AP (Pays-Bas) et Raad voor la Rechtspraak: fuite via Ivanti EPMM

Excerpt: Le 9 février 2026, l’autorité néerlandaise de protection des données (AP) et le Conseil pour la justice (Rvdr) ont confirmé une fuite de données due à des failles Ivanti EPMM exposant des coordonnées professionnelles. Voici comment un MDM maîtrisé prouve RGPD 32 et NIS 2.

Les faits

Le 9 février 2026, l’AP (Autoriteit Persoonsgegevens) a reconnu avoir été touchée par l’exploitation de failles zero‑day dans Ivanti Endpoint Manager Mobile (EPMM, ex‑MobileIron). Le même vecteur a affecté le Raad voor de Rechtspraak (Conseil pour la justice). Selon la lettre gouvernementale citée par la presse, l’attaque du 29 janvier 2026 a potentiellement exposé des données de personnel telles que noms, adresses e‑mail professionnelles et numéros de téléphone. Aucune volumétrie précise n’a été communiquée, mais les personnes concernées ont été notifiées. Le mécanisme: compromission de serveurs EPMM exposés à Internet via des vulnérabilités critiques (CVE‑2026‑1281, CVE‑2026‑1340) activement exploitées au moment de leur divulgation. Source: The Register renvoie à la lettre adressée au Parlement néerlandais et rappelle l’alerte de NCSC‑NL sur EPMM.

Les autorités de cybersécurité européenne et nationales ont émis des avis pressants, recommandant un scénario “assume breach” pour tout parc géré par EPMM, assorti d’outils de détection spécifiques et de correctifs d’urgence. Voir l’alerte CERT‑EU et les bulletins du NCSC‑NL et du Centre pour la Cybersécurité Belgique.

En clair: l’outil supposé sécuriser et gérer les terminaux mobiles est devenu la porte d’entrée. Pour les dirigeants luxembourgeois et européens, le message est simple: un MDM mal gouverné devient un risque systémique.

Le cadre légal qui s’applique

• RGPD, article 32: obligation de mettre en œuvre des “mesures techniques et organisationnelles appropriées” pour garantir un niveau de sécurité adapté au risque (chiffrement, gestion des accès, journalisation, tests, etc.). En cas d’incident impliquant des données personnelles, le responsable doit pouvoir démontrer l’adéquation et l’efficacité de ses mesures. Texte: EUR‑Lex — RGPD. Pour une lecture opérationnelle, voir les obligations de sécurité prévues par le RGPD.
• NIS 2, article 21: mesures de gestion des risques de cybersécurité proportionnées, couvrant notamment la sécurité des dispositifs, la gestion des vulnérabilités, la supervision, la réponse à incident et la continuité. Texte: EUR‑Lex — Directive (UE) 2022/2555. Pour le contexte européen et luxembourgeois, consultez la directive NIS 2 et ses exigences.

Pour les entités essentielles/importantes au Luxembourg (et leurs filiales en BE/FR/DE), l’ILR et les autorités sectorielles vérifieront la capacité à:

• prévenir l’exploitation d’actifs exposés (MDM, passerelles, etc.),
• détecter rapidement une compromission et en circonscrire les effets,
• notifier l’incident et documenter les mesures prises (RGPD 33/34, NIS 2 art. 23 selon les régimes applicables).

La solution technique à déployer

Sujet retenu: Mobile Device Management (MDM) × RGPD (BYOD) et NIS 2 (endpoint)

Objectif: transformer le MDM de “risque concentré” en “preuve de maîtrise” en combinant architecture, durcissement, supervision et forensics.

Contrôles clés et mise en pratique

• Segmentation et exposition minimale:
  • Héberger le MDM/EMM derrière un reverse proxy dédié avec inspection TLS, limiter les surfaces (seules URL/API nécessaires), activer mutual TLS là où possible.
  • Isoler réseau/VM du MDM des SI métiers, interdire les flux entrants non nécessaires. Cartographier dépendances (DNS, SMTP, IdP) et appliquer des ACL strictes.
• Gestion des vulnérabilités et “assume breach”:
  • Processus de patching accéléré pour composants MDM/Sentry; tests de régression automatisés; fenêtres de maintenance récurrentes.
  • Détection d’exploitation: règles SIEM/EDR sur indicateurs éditeurs (ex.: chemins d’IoC, logs HTTP anormaux EPMM). Intégrer les artefacts fournis par CERT‑EU/NCSC‑NL.
• Durcissement et secrets:
  • Rotation des certificats/clefs du MDM et de la passerelle Sentry après incident; vérification de la chaîne de confiance; séparation des rôles admin.
  • Politique “least privilege” sur les intégrations (IdP/Email/MDX). Désactiver APIs héritées; journaliser toutes actions admin.
• Politiques terminaux orientées impact:
  • Chiffrement obligatoire, verrouillage fort, attestation d’intégrité (Android/Apple); interdiction du jailbreak/root; containers pro pour BYOD.
  • Accès conditionnel: bloquer l’accès aux données pro si posture non conforme (version OS, patch de sécurité, bootloader).
• Évidences et traçabilité:
  • Conservation sécurisée des journaux MDM (accès, push de profils, anomalies), synchronisés dans le SIEM pour relecture post‑incident.
  • Tests d’intrusion ciblés sur l’exposition MDM au moins annuel; exercices “tabletop” sur la perte du MDM comme point d’entrée.

Références aux bonnes pratiques

• ISO/IEC 27001:2022 Annexe A — A.8.1 (Gestion des appareils utilisateurs), A.8.9 (Gestion de configuration), A.8.16 (Surveillance des activités), A.5.17 (Authentification, selon périmètre).
• NIST CSF 2.0 — PR.AC (Contrôle d’accès), PR.PT (Protection), DE.CM (Détection), RS.RP (Réponse).
• CIS Controls v8 — IG1/IG2: 4 (Gestion des actifs), 7 (Contrôles d’accès), 12 (Gestion des vulnérabilités), 13 (Logs/Audit).

Preuve légale

• RGPD 32: rapports de scans, registres de patching, journaux d’accès/administration, politiques BYOD, comptes‑rendus de tests et d’exercices.
• NIS 2 art. 21: politique de gestion des vulnérabilités, supervision 24/7, plan de réponse, continuité, et indicateurs de performance (MTTD/MTTR).

Comment Luxgap déploie cela

• Notre SOC managé: nous branchons les journaux MDM/Sentry, IdP et passerelles email dans un SIEM corrélé, avec règles spécifiques Ivanti EPMM (IoC CERT‑EU/NCSC‑NL) et scénarios “assume breach”. Nous opérons l’alerte 24/7 et la chasse aux signaux faibles (ex.: création anormale d’admins MDM, profils poussés hors fenêtre de maintenance). Découvrez notre SOC managé pour la détection d’incident.
• Notre gouvernance ISO 27001: nos consultants Lead Implementer/Lead Auditor structurent la politique MDM/BYOD, le durcissement d’architecture, le processus de patching accéléré, et l’évidence documentaire exigée par RGPD 32 et NIS 2 art. 21 (procédures, KPIs, preuves).
• Nos consultants DPO et CISO externalisés: cadrage des notifications (RGPD 33/34), qualification d’impact, et alignement des politiques d’accès conditionnel avec la minimisation des données (BYOD) et la proportionnalité.

Concrètement, nous:

1. auditons l’exposition et la configuration MDM/Sentry,
2. mettons en œuvre un plan de durcissement/patching priorisé par risque,
3. intégrons les journaux au SOC avec des règles prêtes à l’emploi,
4. exécutons un exercice de réponse simulant une compromission MDM,
5. remettons un dossier de preuve exploitable par la direction et le DPO.

Cas concret au Luxembourg ou en UE

Une institution financière européenne soumise à NIS 2 et au RGPD opérait un MDM on‑prem exposé. En six semaines, nous avons:

• segmenté le MDM derrière un proxy dédié, supprimé les interfaces inutiles, activé l’authentification forte admin;
• mis en place un cycle de patch accéléré et la rotation des certificats Sentry;
• branché les logs MDM/IdP dans le SIEM de notre SOC avec des règles d’IoC CERT‑EU/NCSC‑NL;
• durci les politiques terminaux (chiffrement, posture minimale, blocage sur non‑conformité).

Résultat: réduction mesurée de l’exposition externe, détection automatisée d’actions admin anormales, et un dossier de conformité RGPD 32/NIS 2 prêt pour l’audit.

Premiers pas concrets

• Identifier l’exposition: recensez toutes vos consoles MDM/Sentry, leurs versions et surfaces publiques (FQDN, ports). Bloquez toute interface non nécessaire.
• Appliquer “assume breach”: si vous êtes sous Ivanti EPMM affecté, suivez les guides CERT‑EU/NCSC‑NL, déployez les détections, auditez les logs des 90 derniers jours et déclenchez une rotation des secrets/clefs.
• Accélérer le patching: définissez une fenêtre de maintenance bi‑hebdomadaire dédiée MDM et un processus de tests rapides; consignez les preuves.
• Durcir l’admin: MFA résistante au phishing pour tous les comptes MDM, comptes nominatifs, moindres privilèges, journalisation inviolable.
• Brancher au SOC: centralisez les logs MDM/IdP et créez des alertes sur créations d’admins, pushs de profils hors créneaux, changements de configuration critiques.

Pour les organisations luxembourgeoises qui doivent se conformer à NIS 2 et au RGPD, l’alignement technique et documentaire présenté ici s’inscrit dans le cadre réglementaire décrit sur la directive NIS 2 et le RGPD et ses articles de sécurité.

Sources officielles

• Fait d’actualité: The Register — Dutch data watchdog caught up in Ivanti zero‑day attacks (09/02/2026)
• Alerte EU: CERT‑EU — Critical vulnerabilities in Ivanti EPMM
• Alerte nationale (NL): NCSC‑NL — Actief misbruik Ivanti EPMM
• Alerte nationale (BE): Centre pour la Cybersécurité Belgique — Ivanti EPMM exploité
• Cadre RGPD: EUR‑Lex — Règlement (UE) 2016/679 (art. 32)
• Cadre NIS 2: EUR‑Lex — Directive (UE) 2022/2555 (art. 21)