Les médias font de plus en plus souvent état d’attaques informatiques contre de grandes sociétés. Personne ne semble à l’abri puisqu’une société informatique comme Yahoo ! ou un géant comme Sony en ont été les victimes et ont vu une étonnante quantité de données confidentielles leur échapper. Si ces cas sont fortement médiatisés, il semblerait que dans l’ombre le vol ou la destruction des données dans les PME/TPE soit également en forte augmentation. Finalement, cela peut sembler logique puisque des multinationales avec des budgets conséquents semblent incapables de se protéger efficacement. Quelles sont les solutions pour une PME avec un budget limité, voire nul, pour mettre en œuvre une politique de sécurité acceptable? Heureusement il n’y a pas de fatalité, en suivant quelques règles, il est possible de se prémunir d’une cyberattaque, ou tout au moins de compliquer au maximum la tâche de ces personnes malveillantes qui mettent à mal la sécurité des données.
A lire aussi dans notre dossier “Sécurité des données” :
Etablir une politique de sécurité et une charte informatique
En matière de sécurité informatique, il n’y a pas de place pour l’improvisation. Il faut anticiper en délimitant le périmètre des données sensibles et en déterminant la façon de les protéger. La chaîne de responsabilités doit être claire et des procédures simples et efficaces doivent être mises en place afin que les équipes internes sachent exactement quoi faire en cas d’attaque avérée.
Contrôler les accès à Internet depuis l’entreprise et filtrer les sites accessibles
Tous les points d’accès à Internet de l’entreprise sont autant de points d’entrée possibles pour un cyberattaquant. Il est donc important d’en limiter le nombre et que tous soient parfaitement contrôlés. L’utilisation d’un réseau privé virtuel (ou VPN) avec un unique point d’accès permet de contrôler l’ensemble des échanges. De la même façon, l’adoption d’un processus de chiffrage systématique des données permettra de les rendre inutilisables pour qui ne devrait pas y avoir accès.
Sécuriser les accès Wifi
Il est très pratique de pouvoir travailler en Wifi. Cela représente généralement de grosses économies en termes d’installation, car il n’y a pas de câbles réseaux à faire passer dans l’ensemble des locaux. En contrepartie, le réseau de l’entreprise peut être accessible depuis l’extérieur, et de nombreux outils, gratuits pour la plupart, permettent de déchiffrer en quelques minutes un mot de passe Wifi pas assez robuste.
Le contrôle de ces accès doit d’autant plus être renforcé qu’une faille dans le protocole de sécurité WPA2 utilisé massivement par les équipements Wifi, vient d’être découverte. La fourniture d’un correctif par les différents fabricants de matériels et fournisseurs d’accès peut prendre un certain temps.
Maintenir un parc informatique homogène et à jour
Un parc informatique homogène, tant en termes de matériel que de versions logicielles, est beaucoup plus facile à gérer et à sécuriser. Si plusieurs versions de systèmes d’exploitation ou même plusieurs systèmes d’exploitation cohabitent, les mises à jour de sécurité sont beaucoup plus difficiles à suivre. Il est également important que tous les postes soient équipés d’un antivirus efficace et à jour, voire d’un pare-feu local.
Le problème est le même pour les entreprises disposant d’une flotte de mobiles. Il faut s’assurer que les dernières mises à jour soient appliquées de façon minimiser les risques en termes de sécurité.
Effectuer des sauvegardes régulières (et les vérifier tout aussi régulièrement)
En cas de défaillance matérielle ou de perte de données, il est impératif de disposer de sauvegardes récentes de façon à restaurer les données dans un délai le plus réduit possible. Le système de sauvegarde peut être installé en interne, ou bien externalisé, sur un cloud sécurisé par exemple. Les outils doivent être à jour et parfaitement maintenus.
Si la sauvegarde est importante, la possibilité de restaurer les données l’est encore plus. Des tests et des exercices de restauration de données doivent être réalisés régulièrement de façon à s’assurer que l’ensemble du processus fonctionnera en cas d’alerte réelle. Cela prend du temps, mais c’est une assurance supplémentaire. Toutes les sauvegardes ne vous serviront à rien si vous n’êtes pas en mesure de restaurer les données d’origine.
Limiter les applications Cloud personnelles
Il est de plus en plus courant que des employées utilisent des applications personnelles de stockage dans le cloud pour des données professionnelles. L’entreprise n’a aucun moyen de contrôle sur ces données. Les solutions personnelles ne sont jamais autant sécurisées que les offrent professionnelles, et des données confidentielles appartenant à l’entreprise peuvent ainsi se retrouver accessibles à tous. Une partie de la solution passe par la prévention grâce à l’information des employés.
Bien se préparer à une cyberattaque
Aujourd’hui, la question n’est plus de savoir si vous devrez un jour subir une attaque, mais quand vous la subirez ! Il est donc important de s’y préparer afin de savoir comment réagir le jour J. Pensez à former vos experts informatiques de façon continue, car de nouvelles failles de sécurité et de nouveaux types d’attaques voient le jour régulièrement. Assurez-vous que votre parc informatique est à jour.
Sensibiliser le personnel à la sécurité informatique
Même avec le meilleur matériel et les meilleurs logiciels, vous ne serez jamais totalement à l’abri, pour la simple raison que le maillon faible de la sécurité est et sera toujours l’être humain. En formant et en sensibilisant régulièrement les employés à la sécurité informatique, en les informant sur les procédures à suivre en cas de perte ou de vol de leur matériel professionnel ou personnel, vous diminuer d’autant les vulnérabilités de votre système.
A lire aussi dans notre dossier sécurité:
- La sécurité des données : enjeu majeur des entreprises
- 8 solutions pour améliorer la sécurité informatique de votre entreprise
