Etats-Unis : Les éditeurs bientôt responsables de leurs failles

L'Etat américain doit faire voter une loi qui instaure la responsabilité des éditeurs en matière de sécurité et de faille informatique. C'est la principale des recommandations du CSTB (*), qui souhaite voir les éditeurs " évaluer eux même leurs versions de lancement plutôt que de prendre les utilisateurs pour des bêta-testeurs ". Et ce pourrait être le début de la fin du régime d'impunité et de déresponsabilisation que connaissent jusqu'à présent les éditeurs. Aujourd'hui aux Etats-Unis, seuls les pirates sont poursuivis pour l'exploitation de failles dont ils ne sont pourtant pas à l'origine. Selon le CSTB, les utilisateurs victimes d'intrusions devraient pouvoir demander des comptes à leurs fournisseurs.

Dans un rapport publié à la suite de la réaction sécuritaire de septembre 2001, le comité affirme que les problèmes de sécurité informatique ont été négligés au cours des dix dernières années. Et d'accuser aussi bien les éditeurs, que les pouvoirs publics ou les utilisateurs. Tous ont privilégié " les performances des logiciels et les fonctionnalités commerciales au détriment de la sécurité ".

Par ailleurs, le CSTB soupçonne les éditeurs de faire de la rétention d'information concernant les failles éventuelles des logiciels. En, tout cas, AOL et Microsoft viennent tour à tour de s'en prendre aux " découvreurs de failles ", accusés de faire le jeu des pirates en dévoilant les vulnérabilités.

Une attitude qui pourrait évoluer : deux des membres du CSTB étant salariés des de ces sociétés.

(*) Computer Science and Télécommunications Board, organisme regroupant, sous l'égide de la National Academy of Sciences, 21 experts dont 12 universitaires.