Sony Pictures a-t-il négligé la sécurité de son infrastructure IT ?

Comme d’autres avant lui, Sony Pictures a-t-il pêché par négligence ? Des documents dérobés au studio de cinéma dans le cadre de la vaste attaque qui l’a visé le laissent croire.

Ainsi, Forbes rapporte qu’une lettre adressée fin septembre à Jason Spaltro, vice-président du groupe en charge de la sécurité du système d’information, fait état de « 193 incidents de sécurité remontés à l’IT interne de Sony Pictures » entre le 1^er septembre 2013 et le 30 juin 2014, par l’équipe mondiale de réponse aux incidents de sécurité du groupe Sony (GSIRT). Des incidents à la sévérité non précisée. Mais sur les près de 900 systèmes internes que la GSIRT voulait surveiller, près de 150 lui étaient inaccessibles : un angle mort important. Suffisant pour que la GSIRT s’inquiéte : « en conséquence, les incidents de sécurité touchant ces réseaux ou équipements d’infrastructure sont susceptibles de ne pas avoir été détectés ni résolus rapidement. »

Mais ce n’est pas tout. L’attaque dont Sony Pictures a été victime fin novembre n’est pas une première. En février dernier, un serveur du studio avait été partiellement compromis, grâce aux identifiants de deux comptes utilisateurs corporate externes, relève Gawker, citant des éléments de correspondance électronique dérobés à Sony Pictures.