Actualités quotidiennes du Japon
La politique de cybersécurité évolue, passant d’un avertissement sur des données publiques à des projets de normes industrielles
Le Japon a ouvert une consultation sur une version actualisée de son cadre de sécurité cyberphysique, tandis que l’Agence numérique avertit que d’anciennes données issues de formulaires de contact pourraient avoir été exposées.
Évolutions
Deux avis officiels montrent que le Japon fait face à des enjeux de cybersécurité à des stades différents : l’un invite les organisations à formuler des observations sur des orientations industrielles actualisées, tandis que l’autre avertit les particuliers au sujet de données qui pourraient déjà avoir été exposées.
1. Le METI ouvre une consultation de deux mois sur la version 1.1 du CPSF
Le gouvernement a ouvert une consultation publique volontaire sur un projet de mise à jour du Cadre de sécurité cyberphysique, les observations étant acceptées du 23 octobre à 16:00 au 22 décembre à 00:00. La révision actuelle actualise les mesures de sécurité opérationnelle du cadre et ses annexes afin de tenir compte des normes plus récentes du NIST et de l’ISO, notamment au moyen de correspondances renforcées en matière de gouvernance et de risques liés à la chaîne d’approvisionnement. Le METI identifie également les agents d’IA et les attaques assistées par l’IA comme des risques émergents, mais indique que des modifications plus complètes concernant ces risques relèveront d’étapes ultérieures de la révision. Le document constitue donc une proposition, et non une norme contraignante ou définitive. (Ouvrir la consultation, Lire la présentation officielle de la révision)
2. L’Agence numérique avertit que d’anciennes données issues de formulaires de contact pourraient avoir été exposées
L’Agence numérique indique que Studio a signalé un accès non autorisé à son environnement infonuagique, ce qui crée la possibilité que des données aient pu être obtenues depuis l’extérieur. Les enregistrements potentiellement concernés comprennent plusieurs groupes de demandes du public et d’inscriptions à des événements saisis entre mai 2021 et mars 2023, ainsi que 35 comptes Studio appartenant à l’agence ou à ses prestataires. L’agence cherchait encore à déterminer l’étendue réelle de l’incident ; ses chiffres maximaux ne doivent donc pas être interprétés comme des totaux confirmés de données divulguées. Elle a indiqué qu’aucune utilisation abusive secondaire n’avait été confirmée au moment de la publication et a conseillé au public de se méfier des messages, liens et pièces jointes suspects, ainsi que des demandes d’identifiants ou d’informations de paiement. (Lire l’avis de l’Agence numérique)
Ce que les lecteurs et les organisations doivent en retenir
Ces deux évolutions appellent des réponses différentes. Les organisations peuvent examiner le projet de cadre et décider si elles souhaitent formuler des observations avant la date limite ; les personnes ayant auparavant contacté l’Agence numérique au moyen des services concernés doivent faire preuve de prudence face aux communications inattendues, sans supposer pour autant que leurs propres données ont nécessairement été exposées.