Accord entre Marriott, la FTC et la justice US : un mauvais signal aux RSSI

Des années après avoir été victime d'un trio de violations de données majeures entre 2014 et 2020, le groupe hôtelier Marriott a conclu mercredi des accords avec la Commission fédérale du commerce des États-Unis (FTC) et un groupe de procureurs généraux de presque tous les États américains. Mais ces accords ont déçu de nombreux acteurs de la communauté en cybersécurité, car les sanctions pécuniaires et les exigences en matière de cybersécurité négociées semblent terriblement insuffisantes pour une entreprise de la taille de Marriott, dont le chiffre d'affaires s'est élevé à 23,7 Md$ l'an dernier. Selon Richard Blech, CEO de la société de cryptage XSOC, la liste peu convaincante des exigences en matière de cybersécurité envoie un mauvais signal aux responsables des systèmes d'information des entreprises dans tout le pays. « Elle donne une échappatoire aux directeurs financiers. Oh mon Dieu, c'est tout ce que nous devons faire ? Cela leur permet de cocher la case. Ils peuvent alors minimiser [les dépenses de sécurité] en pensant qu'ils n'ont pas besoin de dépenser plus d'argent », a déclaré M. Blech. « Cela va priver le RSSI de tout pouvoir de négociation. Cela ralentira l'action du RSSI, car cela permettra au directeur financier de dire : mettons-le dans le budget de l'année prochaine. Ils ont fait un compromis. »

Les deux accords - avec les États et la FTC - ont été négociés séparément, mais en parallèle. Les listes d'exigences de sécurité publiées par chacun d'eux se recoupent, mais elles ne sont pas identiques. Les États ont négocié collectivement un paiement de 52 M$. Les procureurs des États concernés représentaient 49 États américains plus Washington DC ; la Californie n'a pas participé. Cet Etat a expliqué ne pas avoir participé parce que « les données en cause dans cette violation n'étaient pas, à l'époque, couvertes par les lois californiennes sur les violations de données. Nous avons remédié à cette situation en adoptant la loi AB 1130, qui a été inspirée par cette violation. Veuillez consulter le communiqué de presse d'octobre 2019 annonçant cette législation », indique un courriel du service de presse du procureur général de Californie.

Zoom sur les exigences en matière de sécurité conclues

Pour les procureurs et les Etats américains :

• Un programme complet de sécurité de l'information qui « intègre les principes zero trust, des rapports réguliers sur la sécurité aux plus hauts niveaux de l'entreprise, y compris le CEO, et une formation renforcée des employés sur le traitement et la sécurité des données » ;

• Exigences en matière de minimisation et d'élimination des données ;

• Durcissement des composants, inventaire des actifs, chiffrement, segmentation pour limiter la capacité d'un intrus à se déplacer dans un système, gestion des correctifs pour s'assurer que les correctifs de sécurité essentiels sont appliqués en temps voulu, détection des intrusions, contrôle de l'accès des utilisateurs, journalisation et surveillance pour suivre les mouvements des fichiers et des utilisateurs au sein du réseau ;

• Une surveillance accrue des fournisseurs et des franchisés, avec un accent particulier sur l'évaluation des risques pour les « fournisseurs informatiques critiques », et des contrats clairement définis avec les fournisseurs d'informatique cloud ;

• À l'avenir, si Marriott acquiert une autre entité, elle devra, en temps utile, évaluer plus avant le programme de sécurité de l'information de l'entité acquise et élaborer des plans pour combler les lacunes ou les insuffisances identifiées en matière de sécurité dans le cadre de l'intégration au réseau de Marriott ;

• Une évaluation du programme de sécurité de l'information de Marriott par un tiers indépendant tous les deux ans pendant une période de 20 ans pour une surveillance supplémentaire de la sécurité ;

Marriott proposera par ailleurs aux consommateurs des protections spécifiques, y compris une option de suppression des données, même si les consommateurs ne disposent pas actuellement de ce droit en vertu de la législation en vigueur. Marriott doit aussi proposer aux consommateurs une authentification multifactorielle pour leurs comptes de fidélité.

Pour la FTC :

• La minimisation des données : Marriott doit mettre en œuvre une politique visant à « conserver les informations personnelles uniquement pendant la durée raisonnablement nécessaire à la réalisation de l'objectif pour lequel elles ont été collectées. Les entreprises doivent également faire connaître l'objectif de la collecte des informations personnelles et les besoins spécifiques de l'entreprise pour les conserver » ;

• Programme complet de sécurité de l'information : Marriott et Starwood sont tenus d'établir, de mettre en œuvre et de maintenir un programme complet de sécurité des informations et d'en certifier la conformité à la FTC chaque année pendant 20 ans. Le programme de sécurité de l'information doit contenir des garanties solides et faire l'objet d'une évaluation indépendante par un tiers tous les deux ans ;

• Suppression des données : Les entreprises doivent fournir un lien permettant aux clients de demander la suppression des informations personnelles associées à une adresse électronique et/ou à un numéro de compte du programme de fidélisation.

La FTC a constaté que Marriott avait « trompé les consommateurs en prétendant disposer d'une sécurité des données raisonnable et appropriée ». Malgré ces affirmations, les entreprises n'ont pas déployé de mesures de sécurité raisonnables ou appropriées pour protéger les informations personnelles. En vertu de la proposition d'ordonnance, il sera interdit à Marriott et Starwood de présenter de manière trompeuse la manière dont elles collectent, conservent, utilisent, suppriment ou divulguent les informations personnelles des consommateurs ».

Des exigences pas assez spécifiques

La préoccupation concernant les exigences n'est pas dûe tant à leur faiblesse qu'à leur manque de spécificité pour être significatives. Par exemple, elles ne précisaient pas la nature de l'authentification multifactorielle à utiliser ou les détails d'un effort en matière de zero trust à faire. Deux avocats de la FTC impliqués dans les négociations avec Marriott, qui ont demandé à ce que leurs noms ne soient pas utilisés, ont déclaré lors d'un entretien avec CSO qu'il n'aurait pas été pratique de fournir de nombreux détails, étant donné que l'accord est rédigé pour une durée de 20 ans. « Il s'agit d'une commande de 20 ans. Ce qui est à la pointe du progrès aujourd'hui ne le sera plus en 2044 », a fait savoir l'un des avocats de la FTC. « Cela reviendrait à spécifier que les données doivent être sauvegardées sur une bande 8 pistes.

Les membres du personnel de la FTC ont déclaré que bon nombre de ces exigences seraient nouvelles pour Marriott, mais ils ont ensuite précisé qu'ils entendaient par « nouvelles » des capacités dont Marriott ne disposait pas lors des violations initiales de 2014 à 2020. Ils ont souligné qu'ils ne savaient pas ce que le groupe avait ajouté depuis, ce dernier n'ayant pas répondu à une demande de clarification. L'entreprise a toutefois publié une déclaration standard en réponse aux règlements. « Dans le cadre des accords conclus avec la FTC et les procureurs généraux des États, Marriott continuera à améliorer ses programmes de confidentialité des données et de sécurité de l'information, dont un grand nombre sont déjà en place ou en cours de mise en œuvre », peut-on lire dans le communiqué. « La protection des données personnelles des clients reste une priorité absolue pour Marriott. Ces résolutions réaffirment l'attention continue de l'entreprise et ses investissements importants dans le maintien et l'adaptation de ses programmes et systèmes pour évaluer, identifier et gérer les risques liés à l'évolution des menaces de cybersécurité. »

Les sanctions sont insuffisantes selon les experts

Roger Grimes, évangéliste en matière de défense auprès de la société de formation en cybersécurité KnowBe4, a mis en garde les responsables de la sécurité contre le fait que les problèmes rencontrés par Marriott, qui sont principalement dus à des négligences et à des coupes sombres, sont propres à la chaîne hôtelière. Ne pensez pas que Marriott « est une entreprise uniquement mauvaise, qui ne met pas bien en œuvre des contrôles de cybersécurité alors que la majorité du reste du monde fait tout ce qu'il faut. La plupart des entreprises ont des lacunes importantes dans leurs contrôles de cybersécurité. La plupart d'entre elles ne font pas ce qu'il faut. Marriott est loin d'être particulièrement un mauvais acteur », a déclaré M. Grimes. « La plupart des entreprises effectuent des contrôles de cybersécurité comme Marriott, c'est-à-dire qu'elles font probablement beaucoup de bonnes choses, mais ont aussi de nombreuses lacunes et mettent mal en oeuvre de nombreux contrôles. On parle souvent de la cybersécurité comme d'une chose que nous devons prendre très au sérieux, mais dans la pratique, la plupart des sociétés ont de sérieuses lacunes. Matthew Webster, CEO de la société de sécurité Cyvergence, a déclaré qu'il était également préoccupé par les détails du règlement. « Il y a plus de questions que de réponses en ce qui concerne Marriott, mais ce règlement semble tout à fait insuffisant. Il y a des défis évidents à relever », a déclaré M. Webster. « Il y a des défaillances évidentes telles que des méthodologies de détection médiocres, comme un SIEM, un NGAV, un EDR, mais il y a des considérations plus importantes à prendre en compte. » M. Blech a souligné que ces engagements ne correspondent probablement pas à ce que les États ou la FTC souhaitaient, mais qu'il s'agit du meilleur engagement qu'ils aient pu obtenir de Marriott.

« Il s'agit d'un accord. Cela signifie un compromis, ce qui n'est pas bon. Marriott se fiche éperdument de la sanction pécuniaire, c'est simplement le prix à payer pour faire des affaires. Ce qu'ils ont obtenu n'est qu'un minimum de ce qu'ils auraient dû faire de toute façon et qu'ils sont maintenant obligés de faire, ce qui leur déplaît probablement bien plus que la sanction pécuniaire », explique M. Blech. « Ils devraient être pénalisés bien davantage, par exemple en perdant certains de leurs biens, ce qui serait bien plus punitif et efficace. [...] Compte tenu de l'ampleur des violations, il est certain qu'ils n'ont pas adopté les meilleures pratiques ou une bonne hygiène en matière de cybersécurité, en particulier en ce qui concerne les contrôles d'accès. Et il est clair qu'ils n'ont pas utilisé le chiffrement correctement, voire pas du tout, là où c'était nécessaire. » En effet, Marriott a faussement déclaré au tribunal, pendant cinq ans, qu'elle utilisait une authentification forte, alors qu'en réalité elle n'en utilisait aucun.

Une cascade de multiples défaillances

« Le fait que Marriott ait mis des années à détecter les cybercriminels qui se cachaient dans ses systèmes est inacceptable et aurait pu être évité si ses responsables informatiques avaient été plus proactifs et stratégiques en matière d'hygiène informatique », a déclaré Marc van Zadelhoff, CEO de la société Mimecast, spécialisée dans la sécurité des courriels. « Il ne s'agit pas d'une petite erreur, mais d'un événement Black Swan qui est la conséquence d'une cascade de défaillances multiples. » Robert Kramer, vice-président et analyste principal de Moor Insights & Strategy, a déclaré quant à lui que le principal problème à l'origine des violations était les problèmes de sécurité dans les systèmes de Starwood dont Marriott a hérité lors de l'acquisition. L'échec de Marriott est dû au fait qu'il a souffert d'un « manque flagrant de diligence raisonnable lors de l'acquisition » et que les nouveaux mandats de sécurité « ne seront pas suffisants », a déclaré M. Kramer. « Ils ne font pas assez de choses qui sortent des sentiers battus », comme l'utilisation de grands livres distribués propres à la blockchain par exemple.

Les nouvelles dispositions « n'entrent pas suffisamment dans les détails pour garantir que cela ne se reproduira pas », a déclaré M. Kramer. « Il s'agit de mettre en œuvre des politiques sans disposer d'un mécanisme de mise en œuvre des bons facteurs de réussite. « La FTC n'a pas été assez ferme, avec des détails spécifiques. Elle aurait dû être beaucoup plus sévère. Elle ne devrait pas s'en tirer avec ce genre de tape sur les doigts. Cela ne montre pas le niveau d'inquiétude nécessaire », a déclaré M. Kramer. « Et cela nuit à ce qui est nécessaire pour avoir une sécurité avancée. Cela nuit à ce que les entreprises doivent exiger comme norme. Cela réduit les dépenses que le directeur financier recevra du directeur général. » M. Kramer s'est référé en particulier à l'obligation faite à Marriott par les États d'« intégrer les principes zero trust ». Avant de poursuivre : « C'est beaucoup trop vague. C'est une idée. Il n'y a ni base ni spécificité dans ce qu'ils doivent faire pour l'appliquer. Parler de principes est ridicule. C'est un ramassis de mots en l'air. Cela ne veut absolument rien dire. Cela n'a aucun sens ».

Katell Thielemann, analyste distinguée du Gartner, a déclaré qu'elle s'attendait à ce que de futurs règlements pris pour d'autres entreprises soient potentiellement plus stricts. « Maintenant qu'il y a ce précédent, je peux imaginer qu'il sera invoqué plus fréquemment et que des mandats de sécurité plus importants soient mis en place si les conséquences des violations le justifient », a déclaré Mme Thielemann. « Si une autre cyberattaque devait avoir des conséquences différentes pour les individus - par exemple, un préjudice financier direct - ou pour la société - par exemple, en raison de la multiplication des attaques contre les infrastructures critiques -, les mesures de sécurité obligatoires devraient être renforcées en fonction de ces conséquences. » Maintenant que les règles du jeu sont en place, il est à espérer qu'il ne faudra pas attendre dix ans pour que de tels accords soient conclus.