Une bonne « cyber-hygiène » pour protéger son entreprise

Bien que les organisations investissent dans des solutions de sécurité informatique, il arrive trop souvent qu’elles ne suivent pas les règles de base de la cyber-sécurité pour gérer les risques.

Les failles sont en effet souvent découvertes plusieurs mois après qu’elles aient été perpétrées, ce qui témoigne de la nécessité de renforcer la vigilance autour des systèmes d’information critiques.

Selon le dernier rapport publié par Verizon, les dix premières vulnérabilités connues représentaient 85% des attaques ayant été perpétrées avec succès.

Dans le cas de violations de grandes structures, il ressort souvent que les responsables du comité de direction n’ont pas tenu compte des conseils de leurs consultants informatiques pour améliorer la sécurité du réseau ; ces failles se produisent généralement parce que ces dirigeants ne parviennent pas à mettre la priorité sur la sécurité informatique et à l’intégrer complètement à la culture organisationnelle.

Ce sont souvent les petits détails mis de côté qui sont le point de démarrage des failles de sécurité.

Les organisations investissent dans une variété d'outils pour aider à protéger, surveiller et analyser l'activité sur les réseaux.

Or, sans appliquer les règles de base, ces outils - aussi performants soient-ils - deviennent inutiles et ouvrent la porte aux pirates informatiques.

Ces fondamentaux incluent les correctifs de sécurité et mises à jour logicielles, la mise en place et l’application de politiques de gestion des accès à privilèges, l’utilisation d’une authentification forte, et surtout l’écoute des recommandations des auditeurs et des consultants.

Le simple stockage des données de log ne constitue pas une bonne sécurité ; il vaut mieux analyser les données pour identifier et arrêter les menaces.

En résumé, si les auditeurs identifient les lacunes en matière de sécurité, il faut y remédier pour éviter que l’organisation ne soit exposée.

Mais pour y parvenir, les dirigeants doivent suivre leurs recommandations. Bien que plus facile en théorie qu’en pratique, l’institutionnalisation de la sécurité au sein d’une entreprise permet en effet de renforcer la valeur des investissements effectués dans les technologies et les ressources humaines.

Ainsi, des politiques efficaces nécessitent une planification minutieuse et une large adhésion des dirigeants qui devront montrer l’exemple au reste des employés ; faire preuve d’exemplarité est la clé d’une mise en place efficace des bases de sécurité.

Un manque de connaissance est souvent à l’origine des problèmes.

Par exemple, beaucoup d’entreprises ne sont pas familières avec leurs comptes à privilèges. Ces derniers, également appelés comptes à hauts pouvoirs, sont les comptes administrateurs de chaque machine ou poste de travail permettant l’accès à un réseau, un système ou un poste particulier.

Contrairement aux comptes utilisateurs en général dédiés à un seul employé, ces comptes particuliers sont utilisés par des administrateurs, des fournisseurs tiers ou de manière complètement robotisée.

Cette organisation rend les activités qui y sont conduites plus difficilement traçables et identifiables.

Ils sont considérés comme les clés du royaume, car les hackers une fois en possession des identifiants de connexion de ces comptes, peuvent s’infiltrer dans le réseau, s’y installer de manière insidieuse pour ne pas attirer l’attention et extraire progressivement les données les plus critiques ; à terme, ils sont en mesure de prendre le contrôle des systèmes.

Ces « visiteurs illégitimes » sont donc difficiles à repérer sans une surveillance active par les équipes informatiques et leur présence n’est souvent détectée que plusieurs mois plus tard - voire des années dans certains cas - lorsque l’entreprise s’aperçoit du vol des données.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI), dans son guide d’hygiène informatique, invite les entreprises à disposer d’une liste exhaustive et à jour de l’ensemble de leurs comptes à privilèges, de leurs différents utilisateurs, ainsi que de leur fréquence d’utilisation.

En effet, les systèmes contiennent des informations sensibles relatives aux plans stratégiques et aux activités, mais également aux clients, aux employés et aux partenaires.

Chaque entreprise fait partie d’une chaîne étendue qui inclut les fournisseurs de services et les clients, ce qui rend la moindre faiblesse, le moindre grain de sable dans ce rouage complexe, exploitable.

De plus, la sécurité ne s’arrête pas au périmètre de l’organisation ; à partir du moment où l’entreprise néglige la gestion de ses comptes à privilèges, elle ouvre la voie aux intrusions, malveillantes ou involontaires, de la part de collaborateurs ou de tiers ayant accès aux données internes.

Le risque zéro n’existe pas, chacun peut donc être à l’origine d’une faille s’il n’est pas vigilant notamment en ce qui concerne la gestion des mots de passe pour lesquels les mauvaises habitudes persistent.

D’ailleurs, une étude récente met en avant que 40% des organisations interrogées stockent toujours les mots de passe admin et de comptes à privilèges dans un document Word ou Excel, et que 28% utilisent un serveur partagé ou une clé USB.

C’est la raison pour laquelle le changement régulier des mots de passe, voire la mise en place d’un système de rotation automatique, est indispensable.

Pour éviter que les attaques sur les systèmes et comptes à hauts pouvoirs ne continuent d’affecter les entreprises, ces dernières doivent immanquablement renforcer l’application des bases de sécurité.

Il est également indispensable que les équipes dirigeantes montrent l’exemple à l’ensemble des collaborateurs pour que ces pratiques deviennent des réflexes aussi naturels que fermer la porte de son domicile à clé avant de le quitter.

En outre, elles doivent également continuer de surveiller les comptes à privilèges afin d’éviter des conséquences catastrophiques d’ordre administratif, économique ou financier.