TikTok interdit au gouvernement. Dispositifs; Le secteur privé suivra-t-il ?

Le Texas est devenu cette semaine le cinquième État américain à interdire l'application TikTok sur les appareils appartenant au gouvernement en raison de préoccupations concernant l'application de médias sociaux qui collecte des données sensibles à partir des appareils des utilisateurs et les met potentiellement à la disposition du gouvernement chinois.

La question est maintenant de savoir si les entreprises privées mettront en place des restrictions similaires sur l'utilisation de l'application populaire de médias sociaux sur les appareils que les employés utilisent pour accéder aux données et aux applications de l'entreprise.

Risque inacceptable

Le gouverneur du Texas, Greg Abbott, a déclaré mercredi qu'il avait ordonné à toutes les agences d'État d'interdire TikTok sur tous les appareils émis par l'État avec effet immédiat. Abbott a déclaré qu'il avait également donné à chaque agence d'État jusqu'au 15 février 2023 pour mettre en œuvre leurs propres politiques concernant l'utilisation de TikTok sur les appareils personnels appartenant aux employés – sous réserve de l'approbation du ministère de la Sécurité publique du Texas.

"TikTok récolte de grandes quantités de données depuis les appareils de ses utilisateurs - y compris quand, où et comment ils mènent leurs activités sur Internet - et offre cette mine d'informations potentiellement sensibles au gouvernement chinois », a déclaré Abbott, faisant écho aux préoccupations que beaucoup d'autres ont exprimées récemment.

Abbott a souligné la Chine Loi nationale sur le renseignement de 2017, qui oblige les entreprises et les particuliers chinois à participer aux activités de collecte de renseignements de l'État, et un récent avertissement du directeur du FBI, Christopher Wray, concernant Utilisation de TikTok dans les opérations d'influence, comme motifs de sa décision.

L'ordre d'Abbott est venu juste un jour après que le gouverneur du Maryland, Larry Hogan, a publié un directive d'urgence interdisant l'utilisation de TikTok et d'autres produits influencés par la Chine et la Russie sur des appareils émis par l'État, citant le risque de cybersécurité "inacceptable" qu'ils présentaient à l'État.

Sa commande s'applique à TikTok, Huawei Technologies, ZTE Corp., les produits Tencent Holdings, y compris WeChat, les produits Alibaba, y compris AliPay, et Kaspersky. La directive de Hogan exige que toutes les agences de l'État du Maryland retirent ces produits des réseaux de l'État dans les 14 jours et mettent en œuvre des restrictions basées sur le réseau empêchant l'accès à ces services.

Comme Abbott, Hogan aussi cité l'avertissement de Wray à propos de TikTok présentant une menace pour la sécurité nationale dans sa déclaration, ainsi qu'un récent Rapport NBC News sur les pirates chinois volant des millions de dollars en avantages liés au COVID.

Les trois autres États qui ont émis des directives similaires sur des préoccupations similaires sont Dakota du Sud, Caroline du Sudet Nebraska. De plus, les départements américains de la Défense, de l'État et de la Sécurité intérieure ont tous interdit TikTok sur les appareils émis par le gouvernement fédéral. En juillet, les membres du Comité spécial du Sénat sur le renseignement a envoyé une lettre au président de la Federal Trade Commission exhortant l'agence à enquêter sur ce qu'elle prétendait être des pratiques trompeuses de TikTok en ce qui concerne ses pratiques de confidentialité des données.

Les inquiétudes montent malgré les assurances de TikTok

Le nombre croissant d'interdictions d'utilisation de TikTok sur les appareils et les réseaux étatiques et fédéraux encouragera certainement les autres gouvernements des États, les agences fédérales et les entreprises privées à peser les implications en matière de sécurité et de confidentialité de l'utilisation de l'application de médias sociaux.

Lors d'une audience au Sénat plus tôt cette année, TikTok COO Vanessa Pappas maintenue que TikTok n'opère pas en Chine et que l'application n'y est pas disponible. Elle a décrit la société comme constituée aux États-Unis et conforme aux lois américaines. Bien que TikTok ait des employés basés en Chine, la société a un contrôle d'accès strict sur les données auxquelles ces employés peuvent accéder et où TikTok stocke les données, a déclaré Pappas. Plus tôt cette année, la société a également annoncé qu'elle avait lancé une initiative appelée Projet Texas conçu pour renforcer la confiance dans les garanties que l'entreprise a mises en place et mettra en place pour protéger les données des utilisateurs américains et les intérêts de sécurité nationale. TikTok stocke désormais 100% des données des utilisateurs américains aux États-Unis dans l'environnement cloud d'Oracle et travaille avec Oracle pour mettre en œuvre des contrôles avancés de sécurité des données, a déclaré à l'époque le PDG de TikTok, Shou Zi Chew.

Dans un commentaire envoyé par e-mail à Dark Reading, le porte-parole de TikTok, Jamal Brown, a exprimé sa déception face aux récents développements. "Nous pensons que les préoccupations à l'origine de ces décisions sont en grande partie alimentées par la désinformation sur notre entreprise", déclare Brown. «Nous sommes heureux de continuer à avoir des réunions constructives avec les décideurs des États pour discuter de nos pratiques en matière de confidentialité et de sécurité. Nous sommes déçus que de nombreuses agences, bureaux et universités de l'État ne puissent plus utiliser TikTok pour créer des communautés et se connecter avec les électeurs.

Malgré ces assurances, le fait qu'une entité basée en Chine appelée ByteDance Ltd possède TikTok et que le gouvernement chinois détient au moins une participation partielle dans l'une de ses filiales continue d'être une source de préoccupation majeure pour beaucoup. Rapports récents sur les acteurs de la menace utilisant la plate-forme distribuer des logiciels malveillants n'ont pas arrangé les choses.

"La situation spécifique de TikTok étant basée en Chine et soumise à la loi chinoise, qui peut donner au Parti communiste chinois (PCC) l'accès aux données des utilisateurs, fait réfléchir de nombreuses personnes", déclare Mike Parkin, ingénieur technique senior chez Vulcan Cyber.

Les applications de médias sociaux comme TikTok peuvent également être problématiques pour les organisations. "Ils sont immensément populaires, en particulier auprès des générations qui ont grandi avec les médias sociaux", dit-il. Il est tout à fait raisonnable que les organisations restreignent les applications installées sur les appareils fournis par leur organisation et recommandent à leurs employés de ne pas les installer sur les systèmes personnels qu'ils utilisent pour accéder aux systèmes de l'entreprise, déclare Parkin.

Sur les appareils fournis par les organisations, une interdiction de TikTok serait absolument exécutoire, dit-il. Mais il n'en va pas de même pour les appareils personnels et non gérés, note-t-il. "L'organisation peut énoncer les exigences, mais les faire respecter devient beaucoup plus difficile à la fois sur le plan éthique et juridique", déclare Parkin.

Patrick Tiquet, vice-président de la sécurité et de l'architecture chez Keeper Security, déclare que la prolifération rapide des politiques BYOD et des environnements de travail à distance distribués a contribué à une augmentation exponentielle des risques pour les terminaux et les applications pour les entités des secteurs public et privé. "Cela place les organisations dans une situation précaire, car elles doivent peser la commodité et les économies de coûts des politiques BYOD avec le risque important de cybersécurité", déclare Tiquet. "Interdire des applications spécifiques peut sembler une approche simple et directe pour assurer la sécurité, mais avec une politique BYOD, il est difficile de l'appliquer."