UK Government Investments: 51 agents exposés — l’inventaire d’actifs s’impose

Le 2 août 2026, UK Government Investments a reconnu qu’un fichier interne exposait pendant ~40 h les noms et emails professionnels de 51 fonctionnaires. Voici la CMDB/inventaire d’actifs qui matérialise NIS 2 art. 21 et prévient ce type de fuite.

Les faits

Le 2 août 2026, l’agence publique britannique UK Government Investments (UKGI) a indiqué qu’un « fichier interne contenant des informations de pilotage et les noms/adresses email de 51 agents » était resté publiquement accessible environ 40 heures. L’origine n’était pas un piratage sophistiqué mais une erreur humaine: un employé n’a pas respecté les règles internes, rendant un document interne accessible depuis l’extérieur. L’incident a été identifié dans l’exercice fiscal écoulé et notifié au régulateur national (ICO). Source: The Guardian (02/08/2026).

Points clés vérifiables:

• Organisation: UK Government Investments (UKGI).
• Quand: exposition ~40 h, révélée le 2 août 2026.
• Combien: 51 agents (noms et emails pro).
• Mécanisme: fichier interne rendu public suite à un manquement aux politiques internes (erreur de publication/partage).

Ce « petit » incident illustre une réalité européenne: les fuites les plus fréquentes ne viennent pas toujours d’un rançongiciel, mais d’actifs mal recensés et de partages inadaptés (lien public, dépôt cloud mal configuré, dossier « invité », wiki en accès anonyme). Sans inventaire fiable des actifs informationnels et des surfaces d’exposition, il est très difficile d’empêcher ou de détecter rapidement ces erreurs.

Le cadre légal qui s’applique

Pour les organisations établies dans l’UE (et pour les groupes opérant au Luxembourg/Belgique/France/Allemagne), deux cadres exigent des mesures concrètes documentées:

• NIS 2 — article 21: les entités « essentielles » et « importantes » doivent mettre en place des mesures de gestion des risques cyber, notamment la sécurité des actifs et de la chaîne d’approvisionnement et des contrôles techniques et organisationnels proportionnés. Texte officiel: Directive (UE) 2022/2555 (art. 21). Voir aussi notre page de référence sur la directive NIS 2 et ses exigences.
• RGPD — article 32: obligation d’assurer un niveau de sécurité adapté au risque pour prévenir, entre autres, la divulgation non autorisée. Référence: EUR‑Lex — RGPD art. 32; rappel local CNPD: CNPD — Sécurité du traitement. Pour approfondir, voir notre dossier RGPD et sécurité du traitement.
• ISO/IEC 27001/27002: le contrôle 5.9 d’ISO/IEC 27002:2022 impose un inventaire des informations et des actifs associés; c’est la brique fondatrice d’une CMDB exploitable. Réf.: ISO/IEC JTC 1/SC27 (contrôle 5.9).

Traduction opérationnelle: être capable de prouver que vous savez quels actifs (données, dépôts cloud, partages, wikis, espaces collaboratifs, API, sauvegardes) existent, où ils résident, qui y accède, sous quelles politiques de partage, et comment un changement (p. ex. rendre un lien public) déclenche des contrôles automatiques.

La solution technique à déployer: Inventaire des actifs et CMDB « utilisables »

L’inventaire des actifs et la CMDB ne sont pas qu’une liste d’équipements. Pour traiter les fuites « par exposition », la CMDB doit couvrir les actifs informationnels et les surfaces de publication/partage avec des liaisons dynamiques:

• Découverte automatique, continue: connecteurs vers M365/SharePoint/OneDrive, Google Workspace, Slack/Teams, wikis (Confluence/Notion), dépôts de code (GitHub/GitLab), buckets S3, datalakes, portails publics; énumération des espaces et métadonnées de partage.
• Classification et étiquetage des données: règles (mots-clés, modèles, regex, dictionnaires) et/ou IA assistée pour repérer données personnelles/clients, documents financiers, RH, juridiques; propagation d’étiquettes vers les plateformes.
• Politiques de partage « guardrails »: blocage/alerte en temps réel lors d’un passage en « Public/Anyone with the link », ou création d’un invité externe non approuvé; workflows d’approbation (expirations, propriétaires désignés, justification).
• Traçabilité et responsabilité: chaque actif a un owner dans la CMDB; alertes de dérive (orphaned data, liens publics non justifiés, dépôts sans propriétaire, API sans limite d’accès).
• Mesures complémentaires: intégration DLP/CASB pour l’inspection de contenu et la remédiation; IaC drift detection pour les ressources cloud; just-in-time access pour réduire l’exposition persistante.

Standards et référentiels:

• ISO/IEC 27001:2022 Annexe A (5.9) — inventaire des informations et actifs; A.8 — gestion des accès; A.5 — gouvernance.
• NIST CSF 2.0: Identify (ID.AM), Protect (PR.DS, PR.AC), Detect (DE.CM).
• CIS Controls v8: IG1 Controls 1–3 (inventaire matériel/logiciel; gestion des données), Control 14 (DLP).

Résultat attendu: lorsqu’un utilisateur tente de publier un fichier interne « à tout le monde », le connecteur remonte l’événement, la CMDB sait de quel type de données il s’agit, la politique bloque ou exige une approbation, et un ticket automatisé notifie l’owner. En parallèle, le SOC reçoit une alerte corrélée (source, contenu, contexte) pour intervention si nécessaire.

Comment Luxgap déploie cela

• Notre gouvernance ISO 27001: cadrage des actifs informationnels, modèle de données CMDB, politiques de partage et responsabilités; nos Lead Implementer/Auditor structurent le référentiel (rôles d’owner, règles de classification, registres de preuves) pour satisfaire ISO A.5.9 et démontrer NIS 2 art. 21.
• Notre SOC managed 24/7: intégration des logs M365/Google/Confluence/GitHub/S3; détection des liens publics, créations d’invités, dépôts sans owner; playbooks de remédiation (révocation de partage, expiration automatique, assignation d’owner) et notification au DPO/CISO. En savoir plus sur notre SOC managé et la détection d’incidents.
• Nos consultants DPO et CISO externalisés: alignent les politiques de sécurité avec le RGPD art. 32 (CNPD) et préparent les éléments probants (registre des actifs sensibles, matrice d’accès, preuves de contrôle) en cas de contrôle ou d’incident; voir le cadrage d’un mandat DPO certifié.

Concrètement, nous commençons par inventorier les « data zones » (collaboratif, code, stockage objet, data warehouse), branchons les connecteurs, définissons le dictionnaire de classification (données personnelles, financières, RH, secrets), puis activons des politiques progressives (détection → alerte → blocage) afin de ne pas perturber l’activité.

Cas concret au Luxembourg ou en UE

Une entité de services B2B soumise à NIS 2 (présence au Luxembourg, M365 + Confluence + S3) a déployé en 6 semaines un inventaire automatisé/CMDB couvrant 12 000 espaces et 3 PB d’objets. Résultats mesurés au T1:

• Suppression/fermeture de 1 180 liens « Anyone with the link » non justifiés (dont 9 contenant des données clients).
• Réduction de 73 % des espaces « orphelins » par assignation d’owners et archivage.
• Blocage automatique des nouveaux partages publics sur 4 types de documents « sensibles »; exceptions via workflow (durée max 30 jours, justification et traçabilité).

Ces éléments ont été versés au dossier de conformité (preuve ISO 27001 A.5.9, NIS 2 art. 21) et au dossier RGPD art. 32 en appui du DPO.

Premiers pas concrets

1. Cartographier vos « data zones »: M365/Google, wikis, code, S3/Blob, outils no‑code. Lister les connecteurs disponibles et les métadonnées de partage exploitables.
2. Nommer des owners de données par domaine (Finance, RH, Juridique, Ventes) et rattacher chaque espace à un owner dans la CMDB.
3. Définir un dictionnaire de classification minimal (personnel/client, secret interne, public) avec modèles détectant les données personnelles et financières.
4. Activer des guardrails « doux »: alerter sur tout partage « Public/Anyone »; exiger un motif et une durée (expiration par défaut 14 jours) avant de bloquer.
5. Brancher la supervision: remonter les événements de partage au SIEM/SOC; tester un playbook de remédiation (retrait de lien public + notification owner + ticket).

Sources officielles

• Fait d’actualité: The Guardian — UKGI data breach (02/08/2026).
• NIS 2 — Article 21: EUR‑Lex — Directive (UE) 2022/2555.
• RGPD — Article 32: EUR‑Lex — Règlement (UE) 2016/679 et rappel local CNPD: CNPD — Sécurité du traitement.
• ISO/IEC 27002:2022 — contrôle 5.9 (inventaire des informations et actifs): ISO/IEC JTC 1/SC27 Journal.

Contactez-nous pour cadrer un pilote CMDB axé « surfaces de partage » en 4 à 6 semaines.