{"d":{"__metadata":{"id":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')","uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')","type":"itsystems.Pd.DataServices.DataModel.Business"},"BusinessResponsibilities":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/BusinessResponsibilities"}},"RelatedBusinesses":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/RelatedBusinesses"}},"BusinessRoles":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/BusinessRoles"}},"Publications":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Publications"}},"LegislativePeriods":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/LegislativePeriods"}},"Sessions":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Sessions"}},"Preconsultations":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Preconsultations"}},"Bills":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Bills"}},"Councils":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Councils"}},"BusinessTypes":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/BusinessTypes"}},"Votes":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Votes"}},"SubjectsBusiness":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/SubjectsBusiness"}},"BusinessStates":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/BusinessStates"}},"Council":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Council"}},"Transcripts":{"__deferred":{"uri":"https://ws.parlament.ch/OData.svc/Business(ID=20231050,Language='FR')/Transcripts"}},"ID":20231050,"Language":"FR","BusinessShortNumber":"23.1050","BusinessType":18,"BusinessTypeName":"Question","BusinessTypeAbbreviation":"Q","Title":"Quelles sont les cons\u00e9quences du cyberincident qui a touch\u00e9 le nuage Microsoft pour la Conf\u00e9d\u00e9ration?","Description":null,"InitialSituation":null,"Proceedings":null,"DraftText":null,"SubmittedText":"

Une agence gouvernementale am\u00e9ricaine non nomm\u00e9e a d\u00e9couvert au mois de juin des acc\u00e8s ill\u00e9gaux \u00e0 ses comptes dans le nuage Azure de Microsoft. Une enqu\u00eate a montr\u00e9 que des cybercriminels chinois avaient r\u00e9ussi \u00e0 voler une cl\u00e9 Master Key de Microsoft et \u00e0 en faire une utilisation abusive. Microsoft a d\u00fb admettre par la suite que la cl\u00e9 donnait non seulement acc\u00e8s \u00e0 des comptes de messagerie, mais aussi \u00e0 des comptes requ\u00e9rant une authentification personnelle comme Sharepoint, le logiciel de conf\u00e9rence Teams, OneDrive ou des applications client avec login Microsoft. Il n\u2019est pas exclu qu\u2019une partie de l\u2019infrastructure d\u2019informatique en nuage soit encore compromise du point de vue de la s\u00e9curit\u00e9.

 

  1. Comment le Conseil f\u00e9d\u00e9ral \u00e9value-t-il l\u2019ampleur de l\u2019incident pour l\u2019administration f\u00e9d\u00e9rale ?
  2. La Conf\u00e9d\u00e9ration dispose-t-elle de droits pour auditer le fournisseur ?
  3. Les fichiers journaux suppl\u00e9mentaires que Microsoft a mis \u00e0 la disposition de ses clients ont-ils \u00e9t\u00e9 analys\u00e9s ? Qu\u2019a-t-on d\u00e9couvert ?
  4. Quelles actions le Conseil f\u00e9d\u00e9ral a-t-il engag\u00e9es afin de d\u00e9tecter une \u00e9ventuelle compromission des applications de l\u2019administration d\u00e9j\u00e0 migr\u00e9es dans le nuage Microsoft ?
  5. Quel impact a cette attaque aboutie contre Microsoft sur le passage d\u00e9j\u00e0 d\u00e9cid\u00e9 de la bureautique \u00e0 Office365 ?

 

","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"
  1. Selon la d\u00e9claration \u00e9crite de la soci\u00e9t\u00e9 Microsoft du 11 ao\u00fbt 2023, l\u2019administration f\u00e9d\u00e9rale ne fait pas partie des victimes de l\u2019incident Storm 0558, ce que confirme l\u2019enqu\u00eate interne en l\u2019\u00e9tat actuel.
  2. Microsoft accorde \u00e0 ses clients un droit d\u2019audit contractuel qui leur permet, si n\u00e9cessaire, de faire v\u00e9rifier le traitement des donn\u00e9es par des experts ind\u00e9pendants et leur donne acc\u00e8s aux rapports d\u2019audit internes de Microsoft.
  3. Oui, les fichiers journaux ont \u00e9t\u00e9 v\u00e9rifi\u00e9s par les prestataires internes. Aucune compromission des comptes de la Conf\u00e9d\u00e9ration n\u2019a \u00e9t\u00e9 constat\u00e9e.
  4. Il n\u2019y a actuellement aucune application M365 en environnement infonuagique productif. Un monitorage du trafic de donn\u00e9es et une analyse des fichiers journaux ont \u00e9t\u00e9 r\u00e9alis\u00e9s pr\u00e9ventivement et sont d\u00e9sormais int\u00e9gr\u00e9s \u00e0 l\u2019organisation d\u2019exploitation du fournisseur de prestations interne. Toutes les cl\u00e9s de signature Microsoft (MSA) actives avant l\u2019incident, y compris celle achet\u00e9e par l\u2019attaquant, ont \u00e9t\u00e9 invalid\u00e9es. Microsoft a corrig\u00e9 l\u2019erreur de conception dans le processus de validation au moyen de jetons. L\u2019administration f\u00e9d\u00e9rale a pris des mesures d\u2019urgence pour am\u00e9liorer la communication interne en cas d\u2019incident de s\u00e9curit\u00e9. Le NCSC, le secteur TNI et l\u2019OFIT organisent actuellement un syst\u00e8me d\u2019alerte dans le contexte de l\u2019infrastructure en nuage.
  5. L\u2019incident Storm 0558 n\u2019a pas d\u2019impact sur la d\u00e9cision de d\u00e9ployer M365. L\u2019interdiction de traiter des informations sensibles (au sens de la LPD) ou confidentielles (au sens de l\u2019OPrl ou de la LSI \u00e0 partir du 01.01.2024) dans le nuage informatique avait d\u00e9j\u00e0 \u00e9t\u00e9 prise avant, et le projet CEBA propose des moyens organisationnels et techniques \u00e0 cet effet.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1700611200000)\/","SubmittedBy":"Andrey Gerhard","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1700640047000)\/","ResponsibleDepartment":10,"ResponsibleDepartmentName":"Chancellerie f\u00e9d\u00e9rale","ResponsibleDepartmentAbbreviation":"ChF","IsLeadingDepartment":true,"Tags":"4|34","Category":null,"Modified":"\/Date(1763099464880)\/","SubmissionDate":"\/Date(1695859200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5122,"SubmissionLegislativePeriod":51,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique d'Etat|M\u00e9dias et communication"}}