outil gratuit pour aider les organisations à vérifier les paramètres de leurs e-mails, afin qu'elles n'aient pas à embaucher des experts coûteux pour le faire.
- Le rapport annuel : Publier chaque année un rapport montrant qui a réparé sa sécurité et qui ne l'a pas fait. Si vous ne réparez pas, vous devez expliquer pourquoi publiquement.
La conclusion
L'article conclut que le Chili possède les lois et les régulateurs, mais qu'il lui manque les outils opérationnels pour les faire fonctionner.
Actuellement, si un hacker bienveillant trouve une vulnérabilité dans un hôpital ou une banque chilienne, il n'a probablement aucun moyen de l'informer. Le « Fossé de Couverture » est énorme. La bonne nouvelle est que la solution est peu coûteuse, facile et déjà prouvée efficace dans d'autres pays. Les auteurs soutiennent que le Chili doit arrêter d'attendre et commencer à combler ces lacunes immédiatement, car la prochaine cyberattaque se produira probablement dans ce fossé.
Ce que l'article NE dit PAS
- Il ne dit pas que ces organisations ont été piratées récemment. Il dit seulement qu'elles sont actuellement « injoignables » pour le signalement de problèmes.
- Il ne cite pas de banques ou d'hôpitaux spécifiques dans le rapport pour les protéger d'éventuelles cibles malveillantes.
- Il ne prétend pas que le Chili est « dangereux » en général, mais plutôt que le système de signalement des problèmes est défaillant.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.