Cyberattaque et vol de données ayant touché la DGFiP

[pchmartin]

Le DPO ne me semble pas vraiment être le sujet. C’est le RSSI surtout.

@MDacier

La DGFIP c'est 795 applications différentes utilisées par 95000 agents ..
[lien réservé abonné]
C'est absolument hors normes en terme de système d'infomations
Parler du RSSI ou du DPO est hors sujet ... ils n'y peuvent pas grand chose
On est en présence d'un sous investissement chronique qui a été décidé par l'état , sous Sarkozy, Hollande ou Macron ... et on a préféré mettre l'argent disponible dans les nouvelles applications, car on peut se faire de la pub dessus, que dans les conversions d'un système obsolète vers un nouveau système qui ne se voient pas ..

 

[Axiles]

@MDacier

La DGFIP c'est 795 applications différentes utilisées par 95000 agents ..
[lien réservé abonné]
C'est absolument hors normes en terme de système d'infomations
Parler du RSSI ou du DPO est hors sujet ... ils n'y peuvent pas grand chose
On est en présence d'un sous investissement chronique qui a été décidé par l'état , sous Sarkozy, Hollande ou Macron ... et on a préféré mettre l'argent disponible dans les nouvelles applications, car on peut se faire de la pub dessus, que dans les conversions d'un système obsolète vers un nouveau système qui ne se voient pas ..

C’est la qu’intervient le rôle d’une commission d’enquête. Savoir si les alertes ont été levées et ignorées permet de répondre à la question, mais au vu des ressources (5000 développeurs), je ne sauterais pas encore à une conclusion. Les moyens Mis sur la table ne sont pas négligeables. Sont-ils suffisants ?

Je suis plutôt aligné avec vous mais on manque d’éléments pour être affirmatifs.

 

[pchmartin]

C’est la qu’intervient le rôle d’une commission d’enquête. Savoir si les alertes ont été levées et ignorées permet de répondre à la question, mais au vu des ressources (5000 développeurs), je ne sauterais pas encore à une conclusion. Les moyens Mis sur la table ne sont pas négligeables. Sont-ils suffisants ?

Je suis plutôt aligné avec vous mais on manque d’éléments pour être affirmatifs.

J'ai rien contre une commission d'enquête .. mais vous savez très bien que sur un sujet aussi politique, on peut l'orienter dans le sens qu'on veut .. sur tout qu'il va falloir remonter en arrière sur plusieurs dizaines d'années

Dans une entreprise privée, un DSI avec autant de backlog sur les applications ( seulement 22% transféré) aurait alerté le DG et le Conseil d'Administration sur le fait que le SI n'était pas assez sécurisé et donc qu'il y avait un risque important de fuites de données ... cela lui aurait été d'autant plus facile si il venait de l'extérieur ..
Devant le risque que l'action dévisse si il y avait une fuite importante rendue publique, il aurait eu des moyens supplémentaires de la part des dirigeants

A la DGFIP, on a un DSi qui y a fait toute sa carrière en gravissant un à un tous les échelons et les différents types de postes [lien réservé abonné] il n'est pas dans la même situation car ça fait 20 ans qu'il est partie prenante .. et surtout Qui Alerter ? La DG ? une Science Po ENA Inspection des Finances qui vient de l'ARS , de l'AP HP et des Ministères .. .. Bercy ? le Gouvernement ?
On a du lui faire comprendre que l'important était qu'il réussisse les nouvelles applications ... et qu'il se démerde avec les conversions ..
Voilà son interview de février ..
Nous avons tout l’arsenal de protection : parefeu, anti-DDoS, supervision de sécurité, que nous assurons d’ailleurs en interne. Mais nous rencontrons des difficultés avec les applications anciennes, qui n’ont pas été conçues avec ces exigences dès le départ. Malgré cela, nous sommes plutôt bien positionnés. Je touche du bois. Il ne faut jamais être triomphaliste sur ces sujets"

[lien réservé abonné]

Je lirai les résultats de la commission d'enquête avec grand interêt ...

 

[attentif]

Dans une entreprise privée, un DSI avec autant de backlog sur les applications ( seulement 22% transféré) aurait alerté le DG et le Conseil d'Administration sur le fait que le SI n'était pas assez sécurisé et donc qu'il y avait un risque important de fuites de données ... cela lui aurait été d'autant plus facile si il venait de l'extérieur ..
Devant le risque que l'action dévisse si il y avait une fuite importante rendue publique, il aurait eu des moyens supplémentaires de la part des dirigeants

Bonjour @pchmartin ,

Dans le cas d'une banque, il y a l'Inspection Générale (IG) qui peut "inciter" la direction générale à mettre les moyens.
Je me suis souvent appuyé sur cette entité quand j'étais RSSI.

 

[MDacier]

On a beau prétendre que DPO est hors sujet, je serais DPO d'une telle mega structure, je ne dormirais pas tranquille.
A moins d'être totalement inconscient ou persuadé d'être inamovible

 

[Jeune_padawan]

Et ça arrive même aux autres : [lien réservé abonné]

Le registre nationale qui regroupe certaines données (état civil, liens familiaux, l’éventuelle appartenance à l’Église du Danemark, numéro CPR (numéro Sécurité sociale), ...) des habitants du Danemark a été siphonné le mois dernier.

En France c'est la région Haut de France qui a eu le droit à un piratage en règle via les logiciel de 2 prestataires (Atexo et Docaposte), résultat les données de 700 000 personnes ont été récupérées dont des RIB. va falloir investir dans des IA anti-pirates dans les systèmes informatiques.

 

[MDacier]

Un responsable informatique de la DGFiP met fin à ses jours dans son bureau à Paris, un syndicat tire la sonnette d'alarme
[lien réservé abonné]