1,000 Data Breaches Later, the Disclosure Lag is Worse Than Ever

La dégradation inquiétante des délais de notification des fuites de données

Le cap des 1 000 fuites de données répertoriées sur Have I Been Pwned met en lumière une tendance préoccupante : l’allongement croissant des délais de notification par les entreprises victimes. Malgré des réglementations strictes comme le RGPD ou le CCPA, la transparence semble reculer au profit de stratégies juridiques défensives.

Points clés :

• Inertie décisionnelle : Les entreprises justifient souvent leurs délais par le besoin d’une « analyse approfondie », alors que l’extraction et l’identification des données exposées pourraient être réalisées beaucoup plus rapidement.
• Posture juridique vs protection du client : La crainte des recours collectifs (class actions) pousse les organisations à privilégier la minimisation des risques légaux au détriment de l’information des victimes.
• L’échappatoire réglementaire : Les législations actuelles contiennent des clauses limitant l’obligation de notifier aux seuls cas de « risque élevé » ou de « dommage sérieux ». Les entreprises exploitent ces définitions restrictives pour éviter de déclarer des fuites pourtant massives et publiques.
• Déconnexion sociale : Il existe un fossé entre les attentes des utilisateurs (être informés dès qu’une brèche est connue) et la réalité des pratiques des entreprises, qui traitent la divulgation comme une contrainte juridique plutôt que comme un devoir envers leurs clients.

Vulnérabilités : L’article ne traite pas d’une vulnérabilité technique spécifique (CVE), mais pointe une vulnérabilité systémique et procédurale : l’incapacité des organisations à gérer la communication de crise de manière éthique, exacerbée par les menaces d’extorsion (ex: groupe ShinyHunters).

Recommandations :

• Prioriser la transparence : Les entreprises devraient adopter une posture de communication proactive, même avant d’avoir une vision exhaustive de l’incident, pour permettre aux utilisateurs de protéger leurs comptes.
• Révision des attentes : Les régulateurs devraient durcir les critères de notification pour éviter que les entreprises ne choisissent unilatéralement d’ignorer la fuite sous prétexte que les données ne sont pas classées « sensibles » selon des définitions juridiques trop étroites.
• Vigilance accrue des utilisateurs : Face au silence des entreprises, le recours à des services de surveillance indépendants demeure essentiel pour les individus afin de détecter rapidement l’exposition de leurs identifiants.

Source