Pourquoi un groupe tel que Sony n'appliquait-il pas les plus hautes normes de sécurité concernant les données bancaires ? Parce qu'elles ne sont pas efficaces? Ou parce qu'elles coûtent trop cher ? L'Expansion.com fait le point sur "l'affaire Sony".Accusé de négligence pour avoir permis à des hackers de voler les données personnelles d'une centaine de millions d'utilisateurs de trois de ses services en ligne et avoir tardé à les avertir, Sony a mis en avant la "nature extraordinaire des événements" dans une lettre adressée à des parlementaires américains. A savoir une "cyber-attaque criminelle très sophistiquée, très professionnelle, planifiée de longue date ayant pour but de voler des informations personnelles et bancaires". Elle aurait même été camouflée par une attaque parallèle en deni de service qui aurait mobilisé l'attention des gestionnaires des réseaux. Il a donc fallu plusieurs jours à Sony, aidé de firmes extérieures, pour commencer à comprendre ce qu'il s'était vraiment passé. Si le groupe a fermé le PlayStation Network et son service de musique Qriocity dès le 20 avril, au lendemain de l'attaque, il n'a averti les clients que le 26. Et il ne s'est aperçu que le 1er mai que son service de jeu Sony Online Entertainment avait été également touché. Il affirme aujourd'hui connaître le mode opératoire utilisé mais reconnaît ignorer toujours qui sont les responsables, malgré la mise en cause indirecte du groupe de hackers activistes "Anonymous". Autrement dit, Sony se pose en faible victime face à des forces qui le dépassent. Pour aussi surprenant -et inquiétant-, que cela puisse paraître, Pascal Lointier, le président du Club de la sécurité de l'information français (Clusif), a confirmé récemment à L'Expansion.com cette inégalité du combat contre les hackers. Même pour un groupe high-tech aussi réputé que Sony. On peut en revanche légitimement se demander si le groupe nippon avait vraiment pris toutes les précautions possibles face à ces attaques. Et c'est là qu'intervient le débat sur le PCI DSS et, au-delà, la question du coût de la sécurité.
