3 conseils « cyber » sécurité pour 2022 à destination des dirigeants d’entreprise

Back to home

Simon DEMESSANCE

cyber2022
La pandémie et ses conséquences, la guerre en Ukraine : autant de situations tirant la sonnette d’alarme pour se protéger des cyberattaques.
Les deux dernières années ont été rudes pour l’ensemble des entreprises et la COVID a obligé de nombreux dirigeants à mettre en œuvre des solutions jusqu’alors peu courante. On parle de télétravail, de mise à disposition d’accès distant sur le système d’information, d’utilisation de matériel personnel.

2022 n’est pas en reste, les tensions internationales ont pris une nouvelle tournure avec des attaques mixtes entre guerre telle qu’on la connait et cyberguerre.
L’ANSSI appelle d’ailleurs l’ensemble des acteurs économiques à renforcer son arsenal de sécurité des systèmes d’information (Tensions internationales : renforcement de la vigilance cyber | Agence nationale de la sécurité des systèmes d’information (ssi.gouv.fr)

Alors, en tant que dirigeant comment s’y retrouver ? Je sais que la sécurité est devenue incontournable et qu’il est essentiel de protéger son système d’informations.

Mais concrètement que dois-je mettre en œuvre, par quoi commencer ? Suis-je concerné par ces cyberattaques ? La réponse est Oui ! En effet, que je sois une TPE, une PME ou une grand entreprise je suis une cible. Que ce soit du fait de mon secteur d’activités, que les données que je détiens soient très sensibles ou tout simplement une victime collatérale d’attaque de masse.

Pour vous aider dans cette jungle, voici 3 conseils pour 2022 qui vous permettront de réduire les risques et les impacts d’une attaque sur vos systèmes d’information.

1. La sauvegarde


Souscrire une assurance pour protéger ses actifs et biens matériels est un bon début, mais jamais une assurance ne couvrira la perte de l’ensemble des données de mon entreprise.

À la suite de la suppression accidentelle ou volontaire, ou d’un rançongiciel mes données doivent toujours disposer d’une copie.

Voici le concept de base d’une stratégie de sauvegarde « la stratégie 3-2-1 » :

– 3 copies de données : la première sont les données originales, et les deux autres sont des copies à sécuriser.

– 2 supports de stockage différent : mes deux copies doivent pouvoir être sur deux supports différents (disque dur, bande magnétique, dans le cloud, papier pour les documents archives).

A cette stratégie s’ajoute des éléments importants comme le chiffrement, les droits d’accès, la gestion physique des supports dans des lieux avec accès restreints.

Cependant, une stratégie de sauvegarde ne sert à rien sans des tests récurrents de restauration. Il est d’autant plus vrai que certains documents légaux doivent être disponible pendant 3, 5 ou même 10 ans ! Alors le choix d’un support de sauvegarde doit se faire avec une vision à long terme pour pouvoir être lisible malgré les évolutions technologiques.

Voici quelques acteurs Français ou Européen proposant des solutions de sauvegarde sécurisé :

– OoDrive : https://www.oodrive.com/fr/.

– kDrive : https://www.infomaniak.com/fr/kdrive

– OVH Backup Storage : https://www.ovhcloud.com/fr/bare-metal/backup-stor/

2. L’authentification

 
L’ensemble des composants d’un système d’information doivent être accessibles selon la règle suivante : « tout accès quel qu’il soit, doit être nominatif et disposer à minima d’un identifiant et d’un mot de passe unique ».
Mais alors pourquoi un antivirus, un antispam ne suffirais pas à me protéger ? Tout simplement parce que les emails de phishing vont être de plus en plus élaborés et indétectables par les solutions de protection technique habituelle. L’humain sera le dernier rempart face à ce type d’attaque.  
Lorsque l’on parle de l’ensemble des composants d’un système d’information, on parle de l’ensemble des équipements connectés au réseau de l’entreprise à savoir : ordinateur, tablette, smartphone, serveurs, borne wifi, objet connecté tel que télévision, caméra, etc…

Chacun de ces équipements doit être identifiés et disposés d’un identifiant pour s’y connecter. Il faut bannir les accès de type mutualisés, sans mot de passe ou partagés entre plusieurs collaborateurs. Chaque collaborateur doit avoir un compte nominatif et un mot de passe que lui seul doit connaitre.

Les accès privilégiés comme les administrateurs systèmes doivent activer, à chaque fois que cela est possible, la double authentification (certificat, signature, carte à puce, jeton usb) ou l’authentification renforcée (politique de mot de passe, longueur, complexité et renouvellement à haute sécurité).

3. Le filtrage d’email

 
On le sait l’humain est le maillon faible de la sécurité de l’information (cf article : Remettre l’humain au cœur de la sécurité de l’information – mettre lien). C’est pourquoi le phishing est le premier vecteur d’attaque informatique.

Alors comment me protéger face au phishing, en plus de réaliser des campagnes de sensibilisation auprès de mes collaborateurs ?
  • Grâce au filtrage email et la mise en place d’une « sandbox ». La « sandbox » est une solution qui va analyser l’ensemble des emails entrants contenants des pièces jointes et des hyperliens afin de vérifier qu’aucun élément malveillant ne soit reçu.

Avec ces solutions, les emails sont ainsi traités et vérifiés de manière automatique avant d’être remis aux collaborateurs, permettant de réduire les risques de phishing, d’usurpation, de fraude au président, etc.

Voici des exemples de solutions de sandboxing email :

Barracud – https://fr.barracuda.com/products/email-protection

Anubis – https://www.anubisnetworks.com/email-protection-service-for-enterprises?hsLang=pt-pt

Proofpoint – https://www.proofpoint.com/fr/products/email-security-and-protection

Ces 3 conseils ne sauraient vous couvrir totalement face à la multitude de scénarios et de typologie d’attaque. Malgré tout, ils constituent une base simple et solide à mettre en œuvre dans vos entreprises.