L’antivirus n’est plus suffisant

Pour protéger les données sensibles, spécialement au sein des entreprises, il faut prendre des mesures qui vont au-delà de l’antivirus et implémenter une solution de protection complémentaire.
Si l’antivirus offre une protection contre les menaces provenant de l’extérieur, de l’Internet, il faut aussi faire attention aux menaces issues de l’intérieur, c’est-à-dire les employés qui ont accès aux données d’entreprise et qui peuvent les copier et les utiliser dans leur propre intérêt.
Qu’importe la taille de l’entreprise, une fuite de données entraîne des pertes de capitaux financiers, mais aussi des dommages au niveau de l’image de marque que la compagnie tente de véhiculer sur le marché.

Pour éviter ces situations désagréables, les spécialistes nous conseillent de mettre en place une solution de sécurité USB qui puisse gérer l’utilisation des périphériques portables, minimiser les risques de vols et de fuites de données et traçer tout transfert d’information vers l’intérieur ou l’extérieur de l’entreprise. Ce type de solution économisera beaucoup d’argent pour les compagnies en prévenant les transferts non-autorisés de données, minimisera le risque d’infection avec des virus provenant de périphériques USB et rendra le travail du Service Informatique beaucoup plus facile, car toute activité concernant les données sensibles sera enregistrée.

Ne laissez pas les données d’entreprise à la disposition de n’importe qui! Protégez-les!

En 2009, au niveau mondial, les attaques sur les données d’entreprise ont eu une forte hausse

PricewaterhouseCoopers revele les résultats de son étude mondiale anuelle sur la sécurité des systèmes d’information. La tendence globale dans ce domaine est de augmenter ou au moins maintenir les budgets pour la sécurité, pour pouvoir faire face aux attaques de plus en plus diverses. En France, les décideurs considèrent que les risques ne sont pas assez grandes.

Selon cette étude, les attaques envisageant les données confidentielles d’entreprise ont eu une hausse de 44%. Les consequences de ces attaques sont evidentes: grandes pertes financières (7.7% des répondants dans tout le monde), atteintes à l’image de la marque (11% des répondants dans le monde, 7% en France) et perte de valeur pour les actionnaires (33% des répondants dans le monde, 95% en France!). Suite à ces événements, 63% des décideurs dans le monde et seuls 35% en France vont maintenir ou augmenter les budgets dediés à la sécurité, meme si les entreprises font tout le possible pour minimiser les dépenses.

« À un niveau mondial, on constate finalement que la crise économique a peu d’impact sur les budgets sécurité : la sécurité reste une priorité pour les décideurs. On a dépassé le réflexe de la seule réponse technologique pour le traitement de la sécurité pour revenir à une approche par les risques qui permet d’identifier les faiblesses à corriger et de définir les investissements à mettre en œuvre » analyse Philippe Trouchaud, associé de PwC responsable de l’activité conseil en sécurité informatique.

La tendence pour 2010 est d’identifier les risques et les combattre, en protégeant les informations (84% des répondeurs dans le monde et 55% en France considèrent ça leur priorité), et en renforceant les fonctions de gestion des risques.

Philippe Trouchaud, apprecie que « L’accent est mis dans l’étude de cette année sur une approche stratégique de la sécurité basée sur les risques et non plus sur une approche « systémique » basée sur le déploiement de technologies qui ne permet pas à elle seule de s’assurer que ce qui doit être protégé l’est effectivement et au bon niveau »

Ici vous pouvez trouver plus d’informations sur cette étude de sécurité.

Comment sécuriser mon ordinateur portable?

Que ce soient les ordinateurs portables d’entreprise ou personelles, leur perte (ou vol) peut apporter des problèmes très graves pour le proprietaire. On y garde des données confidentielles, telles que des fichiers clients, des devis, des codes sources de logiciels, ou des secrets de fabrication. Si ce type de données arrivent entre les mains de la concurrence, les consequences seront dramatiques.

Pour éviter ces situations, on a la possibilité de chiffrer l’information sur l’ordinateur portable ou de autentifier les utilisateurs qui s’y connectent. Biensûr, les deux solutions peuvent etre complementaires.

En ce qui concerne le chiffrement, il faut utiliser un logiciel qui employe des algorithmes de cryptage avancés. Il est recommandable d’utiliser le AES, qui offre une très bonne protection, mais on peut avoir aussi RC2, IDEA, GOST, RC5 ou Blowfish.

Le logiciel doit chiffrer les données dans le système informatique d’entreprise, mais il doit protéger aussi les périphériques portables (CD, DVD, clé USB, ZIP,etc.).

Ils existent des disques durs avec des systèmes de chiffrement intégrés, mais pour avoir accès à ses partitions, il faut que l’utilisateur s’authentifie.

Une autre mésure à prendre pour renforcer la sécurité est adopter un bon mot de passe. Il doit avoir au moins 8 caractères, dont une lettre en majuscule, une en miniscule, un chiffre et un caractère spécial et, le plus important, il doit etre modifié régulièrement, au moins une fois en trois mois, mais on peut le changer à chaque ouverture de session, à l’aide des clés physiques (elles ont la forme de calculettes, clés USB ou cartes à puce) qui générent des mots de passe statiques ou dynamiques.

On peur dire que les ordinateurs portables pour lesquels on a pris toutes ces mésures ont un niveau de sécurité excellent!

Les 10 recommandations de CNIL pour la sécurité du système informatique

La loi “Informatique et Libertés” impose la sécurisation des données traitées par les détenteurs de fichiers.

Voici les recommandations que la CNIL fait aux Résponsables de Sécurité Informatique pour garrantir que les données ne soient pas mises en danger:

1. Adopter une politique de mot de passe rigoureuse- les postes de travail et les fichiers doivent être protégés avec des mots de passe composés d’au moins 8 caractères, chiffres, lettres et caractères spéciaux, qui doivent être changés très fréquement.

2. Concevoir une procédure de création et de suppression des comptes utilisateurs- les comptes utilisateurs doivent être nominatifs, pas generiques, pour savoir à tout moment qui a efectué des changements dans les fichiers.

3. Sécuriser les postes de travail- renforcer le verouillage automatique en cas d’une période d’absence de l’utilisateur (10 minutes maximum) et le controle des ports USB. (par exemple à travers des logiciels spécialisés en sécurité USB capables d’empecher que les données sensibles soient copiées)

4. Identifier précisément qui peut avoir accès aux fichiers- limiter l’accès au données personnelles qu’à l’employé ayant le droit de les traiter.

5. Veiller à la confidentialité des données vis-à-vis des prestataires- imposer des contrats de confidentialité avec les prestataires de services informatiques, chiffrer les données sensibles auxquelles les prestataires ont accès.

6. Sécuriser le réseau local- assurer la sécurité contre les attaques extérieures à travers des routeurs filtrants (ACL), pare-feu, sonde anti intrusions, etc. Quant à la communication à distance, elle doit se faire par des biais sécurisés.

7. Sécuriser l’accès physique aux locaux- restreindre l’accès aux locaux sensibles (salles hébergeant les serveurs informatiques et les éléments du réseau) par toutes les moyennes possibles: vérification des habilitations, gardiennage, portes fermées à clé, digicode, contrôle d’accès par badge nominatif, etc.

8. Anticiper le risque de perte ou de divulgation des données- garder les données d’entreprise sur des serveurs protégés contre les cas d’erreur ou malveillance d’un salarié ou d’un agent, vol d’un ordinateur portable, panne matérielle, dégât des eaux ou incendie. Les périphériques de stockage mobiles (ordinateurs portables, clé USB, assistants personnels etc.) doivent être particulièrement sécurisés , par chiffrement, au regard de la sensibilité des documents qu’y se trouvent.

9. Anticiper et formaliser une politique de sécurité du système d’information- faire une analyse détailée des menaces qui peuvent surgir et rediger un document contenant des règles et procedures à suivre, qui soit mis à la disposition des employés.

10. Sensibiliser les utilisateurs aux « risques informatiques » et à la loi “informatique et libertés”- la source principale de menaces de sécurité informatique (les utilisateurs) doivent recevoir des formations pour les sensibiliser sur l’utilisation correcte des données qu’ils traitent. La « charte informatique », qui pourra préciser les règles à respecter à cet égard doit être mise à leur disposition.

Vous pouvez trouver cettes recommandations sur le site de CNIL.

Deux entreprises sur trois ont subi une violation de données les 12 derniers mois

Une enquête realisée par Ponemon Institute auprès d’entreprises françaises montre que 67 % des organisations françaises ont subi au moins une violation de données, tandis que 18% d’entre elles declarent plus de 5 incidents de sécurité de ce type.

D’autres aspects revelés par cette étude:

-92 % de ces violations de données n’ont jamais été fait publics, puisque, au  present, il n’existent pas de lois dans ce sens

-45% d’entre elles n’ont aucune initiative ou stratégie sur le sujet

-les 46% qui restent implantent le chiffrement seulement pour certaines types de données

-68% ne chiffrent pas les données gardées sur les périphériques mobiles

-4 % chiffrent les données sur clés USB

-47 % de ces organisations n’ont pas confiance en leur capacité à protéger les données confidentielles en environnement mobile.

Malgré ce nombre important de violations de données, 71% des personnes interrogées considèrent la protection de leurs données « importante » ou « très importante » pour la stratégie de gestion des risques. Les données stockées et mobiles sont prioritaires.

Larry Ponemon, Président et Fondateur du Ponemon Institute apprecie que «Les organisations françaises restent trop peu nombreuses à mettre en œuvre une stratégie globale de chiffrement basée sur une plateforme, et de nombreuses améliorations sont encore à venir sur le sujet. L’objectif pour 2010 devra faire de la sécurité des données un enjeu stratégique sur l’ensemble de l’entreprise. »

Trouvez plus d’informations ici.

La sécurité contre le vol de données vous est offerte comme service

Saviez vous que vous pouvez protéger le réseau de votre compagnie contre le vol de données et les virus informatiques avec un investissement minimal?
La compagnie CoSoSys, un developpeur de premier plan de logiciels pour le contrôle des périphériques portables et la prévention des fuites de données vous offre le choix entre le logiciel traditionnel que vous installez sur vos systèmes, dans votre entreprise, et la version Cloud Computing. Qu’est-ce que c’est ça? C’est pareil à un abonnement: vous administrez l’usage des périphériques dans votre entreprise en accessant un lien Internet où vous trouverez une interface qui vous permet tout contrôler. De cette maniere, vous ne devez pas acheter des serveurs et vous n’utiliserez pas les ressources de votre réseau.
Le logiciel se trouve sur un des serveurs de la compagnie et les transferts sont sécurisés, donc vous perdez souci.
Pour plus de détails, visitez la page concernant la sécurité USB SaaS.

Comment savoir si quelqu’un a volé de données de votre ordinateur?

Hier, j’ai reçu une question très intéressante. On m’a demandé comment peut-on savoir si quelqu’un a volé des informations de notre ordinateur.

La réponse est: on ne peut pas. Les systèmes d’exploitation n’ont pas des fonctions pour nous annoncer quelles sont les données qui ont quitté notre ordinateur et par quel port. Si on veut le savoir, il faut installer des logiciels dediés.
Par exemple, si on transmet un fichier par Bluetooth, ou par le port USB ou quoi que ce soit, il n’y a pas aucun historique des fichiers transmises.

Une solution possible est d’implanter un logiciel comme Secure it Easy (pour l’usage personnel ou pour les bureaux à domicile) ou Endpoint Protector (pour les entreprises). Ces logiciels sauvegardent un journal de tout fichier transferé depuis ou vers l’ordinateur qu’ils protégent. De plus, ils savent aussi où est-ce que notre fichier est allé (le périphérique vers lequel on a transmis les données).

Outil gratuit en ligne pour calculer le Retour sur Investissement

Il est bien évident que les vols et les fuites d’information engendrent des pertes financières importantes. C’est pourquoi toutes les compagnies font tout le possible pour les prevenir.

Les specialistes en prévention des fuites des données ont developpé un outil pour calculer les économies que votre compagnie peut faire si on implante un logiciel qui puisse nous donner le contrôle sur l’utilisation des périphériques portables dans la compagnie.

Cet outil s’appelle Return On Investment Calculator et il  est disponible en ligne, de manière gratuite.

Tous les calculs sont effectués fonction de la taille de votre entreprise et d’autres facteurs qui sont spécifiques pour votre compagnie.

Un bon investissement n’est pas necessairement le produit moins cher, mais celui qui vous apporte des gains à long terme.

Calculez ce que vous pouvez gagner pour faire le meilleur investissement!

Nouvelles versions de Endpoint Protector pour les serveurs Linux et Windows

La compagnie CoSoSys annonce les nouvelles versions de Endpoint Protector pour les serveurs Linux et Windows. C’est aussi la première version pour Windows Serveur 2008.

Cettes versions supportent :

Windows 2003 Server: 3.0.4.1
Windows 2008 Server: 3.0.4.1
Linux Server Versions: 3.0.4.1

Windows Client Versions: 3.0.7.3 (32bit and 64bit)
Mac OS X Client Version: 1.0.4.4

Les nouvelles fonctionnalités apportées sont:

- compatibilité Windows Serveur 2008

- support client pour .Net Framework 4.0 Beta

- addresse serveur chiffrée (pour prévenir server spoofing)

- Client Notifier amélioré

- système authentification amélioré

- fonction réplication fichiers ameliorée

- mieux support d’internationalisation

- améliorations aux fonctionnalités de synchronisation et d’importation de Active Directory (AD)

- installation silencieuse de l’Optimiseur de Zend (spécifique à Windows)

- script de désinstallation (spécifique à Linux)

- sauvegarde des opérations de connexion

- amélioration de l’interface utilisateur

Proposition de loi pour publier les fuites de données averées

Les Sénateurs Yves Détraigne et Anne-Marie Escoffier ont formulée une proposition de loi pour rendre la sécurité de données plus transparente. Ils veulent un ‘correspondant Informatique et Liberté’ dans toutes les entreprises qui utilisent des fichiers nominatifs et la publication d’une alerte en cas de fuite de données averée.

On prévoit la première lecture du texte pour le premier trimeste de 2010. Les exigences de conformité avec les textes Européens, la nécessité de s’aligner sur les pratiques de bon nombre de pays membres de la Communauté (notamment l’Allemagne, l’Espagne, la Grande Bretagne, aux Pays Bas, en Suède, en Suisse, au Luxembourg) sont autant d’arguments qui poussent les élus à faire avancer les choses.

Au cas où ce texte passe, le silence dans lequel les banques, administrations, intermédiaires financiers, grands magasins ou organismes de crédit gardent ce type d’informations sera rompu.

Ici vous pouvez trouver plus d’information sur la proposition de loi.