Summary

  • L’audit du 28 octobre 2026 de l’Office of Inspector General (OIG) de la Réserve fédérale constate qu’environ 97 % des utilisateurs d’un groupe informatique intégré à une division étaient exemptés de l’authentification multifacteur résistante au hameçonnage pour certaines applications. Ce taux concerne ce groupe et ces applications.
  • Le Conseil ne recensait pas ces dérogations dans un registre central. Ses responsables ne pouvaient pas expliquer rapidement certains motifs ; la direction informatique ignorait l’ancienneté et la date d’expiration des exemptions. L’inspection demande une politique commune et une réévaluation des populations concernées.

Une exception sans date de fin est une habitude

Le Conseil applique en principe une authentification multifacteur résistante au hameçonnage. Les modalités d’exception se dispersaient pourtant entre divisions. Chacune suivait ses groupes et ses demandes selon des procédures différentes. L’audit intégral ne décrit pas une absence générale de double facteur. Il décrit l’absence du facteur le plus résistant dans des applications précises pour une population précise. L’écart est moins spectaculaire qu’une intrusion imaginaire, et beaucoup plus utile pour juger la politique.

Dans l’un des groupes informatiques intégrés, environ 97 % des utilisateurs bénéficiaient de cette exemption. Le Conseil ne possédait pas de vue centrale sur la durée des dérogations. Les responsables ne savaient pas toujours pourquoi elles avaient été accordées. Une exception ponctuelle dont personne ne connaît la fin devient le mode de fonctionnement du groupe. Une règle générale peut rester affichée pendant que son application se rétrécit.

Le même groupe, qui appuie plusieurs divisions, maintenait des pratiques distinctes de gestion des vulnérabilités. Sa procédure laissait à sa discrétion le signalement de vulnérabilités au responsable de la sécurité de l’information du Conseil, alors que la procédure commune imposait leur remontée. L’inventaire des systèmes du Conseil omettait dix des 32 types de champs exigés, notamment le propriétaire et le périmètre d’autorisation. Sans propriétaire clairement inscrit, le centre ne peut pas arbitrer le risque local qu’il ne voit pas.

Pour l’exercice 2026, l’OIG attribue au programme de sécurité le niveau 2 sur 5, inférieur au niveau 4 considéré efficace. Les niveaux précédents étaient 3 en 2025 et 4 en 2024. Dans cette variation annuelle se combinent les faiblesses constatées, la méthode de calcul de la note et le poids accru accordé à la gouvernance. Treize des 17 recommandations d’audits annuels antérieurs restaient ouvertes. Le Conseil a accepté huit nouvelles recommandations, dont l’encadrement des exemptions. Cette acceptation ne fournit pas encore le registre manquant.

Sources