Des experts en cybersécurité alertent : la Jamaïque ne possède pas le site de dons Support Jamaica lié à l'ouragan

Des spécialistes de la cybersécurité mettent en garde : le gouvernement jamaïcain ne possède pas le site Support Jamaica utilisé pour collecter des dons destinés aux survivants de l'ouragan Melissa, après qu'un témoignage de l'Office of Disaster Preparedness and Emergency Management (ODPEM) a ravivé des questions sur qui contrôle les informations des donateurs.

En février 2026, environ 1,4 milliard de dollars avaient été collectés via la plateforme. Les personnes qui donnent en ligne doivent fournir leur nom, leur adresse e-mail, leur numéro de téléphone et les coordonnées de leur carte. Le site indique qu'il a été conçu et offert par le Amber Group.

Interrogé sur la propriété devant la Commission des comptes publics du Parlement, le directeur général de l'ODPEM, le commandant Alvin Gayle, a déclaré qu'un développeur privé détient toujours le site. L'entreprise a conçu la plateforme et la fournit en tant que service, y compris une année d'utilisation gratuite. Il a confirmé qu'un accord formel est désormais en place, mais a précisé qu'aucun pacte de ce type n'existait lors de la précipitation initiale pour développer et lancer le site ; l'ODPEM a ensuite exigé qu'un accord signé couvrant le site et son fonctionnement soit mis en place.

Un expert en cybersécurité a qualifié cet arrangement de « une violation manifeste des bonnes pratiques », arguant que le site « aurait dû être remis au gouvernement » parce qu'il fait partie de « l'infrastructure nationale collectant des fonds au nom du gouvernement ». Du point de vue de la sécurité, a indiqué l'expert, « cela a du sens sur le plan logique ».

Un second spécialiste, sans prétendre connaître le contrat du Amber Group, a déclaré que le modèle privilégié consisterait à ce que des développeurs gouvernementaux conçoivent l'application, effectuent des tests de sécurité pour protéger la vie privée, l'hébergent sur le cloud privé ou les systèmes internes du gouvernement, puis seulement ensuite la rendent accessible au public. Cette approche, a-t-il dit, signifierait que « toute la sécurité, toutes les données et tous les arrangements d'hébergement seraient détenus et gérés par le gouvernement ».

Le commandant Gayle a indiqué à la commission que, selon l'énoncé de confidentialité, le développeur et l'ODPEM peuvent tous deux accéder aux données. Il a précisé que l'accord de protection des données définit comment les informations doivent être effacées une fois que la plateforme n'est plus utilisée, avec l'assurance qu'elles seront alors hors de portée du développeur. Il n'existe toutefois aucune alerte automatique lorsque le développeur consulte les données. Il a ajouté qu'un agent autorisé de l'ODPEM devrait pouvoir auditer le site pour voir qui a consulté des dossiers précis.