Situation actuelle
Avec l’arrivée impromptue de la pandémie, les équipes informatiques ont dû se mobiliser d’urgence afin de permettre le télétravail, les rencontres virtuelles, pour garantir la continuité du travail… et de l’entreprise. Ce qui a eu deux conséquences significatives :
- Les besoins urgents des entreprises ont dépassé la capacité opérationnelle des services informatiques (tout le monde a eu besoin en même temps d’un ordinateur, d’une connexion sécurisée, etc.).
- La volonté de s’adapter rapidement a été si importante que la question de la sécurité des infrastructures (web notamment) a été négligée.
Paysage cybernétique actuel :
Il est amusant de noter qu’en 2016, seuls 14% des personnes interrogées (dans le cadre d’un sondage du ministère de l’emploi), pensaient que le télétravail était possible. Il y a fort à parier que les chiffres de 2020 vont être revus à la hausse.
La rapidité avec laquelle nous avons dû nous adapter au changement dans notre organisation du travail a eu trois conséquences sur le paysage cybernétique :
- Surface d’exposition étendue (chaque employé à distance représente une surface d’exposition supplémentaire)
- Contrôle de sécurité réduits
- Formation déficiente pour gérer la sécurité des infrastructures
La combinaison de ces aspects contribue à augmenter le risque de cyberattaque !
Surface d’exposition :
La surface d’exposition définit le niveau d’exposition aux cyberrisques. Elle s’est accrue principalement en raison de l’augmentation significative des :
- Connexions à distances (généralement via VPN)
- Utilisation de stockage infonuagique pour partager des documents (et possiblement éviter de monter des VPN)
- Accès à des services web (comme des machines virtuelles)
Si toutes ces options sont légitimement envisageables, il faut s’assurer d’analyser et de vérifier les risques inhérents à chacune d’elle. Ces différentes plateformes ont toutes du potentiel, mais représentent aussi des surfaces d’exposition, qu’il faut traiter sérieusement.
Contrôles de sécurité :
Voici quelques situations où il est important de s’assurer de la sécurité :
- Gestion des appareils personnels
Certaines entreprises auparavant très regardantes sur les appareils qui se connectaient à leurs données, ont dû brutalement laisser leurs employés y accéder avec leurs propres appareils (via VPN ou bureau virtuel), augmentant ainsi le risque. - Surveillance des accès et des activités
Toutes les entreprises n’ont pas mis en place un contrôle très granulaire des accès (qui accès, quand, à quelle heure…), afin de détecter toute activité suspecte (une connexion dans la nuit de samedi à dimanche est-elle normale ?). - Contrôles des périphériques externes
Les supports externes, comme les clés USB, peuvent être la source d’infection ou d’extraction non autorisée de données. - Protection des données
Avoir mécanismes de défense qui avertissent lorsqu’il se passe des activités irrégulières, tels que des Data Layer Protection ou des Leakage Protection, afin de se prémunir contre des téléchargements de données non sollicités. - Visibilité
Intégration des journaux vers un SIEM (security information and event management system) et se créer des tableaux de bord de l’ensemble des mesures précédentes afin d’en assurer un suivi facile et donc d’améliorer la réactivité en cas de problème.
Formation :
Avoir des mécanismes en place c’est bien, que les personnels concernés soient formés c’est mieux.
- Guides et procédures
Des guides ont-ils été communiqués aux équipes ? Étaient-ils simples et compréhensibles ? Étaient-ils adaptés selon le type de public ? - Hameçonnage
Les salariés ont-ils été mis en garde et formés quant aux risques d’hameçonnage et aux modes opératoires des hackers ? Et de la procédure à suivre le cas échéant ? - Gestion des mots de passe
L’usager moyen n’aime pas gérer ses mots de passe et tend à réutiliser un même mot de passe pour différents accès, créant ainsi une faiblesse dans la protection. Là aussi sensibiliser et former les employés est impératif pour qu’ils utilisent les bonnes pratiques. - Communications sécurisées
Y a-t-il une uniformisation des canaux de communication ou au contraire une multiplication (courriel pro, perso, zoom, teams, meet…), qui représentent autant de risques ? - Cyberhygiène
Les employés savent-ils comment faire les mises à jour nécessaires ? Bien fermer leur poste en fin de session ? Ont-ils des antivirus assez performants ?
Risques à l’horizon:
Compte tenu de la pandémie favorisant le télétravail pour encore un certain temps, voici quelques enjeux sur lesquels il faut être particulièrement vigilant en termes de cybersécurité, car leur « popularité » est grandissante :
- L’hameçonnage (avec la clé virus, rançongiciels…)
- L’espionnage industriel (souvent directement lié au point précédent)
- Les groupes APT, qui sont des groupes financés par des États, donc ayant beaucoup de moyens.
Note : APT (Advanced Persistant Threat ou menaces persistantes avancées) peut désigner un type d’attaque ou le groupe responsable de l’attaque en question.
Comment être plus sécuritaire?
- Visibilité
Avoir une visibilité sur les infrastructures (et celles des employés distants) afin de réagir au plus vite en cas de problème (programmes de cybersécurité qui assureront une meilleure marge de manœuvre, avec des tableaux de bord pertinents). - Chiffrage
Surveiller le chiffrage et la protection des données, qu’elles soient en transit (connexions cryptées via VPN à distance mais aussi quand les données circulent entre différents systèmes), ou au repos (dans des centres de données, dans le nuage, sur les disques durs des collaborateurs). - Gestion du parc
Gérer les appareils (cellulaire, ordi perso ou du bureau) et leurs accès (qui accède à quelles ressources, utilise quel logiciel, etc.). - Directives claires
Mettre à jour la politique de cybersécurité afin d’éviter toute confusion au sujet des accès VPN, par exemple, dans l’éventualité d’un retour au bureau (les accès vont-ils être révoqués ?). - Formation
Finalement, il faut former les employés à prendre de bonnes habitudes et contribuer à sécurité de tous.
Vous souhaitez en savoir plus sur ce sujet? Découvrez notre formation sur la cybersécurité en classe virtuelle :
Voir toutes les formations Surveillance et sécurité
Retrouvez également la présentation disponible sur la page SlideShare de Technologia.
