Brèche dans la protection des données : la Haute école spécialisée bernoise prend des mesures immédiates et renforce les dispositions de sécurité

Cette brèche concerne un serveur sur lequel étaient enregistrées des données relatives aux personnes ayant suivi des formations à la communication et passé des examens au département Santé entre 2011 et 2024. Les données comprennent, entre autres, les noms, identifiants BFH et adresses e-mail à la BFH, ainsi que, dans certains cas, des coordonnées personnelles telles que le numéro de téléphone, la date de naissance, le sexe et l’adresse e-mail personnelle. Pour certaines personnes, des mots de passe générés automatiquement par le programme et n’ayant jamais été activés ou transmis aux personnes concernées étaient également accessibles.

Fermeture immédiate de l’accès au serveur et notification des personnes concernées

Après la découverte de cette brèche dans la protection des données, l’accès au serveur a été immédiatement coupé et les risques de sécurité ont été contrôlés dans le système, qui a ensuite été intégralement restauré. À ce jour, la BFH ne dispose d’aucune preuve indiquant que les données auraient été exploitées à des fins malveillantes par des tiers. 

Dans la mesure du possible, les personnes concernées ont été informées par courriel le 14 mai 2024. Les personnes qui n’étaient pas joignables par courriel seront contactées, si possible, par voie postale. L’ampleur des dommages est limitée, car les données n’étaient pas particulièrement sensibles. La BFH demande toutefois aux personnes concernées d’être particulièrement vigilantes quant aux tentatives de hameçonnage. La BFH a créé une FAQ pour répondre à toutes les questions des personnes concernées. Une équipe d’assistance a également été mise en place pour les demandes particulières. Elle est joignable à l’adresse datasupport@bfh.ch.  

La sécurité des données est une priorité pour la BFH, qui regrette profondément les éventuels désagréments subis par les personnes concernées. La BFH travaille d’arrachepied pour faire toute la lumière sur les causes et met en place des mesures de sécurité visant à éviter de nouveaux incidents de ce type à l’avenir. C’est dans ce cadre que s’inscrivent le système de management de la sécurité de l’information et de la protection des données (SMSI), que la BFH avait introduit en 2023, ainsi que les formations et les entrainements de sensibilisation à la détection des risques. En plus du Chief Information Security Officer (CISO) qui agit de façon centralisée et des personnes chargées de la protection des données, des coordinateurs du SMSI ont été introduits en parallèle dans les départements afin d’assurer de manière également décentralisée la sécurité des informations et la protection des données.