Les trois mythes de la sécurité des données

Des mythes en sécurité informatique? Bien sur!

Pas de problème, on va les démonter à la suite !

1. Les menaces viennent de l’extérieur.
En effet, il existe des menaces qui viennent de l’extérieur (des virus, des attaques phishing, etc.). Mais, dans une entreprise, les menaces les plus grandes sont issues de l’intérieur. Les employés qui peuvent être soit malhonnêtes soit imprudents copient des données confidentielles sur leurs périphériques portables (clés USB, appareils Bluetooth, WiFi, Smartphone, disques durs externes, etc. ). Une fois sur de tels supports, les données peuvent arriver très facilement (perte, vol, vente) entre les mains de la concurrence ou des hackers.
2. L’information est protégée par la sécurisation des systèmes informatiques.
Les données sensibles sont à la disposition de ceux qui y ont accès. Même si on a des antivirus et des pare-feu, les employés ont toujours un accès illimité aux informations confidentielles. Ils peuvent les copier, les transférer vers leurs périphériques portables, les graver sur des CD/DVD, même les imprimer sur papier. Tout ça peut être une source de fuite de données.
3. Je suis trop petit et je n’ai pas d’informations intéressantes à voler.
Pour la concurrence ou pour les hackers, toute information est precieuse. Ils peuvent produire des pertes financiaires considérables dés qu’ils sont entrés en possesion des moindres informations sur notre entreprise.

En conclusion, il faut analyser attentivement les sources de pertes et ne négliger aucun point. Dans ces situations, on est aussi solide que le maillon le plus faible.

Protégez-vous proactivement contre les fuites de données!

Toutes les entreprises ont des données sensibles à protéger. Qu’elles soient des listes de clients, des rapports financiers, des résultats de recherches, des secrets commerciaux, des informations personnelles d’employés ou des plans de développement, il faut les mettre à l’abri.
Les entreprises doivent se poser les questions suivantes quand elles décident de se protéger contre les pertes ou les vols de données:
Qui peut voler les données?
Comment? (Par quels moyens?)
D’où? (Ont-ils un accès non contrôlé aux données?)
Après avoir établi quelles sont les possibles sources de fuites, il faut analyser quel type de protection est necessaire de tel sorte qu’elle n’empêche pas le bon déroulement des activités au sein de l’entreprise. On cherche une solution qui puisse gérer les possibles sorties des données sensibles mais qui ne va couper totalement l’accès aux données, surtout pour quelques utilisateurs clé (la direction, le département de ventes). On doit établir aussi la personne qui sera responsable de contrôler le flux d’information, qui va décider quels sont les droits des utilisateurs, quelles sont les données qui peuvent être copiées par chaque utilisateur, en gros, l’administrateur, la personne qui a le pouvoir de décision.
Finalement, les utilisateurs doivent être bien informés sur les bonnes pratiques en matière de sécurité des données.

15 conseils pour les utilisateurs des systèmes informatiques en entreprise

En recherchant sur l’Internet, j’ai trouvé 15 recommandations sur l’utilisation des systèmes d’information en entreprise, faites par la Préfecture d’Île-de-France et la Direction Centrale du Renseignement Intérieur.

En ce qui concerne les supports nomades (clés USB, PDA, téléphones, disques durs externes):
1. Apurez régulièrement les données stockées.
2. Ne transportez pas sur vos périphériques portables des données qui ne vous soient absolument nécessaires, surtout à l’étranger.
3. Quand vous êtes en déplacement professionnel, ne vous séparez jamais de vos matériels.
4. La réglementation de certains pays permet aux autorités locales de contrôler votre ordinateur portable ou d’autres supports de stockage et d’en récupérer le contenu, faites attention aux données que vous y gardez!

En ce qui concerne les mots de passe:
5. Établissez des mots de passe suffisamment longs et complexes (chiffres, lettres majuscules et minuscules et des caractères spéciaux- 8 caractères minimum)
6. Ne communiquez pas vos mots de passe au tiers.
7. Prévoyez une mise en veille automatique de votre ordinateur avec reprise par un mot de passe (ou verrouillez le dès que vous le laissez sans surveillance).

Quant au contrôle des données
8. Respectez les procédures internes de votre entreprise.
9. Chiffrez les informations sensibles (spécialement lors des missions à l’étranger) et donnez le droit aux seules personnes qualifiées.
10. N’ouvrez pas les emails qui ont des sujets ou des expéditeurs suspects ou inconnus. Si cela se produit, avisez les responsables.
11. Désactivez les comptes (login et mot de passe) lors du départ d’un collaborateur, stagiaire, etc.
12. Effectuez régulièrement des sauvegardes et des tris des informations sur vos supports.
13. Utilisez des logiciels « entreprise » spécialisés pour détruire des données.
14. N’installez pas des matériels ou logiciels non autorisés sur les systèmes d’entreprise.
15. Rangez le matériel informatique après utilisation.

SaaS ou On premise software?

Quand on doit choisir entre une solution logicielle SaaS ou une solution On Premise pour notre entreprise, il faut tenir compte de quelques facteurs clés:
- la complexité de l’affaire
- la taille de la société et le nombre d’employés
- la stabilité du modèle d’affaires et des processus
- le niveau de croissance de l’affaire
- l’objet des besoins logicielles de l’entreprise
- le besoin de flexibilité
- le niveau d’intégration requis avec d’autres applications
- la sophistication de l’infrastructure IT existante
- le besoin de contrôler les systèmes d’information en interne
- sensibilité au dépenses initiales vs. coûts d’exploitation permanents
Le modèle SaaS est adéquat surtout pour les entreprises petites ou moyennes, pour des fonctions comme: CRM (customer relationship management), HRM (human resource management), SCM (supply chain management). Les entreprises grandes ou très grandes ont souvent besoin d’une solution hybride pour gérer le flux de données de tous leurs départements.
En tout cas, il faut bien analyser tous les facteurs avant de prendre une décision, car les options sont vraiment nombreuses.
Trouvez plus de ressources sur le SaaS vs. On Premise ici.

Fuite de données personnelles de 170.000 employés de Shell Royaume-Uni

Les informations personnelles de 170.000 employés de Shell au Royaume-Uni ont été dérobées.
Il semble que la base de données contient des noms, numéros de téléphone et d’autres détails sur des employés permanents ou temporaires. La base de données siphonnée est vieille de 6 mois, ce qui pourrait indiquer que des anciens employés sont impliqués.
S’il est constaté que Shell est coupable d’une infraction en vertu de la Loi sur la Protection des Données, il pourrait être condamné à une amende.

Les données en transit mises en danger

Les données que les employés des entreprises gardent sur les périphériques portables sont:
- les clients et les fournisseurs (60% des utilisateurs)
- les salariés (6% des utilisateurs)
- documents relatifs à la propriété intellectuelle de l’entreprise et à ses programmes de recherche (9% des utilisateurs)
- informations confidentielles concernant la stratégie de l’entreprise (49% des utilisateurs)
Ces informations vitales peuvent être siphonnées très facilement (perte ou vol des périphériques portables) faute d’une politique de sécurité mise en place et appliquée.
Pour protéger les entreprises contre les fuites de données à travers les dispositifs portables, les solutions consistent en contrôler les périphériques autorisés à se connecter au réseau d’entreprise et le chiffrement des données en transit.

La sécurité informatique des entreprises est menacée par les périphériques portables

Il est déjà bien connu le fait que les employés utilisent des périphériques portables non seulement à l’intérieur de l’entreprise, mais aussi quand ils sont en déplacement. Et c’est normal, quand on pense qu’ils sont pratiques, de petites tailles mais d’une grande capacité de stockage et qu’ils se connectent facilement à n’importe quel ordinateur.
Mais il faut considérer aussi les risques auxquels on s’expose en utilisant ce type de dispositifs (ordinateurs portables, disques durs externes, clés USB, Smartphones, BlackBerries, Bluetooth, IPod).
Le risque le plus important est la perte du périphérique (ou le vol). Par exemple, près de 900 ordinateurs portables sont déclarés perdus ou volés chaque semaine à l’aéroport de Paris Charles de Gaulle, et au niveau mondial un ordinateur portable est volé chaque 53 secondes (selon une étude Dell).
Un autre risque à mentionner est lié à l’utilisation des clés USB, qui peuvent contenir des logiciels malveillants ou virus qui copient toutes ou partie des informations qui se trouvent sur le disque dur de l’ordinateur sur lequel elles sont connectées (ce processus s’appelle podslurping). À l’inverse, l’ordinateur peut faire des copies des données qui se trouvent sur les clés USB.
Pour protéger l’intégrité des informations confidentielles d’entreprise, les mesures minimales à prendre sont: implémenter des solutions qui puissent assurer le contrôle des périphériques connectés aux ordinateurs dans le réseau (l’administrateur doit avoir le choix de permettre l’accès d’un certain périphérique et bloquer un autre) et aussi le chiffrement des données sur les supports de stockage externes.
D’autres recommandations pour protéger les données en transit ont été faites par CERTA et par la CNIL.

Les risques emportés par les clés USB

CERTA a publié un article visant à identifier les risques liés à l’utilisation des clés USB, dont les plus importants sont les suivants:

1. Le vol d’information de la clé: les codes malveillants (qui résident sur la machine) peuvent démarrer des processus qui copient toute information sur la clé, une fois branchée au poste de travail
2. Exécution d’applications hébergées par la clé: la clé peut contenir des virus qui copient les informations trouvées sur les postes auxquels elles sont connectées
3. Le vol d’une clé U3 qui contient des informations confidentielles peut avoir des conséquences très graves.
4. Les lanceurs malveillants: les clés U3 ont d’habitude un lanceur qui donne accès aux applications lors de l’insertion de la clé. Ils existent aussi des lanceurs malveillants qui permettent de récupérer les mots de passe ou d’installer une capture de clavier.

Pour minimiser les risques concernant l’utilisation des clés USB, voici les recommandations de CERTA:

1. Comptes utilisateurs et droits: il faut autoriser la connexion de clés seulement sur des sessions avec des droits limités
2. Désactiver le fonction autorun
3. Verrouiller les postes quand on est absent
4. Avoir une clé par usage (au quelle nous faisons confiance)
5. Nettoyer le contenu de la clé
6. Chiffrer le contenu de la clé

Le MEDEF sensibilise le public sur la sécurisation du système d’information

Le Mouvement des Entreprises de France a rédigé un document qui analyse les risques informatiques en entreprises et a formulé des recommandations en ce qui concerne les moindres mesures à prendre pour s’en protéger.
Les dangers auxquels on s’expose, faute d’une politique de sécurité, sont:
- Vol d’informations
- Usurpation d’identité
- Intrusions et utilisation de ressources systèmes
- Mise hors service des systèmes et ressources informatiques
Ces risques sont aussi bien internes qu’externes, exploitant des failles d’ordre techniques ou humaines.
Pour éviter les pertes, on doit mettre en place une politique de sécurité, c’est-à-dire un ensemble de bonnes pratiques, qui doivent être régulièrement renouvelées, au moins tous les trois mois.
Les moindres mesures à prendre pour diminuer les risques associés aux systèmes informatiques sont:
1. Bâtir une politique de sécurité
2. Connaître la législation en vigueur et la jurisprudence
3. Mettre en place des moyens appropriés à la confidentialité des données
4. Sensibiliser vos salariés
5. Mettre en place un plan de sauvegarde des données et des applications
6. Mettre en place des moyens de défense minimum
7. Mettre en place des moyens de défense minimum pour les connexions sans fil
8. Etablir une barrière entre les données externes et internes
9. Gérer et maintenir les politiques de sécurité
10. Externaliser la mise en œuvre et la maintenance des politiques de sécurité

Ici vous pouvez trouver les recommandations de MEDEF bien détaillées.

Désactiver les ports USB n’est pas la bonne solution

Il pourrait sembler que la solution la plus simple pour protéger les données sensibles d’entreprise contre le vol à travers des périphériques portables est de désactiver les ports USB. Mais les choses sont un peu plus compliquées que ça, car il convient de trouver une méthode pour réduire les risques de vol ou de fuite en maintenant la mobilité. Par exemple, les dirigeants ou les employés du département de ventes doivent avoir la possibilité de se deplacer à l’extérieur tout en portant avec eux des offres, des présentations ou des plans. En même temps, leurs données doivent être sécurisées, parce que les dispositifs de stockage peuvent être perdus ou volés.
C’est pourquoi les ports USB dans le réseau d’entreprise doivent rester actifs, mais le Responsable de Sécurité doit gérer avec efficacité l’utilisation de tout périphérique portable qui y peut avoir accès.
Il doit ainsi être capable d’autoriser ou d’interdire certains périphériques sur le réseau, il doit établir la liste des fichiers que chaque périphérique peut copier et de renforcer le chiffrement des données sur les dispositifs portables.
Tout ça doit être fait à l’aide d’un logiciel DLP pour le contrôle des périphériques, simple à installer et a gérer au quotidien.