Cybersécurité – 10 bons gestes pour se protéger

« Nous sommes désormais tous « si dépendants ». La qualité des systèmes d’information n’est plus seulement un facteur de performance pour l’entreprise… c’est aujourd’hui également un facteur de survie. »

Daniel BENABOU

La Cybercriminalité peut mettre en péril l’existence de n’import quelle organisation ou affecter durablement son fonctionnement et ses résultats.

Dans un premier temps, appréhendons le contexte numérique.

Les principales menaces actuelles émanent de 5 catégories d’attaquants :

• Les salariés ou anciens salariés), prestataires qui sont complices, volontaires ou non, d’un tiers
• Les concurrents
• Les hacktivites (des hackers activistes qui agissent par idéologie)
• Les escrocs
• Les états ou agences gouvernementales

Les moyens utilisés et identifiés des attaquants mentionnés (ci-dessus) :

• Watering Hole
• APT
• Malwares
• Cryptolockers
• Malvertising
• Deni de Service
• Ransomwares
• Piratage des Firmwares
• Exfiltration et divulgation de données
• Défiguration de sites web.

NB : voir les définitions* à la fin de cet article

Dans un second temps, faites un état des lieux de l’existant.

Posez-vous les 10 questions pour mieux appréhender la Cybersécurité de votre entité :

• Qui est mon RSSI (Responsable de la sécurité des systèmes d’informations) ?

• Depuis quand n’ai-je pas entendu parler de cybersécurité  ?

• Quand ai-je parlé de cybersécurité à toute l’entreprise ?

• Quelle est l’intensité des attaques subies par mon entreprise ?

• Suis-je exposé personnellement ?

Et si vous avez un RSSI ou un prestataire informatique :

• Quelles sont nos cinq plus grandes vulnérabilités ?

• La dernière cyberattaque dans notre cartographie des risques ?

• De quand date notre dernier audit de sécurité ?

• Sommes-nous préparés à une Cybercrise ?

• Comment sommes-nous juridiquement protégés ?

Les 10 bons gestes pour se protéger personnellement et professionnellement.

Vous avez effectué un bilan de vos systèmes d’information, et maintenant vous allez mettre un plan d’actions et suivre certains conseils :

1. Définir un mot de passe distinct pour chaque compte
2. Sauvegarder régulièrement vos données sur différents supports
3. Effectuer les mises à jour des logiciels
4. Éviter de se connecter au WI-FI Public
5. Éviter de Transférer des données professionnelles sur un compte personnel
6. S’abstenir de communiquer ses mots de passe
7. Éviter de cliquer sur des pièces jointes des liens ou des messages inconnus
8. Rester prudent en présence du public
9. Éteindre ses équipements le soir
10. En cas de suspicion d’attaque, se déconnecter du réseau

Les 10 recommandations du Cesin pour appréhender le CLOUD :

« 85 % des entreprises stockent des données dans le Cloud » (source Baromètre Opinionway-Cesin -2016)

Vous êtes présent dans le Cloud ou vous avez un projet d’externaliser des données, penser à

1. Estimer la valeur des données que vous comptez externaliser ainsi que leur attractivité en termes de cybercriminalité.
2. Valider le principe de l’externalisation de données sensibles & stratégiques
3. Évaluer le niveau de protection de ces données en place avant externalisation
4. Adapter vos exigences de sécurité dans le cahier des charges lors de votre consultation en fonction du point 1
5. Effectuer une analyse de risque du projet en considérant les risques inhérents au Cloud
6. Exiger un droit d’audit ou de test d’intrusion de la solution proposée.
7. A la réception des offres, analysez les écarts entre les réponses et vos exigences.
8. Négocier, négocier.
9. Faire valider votre contrat (rédigé en français et/ou en droit français), par un juriste.
10. Faire un audit ou un test d’intrusion avant le démarrage du service. Et assurez-vous du maintien du niveau de sécurité de l’offre dans le temps

---

*Quelques définitions :

APT (Advanced Persistent Treat) ou menace persistante avancée est un pirate informatique qui vise à placer du code malveillant personnalisé sur des postes de travail.

DEFIGURATION DE SITES WEB : l’attaque consiste à modifier le contenu d’un site web, ou bien afficher les revendications politiques ou idéologiques des hackers.

DENI DE SERVICE : une attaque par déni de service consiste à rendre indisponible un serveur, principalement en le saturant par un grand nombre requête simultanées.

EXFILTRATION ET DIVULGATION DE DONNEES : les hackers s’infiltrent dans les réseaux pour s’emparer de données confidentielles et les publier. Leur objectif est de montrer que le site de leur victime est peu sécurisé et de porter ainsi atteinte à son image.

MALVERTISING (malicious adverstising) utilise les publicités en ligne pour diffuser des logiciels malveillants.

MALWARE (malicious software ou logiciel malveillant) est un programme informatique développé dan le but de nuire (Virus, Vers, Cheval de Troie…)

PIRATAGE DE FIRMWARES (micrologiciels intégrés dans du matériel informatique pour permettre au hardware d’évoluer en intégrant de nouvelles fonctionnalités) peuvent être piratés afin de rendre l’appareil inopérant ou de l’utiliser pour s’introduire dans un réseau.

PHISHING (ou hameçonnage) consiste à usurper une identité personnelle ou des identifiants bancaires pour en faire un usage criminel.

RANSOMWARE est un programme informatique qui bloque l’accès aux données tant qu’une rançon n’a pas été payée. Un CRYPTOLOCKER (ou crypto-verrouilleur) est un ransomware, diffusé principalement par des courriels infectés, qui crypte les données de l’utilisateur. Une rançon est demandée (souvent en bitcoins) pour obtenir la clé de chiffrement.

WATERING HOLE OU ATTAQUE PAR POINT D’EAU s’appuie sur les habitudes de navigation d’individus travaillant pour une entreprise cible. Ex. un hacker peut trouver des informations sur un collaborateur grâce aux réseaux sociaux et les utiliser pour attaquer. Il a repéré sa proie et se pôles d’intérêt, et va placer un code malveillant sur les sites web consultés par ce collaborateur…via le réseau de l’entreprise.

---