Résumé

  • Selon un récapitulatif de LACNIC, une présentation de 2025 par Badí Quinteros, de CEDIA, portait sur le suivi mensuel de la surface publique de 47 universités équatoriennes. La part recevant la note F, qualifiée de critique, serait passée de 23,4 % à 11,1 %.
  • Le résumé de la présentation publié par FIRST rapporte les mêmes chiffres, mais aucun des deux documents ne donne le nombre d’universités notées F ni le nombre effectivement évalué à chaque date. Le calcul ne peut donc pas être reproduit à partir des informations publiées.

Analyse

Un pourcentage sans son effectif

Le récapitulatif publié par LACNIC le 29 septembre 2026 revient sur une session de 2025 à LACNIC 44. Il indique que Badí Quinteros, de CEDIA, a présenté des données de suivi de 47 universités équatoriennes et que la proportion ayant reçu une note critique a diminué de 23,4 % à 11,1 % à mesure que les établissements corrigeaient des vulnérabilités exposées publiquement. Le programme original du symposium FIRST fournit le résumé plus complet : le suivi était mensuel de janvier à juillet 2025.

Il mentionne aussi des CVE critiques et moyennes non corrigées dans les établissements, des identifiants exposés dans plus de 95 % d’entre eux, une moyenne du portefeuille passant de 72 à 76 et une progression de 42 à 97 points pour l’Universidad Técnica del Norte.

Il s’agit de résultats présentés, pas d’un jeu de données publié. Le programme FIRST et le résumé de LACNIC sont deux récits apparentés de la même présentation, non deux confirmations indépendantes. Aucun ne fournit les notes établissement par établissement, le nombre de notes F au début et à la fin, ni le nombre d’établissements inclus dans chaque calcul. Les documents cités ne précisent pas l’échelle, les dates exactes des mesures ni le traitement des résultats manquants.

La distinction est importante : la mention de 47 universités décrit l’exercice de suivi, mais ne prouve pas que les 47 ont été évaluées aux deux dates. Avec un dénominateur constant de 47, 23,4 % correspond, après arrondi, à 11 sur 47. En revanche, 11,1 % ne correspond pas à la part, arrondie à un chiffre après la virgule, d’un nombre entier d’établissements sur 47. Cinq sur 45 donnerait par exemple 11,1 % ; ce n’est qu’une illustration arithmétique, pas une indication que 45 établissements ont été notés.

Cette lacune ne démontre pas qu’un des pourcentages est erroné. Le second calcul pourrait porter sur un nombre différent d’établissements notés, une cohorte changeante, des dossiers incomplets ou une population de notation différente du groupe suivi. Les sources ne disent pas quelle explication, le cas échéant, s’applique. Les scores de sécurité rapportés ne démontrent pas non plus une baisse des vulnérabilités, des attaques réussies ou des incidents constatés. Une évolution de score et une évolution du taux d’incidents sont deux mesures distinctes.

Le billet récent de LACNIC reprend ce résultat en invitant à un symposium FIRST en 2026. Ce contexte explique pourquoi la statistique revient dans l’actualité, mais il n’ajoute ni mesure ni validation du résultat antérieur. Le programme FIRST reste la description publique initiale de la présentation ; le billet ultérieur répète cette affirmation, sans constituer un second jeu de données.

La demande ciblée est simple : publier le nombre d’établissements notés F et le nombre effectivement évalué à chacune des deux dates, préciser la définition de la note et les dates, puis indiquer si la couverture de la cohorte ou le traitement des absences a changé. Aucun détail sensible par établissement n’est nécessaire pour répondre à cette question agrégée. D’ici là, la formulation défendable est que la présentation a rapporté une baisse de 23,4 % à 11,1 %, sans que les données publiques permettent d’en reconstituer le dénominateur.

Sources