- Installation urgente des patchs Microsoft Exchange conformément à l’article 32 du RGPD est obligatoire.
- Les serveurs Exchange non patchés doivent être signalés comme violation de la protection dans les 72 heures.
- Après l’application des correctifs, tous les systèmes concernés doivent être vérifiés quant à leur conformité à l’article 32 du RGPD.
- Un éventuel risque élevé pour les personnes nécessite un examen au cas par cas et, le cas échéant, une notification conformément à l’article 34 du RGPD.
Il y a quelques jours, il a été annoncé que les serveurs de messagerie Microsoft Exchange étaient affectés par des vulnérabilités (voir par exemple les messages du BSI allemand). Combinées, ces vulnérabilités pouvaient être utilisées pour lancer des attaques, ce qui semble avoir été fait à grande échelle (Cancer sur la sécurité):
Au moins 30 000 organisations à travers les États-Unis – y compris un nombre important de petites entreprises, de villes et de gouvernements locaux – ont été piratées au cours des derniers jours par un virus particulièrement agressif. Unité de cyberespionnage chinoise qui se concentre sur le vol d’e-mails d’organisations victimes, selon plusieurs sources de KrebsOnSecurity. Le groupe d’espionnage exploite quatre défauts nouvellement découverts dans le logiciel de messagerie Microsoft Exchange ServerIl a semé des centaines de milliers d’organisations victimes dans le monde entier avec des outils qui donnent aux attaquants un contrôle total et à distance sur les systèmes affectés.
Microsoft a annoncé le 3 mars Mises à jour de sécurité pour les versions concernées du logiciel. Un risque semble exister en particulier pour les serveurs Exchange accessibles depuis Internet (par exemple via Outlook Web Access), mais aussi lors de l’utilisation d’autres services.
L’Office bavarois pour la protection des données a Les entreprises bavaroises doivent agir et a également procédé à une évaluation de la protection des données. Elle est introduite par le constat suivant
Nous sommes très préoccupés par le fait que, malgré les avertissements des autorités de sécurité et l’aide immédiate de Microsoft, des serveurs de messagerie vulnérables sont toujours présents sur le réseau.
Par conséquent, la BayLDA considère que les responsables concernés ont les obligations suivantes :
- Le site Installation des correctifs est obligatoire en vertu de l’article 32 du RGPD ;
- Les responsables qui ne l’ont pas encore fait “sont tenus de le faire, indépendamment de toute autre constatation, compte tenu du risque de sécurité extraordinairement élevé, notamment en raison de la fonction centrale des serveurs Exchange dans le système de communication des entreprises, de signaler la faille de sécurité en tant que violation de la protection dans un délai de 72 heures”. Cela “garantit que les étapes ultérieures visant à rétablir la sécurité de l’ensemble du système seront menées sous la supervision de la BayLDA” ;
- même si les correctifs ont été appliqués, “tous les sites concernés de vérifier que les systèmesLa Commission européenne a décidé d’examiner s’ils assurent encore la protection requise par l’article 32 du RGPD ;
- “Dans quelle mesure, dans certains cas, il existe même un risque élevé pour les personnes concernées et une Notification
de l’article 34 du RGPD est nécessaire, dépend en fin de compte du cas individuel. Il convient de procéder à un examen individuel
par le propre délégué à la protection des données des entreprises est nécessaire”.
En conclusion :
Après avoir informé les entreprises, le BayLDA a l’intention d’en faire plus. Cycles de contrôle. En cas de violation des dispositions du RGPD, les responsables de traitement qui ne réagissent pas de manière appropriée s’exposent alors à des procédures de surveillance pouvant aller jusqu’à des amendes1 .