Les vols d’ordinateurs portables ne cessent pas, les organisations n’apprennent pas la leçon

On a écrit beaucoup sur les pertes/vols de matériel (laptops, clés USB, disques durs, etc.) et on avait pensé que les organisations allaient apprendre la leçon et chiffrer les données sensibles stockées sur des tels supports. Apparemment, les choses ne sont pas comme ça et deux incidents récents viennent à le démontrer.

Un étudiant résident chez Vancouver Coastal Health a perdu un laptop et une clé USB (il est très probable que ces matériels ont été volés) à l’Aeroport de Toronto. Les informations y contenues étaient protégées par mot de passe mais n’étaient pas chiffrées.

Un officiel de Vancouver Coastal Health dit que l’incident est ‘malheureux’ et que ‘C’est la manière dont les médecins et les autres professionnels médicaux font leur travail. Ils ont besoin d’utiliser ces dispositifs.’ Il reconnaît que beaucoup des personnes utilisent des ordinateurs portables et que l’agence a quelques problèmes à maîtriser les technologies mobiles.

Un autre incident qui a eu lieu dans le Royaume-Uni implique le vol d’un laptop contenant les informations personnelles de 100 jeunes qui ont participé dans des programmes d’inclusion. Ce laptop se trouvait dans la maison d’un prestataire de l’organisation Newcastle Youth Offending Team. Le ICO (Information Commissioner’s Office) a disposé une amende à cette organisation pour ne pas avoir chiffré les données. Selon Sally-Anne Poole, ‘le chiffrement est une procédure de base et un moyen très peu cher d’assurer la sécurité de l’information.’ Elle souligne le fait que les organisations qui travaillent avec des prestataires doivent s’assurer que les derniers s’alignent à leurs procédures de sécurité.

Il est si simple et peu cher à tracer l’utilisation des périphériques de stockage portables et à chiffrer les données y stockées, qu’on se demande vraiment pourquoi les organisations ne le font pas?

Espérons qu’au moins les contraintes légales obligeront les organisations qui traitent des données privées à implémenter des solutions et processus pour garder les informations en toute sécurité.

Employé copie 9.000 enregistrements de ses collègues

Un employé du Département de Santé de Californie a pensé qu’il serait une excellente idée de copier sur une disque portable les informations personnelles appartenant à 9.000 anciens et actuels employés de l’Etat. La brèche de sécurité découverte à l’intérieur du Département implique des noms, des dates de naissance et des adresses.

Le Département de Santé déroule une enquete pour découvrir le but et l’ampleur de la brèche.

Entre le temps, le coupable est en congés administratif pour enlever les informations personnelles et il répond à toutes les questions pour permettre à comprendre l’incident.

La brèche de données a été découverte grâce à un système de détection de la sécurité, qui a alerté les résponsables sur une activité potentiellement dangereuse passée en avril. Le Département a déclare qu’ils ont enforcé leur sécurité pour prévenir de tels incidents

A-t-il une manière simple de prévenir telles brèches? Une solution de sécurité des ports et prévention des pertes de données qui puisse tracer les transferts de fichiers, en disant aux départements IT qui a copié quoi et vers quel périphérique.

Endpoint Protector Appliance-serveur dédié pour le contrôle des périphériques portables

Perte ou vol de matériel, toujours une cause importante pour les pertes de données dans le secteur de la santé

Bien qu’il existe des mesures qui peuvent être prises pour prévenir les pertes de données causées par les salariés et pour impliquer plus le personnel pour éviter de tels événements, il y a beaucoup d’incidents de sécurité causés par la perte ou le vol du matériel appartenant à l’entreprise par les membres du personnel. Ordinateurs portables, disques durs, clés USB et d’autres périphériques de stockage sont perdus ou volés sur une base quotidienne, ce qui expose les données privées de milliers de personnes au vol d’identité ou fraude, et beaucoup de tels cas se produisent dans le secteur de la santé.

Par exemple, un ordinateur qui peut contenir des informations sur 20 000 patients de l’hôpital Reid a été volé du bureau à domicile d’un employé de l’hôpital il y a quelques mois. L’ordinateur contenait quelques fichiers Medicaid et Medicare pour les patients ayant reçu des services entre 1999 et 2008.

En outre, les services de santé d’Alberta ont récemment été informés par le Dr R. Burnham et la Clinique Medical Associates de Lacombe qu’un disque dur portable, contenant des copies d’environ 1000 dossiers des clients Alberta Health Services ‘Pain Central Alberta & Rehabilitation Institute (CAPRI) a récemment été volé. Aucune preuve de que les données soient utilisées est apparue jusqu’à présent, mais la menace est toujours bien réelle.

Top 3 menaces pour la sécurité du réseau en 2011

Selon une webcast présentée par Frank Andrus et John Sheedy de Bradfordnetworks, les plus importantes 3 menaces de sécurité d’un réseau en 2011 sont :

1.       Les utilisateurs gérés et non-gérés (employés, consultants, prestataires, partenaires, visiteurs, etc.) qui emploient tout type de dispositifs électroniques (laptop, smartphone, iDispositifs, etc.). Ces dispositifs appartiennent soit à la compagnie (laptop) et dans ce cas ils sont normalement gérés en réseau soit ils sont la propriété personnelle des utilisateurs et dans ce cas ils ne sont pas gérés et donc il n’existe pas de contrôle sur leur usage.

2.       La prolifération des périphériques portables : laptops, smartphones, tablettes, lecteurs eBook, etc.

3.       L’utilisation croissante des dispositifs IP : caméras de surveillance, lecteurs de cartes, etc.

Ils avertissent que pendant que les méthodes traditionnelles de protection du réseau sont nécessaires (antivirus, firewall, IPS, etc.) mais elles ne sont pas suffisantes. Il faut mettre en place des stratégies et solutions de protection complètes qui puissent faire face aux menaces de plus en plus diversifiées.

Des variations du ver Stuxnet prevues pour 2011

Le  ver Stuxnet, identifié seulement il y a quelques mois (en juillet 2010) a eu une expansion immense. Selon une étude de Symantec publiée en aout 2010 (un mois après la découverte du ver), Stuxnet avait infecté 62,867 ordinateurs en Iran, 13,336 à l’Indonésie, 6,552 à l’Inde, 2,913 aux Etats-Unis, 2,436 en Australie et 1,038 au Royaume-Uni.

Un autre ‘succès’ attribué au Stuxnet est relentir le program nucléaire de l’Iran et d’autres systèmes industriels dans le monde.

Ces faites conduisent à un réel souci parmi les chercheurs en sécurité informatique du monde. Ils soupçonnent que les versions du ver qui peuvent apparaitre dans le futur peuvent concerner d’autres types de systèmes électroniques qu’on utilise au quotidien (par exemple une cafetière branchée au réseau peut répandre le ver sur les ordinateurs).

Adam Bosnian, un vice-président de sécurité de l’information de la compagnie Cyber-Ark a déclaré pour eWeek : ‘Nous devons penser au-delà des cibles attendues, qui ne sont pas des serveurs et des routeurs’.

Plus d’info sur le blog de sécurité des ports.

e-Guide gratuit ‘Identifier et Prévenir les Top Menaces de Sécurité de Données et du Réseau en 2011′

En fin d’année 2010, l’équipe Endpoint Protector lance un e-Book gratuit pour sensibiliser les dirigeants et les utilisateurs de systèmes IT dans les entreprises sur les risques associés à l’utilisation des périphériques portables et les plus grandes menaces auxquelles ils devront faire face en 2011.
Ce guide est le résultat d’un travail de surveillance et analyse des nouvelles sur les brèches de sécurité, des rapports et sondages publiés en 2010 en se basant sur l’expertise et la capacité d’identifier les tendences de l’équipe Endpoint Protector.
“La meilleure façon de gérer efficacement et prévenir les top menaces de sécurité des données et du réseau en 2011 est de combiner une solution de sécurité des ports et prévention des pertes de données complexe mais facile à utiliser avec des sessions de formation pour éduquer les employés et avec un effort constant pour maintenir les professionnels IT et sécurité au courant avec les dernièrs risques et les meilleures methodes de prévention” dit Roman Foeckl, CEO de CoSoSys.
Vous pouvez télécharger gratuitement le guide pour protéger les ports USB.

L’armée des Etats-Unis interdit les disques amovibles pour prévenir les fuites de données

Les militaires americains ont reçu l’ordre de ne pas utiliser des supports amovibles de mémoire, sinon, ils risquent une poursuite au tribunal militaire.
Le commandant d’Air Force Network Operations, le majeur-général Richard Webber a transmis à toutes les organisation liées à l’Air Force d’arrêter d’utiliser les supports amovibles (CD, DVD, clé USB, etc.) sur tout système, serveur et machine stand-alone qui résident sur SIPRNET (le réseau du Departement de la Défense). Cette mesure est un des demarches pour prévenir des possibles brêches de sécurité comme celle concernant les documents publiés sur WikiLeaks (Bradley Manning dit qu’il a téléchargé des centaines milliers de fichiers sur un CD nommé ‘Lady Gaga’ avant de les transmettre à WikiLeaks).

Les dirigéants savent que cet ordre va rendre l’utilisation des données plus difficile parce que les ordinateurs contenant des données sensibles sont souvent déconnectés du réseau ou se trouvent dans des zones avec une largeur de bande réduite. Neanmoins, si on découvre quelqu’un qui continue à utiliser les disques amovibles, il sera puni conformement à la décision du tribunal militaire.

Pour lire plus: http://www.wired.com/dangerroom/2010/12/military-bans-disks-threatens-courts-martials-to-stop-new-leaks/

Les employés, une source fréquente d’incidents de fraude dans les entreprises

Les fraudes des employés ont coûté les compagnies moyennes environ 5% de leurs revenus en 2009, le vol des sources des entreprises représentant jusqu’à 90% des incidents.
Les employés semblent être tentés par l’accès privilégié aux données et commettre des fraudes. Selon un rapport publié par l’Association des Examinateurs Certifiés des Fraudes (ACFE) ce type de fraude est le plus dommageable, causant une perte de plus de 4 millions de dollars.

‘Ils ont un niveau d’accès élevé, qui leur donne des meilleures opportunités de commettre des fraudes.’ dit Ben Knieff, directeur de marketing pour les produits de fraude chez Actimize.

Pour prévenir ce genre de fraudes il y a quelques pas proactifs que les compagnies peuvent prendre:

Limiter l’accès aux données critiques – comme les données sont difficile à contenir, les compagnies doivent maintenir les employés sous une surveillance continue; l’accès aux données critiques doit être limité à un nombre d’employés autorisés.
Selon Shane Sims, directeur de pratique judiciaire chez PricewaterhouseCoopers, même si les compagnies ne peuvent pas contrôler avec succès le mouvement des données à l’intérieur de leurs réseaux, savoir quels employés accèdent aux données les plus importantes peut être suffisant pour prévenir les fraudes potentielles les plus significatives.

Utiliser l’avantage d’être à l’intérieur – quand il s’agit de fraude, les employés ont l’avantage de connaître le réseau et les politiques d’entreprise; néanmoins, les compagnies peuvent également collecter une grande quantité d’informations qui ne serait pas disponible hors du réseau, dans les cas d’auteurs externes.

Ecouter les employés – en formant leurs employés les compagnies peuvent beneficier du fait qu’ils détéctent le comportement malicieux d’autres employés.

Selon un rapport d’ACFE, 40% des cas de fraude sont signalés par un tiers, pendant que la moitié de ces indices sont transmises par un employé. Selon le même rapport, 43% des auteurs vivent dessus de leurs moyens et plus de 30% ont des problèmes financiers.

Lancement d’Endpoint Protector Hardware Appliance

Nous avons reçu quelques photos prises lors du lancement de l’Endpoint Protector Appliance. Les voilà:

Le PDG de CoSoSys, Roman Foeckl présente le nouveau produit aux journalistes

 

L’événement s’est déroulé dans le café Bernschutz&Co de Bucarest

Nous espèrons que vous aimez les photos et nous attendons vos commentaires.