Cybersécurité : comment éviter les attaques post-COVID ?

La cybersécurité n’est pas qu’une affaire de « machines ». Le chiffre peut paraître étonnant, 95% des menaces informatiques sont occasionnées par les utilisateurs. La création d’un mot de passe trop faible, l’ouverture d’une pièce jointe malveillante ou l’accès à un site Internet de phishing (hameçonnage en français) depuis un email frauduleux font encore partie des comportements à risque le plus courant dans les entreprises.

Sauriez-vous reconnaître un mail dangereux d’un email inoffensif ?

Pour le savoir, faites ce test connu de cybersécurité.

À ce constat vient s’ajouter la période COVID. Dans un contexte où les organisations sont chamboulées, les situations qui nous paraîtraient d’ordinaire incongrues deviennent plausibles. Et si le directeur avait réellement besoin de ce transfert d’argent pour sauver les emplois de l’entreprise ? La crise abaisse notre niveau de vigilance et génère davantage de comportements à risque. Entre mars et juin 2020, une cinquantaine de grandes entreprises françaises (dont Les 3 Suisses, La Redoute ou la SNCF) ont connu des cyber-attaques, avec des cas de demande de rançon pour libérer leurs données.

Cybersécurité et COVID, un « château fort » qui s’effrite

Il y a quelques années, la cybersécurité était comparable à un château fort. Les murailles représentaient le firewall, le peloton de gens d’armes à l’intérieur de la cour l’antivirus. Mais au fil du temps, il a fallu ouvrir de plus en plus de brèches dans le rempart pour permettre aux ordinateurs portables, aux smartphones, puis aux objets connectés, d’accéder à la messagerie et aux ressources de l’entreprise (ERP, CRM, etc.).

Les systèmes d’information se sont peu à peu complexifiés, jusqu’au point où la sécurité périmétrique (les remparts du château fort) n’est aujourd’hui plus suffisante. Bien entendu les technologies et les outils en cybersécurité ont su évoluer pour répondre aux enjeux métier des entreprises. Mais compte tenu du facteur risque actuel amené par le COVID, la sécurité informatique doit impérativement s’accompagner d’une sensibilisation des collaborateurs aux bonnes pratiques cyber.

Cybersécurité et COVID, nos 3 recommandations aux utilisateurs

1.       Différencier le poste de travail de l’ordinateur familial

Quand on navigue sur Internet, on peut télécharger malgré soi des contenus illicites. Comme des malwares par exemple. Ces logiciels malveillants peuvent, le jour où un VPN vers les ressources de l’entreprise est monté, se diffuser et se propager sur le réseau de l’entreprise. Il faut donc bien cloisonner les usages : l’accès aux outils professionnels s’effectue à partir d’un profil utilisateur, sur un poste de travail disposant d’un « master de sécurité ».

2.       Créer un mot de passe robuste et unique pour chaque usage

Un mot de passe « dur » comporte des minuscules, des majuscules, des chiffres et des caractères spéciaux. Il est recommandé de distinguer les mots de passe utilisés dans la vie privée de ceux réservés aux usages professionnels. Il s’agit également de s’assurer que les mots de passe n’aient aucun lien avec des éléments rattachés à des évènements de la vie personnelle (date de naissance, mariage, enfants, animaux, etc.).

3.       Enregistrer les mots de passe dans un coffre-fort numérique

Pour réussir à gérer l’ensemble de ses mots de passe, la mémoire humaine ne suffit pas. Il existe par exemple des outils (payants) de stockage sécurisé des mots de passe et d’authentification en SSO (pour Single Sign-On). Attention, il ne faut JAMAIS enregistrer les mots de passe sur les navigateurs. La première chose qu’un malware va décrypter, ce sont les mots de passe des navigateurs.

Êtes-vous sûr que vos identifiants et mots de passe n’ont jamais été compromis ?

Retrouvez l’ensemble des données personnelles devenues publiques ici.

Cybersécurité et COVID, nos 3 recommandations aux DSI / RSSI

1.       Doter les messageries d’un filtrage avancé des mails

Il existe sur le marché des logiciels (appelés vulgairement anti-spam), suffisamment puissants pour détecter si un mail entrant est légitime ou pas. L’analyse de la criticité se fait sur la manière dont le mail est construit, indépendamment de la langue utilisée. Ces systèmes de protection des messageries permettent aux entreprises qui les utilisent d’être peu touchées par les menaces de type ransomware.

2.       Mettre en place des processus de validation de l’information

Ces protocoles, lorsqu’ils sont connus de tous au sein de l’entreprise, permettent aux collaborateurs d’adopter le bon comportement le jour où ils reçoivent un mail douteux ou un coup de téléphone demandant d’effectuer un transfert d’argent. La mise en place d’une chaine de validation de l’information est notamment un rempart très efficace contre les attaques au président.

3.       Contrôler la conformité des configurations de sécurité en continu

Le jour où un pirate décide de réaliser une attaque APT (Advanced Persistent Threat ou Menace persistante avancée) sur les systèmes d’information d’une entreprise, il va entreprendre la modification lente des configurations des outils de sécurité. Ces attaques se déroulant sur plusieurs mois, les changements opérés par le pirate n’émettent que des signaux faibles, souvent indétectables. Pour contrer ce type de menace, il est possible de s’équiper de logiciels qui vont contrôler que les paramètres des outils correspondent bien à ceux attendus, ou à ceux recommandés par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). En cas d’écart, le logiciel envoie une alerte, révélant ainsi les actions effectuées par le pirate.

En période COVID, la cybersécurité des réseaux d’entreprise demande une vigilance accrue des collaborateurs et des DSI / RSSI. Si un certain nombre de solutions logicielles ou organisationnelles permettent de réduire les risques d’attaque, le point névralgique reste la sensibilisation des utilisateurs aux bonnes pratiques cyber.

Pour en savoir plus sur l’ensemble des gestes à promouvoir dans l’entreprise, et obtenir de l’information sur les dernières vulnérabilités connues, rendez-vous sur le site de l’ANSSI.