Les menaces à la sécurité provenant des systèmes font malheureusement partie des réalités de la vie. L'équipe Ingénierie et technologies de l'information de l'organisation de l'ICANN met tout en œuvre à de nombreux égards afin de protéger et renforcer la sécurité de nos systèmes. De temps à autre, certains événements donnent lieu à des activités spécifiques et ciblées en matière de sécurité qui peuvent avoir un impact sur l'organisation et/ou la communauté de l'ICANN. Notre engagement à garantir l'ouverture et la transparence nous impose de dévoiler à la communauté les deux événements suivants. À ce stade de l'enquête, on estime qu'aucun de ces incidents n'a débouché sur une mise en péril des données de l'ICANN.
Problème lié aux services de messagerie d'Intermedia
L'organisation de l'ICANN externalise ses services de messagerie à un fournisseur de services d'informatique en nuage, Intermedia. Le 21 août 2017, le département des technologies de l'information de l'organisation de l'ICANN a découvert un problème avec le poste de contrôle administratif des clients pour les services de messagerie pris en charge par Intermedia. Il en a informé Intermedia, a mené une enquête minutieuse et a conclu à l'absence d'atteinte à la protection des données du Conseil d'administration, de l'organisation ou de la communauté de l'ICANN du fait dudit problème. Le 22 août 2017, Intermedia, en application de son processus d'intervention rapide en cas d'incident, a pris des mesures correctives.
Faille dans l'analyseur Jakarta multipart d'Apache Struts
Le 18 septembre 2017, l'organisation de l'ICANN a procédé à un examen des services de l'ICANN gérés en interne. Les premières conclusions laissent à penser qu'aucun de ces services ne serait affecté par la vulnérabilité d'Apache Struts (CVE-2017-5638). Nous avons également engagé un processus visant à prendre contact avec nos fournisseurs de services externes afin d'obtenir leur évaluation de l'impact dudit problème. À l'heure actuelle, les rapports reçus indiquent que 16 services ne sont pas affectés, et nous attendons des réponses de nos fournisseurs concernant les autres services.
Suite à ces deux révélations, nous avons jugé qu'il était nécessaire de formaliser nos procédures de sorte à divulguer à l'avenir de tels événements en bonne et due forme. Nous avons commencé à définir ce processus. Une fois ce processus achevé, nous communiquerons à la communauté les nouvelles directives en matière de transparence.
Si vous avez des questions ou des commentaires, veuillez me contacter directement à l'adresse suivante : terry.manderson@icann.org