Archives par mot-clé : responsable

Sécurité informatique : Et si on arrêtait de blâmer les collaborateurs pour les attaques informatiques

Comme à son accoutumé, le festival International de cybersécurité a été marqué de plusieurs annonces et déclaration

Si d’un côté le directeur de l’Agence nationale de sécurité des systèmes d’informations a attiré l’attention par ses interventions, il n’en demeure pas moins pour Florence Parly qui a communiqué sur la thématique de la formation à la sécurité informatique.

Cet article va aussi vous intéresser : Sécurité informatique : des sex-toys pourraient actuellement être ciblés par une vague de cybercriminalité

Comme il a été plusieurs fois mis en évidence par les spécialistes ainsi que les professionnels du secteur, la France a un réel besoin de compétences en matière de cybersécurité. Et ce manque se fait ressentir à presque tous les niveaux. Mais d’un autre côté, on ne peut pas aussi obliger le besoin pressant que l’on peut constater, pour une sensibilisation de masse pour les salariés et collaborateurs des entreprises et structure publiques. Et cela dans un contexte où on a déjà remarqué à chaque fois l’augmentation des problèmes liés à ce manque de connaissance et d’appréhension des phénomènes sécuritaires.

Depuis 2020, il a été ouvertement mis en évidence que les cyberattaques évoluent et ont crû en nombre et en sophistication. Pour les entreprises et organismes publics qui ont déjà subi, s’impose alors la nécessité de transformer l’ensemble de ses collaborateurs en des « cyber-héros »

Terranova Security dès son côté a mis à disposition une boîte à outils de survie en matière de cybersécurité disponible et gratuite pour tous. Cette boîte à outils est composée de plusieurs ressources tels que des articles de blog des vidéos ou encore des descriptions, des infographies explicatives portant sur la thématique du risque cybernétique. Il est joint aussi à l’ensemble de ses ressources plusieurs conseils en matière pour aider les organismes en public et les entreprises privées dans leur stratégie de développement de cybersécurité. Il est abordé dans cette boîte à outils les thématiques principales que sont les rançongiciels, les programmes malveillants, la cybersécurité au cours du travail à distance, l’ingénierie sociale et bien d’autres…

On se rends compte à cet effet que déployés les solutions de sécurité informatique n’ont jamais véritablement suffit. Il faut penser de manière plus large à une stratégie de protection de l’entreprise. Il faut éviter de se limiter à l’inclusion de la protection des données ainsi que de la restauration en cas de rançongiciels. Mettre aussi en évidence l’importance des moyens humains qu’il faudra déployer pour assurer un besoin réel. À l’heure actuelle, l’exigence première serait de penser à la formation des collaborateurs. Il faudra aussi penser à la formation d’une prochaine ressource humaine en matière de sécurité informatique. Car comme, il a été mentionné plus hauts, les talents sont en manque. « Quel que soit leur poste, aux risques en cybersécurité et aux premiers gestes qui sauvent, non pas des vies mais bien la dynamique d’entreprise », explique Marc Watin-Augouard, le fondateur du Forum International de la Cybersécurité, « 85 % des cyberattaques sont liées à une erreur humaine ». « Cette faille doit constituer une opportunité pour les entreprises de transformer leurs collaborateurs en « cyber-héros », ajoute ce dernier.

« Depuis la création de Terranova Security, nous n’avons cessé de mettre en lumière la nécessité de former, de sensibiliser les collaborateurs de toutes les entreprises aux menaces en cybersécurité. Que l’on parle de phishing ou de ransomwares, chaque collaborateur peut devenir le cyber héros de son entreprise contre une faille potentielle, s’il est bien sensibilisé. Après une première édition en 2019, nous menons chaque année avec notre partenaire Microsoft le Gone Phishing Tournament, pour offrir aux entreprises qui le souhaitent une évaluation de leur niveau de protection humain contre les menaces de phishing. Le concept est simple : durant plusieurs heures, nos équipes vont envoyer à chaque collaborateur un certain nombre de courriels d’hameçonnage, de tentatives d’intrusion, pour tester leur capacité à réagir. Les rapports de nos précédentes campagnes de simulation ont notamment mis en lumière que 67 % des collaborateurs ayant cliqué sur le lien malveillant contenu dans l’email ont également divulgué leur mot de passe (en 2020). Notre mission, faire baisser ce chiffre, via un programme de sensibilisation incluant des modules de formation ludiques et interactifs », souligne de son côté Lise Lapointe, fondatrice et PDG de Terranova Security.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Qui doit être responsable de la sécurité ?

On le dit tous les jours les cyberattaques se multiplient.

Les méthodes évoluent. Les pirates informatiques semblant de ne plus avoir d’obstacle. Au sein des organisations en particulier les entreprises, malheureusement il n’a pas encore été défini de manière claire et précise qui sera responsable de la sécurité informatique. D’un côté, les directeurs de systèmes d’information, de l’autre, le responsable de sécurité de système informatique et encore le responsable réseau.

Cet article va aussi vous intéresser : Cybersécurité : les employés surchargés du secteur peuvent être des vulnérabilités

Ce qu’on peut retenir, c’est qu’avant tout la gestion de la sécurité était une affaire de réseau de manière globale. Avant d’ouvrir un port sur le réseau d’une entreprise on se permettait de le sécuriser grâce à des parfums ou tout autre méthode de protection. Cependant, avec l’évolution des entreprises ainsi que du contexte de la menace informatique, les enjeux en matière de sécurité vont se trouver et totalement bouleverser. En effet les attaques informatiques deviennent plus nombreuses, et les collaborateurs de plus en plus exposés et très sensibles à cette problématique.

« Dans ce cadre, la sécurité informatique a évolué et les entreprises ont dû ajouter à leur dispositif des strates de contrôles supplémentaires, mettre en place des mesures de sécurité spécifiques aux processus de l’entreprise, aux projets… », s’exprime Tangi Le Boucher, expert sécurité au sein d’Enioka Consulting. « Et là, encore, la problématique de gestion de la sécurité consiste à sécuriser le réseau de l’entreprise plus finement. Plus de complexité implique des responsabilités réparties. « Avec la complexification des SI des entreprises, la cybersécurité, elle aussi, a dû se réinventer dans l’entreprise. », ajoute ce dernier.

Aujourd’hui, la notion de sécurité il fait appel à plusieurs catégorisations de spécialité. Ce n’est plus quelque chose de simple et toute personne composant l’entreprise à d’une manière ou d’une autre son sens de responsabilité.

« Face à cette complexification grandissante, même si historiquement la cybersécurité d’une entreprise était fortement portée par le réseau, aujourd’hui celle-ci se doit d’être plus uniformément répartie entre les différents responsables IT. Ce qui peut nécessiter de la part des entreprises de faire évoluer leur organisation vers une vision et un pilotage plus global de la cybersécurité. », note Tangi Le Boucher. « En effet, selon les exigences de sécurité, qu’elles soient déterminées par l’entreprise ou réglementairement, selon aussi les compétences, les appétences et la « culture » sécurité des équipes IT, il peut être nécessaire pour l’entreprise de diluer de façon plus ou moins importante les responsabilités « sécurité » entre la mise en œuvre des mesures de sécurité et les différents niveaux de contrôles de leur bonne mise en œuvre. Par exemple, si l’on prend le secteur de la banque, la cybersécurité ne peut se penser qu’en termes de responsabilités partagées : sécurité du réseau, mise en œuvre des mesures, contrôles de la bonne mise en œuvre des mesures, contrôles des contrôles… », ajoute ce dernier.

De plus, une entreprise évolue de plus en plus par rapport aux objectifs qu’elle s’est fixée. Et c’est toute une réglementation qui s’en trouvent bouleversé ou modifié.

« Une dilution de la responsabilité « sécurité », oui, mais dans la transparence Aujourd’hui, ce que l’on peut observer sur cette problématique est que, quelle que soit la taille de l’entreprise, les responsabilités doivent être partagées. Et c’est d’autant plus vrai pour les PME qui ne peuvent pas disposer d’équipes « King Size » de sécurité. Il va être donc très important de bien répartir les tâches et les responsabilités. Concrètement, la sécurité reste une affaire de risques à couvrir mais elle dépend aussi de la culture « sécurité » de l’entreprise. », note le spécialiste.

Aujourd’hui, on peut le dire sans crainte, l’une des solutions pour ce qui concerne la responsabilité en matière de sécurité est la dilution. Pour ce faire, il faudrait que les charges soient réparties de manière claires et précises. Dès le départ tous les acteurs qui interviennent dans le développement du système informatique ou dans son utilisation et c’est que ça modification sachent parfaitement le rôle qu’ils doivent jouer. « Une fois cela mise en place précisément, chacun sait ce qu’il a à faire et son champ d’intervention est précis et respecté des autres responsables sécurité. Ce qui n’empêche bien évidemment pas la collaboration entre les différentes équipes. », conclu Tangi Le Boucher.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

L’importance des responsables de sécurité des systèmes d’informations et des délégués de protection de données

Le secteur de l’informatique a connu beaucoup de remous depuis le début de l’année 2016 jusqu’à aujourd’hui.

Avec la crise sanitaire et l’explosion des attaques informatiques, il a été découvert que certains rôles ont pris tout leur sens. Il s’agit notamment du poste de « responsable de sécurité de système d’information » et celui de « délégué à la protection des données » (en anglais Data Protection Officers). De nos jours ces professionnels se présentent comme étant des garants essentiels de la sécurité numérique des systèmes d’informations. 

Cet article va aussi vous intéresser : Cloud et Sécurité informatique: une nécessité d’améliorer la protection des infrastructures cloud

Avec la prise de conscience du grand public face à la menace informatique, ces deux professionnels se présente aujourd’hui comme étant les « Hippocrate du numérique ». En effet c’est eux qui veillent au quotidien sur la sécurité les systèmes informatiques des entreprises et des établissements publics ou sanitaires. « En dix ans, nos missions ont fortement évolué, allant de la prévention de risques comme les pannes et incendies à la prévention de la cybercriminalité, qui représente désormais une menace permanente », se remémore André Pillon, responsable de sécurité de système d’information du Groupement Hospitalier de Territoire (GHT) Savoie-Belley.

Avec la crise sanitaire les responsables de système informatique des établissements de santé ont connu une certaine hausse de leur importance.

Face à cette situation, la majorité des responsables des systèmes d’information des établissements de santé ont décidé d’adapter leur stratégie au besoin du moment. Cela s’est concrétisé par une réactualisation des politiques en matière de sécurité informatique.  À cet effet, on a pu observer une forme de mise en application de veille technique et réglementaire. « Le rôle d’un RSSI et d’un DPO est transversal : ces experts interviennent dans tout projet ayant trait, à un moment ou à un autre, aux données ou aux systèmes d’information », note Yohann Fourchon, délégué de protection des données est responsable de sécurité des systèmes d’information au groupement hospitalier territorial d’Armor. « Le risque d’un incident existe partout. Nous sommes là pour l’anticiper et préparer les différentes réponses possibles », ajoute Guillaume Deraedt, délégué de protection des données du groupement hospitalier de Lille Métropole Flandre Intérieure.

En plein cœur de la crise sanitaire, le responsable de sécurité des systèmes d’information a servi d’appui dans un contexte où les directions de sécurité informatique étaient beaucoup sollicitées. Leur soutien a été beaucoup dans les conseils et les appuis techniques en amplifiant les veilles en matière de sécurité informatique. « D’autant plus que les équipes étaient particulièrement occupées et que le taux de mails et sites frauduleux a été multiplié de façon spectaculaire », signifie André Pillon. À Lille, « nous communiquions énormément avec nos correspondants locaux, afin de leur faire redescendre l’information tout en insistant sur la nécessaire mise en œuvre de certains correctifs », note de son côté Thomas Aubin, responsable de sécurité de système d’information du groupement hospitalier territorial de Lille Métropole Flandre Intérieure. « En quelques semaines à peine, nous avons accompagné les systèmes d’information hospitaliers dans une refonte primordiale pour gagner en agilité et permettre de développer le télétravail, les rendez-vous en ligne… », précise Guillaume Deraedt en mettant beaucoup plus l’accent sur les démarches de « co-construction » qui ont connu une hausse.

Sous un point de vue objectif, le risque était multiple. Si on doit tenir compte des dangers liés à la saturation des systèmes informatiques et des infrastructures IT sans oublier le surmenage des équipes informatiques, il avait aussi à aborder la question de l’explosion des attaques informatiques.

L’actualité a dépeint ces actes de cybermalveillance. À l’instar de l’attaque a ciblé l’hôpital d’Albertville Moutiers. « Suite à l’attaque, nous avons réinterrogé notre plan de continuité de l’activité. Nous avons également redéfini nos procédures de secours pour assurer la poursuite des prises en charge, avec notamment une entraide des établissements du GHT, sur le modèle de ce qui avait été fait durant la crise de décembre », explique André Pillon. Selon ce dernier, l’attaque n’as pas modifié « renforcé et accéléré la nécessité de construire une vraie politique de sécurité et une gouvernance spécifique, de mettre en œuvre la conformité réglementaire et d’engager une meilleure sensibilisation des utilisateurs ».

Si plusieurs établissements n’ont pas été touchés par cette vague de cybercriminalité, il n’en demeure pas moins qu’ils s’y intéressent. « Nous observons aujourd’hui une nette augmentation des inscriptions aux formations, mais aussi des interrogations avec, par exemple, une plus grande sollicitation pour évaluer les risques sur des mails suspects », constate le responsable de sécurité des systèmes d’information.

« Les patients eux-mêmes sont nettement plus sensibles aux risques potentiels, et nous appellent parfois pour avoir plus d’informations sur un évènement particulier dont ils ont entendu parler dans les médias », précise Yohann Fourchon.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Menaces cyber et la réponse des Responsables de sécurité de système d’information

Récemment une étude indépendante commandité par la société de sécurité informatique F-Secure, réalisé par le cabinet Omnisperience, a démontré que les responsables de sécurité de système d’information sont de plus en plus en mesure de repousser le maximum d’attaques informatiques auxquels ils sont confrontés au quotidien.

Cela dans un contexte où l’on a observé que les méthodes de piratage informatique sont en pleine évolution et sophistication.

L’enquête a nécessité plus de 28 entretiens qui ont dû être réalisés avec des responsables de sécurité des systèmes d’information dans 2 pays dont le Royaume-Uni et les États-Unis. « Ces professionnels ont décrit leur travail comme une lutte permanente contre les assauts répétés des pirates informatiques. Ils ont évoqué un environnement de travail fragmenté, une « dette de sécurité », ainsi que la nécessité de redéfinir en continu les contours d’une sécurité efficace. » pouvait t-on lire dans le rapport. « Les RSSI tiennent à souligner la différence entre un cyber attaque et un cyber incident, afin que la presse et les fournisseurs de cyber sécurité puissent faire clairement la distinction. ».

Cet article va aussi vous intéresser : Face à la vague de cyberattaques, les sénateurs américains exigent une réponse du gouvernement

En effet, une cyberattaque, en d’autres termes une attaque informatique éteindre l’ensemble de procédés visant à violer les règles de sécurité établies pour la sauvegarde du système. L’objectif est bien évidemment de porter atteinte à l’intégrité du système informatique, à sa disponibilité ou encore à l’accès de ce système. De l’autre côté, un incident cyber et la réalisation d’une atteinte, confirmée par une observation objective.

Par ailleurs, la responsable de sécurité a mentionné que le nombre d’attaques informatiques ok ils doivent reprendre en connais une hausse depuis un certain moment, précisément depuis ces 18 derniers mois. Pour ce qui concerne les cybers incidents, le nombre n’a véritablement augmenté on assiste à une stabilisation de ces cas. Cette situation peut répondre bien évidemment retour sur investissement que les entreprises auraient employé depuis un certain moment pour renforcer leur sécurité informatique. Cependant il ne faut pas occulter une réalité bien évidente. Il existe bel et bien des cybers incidents qui ne sont pas encore découvertes ou qui ne serons malheureusement jamais découverte. « En raison de la nature sophistiquée de certaines de ces attaques, les organisations peuvent ne pas disposer de la technologie ou des personnes adéquates pour identifier qu’elles sont au cœur d’une compromission qui peut entraîner le déploiement d’un ransomware des mois plus tard. » précise le rapport.

Par ailleurs, les responsables de sécurité des systèmes d’information mettent en avant trois menace en particulier :

– Le phishing ou l’hameçonnage ;

– Le ransomware (rançongiciel ou logiciel rançonneur) ;

– Les attaques BEC (Business Email Compromise).

Cependant, ces derniers ne que vous n’êtes pas d’autres menaces. En particulier :

– Les chevaux de Troie qui visent particulièrement les employés En télétravail ;

– Les fuites de données généralement de sources extérieures ;

– Les attaques DDoS (déni de services) ;

– Les vols d’identifiants/comptes par la méthode d’ingénierie sociale ou du phishing ;

– Les logiciels malveillants avancés.

De façon objective, le point faible demeure toujours l’aspect humain. Et bien sûr les pirates informatiques font tout pour en profiter car ils le savent belle bien.

Par ailleurs, 71 % des responsables de sécurité de système d’information ont aussi confirmé que la faille de sécurité principale en matière de protection de système d’information et l’être humain. La prolifération des pratiques tels que l’hameçonnage et l’ingénierie sociale démontre clairement que cela est une évidence aux yeux de tous.

Aujourd’hui, les directeurs de sécurité informatique peuvent se vanter de pouvoir bloquer la majorité des tentatives de phishing grâce à plusieurs produits qui ont été développés pour répondre à ce besoin en particulier. Mais cela n’est pas suffisant en particulier dans ce contexte de télétravail généralisé.

En outre « Les RSSI évoquent une « dette de sécurité ». Les hackers bénéficient d’avantages par rapport aux équipes de sécurité : plus de temps et pas de réglementation à respecter. Les nouveaux outils de sécurité, les initiatives pour conduire la sécurité dès la conception aux premiers stades de nouveaux projets professionnels, et la sensibilisation en interne doivent constituer des priorités mais ce n’est pas toujours le cas. Selon les RSSI interrogés, les lacunes des entreprises s’expliquent notamment par les contraintes budgétaires, le manque de ressources ou encore la priorité donnée aux activités plus commerciales. Une entreprise n’a jamais pour seul et unique but de défendre son réseau : elle veille avant tout à développer son activité. À l’inverse, les cybercriminels ne poursuivent qu’une seule finalité : l’attaque. Et ils y consacrent tous leurs efforts. » explique le rapport de F-Secure.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Sécurité informatique et télétravail : quand les employés deviennent des responsables

Le télétravail est aujourd’hui une chose assez commune et habituelles.

Il y a quelques années de cela, on pouvait compter du bout des doigts les professionnels qui collaboraient de la sorte. Cependant, avec la crise de sanitaire et tous les inconvénients que cela a pu apporter, l’adoption du télétravail était devenue une évidence, voir une nécessité. Pourtant le télétravail en lui-même n’est pas quelque chose d’assez simple sous un point de vue technique. En effet, qui dit travail à distance dit utilisation massive de solutions numériques. Pourtant l’utilisation de matériel informatique et internet à grande échelle ouvre une porte d’entrée à la cybercriminalité. Aujourd’hui les vecteurs d’attaque informatique se sont multipliés au même moment que les télétravailleurs augmentaient.

« Pour beaucoup d’entreprises, le recours massif au télétravail imposé dès les premiers confinements n’a été qu’une mise à l’échelle. », explique Benoît Grunemwald, expert en sécurité chez ESET. , « évoquer la bascule vers le télétravail et les problématiques de sécurité informatiques nécessite d’observer les bonnes pratiques, mises en place par certaines entreprises bien avant la crise. En effet, nombre d’entre elles fonctionnaient avec des employés en télétravail ou des prestataires à distance. La crise sanitaire n’a été qu’une généralisation de ce fonctionnement, pour s’appliquer de manière plus ou moins importante à la grande majorité des employés. » ajoute ce dernier. Par ailleurs, il s’interroge : « Comment traitions-nous ces populations à distance avant la crise ?  Quel équipement, quelle sensibilisation, quelles infrastructures étaient déployés pour que les données auxquelles les travailleurs accèdent soient sécurisés ? C’est cela que nous devons regarder afin d’élargir ces pratiques. ».

Pour migrer vers le télétravail, il a bien sûr été question d’utiliser d’une manière ou d’une autre la technologie cloud avec plusieurs outils dédiés à la collaboration à distance. Cela peut-être pour partager des informations pendant le travail d’équipe ou pour communiquer tout simplement. Dans de telles conditions, l’une des premières exigences en la matière sur la sécurisation des mots de passe comme le précise note expert. De ce fait il faudrait encourager les employés à non seulement utiliser des mots de passe fort, mais à savoir aussi utiliser plusieurs mots de passe pour leurs différents comptes. En plus d’utiliser des mots de passe assez sécurisé, il faudrait aussi mettre en place un système d’authentification à double facteur. « Il s’agit d’un code à six chiffres reçus sur le téléphone de l‘employé, assurant ainsi une deuxième protection au cas où les mots de passe aient été volés. Ce code change toutes les 30 secondes, et assure ainsi que la personne qui se connecte est bien celle qu’elle prétend être. Cette pratique, très simple et peu couteuse à mettre en place, est systématiquement recommandée par ESET, que ce soit en interne ou en externe, pour les clients. Nous proposons notre solution, ESET Secure Authentification. En termes de coût, financier et humain, c’est très abordable et simple à déployer. C’est une solution qui s’intercale dans des applications existantes. Car si les grands fournisseurs de messagerie proposent cette authentification forte, ce n’est pas le cas des petites applications. C’est pour cela que nous proposons cette solution. », déclare Benoît Grunemwald.

De plus, notre Expert de ESET parle de l’analyse des risques. Cette analyse puise sa source dans le fait que le télétravail s’est imposé à une partie de la population qui à la base n’avais pas cette habitude. De ce fait ils ont dû composer avec quand bien même que cela était difficile.

Benoît Grunemwald propose de fonder l’analyse-risque sur trois points clés : «

– La disponibilité des données, c’est à dire qu’elles soient disponibles et accessibles uniquement au personnel qui en a besoin ;

– L’intégrité des données, c’est à dire qu’elles restent justes et non falsifiées ;

– La confidentialité, tant en interne qu’en externe où personne ne doit avoir accès à certaines données.

Les clés de la confiance. »

Benoît Grunemwald ajoute par la suite : « La beauté de l’agilité informatique, est qu’elle permet d’assurer la sécurité sur n’importe quel poste de travail, au sein de l’entreprise, comme à l’extérieur. Même en utilisant un poste lambda, on peut continuer à travailler sans mettre en danger la sécurité de l’entreprise ».

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage