La cybersécurité est devenue un enjeu majeur pour toutes les entreprises et les organismes. Les attaques ne cessent de progresser et le vol de données confidentielles peut tout simplement conduire à la fermeture d’une entité ou même influencer une élection présidentielle. Nous vous proposons avec cet article une liste de conseils ou plus exactement de préconisations pour votre solution de sécurité informatique.
Sensibiliser et former les acteurs du système d’information
Une stratégie de cybersécurité, même pensée par les meilleurs experts, ne peut être appliquée avec succès sans une prise de conscience de chacun des acteurs du système d’information. Au sein d’une entreprise, tous les employés sont des cibles potentielles. Tant que chacun d’entre eux ne se voit pas comme un maillon de la sécurité de son entité, une faille existe et le bouclier peut être transpercé. Cette sensibilisation doit idéalement avoir lieu lors de formations. Sans informations et connaissance des menaces, les acteurs d’une entreprise sont en effet démunis face à des cybercriminels professionnels. Lorsque le système d’information est en partie ou totalement géré par un prestataire externe, il est essentiel de connaître sa politique de sécurité.
Auditer le système d’information
La connaissance du système d’information est un pré-requis à la mise en place d’une stratégie de sécurité. Les données sensibles doivent être identifiées et catégorisées selon leur type et leur importance. Des entreprises peuvent être amenées à gérer des fichiers divers et variés comme par exemple des contrats, des factures ou même des documents protégés par la propriété intellectuelle. Une fois les données sensibles connues, il faut dresser la liste des supports sur lesquels elles sont stockées. Cette connaissance permet de mettre en place pour chaque poste, serveur, unité de stockage, base de données des mesures de sécurité spécifiques et adaptées. Cet audit permet également de réaliser un schéma de l’infrastructure du système d’information avec entres-autres ses interconnexions avec des réseaux extérieurs ou publics.
Authentification et contrôle des accès
L’audit d’un système d’information permet non seulement de mettre en évidence les donnée sensibles et leur localisation mais aussi de créer des rôles d’utilisateurs spécifiques. Ces rôles permettent de contrôler les privilèges et accès attribués à chaque utilisateur. Il est inconcevable par exemple que dans un système d’information tous les utilisateurs aient des droits « administrateurs ». Une liste permettant de connaître à tout instant tous les rôles mais aussi les utilisateurs enregistrés doit être maintenue à jour. Une entreprise est amenée à recruter de nouveaux employés et à en voir partir d’autres. Des procédures de départ et d’arrivée doivent donc être mises en place. L’interdiction des connexions anonymes est une mesure simple mais très efficace pour sécuriser un système d’information.
Chiffrer les échanges et les données sensibles
Les données sensibles et les échanges doivent être chiffrés. L’audit d’un système d’information permet non seulement de mettre en évidence les données sensibles mais aussi les connexions et donc les échanges entre les différents composants et acteurs. De nombreux protocoles sécurisés reposent sur l’utilisation de SSL/TLS (Transport Layer Security). Sa mise en place ajoute au nom du protocole la lettre S. Pour les échanges hyper-texte HTTP devient HTTPS, pour les échanges par mails IMAP, POP3 et SMTP deviennent quant à eux IMAPS, POP3S et SMTPS.
Mettre en place une stratégie de sauvegarde
La sauvegarde des données d’un système d’information doit faire l’objet d’une véritable politique. Si une attaque peut conduire à la perte de données, d’autres incidents comme des erreurs humaines ou des défaillances matérielles peuvent amener au même résultat. La fréquence et le mode de sauvegarde sont choisis selon le volume et l’importance des données gérées par une entreprise. Les copies doivent être idéalement situées hors-site et sur des unités de stockage isolées du réseau public.
Mettre en place une stratégie d’identification
Les acteurs d’un système d’information sont autant de maillons du système de sécurité. Ils doivent donc être tous identifiables. Chaque employé doit disposer de son propre identifiant de connexion. Chaque accès au système d’information doit être enregistré afin de pouvoir détecter, ou du moins retrouver, la trace d’une intrusion. De plus, la nomenclature des identifiants doit être définie par les différents rôles d’utilisateurs du système. Cette politique permet de maintenir très facilement la base de données utilisateurs et de retrouver rapidement une éventuelle anomalie. Les mots de passe des utilisateurs doivent aussi faire l’objet d’une politique. Les mots de passe doivent par exemple être composés d’un nombre minimum de caractères et constitués de plusieurs types de caractères. De plus, l’identification doit être rendue impossible à un utilisateur après un nombre limité d’échecs de connexions. Cette mesure permet de se prémunir des attaques dites brute-force où le cybercriminel va essayer des millions de combinaisons d’identifiants et de mots de passe pour s’introduire dans un réseau. Les mots de passe doivent aussi être autant que possible retenus par les utilisateurs et non conservés sur des supports numériques ou papiers. L’éventuel stockage de mots de passe doit être sécurisé par des mécanismes de chiffrement. Enfin, les mots de passe doivent être régulièrement actualisés. Certaines entreprises ou organismes peuvent opter pour une authentification forte faisant appel à des cartes à puce, des données biométriques, des mots de passe à usage unique, …
Sécuriser le parc informatique
La sécurisation du parc informatique est cruciale. Des mesures simples permettent de limiter les risques d’intrusion. Seuls les logiciels nécessaires à la réalisation des missions de l’employé ou du poste de travail doivent être installés. L’installation d’un pare-feu et d’un anti-virus sont également indispensables. De plus, les données sensibles et leur accès doivent être chiffrées. Si un poste de travail ne peut respecter ces consignes, il doit être isolé du réseau et ne pas stocker de données sensibles. Les objets connectés et les terminaux mobiles ne doivent pas être ignorés ou oubliés. Les mêmes dispositions doivent être appliqués à ces appareils. Une politique de mise en service ou de déverrouillage des différents appareils, allant de l’ordinateur au téléphone mobile, doit être mise en place. La perte par exemple d’un smartphone ne doit pas compromettre la sécurité de l’ensemble du système d’information.
Segmenter le réseau
Les données sensibles et plus généralement tous les éléments composant le réseau d’un système d’information doivent être cloisonnés. En cas d’intrusion, le cybercriminel ne pourra pas ainsi réussir à accéder aux machines ou aux données critiques d’une entreprise ou d’un organisme. De plus, cette conception permet de stopper la propagation d’une infection virale.
S’assurer de la sécurisation des réseaux sans-fil
Les réseaux Wi-Fi sont aujourd’hui présents dans toutes les entreprises ou presque. Le contrôle de ces réseaux est particulièrement difficile. Le contrôle de la portée du Wi-Fi est par exemple quasiment impossible. La mise en place du Wi-Fi ne peut être effectuée de manière sécurisée sans avoir au préalable segmenter le réseau du système d’information. La création des réseaux Wi-Fi pour les terminaux personnels et le public est une mesure de sécurité simple mais très efficace pour se prémunir de nombreuses attaques.
Sécuriser les échanges
Les systèmes d’information sont amenés aujourd’hui à échanger de plus en plus avec le réseau public et des réseaux de partenaires. Pour ne pas compromettre sa sécurité, seuls des postes clairement définis doivent pouvoir échanger avec des réseaux extérieurs. Ces postes, de préférence cloisonnés, ne doivent pas échanger directement avec le monde extérieur mais via une passerelle sécurisée. Cette passerelle doit intégrer au minimum un proxy et un pare-feu afin que les fichiers malveillants et autres virus ne puissent pas infecter le poste de travail. De plus, tous les échanges effectués entre le système d’information et des réseaux extérieur doivent être effectués de manière chiffrer. Des filtrages basés sur les adresses IP et l’enregistrement des accès sont des mesures simples et efficaces pour parer et prévenir les intrusions.
Connaître son ennemi, ses moyens d’actions et être capable de réagir
Les cybercriminels disposent de nombreux moyens d’actions. Il est très difficile de se prémunir de tous les types d’attaque. Chaque entreprise ou organisme doit donc déterminer les attaques les plus probables dont elle peut être victime. Les tentatives d’intrusion ou de vols sont généralement liées aux données du système d’information et au secteur d’activité de l’entité. Une entreprise proposant un service connecté devra par exemple être très attentive aux éventuelles et probables attaques par déni de service (DDos). Toutes les mesures de prévention ne peuvent pas garantir l’annihilement des attaques, la mise en place de plans de sortie de crise et de reprise d’activité sont donc indispensables. Les cybercriminels peuvent réussir à s’introduire dans des systèmes d’information par l’intermédiaire de supports amovibles. Le contrôle avec un anti-virus des données entrant dans les postes d’un système d’information est donc nécessaire. L’installation de logiciels mais aussi la formation des utilisateurs sont tout aussi importantes pour parer ce type d’intrusion. Le système informatique pilotant le programme nucléaire iranien aurait été corrompu par l’intermédiaire d’une simple clé USB !
Tenir à jour son parc informatique
La sécurité d’un système d’information peut être mise à mal si le parc informatique et plus généralement tous les objets reliés au réseau ne sont pas tenus à jour. Les mises à jour apportent non seulement de nouvelles fonctionnalités mais aussi et surtout des corrections des bugs et des failles de sécurité. Ces failles sont très rapidement connues et exploitées par les cybercriminels. Tout le matériel ne pouvant pas être tenu à jour doit être isolé du réseau. Chez l’hébergeur Amen.fr, vous pourrez trouver des solutions vous permettant de mettre en place une stratégie de sécurité informatique à l’aide de certificats de sécurité, solutions de sauvegarde et bien plus.