Comment voler les plans du palais de l’Elysée? Sur une clé USB!

Ce dimanche un incident des plus communs s’est passé à la gare Lyon de Paris: un voleur a fait disparaitre une clé USB d’une voiture. Rien de spécial ici, ce type de choses arrivent tous les jours!

Ce qui fait que cet incident soit spécial c’est les infos stockées sur la clé. Le propriétaire de la clé était un entrepreneur impliqué dans un projet d’installation de fibre optique dans quelques bâtiments importants de Paris. Sa clé contenait les plans hautement confidentiels du palais de l’Elysée, du ministère de l’intérieur et de la préfecture de police de Paris. Le plus grave c’est que la clé n’était pas cryptée, donc le voleur a accès plein à tous les documents!

La question qui se pose maintenant est: est-ce que le voleur savait à priori quel type d’informations se trouvaient sur la clé ou est-ce qu’il a volé cette clé précise par hasard?

Les réquisitions pour une solution de Contrôle des Périphériques

Qu’est-ce qu’il faut chercher quand on veut acheter une solution de Contrôle des Périphériques ?

Même si le sujet ‘Contrôle des Périphériques’ n’est pas un thème nouveau, les incidents de pertes de données via des périphériques portables sur lesquels on entend parler tout le temps démontrent qu’il est toujours d’actualité. C’est pourquoi au moment quand on veut acheter un produit pour nous défendre contre les pertes ou les vols de données,  il est utile d’avoir une liste de caractéristiques de la solution, liste faite bien sûr, conformément aux besoins de notre réseau et principalement de nos employés/utilisateurs.

Dans ce sens-là, securosis.com a publié un guide d’achat que vous pouvez trouver ici : https://securosis.com/blog/endpoint-security-management-buyers-guide-ongoing-controls-device-control

Aujourd’hui, la flexibilité d’un produit de Contrôle des Périphériques est parmi les plus importantes, car, même si nous voulons empêcher les fuites/pertes/vols de données, nous voulons quand même permettre aux utilisateurs une mobilité accrue, afin de les rendre productifs. Ca ne sert à rien de bloquer l’utilisation légitime, pour des buts professionnels des clés USB !

Selon le guide de securosis.com, voici ce dont vous avez besoin :

1. Support pour les périphériques : assurez-vous que le produit que vous choisissez peut sécuriser tous les périphériques que votre réseau peut supporter : clés USB, CD/DVD, Bluetooth, imprimantes, FireWire, port série, etc.
2. Granularité des politiques : assurez-vous que le produit que vous choisissez vous permet de définir des différentes politiques, selon les besoins de vos utilisateurs : par exemple, le management a accès à tous les périphériques, tandis qu’un employé du département Financier a accès uniquement à une clé USB cryptée qui lui a été assigné
3. Support pour les algorithmes de cryptage : assurez-vous que le produit que vous choisissez permet le chiffrement des périphériques amovibles, éventuellement si vous avez un algorithme préféré ou si vous souhaitez regarder un produit certifié (FIPS, etc.)
4. Support pour l’agent : assurez-vous que le produit que vous choisissez a un système de protection pour que l’agent ne puisse pas être altéré ou désinstallé par un attaqueur/utilisateur
5. Protection contre les keyloggers : assurez-vous que le produit que vous choisissez détecte les attaques hardware et les neutralise
6. Intégration avec les plate-formes d’administration de sécurité des terminaux
7. Support hors ligne (offline) : assurez-vous que le produit que vous choisissez peut renforcer les droits d’utilisation des périphériques même quand ils ne sont pas connectés au réseau
8. Rapports : assurez-vous que le produit que vous choisissez garde les journaux d’activité sur le réseau
9. Modifier temporairement les droits : assurez-vous que le produit que vous choisissez vous donne la possibilité de faire des changements temporaires dans vos politiques, pour les cas d’urgence.

Si vous avez trouvé une solution qui répond à ces besoins, vous pouvez avancer et analyser d’autres caractéristiques du produit qui vous intéresse.

“Apporte ton propre dispositif” (BYOD) est le nouveau phénomène de la sécurité informatique

 

Pour les responsables dans les entreprises, pour les fanatiques de la sécurité informatique ou tout simplement pour ceux qui sont au courant avec tout ce qui se passe dans l domaine de la technologie, BYOD (la politique qui permet aux employés d’apporter leurs propres dispositifs mobiles au travail) est le dernier défi et la dernière tendance à suivre et à débattre.

Comme tout autre phénomène, BTOD attire des opinions positives et négatives.

Certains disent que qu’il accroît la productivité des employés et attire des talents à l’entreprise, tandis que d’autres pensent que le BYOD est surestimé, qu’il cause plus de coûts et qu’il accroît les risques de sécurité.

Personnellement, après avoir jugé tous les arguments, je crois qu’ ‘apporter ton propre dispositif’ au travail est dans un premier temps un avantage pour l’employé, car il lui offre une majeure liberté et satisfait son besoin de communication.

En deuxième place, il ne faut pas être expert pour se rendre compte qu’un employé satisfait augmente la productivité et bien sûr les revenues à longue terme.

Comment peut-on refuser un employé qui veut utiliser son propre smartphone pour répondre aux courriels des clients même après les heures de travail ?

De l’autre côté, tu en tant qu’employé veux-tu travailler plus sans être payé ? Une étude récente montre que 80% des employés à l’Amérique travaille en moyenne 7 heures supplémentaires par semaine, pour des différentes raisons :

• 60% pour se maintenir organisés
• approx. 50% sont obligés parce que leurs clients exigent des réponses rapides
• approx. 30% ne peuvent pas se déconnecter

Un inconvénient de ces études est le fait qu’elles ne prennent pas en compte d’autres facteurs, tels que le temps passé par les employés sur Facebook, courriels personnels, Solitaire, Angry Birds, etc. Quand on pense au temps perdu avec ces applications et services, le temps effectif de travail s’équilibre, en récupérant à la maison sur leurs propres tablettes et smartphones les tâches restées à faire.

Du point de vue du département IT, permettre la BYOD suppose compliquer les politiques de sécurité, embaucher des spécialistes de sécurité des terminaux mobiles, et donc augmenter le budget IT. Mais les employés apportent leurs dispositifs au travail et les connectent au réseau d’entreprise de toute façon, n’est-ce pas ? Alors je ne vois pas pourquoi ne pas formaliser cette habitude et l’encadrer dans des règles bien définies, des campagnes de sensibilisation pour les employés et des solutions Mobile Device Management.

BYOD se propage avec ou sans la permission des CEOs et des CISOs et la capacité à s’adapter à cette tendance va marquer la différence entre les entreprises qui attirent des talents et augmentent la productivité et celles qui…ne le font pas !

Pendant que quelques uns essayent de décider si supporter ou pas la BYOD, d’autres profitent de cette tendance et réorganisent leurs affaires.

A la fin, qu’est-ce que vous pensez : BYOD est un avantage compétitif pour les entreprises ou une mode risquée ?