En effet plus de 30% des dirigeants jugent leur entreprise comme vulnérable aux attaques, sûrement par manque d’informations, ou par manque d’expertise. Les conséquences peuvent être catastrophiques, 50% des PME touchées ont perdu des données sensibles ou confidentielles, 20% ont vu leur chiffre d’affaires baisser, et pour certaines les fermetures définitives ont été inévitables.
En tant que dirigeant, voici 5 questions clés à vous poser pour bien protéger votre entreprise :
#1 Que dois-je protéger dans mon entreprise ?
La messagerie d’entreprise est votre principale menace, car c’est ici où vos collaborateurs échangent un grand nombre d’informations capitales dans leurs mails sur les données de l’entreprise. Il est donc indispensable pour une entreprise d’installer un antivirus et un antispam professionnel, afin de filtrer vos mails.
L’usage des outils mobiles (smartphone et tablette) : beaucoup d’employés les utilisent à usage mixte (professionnel et personnel), au travers leur déplacement, ou leur mode de travail (télétravail). Le BYOD, dont le principe est de travailler pour son entreprise avec ses équipements personnels, a beaucoup fait parler. Vous pouvez permettre à vos salariés de les utiliser à titre professionnel, à condition qu’ils acceptent d’installer un VPN ou une application de protection, comme la solution Freedome for Business éditée par F-Secure, afin de protéger les informations importantes. Cette application permet d’effacer à distance toutes les données stockées dans l’appareil et de bloquer l’accès du téléphone si celui-ci est égaré.
Les points d’accès Internet et Wifi : ce sont de potentiels passages pour les pirates afin d’accéder à votre système informatique. Limiter l’accès, et privilégier un réseau sécurité privé virtuel tel que le VPN pour votre entreprise, et vos données pourront être protégées.
Les logiciels : veiller à ce que vos logiciels soient mis à jour régulièrement. Plus le logiciel est ancien, plus il est facile pour un cybercriminel de l’exploiter. C’est pour cela qu’il est vivement recommandé de les effectuer à chaque notification, pour garantir une bonne santé et une bonne maîtrise de votre infrastructure informatique.
Les données : avec la mise en œuvre bientôt du RGPD*, les entreprises devront se préoccuper de la protection des données qu’elles possèdent. Dans un premier temps en faisant un état des lieux des types de données, et de leurs utilisations. Pour les données dites sensibles, elles devront suivre un processus spécifique de classification et de protection. Cette nouvelle loi qui a pour but de renforcer la protection des données personnelles, précise également les responsabilités des entreprises qui traitent ces données. Le RGPD entrera en vigueur le 25 mai 2018.
#2 Quels sont les comportements qui rendent mon entreprise vulnérable ?
L’une des causes de la vulnérabilité de votre entreprise sont vos collaborateurs. En effet 35% des incidents de sécurité sont dus à un mauvais usage de l’informatique de la part d’un collaborateur, et 45% admettent avoir des comportements à risque au cours de la journée de travail. Voici quelques exemples de fautes que vos salariés peuvent faire :
La gestion des mots de passe, vos collaborateurs doivent impérativement avoir un mot de passe unique, complexe (Minimum 8 caractères, majuscule, minuscule, caractères spéciaux, etc…), le renouveler régulièrement et ne le communiquer à personne. Il est parfois compliqué de se souvenir de tous ses mots de passe, c’est pour cela que la plupart du temps, ils sont écrits dans votre cahier ou dans votre outil bloc-notes de votre ordinateur. Pour éviter une perte ou un vol, il existe de nos jours des coffres forts numériques ou des gestionnaires de mots de passe, qui vous permettent d’obtenir un espace ultra-sécurisé. En ce qui concerne vos anciens collaborateurs, veillez à ce qu’une fois partis définitivement de l’entreprise, ils n’aient plus accès à vos données car dans de nombreux cas certains peuvent encore les consulter.
Utilisation de clé USB trouvée par hasard, c’est une technique très courante, qui consiste à poser une clé USB contenant un logiciel malveillant dans un endroit stratégique, il suffit qu’une personne prenne cette clef, l’utilise sur son ordinateur et le tour est joué. Le cybercriminel pourra accéder à toutes vos données et propager son virus sur tout votre ordinateur.
Verrouiller l’écran de son téléphone ou de sa tablette systématiquement quand on est absent, c’est simple mais beaucoup l’oublient. Si votre poste ou votre téléphone n’est pas verrouillé, tout le monde peut avoir accès à vos données. Il faut prendre l’habitude de le faire.
Le téléchargement excessif d’applications mobiles, il est important d’avoir recours aux boutiques connues (App Store, Play Store…) et de lire les conditions d’utilisation avant de télécharger une application pour ne pas risquer de tomber sur des autorisations excessives, comme un accès à votre liste de contact, vos photos, etc…
Le Wifi gratuit et public, pour envoyer des données confidentielles. Il est extrêmement facile pour un cybercriminel de pirater un téléphone ou un ordinateur quand le Wifi est accessible à tous. L’utilisation de sites sécurisés (HTTPS) lors de vos connexions Internet et d’applications privatives permet de mieux vous sécuriser.
Les Habilitations, il faut bien définir les différents profils d’habilitation dans le système en séparant les taches et les domaines de responsabilité, afin de limiter l’accès des utilisateurs aux seules données strictement nécessaires à l’accomplissement de leurs missions. Pensez aussi à supprimer les permissions d’accès des utilisateurs dès qu’ils ne sont plus dans vos locaux, à la fin de leur contrat. Pour finir, réalisez une revue annuelle de vos habilitations pour identifier et supprimer les comptes non utilisés et réaligner les droits accordés sur les fonctions de chaque utilisateur.
Il est indispensable pour les chefs d’entreprise de faire de la prévention des risques du quotidien en matière de sécurité informatique, afin d’éviter les comportements dangereux qui sont pour la plupart involontaires.
Cybersécurité : huit conseils pour protéger vos données personnelles sur internet
#3 Quels sont les moyens dont je dispose pour me protéger de la cybercriminalité ?
La question n’est pas de savoir si vous allez vous faire attaquer, mais quand allez-vous être attaqué. Les ransomwares vont de plus en plus cibler les entreprises en détectant leurs failles de sécurité. Alors si ce n’est pas déjà fait, votre entreprise doit définir une stratégie de sécurité globale qui doit non seulement intégrer les aspects techniques de la protection des données mais également un dispositif de communication interne pour sensibiliser les collaborateurs. D’un point de vue technique, faites un état des lieux de votre sécurité en détectant quels sont vos failles, et quels sont les moyens dont vous disposez pour limiter les dommages en cas d’attaques.
Plusieurs solutions peuvent répondre à vos besoins :
- Protection des ordinateurs et des mobiles (antivirus)
- Protection du réseau (Firewall)
- Sécurisation des serveurs
- Gestionnaire de mot de passe
- Gestionnaire des vulnérabilités
- Protection contre les menaces avancées
Le meilleur moyen de pouvoir vous protéger de la cybercriminalité est de confier cette tâche à un professionnel de la sécurité. En plus de son expertise, il vous accompagnera dans votre démarche de protection afin de vous donner des conseils pour protéger vos données personnelles. Il vous faut du matériel performant, car les virus sont de plus en plus puissants et cette année, il y aura moins d’attaques, mais elles seront beaucoup plus ciblées sur les entreprises et soutirerons plus d’argent de leur victime.
#4 Suite à un incident informatique, combien de temps me faut-il pour relancer ma production ?
Pour cette question, tout dépend du prix que vous voulez dépenser dans votre protection. Plus vous investirez dans votre système de sauvegarde, plus la performance sera grande. Si vous l’optimisez, la durée de récupération de données sera comprise entre 8h et 24h, et moins vous l’optimisez, plus la récupération sera longue (2 jours, 5 jours, 1 semaine). Pour évaluer la durée maximale de gêne occasionnée sur vos serveurs, et le montant des dégâts, il existe le RTO (Recovery Time Objective) qui s’exprime en secondes, en minutes, en heures ou en semaine et annonce combien de temps vos ressources (ordinateur, système informatique etc…) ne peuvent plus être fonctionnelles.
En optant pour une solution PRA (plan de reprise d’activité), vous garantissez à votre entreprise la reprise de son activité après un incident majeur sur son infrastructure informatique. Le PRA vous permet de basculer sur un système de relève qui prend en charge les besoins informatiques nécessaires à la survie de votre entreprise. Aujourd’hui, une simple sauvegarde ne suffit plus. Il existe plusieurs niveaux de capacité de reprise que vous devez définir avec votre prestataire informatique. Le PRA est différent du PCA (plan de continuité d’activité), qui lui permet de continuer l’activité sans l’arrêt du service.
RPGD : où en êtes-vous ?
#5 Quelle solution Cloud choisir pour héberger mes données en toute sécurité ?
La confiance dans le cloud augmente. 93% des entreprises utilisent des services de cloud sous une forme ou sous une autre (services logiciels, infrastructure, plateformes…). A ce jour, les entreprises mettent un frein parfois à l’adoption du Cloud, pour des raisons de sécurité face à la montée de la cybercriminalité.
Alors quelles options choisir ? Le cloud public, qui fait de plus en plus d’adeptes propose désormais des systèmes résistants face aux attaques de plus en plus nombreuses, vous pouvez désormais choisir la région dans laquelle vos données vont être hébergées. Pour un meilleur contrôle sur la sécurité de vos données, et pour répondre à des normes légales liées à votre secteur d’activité, le cloud privé s’avère être à ce jour la solution la plus adaptée. Certes, avec un coût de départ plus conséquent, mais avec une offre construite pour votre entreprise, en tenant compte de votre infrastructure, de vos applications métiers, et du niveau de services souhaité. Reste encore la solution Hybride, qui peut être une alternative si vous souhaitez avoir un peu plus de souplesse pour des besoins ponctuels et pour des données ne demandant pas un haut niveau de sécurité.
Sources : PwC, Global Security Mag, solutions-numeriques.com, CNIL
*RGPD : règlement général sur la protection des données
dans les catégories