Normalement ce n'est pas comme ça que ça fonctionne. Tu fais une requête à une personne en charge de savoir si ta demande est légitime et il te donne accès à ces données. Donc on parle d'un contrôle humain à priori. Il est même possible qu'il te fournisse des données anonymisées ou pseudonimisées par exemple (et l'UE travail sur les propriétés que doit avoir une donnée pour être considérée comme anonymisée ou pseudonimisée).
Dans certains cas c'est relativement facile. Exemple de Pôle emploi. Je ne sais pas comment ça marche car je n'y ai jamais mis les pieds mais dans l'équivalent d'un autre pays, on t'attribuait un conseiller qui te suivait jusqu'à l'obtention d'un emploi. Dans ce cas c'est facile, conseiller x peut avoir accès aux données d'une liste limitée de demandeurs. Si il essaie d'accéder à quelqu'un qui n'est pas dans sa liste, grosse alarme.
Dans le cas de l'exemple de la police ça devient compliqué. Tu peux facilement logger que agent Tartampion demande info sur madame Michu dans le cadre de l'affaire Dupont parce que témoin N a mentionné cette personne et ... c'est louche. Par contre si tu veux faire de la politique des 4 yeux, tu dois faire en sorte que l'agent Tartampion demande à quelqu'un d'autre (quel profil?) qu'il voudrait enquêter sur madame Michu dans le cadre de l'affaire Dupont. Mais cette autre personne, soit elle est relativement proche de l'agent Tartampion (et donc peut-être complice si la demande de Tartampion est illicite avec risque d'omerta) pour connaitre de quoi le dossier en retourne et savoir si la demande est légitime, soit être étrangère au dossier et elle même devoir faire une demande d'accès au dossier...Enfin j'imagine qu'on peut mettre ne place un processus, mais ça devient vite soit pas très fiable en terme de vérification, soit hyper bureaucratique. Et ça demanderait sûrement la création d'une entitée indépendante de la police sur laquelle aucune pression ne peut se faire.
[^] # Re: Titre trompeur
Posté par Psychofox (Mastodon) . En réponse au lien Cyberattaque : France Travail avait identifié la faille mais ne l’a pas corrigée à temps. Évalué à 5. Dernière modification le 28 mai 2024 à 10:38.
Dans certains cas c'est relativement facile. Exemple de Pôle emploi. Je ne sais pas comment ça marche car je n'y ai jamais mis les pieds mais dans l'équivalent d'un autre pays, on t'attribuait un conseiller qui te suivait jusqu'à l'obtention d'un emploi. Dans ce cas c'est facile, conseiller x peut avoir accès aux données d'une liste limitée de demandeurs. Si il essaie d'accéder à quelqu'un qui n'est pas dans sa liste, grosse alarme.
Dans le cas de l'exemple de la police ça devient compliqué. Tu peux facilement logger que agent Tartampion demande info sur madame Michu dans le cadre de l'affaire Dupont parce que témoin N a mentionné cette personne et ... c'est louche. Par contre si tu veux faire de la politique des 4 yeux, tu dois faire en sorte que l'agent Tartampion demande à quelqu'un d'autre (quel profil?) qu'il voudrait enquêter sur madame Michu dans le cadre de l'affaire Dupont. Mais cette autre personne, soit elle est relativement proche de l'agent Tartampion (et donc peut-être complice si la demande de Tartampion est illicite avec risque d'omerta) pour connaitre de quoi le dossier en retourne et savoir si la demande est légitime, soit être étrangère au dossier et elle même devoir faire une demande d'accès au dossier...Enfin j'imagine qu'on peut mettre ne place un processus, mais ça devient vite soit pas très fiable en terme de vérification, soit hyper bureaucratique. Et ça demanderait sûrement la création d'une entitée indépendante de la police sur laquelle aucune pression ne peut se faire.