Lorsqu'il s'agit de protéger un réseau, il y a beaucoup à prendre en compte : les pirates, les logiciels malveillants, etc. Mais l'une des menaces les plus importantes (et les plus négligées) qui pèsent sur les réseaux est en fait l'utilisateur final. C'est vrai, les utilisateurs de votre réseau peuvent poser des problèmes, du choix de mots de passe faibles à l'utilisation de clés USB. Dans le cadre de la sensibilisation nationale à la cybersécurité, nous avons voulu partager quelques conseils sur la manière de protéger les réseaux des utilisateurs finaux.
Choisissez des mots de passe forts : Il est fortement recommandé que les mots de passe soient une combinaison de lettres majuscules, de lettres minuscules et de chiffres - au minimum. Encouragez les utilisateurs de votre réseau à y ajouter des symboles ! Et les mots de passe doivent être changés fréquemment. Une dernière chose, ne laissez personne afficher son mot de passe à un endroit facilement visible, comme un Post-It sur un bureau.
Créez des politiques pour les utilisateurs : Établissez des règles et des procédures concernant l'utilisation du courrier électronique, les sites web auxquels vous pouvez accéder et même l'utilisation des médias sociaux. Ceci est particulièrement important si votre entreprise autorise les employés à apporter leurs propres appareils (BYOD). Précisez que la violation de ces règles peut entraîner le licenciement. En revanche, récompensez le respect de ces politiques par des primes ou même des augmentations.
Utilisez des programmes antivirus et des pare-feu : Celui-ci est en quelque sorte une évidence, surtout parce que les clés USB sont encore couramment utilisées. Configurez des mises à jour automatiques pour tous ces logiciels ou programmes, même si cela peut entraîner des temps d'arrêt ou quelques minutes de ralentissement des performances.
Définir les protocoles de courrier électronique : L'un des principaux responsables des virus est le courrier électronique. En plus des mots de passe forts, utilisez si possible un cryptage à 2 facteurs pour les comptes de messagerie des utilisateurs. Et pour être sûr, exigez que les utilisateurs répondent également aux questions de sécurité - et à celles qui n'ont pas de réponses faciles à deviner.
Mettez en place des VPN : Configurez un réseau privé virtuel (VPN) sur tout appareil pouvant accéder aux données de l'entreprise. Votre travail ne s'arrête pas là. Apprenez aux utilisateurs à ne jamais se connecter au réseau Wi-Fi public, sauf si ce réseau privé virtuel est utilisé.
Soyez en sécurité dans le Cloud : Le stockage dans le Cloud fait fureur de nos jours, et avec lui les risques de sécurité. Avant de télécharger des données dans le Cloud, assurez-vous que les fichiers sont cryptés. Et une fois de plus, assurez-vous que le mot de passe de votre plateforme de stockage en ligne est délicat et qu'il est souvent modifié.
Éduquez, éduquez, éduquez : Faites preuve de diligence en rappelant aux utilisateurs finaux les risques de sécurité potentiels et en les aidant à prendre des mesures pour prévenir les menaces. En même temps, n'oubliez pas que tout le monde n'est pas aussi à l'aise que vous avec la technologie. N'hésitez donc pas à intervenir et à faire une deuxième, voire une troisième, démonstration. Après tout, tous les professionnels de l'informatique n'aiment-ils pas sauver la situation ?
Appliquer le principe du moindre privilège
Chaque utilisateur ne devrait disposer que des accès strictement nécessaires à ses fonctions, et rien de plus. Un compte de bureautique n'a pas besoin de droits d'administration sur le poste ; un commercial n'a pas à atteindre les dossiers de la comptabilité. Ce cloisonnement limite mécaniquement les dégâts en cas de compte compromis : un logiciel malveillant exécuté avec un compte restreint ne peut pas installer de service, modifier le système ou se propager aussi facilement. Les droits doivent être revus à chaque changement de poste, et surtout retirés le jour même d'un départ, faute de quoi des comptes actifs subsistent des mois après le passage de la personne.
Tenir un inventaire et appliquer les correctifs
On ne protège pas ce qu'on ne connaît pas. Un inventaire à jour des postes, des serveurs, des équipements réseau et des logiciels installés est le préalable à toute politique de mise à jour. Les correctifs de sécurité du système d'exploitation, des navigateurs et des applications exposées doivent être appliqués sans délai excessif, en priorisant les vulnérabilités critiques. Les équipements qui ne reçoivent plus de mises à jour de leur fabricant sont remplacés ou isolés du reste du réseau : un poste non corrigé connecté à Internet accumule des points d'entrée exploitables.
Reconnaître l'hameçonnage
Une large part des intrusions commence par un courriel qui imite un expéditeur de confiance pour obtenir un identifiant, un paiement ou un clic. Les signaux à apprendre aux équipes : une urgence artificielle, une adresse d'expéditeur légèrement altérée, un lien dont l'adresse réelle ne correspond pas au texte affiché, une demande inhabituelle de la part d'un supérieur. La règle utile est celle du canal : en cas de doute sur un message, on ne répond pas dans le fil, on vérifie par un autre moyen connu. Un exercice d'hameçonnage interne, court et sans piège humiliant, mesure la progression mieux qu'un long document.
Segmenter le réseau et encadrer le BYOD
Un réseau plat, où chaque machine peut en atteindre n'importe quelle autre, laisse une compromission se propager sans obstacle. Séparer les usages — postes de travail, serveurs, imprimantes, objets connectés, appareils personnels — sur des réseaux logiques distincts, avec un filtrage entre eux, contient l'incident. Les appareils personnels qui accèdent aux ressources de l'entreprise posent une question à trancher dans la politique : soit ils sont soumis à un minimum de vérifications (système à jour, verrouillage, chiffrement du support), soit ils sont cantonnés à un accès web isolé, sans jonction avec le réseau interne.
Chiffrer les postes et les supports
Le chiffrement intégral du disque est la mesure la plus simple et la plus efficace contre la perte ou le vol de matériel : un ordinateur portable dérobé éteint est alors inexploitable, et ce sans effort quotidien pour l'utilisateur. Il est disponible sur les systèmes récents et s'active en quelques minutes ; son efficacité dépend d'un verrouillage réellement utilisé et de la mise en lieu sûr de la clé de récupération, séparée de l'appareil. Les supports amovibles qui contiennent des données de l'entreprise sont chiffrés eux aussi, ou proscrits — les clés USB restent l'un des vecteurs d'infection les plus courants.
Journaliser et surveiller
Une intrusion qui passe inaperçue pendant des semaines fait bien plus de dégâts qu'une intrusion détectée en quelques heures. Activer la journalisation des accès, des connexions et des opérations sensibles, puis la relire régulièrement — même sommairement — permet de repérer une connexion à une heure inhabituelle, un volume d'export anormal ou des tentatives d'authentification répétées. Sans journaux exploités, il devient impossible de comprendre ce qui s'est passé après un incident, et de démontrer l'étendue exacte de ce qui a été touché.
Sauvegardes et réponse aux incidents
Des sauvegardes régulières, externalisées, testées et dont une copie reste déconnectée sont la seule protection réelle contre un rançongiciel : elles permettent de repartir sans négocier. En parallèle, une procédure de réponse aux incidents, même courte, doit exister avant l'incident : qui est prévenu, qui décide d'isoler une machine, qui communique, où sont notées les actions et leurs horaires. Une équipe qui a répété ce scénario une fois réagit bien plus vite le jour où il devient réel.