Fuite de données aux Pays-Bas : ce que les développeurs doivent en retenir

Une série de fuites de données touche actuellement les Pays-Bas. Blauw, un important institut d’études de marché néerlandais, a signalé une fuite de données en début de semaine. Blauw réalise des études qualitatives pour des entreprises et des événements, et travaille avec de nombreuses grandes marques néerlandaises.

La fuite actuelle de données clients a déjà exposé les données personnelles d’un nombre considérable de consommateurs néerlandais. À ce jour, les incidents connus sont les suivants :

• VodafoneZiggo, l’un des principaux fournisseurs de télécommunications, de télévision et d’accès à Internet aux Pays-Bas : 700 000 clients concernés (références EN, NL)

• NS, la compagnie ferroviaire nationale néerlandaise : 780 000 clients concernés (références EN, NL)

• Vriend van Amstel Live, un format de concert de la société Heineken : 22 000 clients concernés (référence NL)

Compte tenu de la diversité des marques pour lesquelles Blauw réalise des études de marché, ces chiffres ne sont probablement que la partie émergée de l’iceberg. Cependant, certains clients — comme Albert Heijn, Etos, bol.com et Vattenfall — indiquent ne pas avoir été touchés par la fuite de données.

Que peuvent apprendre les développeurs de fuites de données comme celle-ci ?

Comme nous ne connaissons pas encore la cause de la fuite et que Blauw a refusé de révéler le nom de son fournisseur logiciel, inutile de spéculer. Cette fuite de données reste toutefois riche d’enseignements. Les Pays-Bas ne comptent que 17,5 millions d’habitants : les chiffres ci-dessus sont donc considérables ! Les répercussions seront probablement importantes et l’affaire fait assurément la une de l’actualité nationale. Le journal « Algemeen Dagblad » écrit que des millions de citoyens néerlandais pourraient avoir été victimes de cette fuite de données.

Les fuites de données peuvent entraîner de graves problèmes de sécurité. En tant que développeurs de systèmes logiciels, nous devons prendre nos responsabilités au sérieux. Les solutions que nous concevons pour nos applications doivent être évolutives, faciles à maintenir et sécurisées. Travailler au sein d’équipes d’ingénierie autonomes est efficace, mais adopter une démarche axée sur la sécurité pendant le développement est aujourd’hui essentiel. Se contenter de créer une solution fonctionnelle ne suffit plus.

Étonnamment, des problèmes comme le cross-site scripting et l’injection SQL figurent toujours parmi les principales vulnérabilités des applications modernes, et ce depuis des années. Cela signifie probablement que les développeurs ne prennent pas suffisamment de mesures de sécurité ou ne sont pas assez formés pour lutter contre ces problèmes.

Il faut aussi tenir compte de la chaîne d’approvisionnement. Le code écrit par les développeurs ne représente qu’une petite partie des applications. Les frameworks et bibliothèques open source font souvent le gros du travail et accélèrent le développement. Mais, comme les voitures et les bâtiments dans le monde réel, les logiciels open source nécessitent un entretien. Mettre régulièrement les bibliothèques à jour, par exemple, devrait faire partie des pratiques courantes.

Que doivent faire les développeurs ?

Heureusement, les développeurs disposent de nombreux moyens pour protéger leurs applications contre ce type de fuite de données.

• Formez-vous aux vulnérabilités courantes.
  Snyk Learn est une excellente plateforme gratuite qui propose plusieurs cours et parcours d’apprentissage, comme le parcours OWASP Top 10, consacré aux vulnérabilités courantes.

• Utilisez des outils pour détecter les vulnérabilités de sécurité dans votre code personnalisé.
  Snyk Code est une excellente solution gratuite qui analyse votre code dans votre IDE ou dans votre pipeline afin de détecter des problèmes comme le parcours de répertoires ou l’injection SQL.

• Effectuez des revues de code rigoureuses. Prévoyez suffisamment de temps et mobilisez les bonnes personnes pour les réaliser. Consultez cette fiche pratique pour en savoir plus.

• Maintenez vos dépendances et vos frameworks à jour. Consultez cet article de blog pour découvrir comment mettre en place une stratégie efficace de gestion des dépendances.

• Améliorez votre système de build et de mise en production afin de pouvoir facilement reconstruire, redéployer ou distribuer votre application dès qu’une vulnérabilité est découverte.

• Analysez vos bibliothèques open source pour détecter les vulnérabilités connues. Snyk Open Source est un excellent point de départ.

• Surveillez votre application en production pour détecter les nouvelles vulnérabilités.
  De nouveaux problèmes sont découverts au fil du temps. Grâce à Snyk Monitor, suivez ce qui se passe en production directement depuis votre CLI.

En tant que développeur, vous avez la responsabilité de veiller à la sécurité du code que vous écrivez : c’est vous qui tenez le volant et mettez les solutions en œuvre.

Il est impossible d’empêcher totalement les fuites de données comme celle-ci, tant les circonstances qui les provoquent sont nombreuses. Cependant, la plupart des violations et des fuites résultent d’une combinaison de problèmes de sécurité courants. Réduire le nombre de vecteurs d’attaque potentiels est la responsabilité de toutes les personnes qui travaillent sur le système ou l’utilisent, y compris les développeurs. La collaboration et les échanges autour des pratiques de codage sécurisé permettent de limiter les incidents de sécurité — et les gros titres qui en découlent.