California Governor Vetoes Bill Requiring Opt-Out Signals For Sale of User Data
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
Read more of this story at Slashdot.
L'information provient de MLID. Si vous vous souvenez, nous vous annoncions qu'Intel avait perdu l'appel d'offre pour la PlayStation 6 il y a deux ans maintenant, au profit d'AMD. Mais voilà que ce dernier aurait lui aussi perdu l'appel d'offres concernant la Switch 2. Si c'est le SoC Tegra T239 qui...
Read more of this story at Slashdot.
Depuis 2019, TikTok tentait de concurrencer Spotify, Apple Music et les autres plateformes de streaming de musique avec sa propre application, TikTok Music. Initialement lancée sous le nom de Resso, l’application était disponible au Brésil, en Australie, au Mexique et à Singapour.
En 2024, le géant chinois jette l’éponge : l’entreprise a annoncé prévoir de fermer le service le 28 novembre et de supprimer les données clients. Elle enjoint les usagers à transférer leurs playlists vers d’autres services d’ici au 28 octobre.
Au lieu de concurrencer les acteurs du streaming musical, TikTok prévoit de leur envoyer les internautes via sa fonctionnalité « Add to Music App ».
De fait, TikTok a essuyé des combats frontaux avec des entités comme Universal Music Group, ce qui avait eu pour effet de supprimer Drake, Rihanna et d’autres artistes signés chez la major de son catalogue.
Microsoft vient de publier un premier rapport pour présenter les actions prises dans le cadre de sa Secure Future Initiative. La société affirme qu’il s’agit du plus vaste projet de cybersécurité de l’histoire. Elle veut montrer, par l’ampleur de ces mesures, qu’elle a retenu les enseignements du passé, voire qu’elle peut être une source d’inspiration.
La Secure Future Initiative (SFI) a été annoncée en novembre 2023. La société de Redmond avait présenté de grands objectifs, présentant un plan de révision intégrale de sa cybersécurité. Il s’agissait autant de mieux protéger ses propres infrastructures que ses clients, à travers la longue liste de produits qu’elle propose. Tout particulièrement dans le cloud.
Comment l’entreprise en est-elle arrivée à lancer cette initiative ? À la suite d’une série d’incidents de sécurité. Ce fut particulièrement le cas en septembre 2023, quand Microsoft a révélé qu’un groupe de pirates chinois, nommé Storm-0558, avait réussi à s’infiltrer dans des comptes email, dont plusieurs appartenaient à des gouvernements (américain et européens). Des informations avaient été volées.
Après l’annonce de la SFI, plusieurs autres incidents ont eu lieu. En janvier, des groupes de pirates russes ont cette fois réussi à avoir accès à des comptes email de responsables chez Microsoft. Là encore, il y avait eu vol d’informations. Deux mois plus tard, les mêmes groupes ont réussi à s’introduire dans plusieurs dépôts de code de Microsoft sur GitHub.
Conséquence, l’entreprise a annoncé en mai que la sécurité était désormais sa « priorité absolue ». Six piliers avaient été identifiés (nous y reviendrons). Enfin, trois grands principes ont été proclamés : sécurité dès la conception, sécurité par défaut et opérations sécurisées. Dans un premier rapport, Microsoft résume ainsi l’ensemble des actions prises depuis les évènements de l’été 2023.
Depuis, Microsoft s’est doté d’un conseil de gouvernance de la cybersécurité. Il est composé de treize RSSI (responsables de la sécurité des systèmes d’information) adjoints, sous la houlette du RSSI de l’entreprise, Igor Tsyganskiy. Chaque RSSI adjoint est en charge de la sécurité dans une division de Microsoft, comme Azure, IA, Microsoft 365, Gaming et ainsi de suite.
« Le Conseil de gouvernance de la cybersécurité collabore avec les responsables de l’ingénierie de la SFI pour définir et hiérarchiser les travaux ainsi que pour définir les orientations futures. Le conseil est responsable de la mise en œuvre des exigences réglementaires, de la conformité permanente et de la détermination de l’architecture de sécurité nécessaire pour atteindre nos objectifs. Le conseil rend compte des risques cyber et de la conformité au RSSI, qui à son tour communique ces informations à l’équipe de direction et au conseil d’administration de Microsoft », indique le rapport.
Microsoft infuse également une plus grande dose de cybersécurité chez l’ensemble des employés, qui n’ont plus le choix. Définie comme priorité absolue, elle compte désormais dans les évaluations de performances. Chaque employé est donc tenu de s’y engager et doit rendre des comptes. Un lien a également été établi entre la sécurité et la rémunération pour la direction.
En juillet dernier, l’entreprise a créé une Security Skilling Academy. Elle a pour mission de concentrer les ressources et former les employés. « L’académie garantit que, quel que soit leur rôle, les employés sont équipés pour donner la priorité à la sécurité dans leur travail quotidien et pour identifier le rôle direct qu’ils jouent dans la sécurisation de Microsoft », ajoute l’entreprise.
Pour surveiller les progrès réalisés dans le cadre de la SFI, la direction examine chaque semaine un rapport. Le conseil d’administration en reçoit un chaque trimestre.
Microsoft vante avec ce rapport son « approche globale de la cybersécurité ». Satya Nadella, CEO de l’éditeur, avait indiqué au printemps que faire de la sécurité une priorité se traduirait notamment par certains renoncements. « Si vous devez choisir entre la sécurité et une nouvelle fonction, choisissez la sécurité », avait ainsi indiqué le dirigeant. La firme avait également identifié six piliers sur lesquels concentrer ses actions.
Sur la protection des identités et des secrets, une partie du travail a consisté à mettre à jour Entra ID (anciennement Azure Active Directory) et Microsoft Account (MSA) sur les clouds publics et gouvernementaux. Leur génération, leur stockage et leur rotation sont désormais gérés automatiquement par Azure Managed Hardware Security Module (HSM, protection matérielle).
Microsoft met aussi en avant une validation plus cohérente des jetons de sécurité (via ses SDK d’identité standards). La recherche et la détection de menaces ont été incluses dans le processus, avec activation de ces fonctions dans plusieurs services critiques. La vérification des utilisateurs par vidéo a été mise en place pour 95 % des utilisateurs internes.
Vient ensuite la protection des « tenants » et l’isolation des systèmes de production. Les tenants (terme anglais) désignent les locataires, qui peuvent être des personnes physiques ou morales, chacune ayant son propre nuage privé au sein d’une infrastructure publique (comme un appartement au sein d’un immeuble). Suite à une révision du cycle de vie des applications impliquées, 730 000 inutilisées ont été supprimées. Microsoft dit avoir également éliminé 5,75 millions de tenants inactifs, avec une nette réduction de la surface d’attaque à la clé. Les créations de tenants pour les tests et expérimentations ont été rationalisées, avec des valeurs sécurisées et une gestion plus stricte de la durée de vie.
Sur les réseaux, Microsoft dit avoir enregistré plus de 99 % de ses actifs physiques dans un inventaire central. Il permet notamment le suivi de la propriété et la conformité des microprogrammes (firmwares). Les réseaux virtuels ayant une connectivité dorsale (internet) ont été isolés du réseau d’entreprise et sont soumis à des examens complets réguliers. Certaines de ces actions ont été répercutées dans les produits clients pour aider à sécuriser les déploiements.
Même effort de centralisation sur les pipelines de production pour le cloud commercial, 85 % étant désormais gérés de manière centralisée. Microsoft évoque des « déploiements plus cohérents, plus efficaces et plus fiables ». En outre, la durée de vie des jetons d’accès personnels a été réduite à 7 jours, l’accès à SSH a été coupé pour les dépôts internes d’ingénierie et le nombre de rôles élevés ayant accès à ces systèmes a été nettement réduit. Des contrôles de preuve de présence ont été installés sur les points critiques des flux de code, dans le cadre du développement des logiciels.
Rationalisation également pour tout ce qui touche à la surveillance et la détection des menaces, notamment tout ce qui touche aux journaux d’audits de sécurité. Une garantie, selon Microsoft, pour des données télémétriques pertinentes. « Par exemple, nous avons mis en place une gestion centralisée et une période de conservation de deux ans pour les journaux d’audit de sécurité de l’infrastructure d’identité », ajoute l’entreprise.
Enfin, des efforts ont été faits pour améliorer le temps de réponse et de remédiation, répartis en deux axes. D’une part, des processus actualisés pour réduire le délai d’atténuation quand des failles critiques sont découvertes dans le cloud. D’autre part, une plus grande transparence dans la communication. Les vulnérabilités critiques font maintenant l’objet de bulletins CVE, même quand aucune action client n’est requise. En outre, un « Bureau de gestion de la sécurité des clients » a été créé pour mieux communiquer avec la clientèle, surtout pendant les incidents de sécurité.
Le rapport de Microsoft est intéressant à plus d’un titre. Il offre bien sûr une visibilité sur les actions concrètement entreprises par une structure énorme sur la sécurité. Mais il s’agit, à un même degré d’importance, d’un exercice de communication.
Le rapport est assez détaillé pour être un véritable travail de transparence. Il livre également des remarques intéressantes, notamment sur la formation du personnel. Microsoft plonge par exemple dans la perception classique d’une sécurité vue comme antagoniste à la productivité. La formation continue est donc présentée comme la solution, qui ne donne pas des résultats immédiats, mais permet de créer de nouveaux réflexes et donc, à terme, de rattraper la productivité « perdue ».
Microsoft présente en outre ce rapport comme le premier, ajoutant que ce surplus de sécurité n’en est qu’à ses débuts. À la fin du document, on peut d’ailleurs observer un tableau listant les recommandations qui lui avaient été faites par le CSRB (Cyber Safety Review Board), lui-même faisant partie de la CISA (Cybersecurity & Infrastructure Security Agency). Après les incidents de sécurité de l’année dernière, le Board avait en effet émis des critiques virulentes, concluant que seule une « cascade de défaillances » avait pu permettre à l’attaque de Storm-0558 de réussir.
Article mis à jour à 17h30 avec la réponse de l’IAB, le lobby des annonceurs.
Un nouveau rapport de la Federal Trade Commission (FTC) montre que les principaux médias sociaux et services de streaming vidéo « se sont engagés dans une vaste surveillance des consommateurs afin de monétiser leurs informations personnelles tout en ne protégeant pas de manière adéquate les utilisateurs en ligne, en particulier les enfants et les adolescents ».
Neuf entreprises sont concernées, « dont certains des plus grands médias sociaux et services de streaming vidéo » : Amazon.com via sa plateforme de jeux Twitch, Facebook, YouTube, Twitter/X Corp., Snap, ByteDance pour sa plateforme de partage de vidéos TikTok, Discord, Reddit et WhatsApp.
Le rapport constate que les entreprises « collectent et peuvent conserver indéfiniment des masses de données », y compris des informations provenant de courtiers en données, et concernant à la fois les utilisateurs et non-utilisateurs de leurs plateformes.
Il souligne également que de nombreuses entreprises se sont engagées dans « un vaste partage de données » qui « soulève de sérieuses inquiétudes » quant à l’adéquation des contrôles et de la surveillance du traitement des données par les entreprises.
Le rapport a en outre constaté que les utilisateurs et non-utilisateurs n’avaient que peu ou pas de moyens de refuser l’utilisation de leurs données par ces systèmes automatisés, mais aussi que certaines entreprises ne supprimaient pas toutes les données des utilisateurs en réponse à leurs demandes de suppression.
Intitulé « Un regard derrière les écrans », le rapport s’étonne que « les droits accordés en vertu du règlement général sur la protection des données n’ont pas été automatiquement accordés aux consommateurs américains » :
« Seules quelques entreprises ont déclaré avoir étendu aux utilisateurs américains les mêmes protections que celles accordées aux utilisateurs européens en vertu du RGPD. La plupart des entreprises ont déclaré avoir étendu aux utilisateurs américains une partie, mais pas la totalité, des modifications qu’elles ont apportées en réponse au RGPD. »
« Bien que lucratives pour les entreprises, ces pratiques de surveillance peuvent mettre en danger la vie privée des gens, menacer leurs libertés et les exposer à toute une série de préjudices, allant du vol d’identité au harcèlement », a déclaré la présidente de la FTC, Lina M. Khan :
« L’incapacité de plusieurs entreprises à protéger correctement les enfants et les adolescents en ligne est particulièrement troublante. Les conclusions du rapport arrivent à point nommé, en particulier au moment où les responsables politiques des États et du gouvernement fédéral envisagent de légiférer pour protéger les personnes contre les pratiques abusives en matière de données. »
Le rapport recommande dès lors au Congrès d’adopter une législation fédérale complète sur la protection de la vie privée afin de limiter la surveillance, de mettre en place des protections de base et d’accorder aux consommateurs des droits en matière de protection des données.
Les entreprises, de leur côté, ne devraient pas collecter d’informations sensibles par le biais de technologies de suivi publicitaire portant atteinte à la vie privée, mais également « limiter la collecte de données », et donc mettre en œuvre des politiques concrètes et applicables de minimisation et de conservation des données.
Elles devraient par ailleurs limiter le partage des données avec des tiers et des sociétés affiliées, supprimer les données des consommateurs lorsqu’elles ne sont plus nécessaires et adopter des politiques de protection de la vie privée « conviviales, claires, simples et faciles à comprendre ».
En réponse au rapport de la FTC, l’Interactive Advertising Bureau (IAB) explique être « déçue » de voir que la commission « continue de caractériser le secteur de la publicité numérique comme étant engagé dans une « surveillance commerciale de masse » » :
« Cette accusation laisse entendre que les données personnelles des consommateurs sont secrètement collectées et utilisées à des fins publicitaires. Rien n’est moins vrai, car d’innombrables études ont montré que les consommateurs comprennent l’échange de valeur et se réjouissent d’avoir accès à des contenus et services gratuits ou fortement subventionnés. »
L’IAB précise que « nous plaidons depuis longtemps pour que les consommateurs disposent de certains droits leur permettant de limiter l’utilisation de leurs données personnelles, y compris à des fins publicitaires », ce pourquoi il « soutient avec véhémence une loi nationale complète sur la confidentialité des données » :
« C’est au Congrès, et non à une agence fédérale, qu’il revient de trouver un équilibre entre les droits des consommateurs en matière de protection de la vie privée, la concurrence et l’échange de valeurs entre les consommateurs et les éditeurs. L’IAB et ses membres continueront à défendre la vie privée des consommateurs, la transparence et la capacité de tous les acteurs de l’économie numérique à faire des affaires. »