Cyber Diagnostic Devis Contact

Education et sensibilisation des utilisateurs

L'humain : un enjeu de cybersécurité.

L'erreur humaine peut avoir un impact sur le succès des stratégies de sécurité, même les plus solides. De nombreuses cyberattaques réussies trouvent leur explication dans  le facteur humain. Cela peut se produire de nombreuses façons. En voici quelques-unes :

Clé SSH

Les clés SSH donnent un accès privilégié à de nombreux systèmes internes. Souvent, ces clés n'ont pas de date d'expiration. Et elles sont difficiles à surveiller. Ainsi, si les clés SSH sont compromises, les cyber criminels peuvent les utiliser pour pénétrer librement au sein du système informatique.

PHISHING

De nombreuses attaques de Phishing s'appuient sur des certificats frauduleux pour créer de faux sites qui semblent authentiques. Une telle sophistication est souvent nécessaire pour cibler les personnels des entreprises, souvent pressés, et vise plus particulièrement les grandes organisations.

CHIFFRAGE

L'accès facile aux clés SSH stockées sur les ordinateurs ou les serveurs permettent aux attaquants de pénétrer plus facilement latéralement au sein du système d'information d'une organisation. La qualité du chiffrement d'une organisation dépend de celle de l'ensemble de ses fournisseurs. Si les organisations ne contrôlent pas les clés et les certificats qui authentifient les interactions entre partenaires, elles perdent alors le contrôle des tunnels cryptés qui transportent des informations confidentielles entre les entreprises. Si les organisations ne contrôlent pas l'utilisation de toutes les clés et de tous les certificats utilisés pour le chiffrement, les attaquants peuvent alors utiliser des clés volées ou malveillantes pour créer des tunnels chiffrés illégitimes. Les organisations ne seront pas en mesure de détecter ces tunnels malveillants car ils semblent être les mêmes que les autres tunnels légitimes entrant et sortant de l'organisation.

Face à ce type d'attaque, l'utilisation du cryptage à clé publique et de l'authentification dans la vérification en deux étapes rend l'accès plus difficile à des personnes mal intentionnées.

La formation de vos utilisateurs à l'importance de l'identité des machines contribuera à réduire les erreurs des utilisateurs.

Votre meilleure chance d'éviter que le cryptage ne soit utilisé à mauvais escient lors d'une attaque contre votre organisation est une solution de gestion automatisée de l'identité des machines qui vous permet de conserver une visibilité et un contrôle complets de vos identités de machines. L'automatisation vous aidera à réduire les risques inhérents à l'erreur humaine ainsi qu'à garder un plus grand contrôle sur la façon dont vous appliquez les politiques de sécurité pour toutes les communications cryptées.

La sensibilisation du personnel : un enjeu de cyber-sécurité.

Sensibiliser signifie rendre les employés conscients de la situation et des risques liés à la cyber sécurité. La sensibilisation est souvent présentée comme l’un des axes majeurs des systèmes de management de la sécurité avec un coût faible pour une entreprise.

1- Organisez des sessions de sensibilisation régulières.

2- Plan Assurance Sécurité

Mettre en place un Plan d’Assurance Sécurité (PAS) vous permet de définir un cadre avec vos sous-traitants et prestataires. Il a pour but de préciser comment les prestataires doivent se conformer aux exigences de cybersécurité pour ce qui concerne leur organisation et leur système d’information. Chaque co-traitant ou sous-traitant concerné par la cybersécurité doit élaborer un PAS. Cette démarche doit être initiée en amont de l’externalisation, dès l’appel d’offre. Le PAS permet à un donneur d’ordre de solliciter auprès de ses fournisseurs des règles de sécurité informatique qu’il impose.

3- Mettez en place une bonne gestion des mots de passe

Définissez des règles de choix et de dimensionnement des mots de passe et vérifiez (ou forcez) leur application. Parmi ces règles on retrouve notamment : Blocage en cas de plusieurs échecs, robustesse du mot de passe (12 caractères avec 4 types de caractère). Renforcer la politique de gestion des mots de passe avec un renouvellement automatique tous les 3 à 4mois. Interdire l'utilisation du même mot de passe pour différents accès ou l'utilisation de mots de passe personnels.
Si vous souhaitez plus d'information sur l'importance d'une gestion des mots de passe, si vous souhaitez en connaitre davantage sur les enjeux d'une bonne gouvernance de la sécurité informatique, retrouvez nos conseils cyber-sécurité.

4-Authentification forte

Les trois catégories d’authentification les plus courantes sont :  une chose que vous connaissez (le facteur mémoriel), une chose que vous possédez (le facteur matériel) et une chose que vous êtes (le facteur corporel).Combiner au moins 2 facteurs constitue une authentification forte (ex carte bancaire avec code PIN + numéro de carte + vérification date de naissance).

Pour aller plus loin : l’Agence Nationale pour la Sécurité des Systèmes d’Information (ANSSI) propose sur son site de nombreux supports de formation accessibles à tous.