Po­li­tique de cy­ber­sé­cu­ri­té : 6 bonnes pra­tiques pour pro­té­ger votre en­tre­prise

Les cy­be­rat­taques se mul­ti­plient et se so­phis­tiquent chaque an­née : ran­som­wares, phi­shing, in­gé­nie­rie so­ciale… Au­cune en­tre­prise n’est à l’a­bri. Se­lon les der­nières études, une PME sur deux ayant su­bi une cy­be­rat­taque ma­jeure dé­pose le bi­lan dans les 18 mois qui suivent.

Mettre en place une po­li­tique de cy­ber­sé­cu­ri­té so­lide n’est plus une op­tion, c’est une né­ces­si­té stra­té­gique. 

Chez Dcom-So­lu­tions, nous ac­com­pa­gnons les en­tre­prises dans la construc­tion de dé­fenses ro­bustes, adap­tées à leurs en­jeux mé­tier. Voi­ci les 6 bonnes pra­tiques fon­da­men­tales à dé­ployer pour sé­cu­ri­ser ef­fi­ca­ce­ment vos do­cu­ments et don­nées sen­sibles. 

Iden­ti­fier vos do­cu­ments sen­sibles 

Avant toute me­sure de pro­tec­tion, il est in­dis­pen­sable de sa­voir ce que vous pro­té­gez.  

Vos do­cu­ments sen­sibles peuvent in­clure : 

• Les don­nées per­son­nelles (noms, adresses, nu­mé­ros de sé­cu­ri­té so­ciale…) 

• Les in­for­ma­tions fi­nan­cières (re­le­vés ban­caires, dé­cla­ra­tions fis­cales…) 

• La pro­prié­té in­tel­lec­tuelle (bre­vets, se­crets com­mer­ciaux, plans stra­té­giques…) 

• Les do­cu­ments lé­gaux (contrats, ac­cords, do­cu­ments ju­ri­diques confi­den­tiels…)

L’au­then­ti­fi­ca­tion à deux fac­teurs (2FA) 

L’2FA est au­jourd’­hui un stan­dard in­con­tour­nable. En exi­geant une double vé­ri­fi­ca­tion (mot de passe + code SMS ou ap­pli­ca­tion) elle com­plique consi­dé­ra­ble­ment la tâche des cy­ber­cri­mi­nels, même en cas de vol de mot de passe. 

Po­li­tiques de contrôle d’ac­cès et ges­tion des droits 

Votre po­li­tique de cy­ber­sé­cu­ri­té doit dé­fi­nir clai­re­ment les ni­veaux de per­mis­sion pour chaque uti­li­sa­teur ou groupe.  

Les bonnes pra­tiques in­cluent : 

• Vé­ri­fi­ca­tion ré­gu­lière des droits d’ac­cès 
• Ré­vi­sion des po­li­tiques lors de chan­ge­ments or­ga­ni­sa­tion­nels 
• Ré­vo­ca­tion im­mé­diate des ac­cès lors de dé­parts ou chan­ge­ments de poste 
• Ap­pli­ca­tion du prin­cipe du moindre pri­vi­lège (ac­cès uni­que­ment au né­ces­saire) 

Une double pro­tec­tion par le chif­fre­ment 

Le chif­fre­ment est l’une des pierres an­gu­laires de toute po­li­tique de cy­ber­sé­cu­ri­té.   

Dcom-So­lu­tions re­com­mande une ap­proche en deux temps : 

• Chif­fre­ment en tran­sit : pro­tège les don­nées lors de leur trans­fert via des pro­to­coles ro­bustes (TLS, HTTPS), ré­dui­sant les risques d’in­ter­cep­tion. 
• Chif­fre­ment au re­pos : ga­ran­tit que les don­nées sto­ckées res­tent illi­sibles sans la clé de dé­chif­fre­ment, même en cas d’ac­cès phy­sique non au­to­ri­sé aux sup­ports. 

Des sau­ve­gardes ré­gu­lières et tes­tées 

Le chif­fre­ment pro­tège vos don­nées, mais la sau­ve­garde vous per­met de les ré­cu­pé­rer en cas d’in­ci­dent. Ces deux pra­tiques sont com­plé­men­taires et doivent fi­gu­rer en­semble dans votre po­li­tique de cy­ber­sé­cu­ri­té.  

Pré­voyez : 

• Des sau­ve­gardes au­to­ma­tiques à plu­sieurs fré­quences (quo­ti­dienne, heb­do­ma­daire) et sur plu­sieurs sup­ports (lo­cal + cloud) 
• Des stra­té­gies de res­tau­ra­tion do­cu­men­tées, avec des étapes claires en cas d’in­ci­dent 
• Des tests ré­gu­liers de res­tau­ra­tion pour va­li­der l’ef­fi­ca­ci­té réelle de vos sau­ve­gardes 

Une sau­ve­garde non tes­tée est une sau­ve­garde po­ten­tiel­le­ment in­uti­li­sable. Ne l’ap­pre­nez pas au pire mo­ment. 

La tech­no­lo­gie ne suf­fit pas : vos col­la­bo­ra­teurs sont à la fois votre maillon le plus vul­né­rable et votre meilleur atout. Une po­li­tique de cy­ber­sé­cu­ri­té ef­fi­cace in­tègre sys­té­ma­ti­que­ment un vo­let hu­main.  

La sen­si­bi­li­sa­tion doit por­ter sur :  

• La re­con­nais­sance des ten­ta­tives de phi­shing et d’in­gé­nie­rie so­ciale 

• Les bonnes pra­tiques de ges­tion des mots de passe 

• Les conduites à te­nir en cas d’in­ci­dent ou de sus­pi­cion d’at­taque 

• Les règles d’u­ti­li­sa­tion des ap­pa­reils per­son­nels (BYOD) 

Des cam­pagnes de for­ma­tion ré­gu­lières et des si­mu­la­tions d’at­taques (faux phi­shing) per­mettent de créer une vé­ri­table culture de la cy­ber­sé­cu­ri­té au sein de votre or­ga­ni­sa­tion. 

Sur­veiller et dé­tec­ter les in­ci­dents en temps réel 

Une po­li­tique de cy­ber­sé­cu­ri­té ef­fi­cace ne se li­mite pas à la pré­ven­tion, elle in­tègre aus­si la dé­tec­tion proac­tive des me­naces.  

Deux pi­liers es­sen­tiels : 

• Sur­veillance en temps réel : iden­ti­fi­ca­tion im­mé­diate des ac­ti­vi­tés sus­pectes pour in­ter­ve­nir avant qu’un in­ci­dent ne s’ag­grave. 
• Tech­no­lo­gies de dé­tec­tion d’in­tru­sion (IDS/IPS) : des sys­tèmes ali­men­tés par l’IA et le ma­chine lear­ning ca­pables de re­pé­rer des sché­mas d’ac­ti­vi­té anor­maux, sou­vent avant même qu’une at­taque soit lan­cée. 

Main­te­nir ses sys­tèmes à jour : fer­mer les portes aux at­ta­quants 

La grande ma­jo­ri­té des cy­be­rat­taques ex­ploite des vul­né­ra­bi­li­tés connues, et donc cor­ri­geables. Sur­veiller sans mettre à jour, c’est re­pé­rer l’in­tru­sion sans ja­mais en col­ma­ter la brèche.  

Votre po­li­tique de cy­ber­sé­cu­ri­té doit donc in­clure : 

• Des mises à jour ré­gu­lières et au­to­ma­tiques des lo­gi­ciels, sys­tèmes d’ex­ploi­ta­tion et firm­wares.
• Une ges­tion proac­tive des cor­rec­tifs de sé­cu­ri­té (patch ma­na­ge­ment), avec éva­lua­tion conti­nue des be­soins et vé­ri­fi­ca­tion de leur ef­fi­ca­ci­té.
• Un in­ven­taire à jour de tous vos ac­tifs lo­gi­ciels et ma­té­riels 

Op­ter pour des pla­te­formes de sto­ckage ro­bustes 

Toutes les pla­te­formes de sto­ckage ne se valent pas. Pri­vi­lé­giez celles qui in­tègrent na­ti­ve­ment le chif­fre­ment, une au­then­ti­fi­ca­tion ren­for­cée et des jour­naux d’au­dit pour ga­ran­tir une pro­tec­tion conti­nue de vos don­nées. 

Dé­fi­nir une du­rée de conser­va­tion adap­tée 

Conser­ver des don­nées in­utiles est une source de risque sou­vent sous-es­ti­mée. Votre po­li­tique de cy­ber­sé­cu­ri­té doit pré­voir des règles claires de ré­ten­tion et de sup­pres­sion : com­bien de temps conser­ver chaque type de do­cu­ment, et com­ment as­su­rer leur des­truc­tion sé­cu­ri­sée en fin de vie. 

Construire une po­li­tique de cy­ber­sé­cu­ri­té ef­fi­cace, c’est adop­ter une ap­proche glo­bale et struc­tu­rée, de l’é­va­lua­tion des risques à la for­ma­tion de vos équipes, en pas­sant par le chif­fre­ment, la sur­veillance et la ges­tion des ac­cès. Ces 6 bonnes pra­tiques consti­tuent le socle d’une pro­tec­tion du­rable contre des me­naces en per­pé­tuelle évo­lu­tion. 

Dans un en­vi­ron­ne­ment nu­mé­rique de plus en plus hos­tile, ne lais­sez pas la sé­cu­ri­té de votre en­tre­prise au ha­sard. 

Dcom-So­lu­tions vous ac­com­pagne dans la mise en place de votre po­li­tique de cy­ber­sé­cu­ri­té. 

Ba­sée à Chas­se­neuil-du-Poi­tou, Dcom-So­lu­tions pro­pose des so­lu­tions de cy­ber­sé­cu­ri­té sur me­sure adap­tées aux en­tre­prises de la Vienne à Poi­tiers, des Deux-Sèvres à Niort, de la Cha­rente et de la Cha­rente-Ma­ri­time.