Cyber-sécurité : les erreurs à ne pas commettre
juin 15, 2021

En arrivant un matin au bureau, vous constatez que vos fichiers informatiques sont cryptés. Impossible de lire quoi que ce soit. Un petit cadenas vous nargue à chaque tentative. Idem sur tous les ordinateurs du service.

L’ordre du jour de votre assemblée générale de ce soir et les documents qui devaient lui être soumis sont illisibles. Le logiciel de paie est bloqué, empêchant la préparation du versement des salaires de vos collaborateurs dans deux jours. Les dossiers de vos clients ou usagers sont indéchiffrables. Vous ne pouvez tout simplement pas travailler. Votre disque de sauvegarde, connecté au serveur principal, est lui aussi compromis. C’est la panique. 

Un message s’affiche alors à l’écran : pour récupérer l’accès à vos données, un pirate exige le versement de 300 000 euros en bitcoin, via un réseau crypté, faute de quoi tous vos fichiers seront détruits dans les 72 heures. 

Ceci n’est pas unfilm. Vous vous êtes fait piéger par un rançongiciel, et vous n’êtes pas les premiers. Les attaques de ce genre se multiplient, notamment avec le développement du télétravail. En février 2021, c’est l’hôpital de Villefranche/Saône qui a été ciblé, contraint de reconstruire intégralement son système d’information.

Comment échapper à ces scénarios d’épouvante ? Voici les erreurs les plus courantes et dommageables en matière de sécurité informatique. 

 

Les mots de passe vulnérables

C’est le B.A BA de la sécurité informatique et pourtant, combien de structures sont suffisamment vigilantes sur les mots de passe ? Trop simples, trop rarement modifiés, notés sur un Post It sous le clavier, voire soigneusement listés dans un fichier Excel nommé « mots de passe »… Les solutions de facilité sont autant de portes ouvertes au vol de données, à la modification de sites Internet, et autres piratages.

Vol de données - Sécurité des données

 

Pour verrouiller correctement vos accès, choisissez des mots de passe de plus de 8 caractères incluant caractères spéciaux, majuscules et chiffres, et changez-les tous les six mois. Et pour retenir tous vos mots de passe, téléchargez un gestionnaire spécial, sorte de coffre-fort électronique. Vous n’avez à vous souvenir que d’une seule clé, celle qui permet d’ouvrir le coffre.

 

Le wifi non sécurisé ou partagé avec les visiteurs 

Attention aux réseaux wifi ouverts non sécurisés, et au risque d’attaques de « l’homme du milieu ». Comme leur nom l’indique, celles-ci permettent aux pirates d’espionner les communications, de pirater des comptes ou de capter les mots de passe.

Deux impératifs s’imposent : un wifi qui chiffre les communications, et la séparation entre le wifi professionnel et le wifi disponible pour le public.

 

La messagerie mal protégée 

Imaginez qu’un vendredi soir, le service comptable ou le secrétariat de direction de votre établissement reçoive un appel lui demandant d’effectuer en urgence un virement important à un tiers, pour obéir à un prétendu ordre de la direction, sous prétexte d’une dette à régler, de provision de contrat ou autre. Ne croyez pas que ce procédé, « l’arnaque au président », soit trop gros pour échouer. Les escrocs se renseignent toujours sur leurs victimes, fournissant suffisamment de détails et usant d’un ton assez persuasif et convaincant pour les duper. C’est en général à partir d’une messagerie mal protégée qu’ils collectent les informations utiles. 

Pour stopper ces indélicats, quatre règles d’or :

Le phising permet de récupérer des infos ou d'infiltrer un SI

 

• Sécurisez vos messageries,

• Bannissez les informations internes sur les réseaux sociaux,

•  Ne faites jamais « répondre » aux mails concernant des procédures bancaires ou sensibles, mais saisissez vous-même l’adresse habituelle du donneur d’ordre,

• Définissez une procédure stricte pour les ordres de virements : vérification systématique auprès de la direction, double signature.

 

Le défaut de sauvegarde

Panne informatique, sinistre, attaque par rançongiciel : ces scénarios ne sont pas obligatoirement synonymes de catastrophe, pour peu que votre stratégie de sauvegarde soit rigoureuse. Ce qui implique :

• Des sauvegardes régulières : sauvegarde incrémentielle chaque jour depuis les serveurs ; sauvegarde complète chaque semaine.

• Les sauvegardes des données sensibles (données de santé) doivent être cryptées (matériel et logiciels agréés).

• Des supports diversifiés : sauvegardez vos données sur un serveur local et sur un serveur distant (en cas de sinistre), et sur des supports non connectés.

• Des tests réguliers de la restauration de données.

 

L’oubli des mises à jour

Négliger de mettre à jour ses anti-virus, son système d’exploitation ou ses logiciels expose à de graves déconvenues. Les pirates traquant les failles de sécurité de nos systèmes, mieux vaut installer les versions les plus récentes dès que celles-ci sont disponibles. Veillez notamment à vos anti-virus, anti-spam et firewalls, et effectuez une veille régulière pour anticiper et vous adapter aux nouvelles menaces.

La suite de cet article sur la cyber-sécurité