La sécurité est au cœur des conversations et des demandes des services informatiques

De nombreuses questions reviennent régulièrement :

• Que faire pour ne plus avoir de problème ?
• Qu’est-ce que le Zéro Trust et comment le mettre en place ?
• Quel est la différence entre un XDR et un EDR ?
• Comment gérer la multitude de Log ?
• Faut-il avoir un produit qui fait tout ou au contraire faut-il des produits spécifiques pour chaque fonction ?

Nous restons convaincus que la sécurité informatique est loin d’être une problématique purement technique. Avec les outils existants, de bonnes pratiques et de la sensibilisation (utilisateurs et administrateurs), une grande partie des attaques subies pourraient être évitées.

La base de nombreuses attaques récentes passe par la compromission des comptes des utilisateurs via différentes techniques. L’application des points de contrôles recommandés par l’ANSSI pour sécuriser votre Système d’Information ne nécessite pas d’achat de nouveaux outils et permet déjà de compliquer efficacement la tâche des cyberattaquants qui s’en prennent à votre organisation.

L’audit des solutions dite classique d’antivirus, de firewall, d’antispam, des solutions de mise a jours des postes/serveurs sont également nécessaires. Sont-ils tous à jours ? Les règles mises en placent sont-elles toujours d’actualités ? Où vont les logs ? Une alerte est-elle envoyée (et traitée) en cas de problème ?  Est-ce que l’ensemble de l’organisation est bien protégée par ces outils que ce soit contre des vecteurs d’attaque interne mais également externe ?  L’ensemble de ces questions font partie de la gouvernance du SI qui devrait être traitée régulièrement pour assurer un bon niveau de sécurité.

Comme beaucoup d’acteurs de la sécurité le répètent, la question n’est plus de savoir si vous allez être attaqué mais quand ?  La préparation en amont d’une crise permet également d’améliorer et d’identifier les points faibles du SI. Celle-ci passe par la mise en place de politiques et de chartes internes, de procédures d’utilisation des outils et d’un corpus documentaire hors ligne.

Avoir un plan d’action clair pour organiser la coupure d’urgence du SI en cas d’attaque et un plan de communication autour de cette crise permettra de gagner beaucoup de temps le jour J.

Deux protections valent mieux qu’une ! Qu’est-ce que l’authentification multifacteur et pourquoi faut-il la privilégier lorsqu’elle est proposée ?

Quelles sont les bonnes pratiques en sécurité numérique et les réflexes à adopter en cas de cyberattaque ?

Les entreprises françaises font face à une recrudescence majeure de cyberattaques qui frappent aussi bien les grands groupes que les TPE. En 2020, ce sont plus de 10 000 entreprises qui sont venues chercher de l’assistance sur la plateforme Cybermalveillance.gouv.fr. Lorsqu’elles sont insuffisamment préparées, les PME sont particulièrement vulnérables et les conséquences sont souvent dramatiques. Le retard dans la mise à niveau des équipements informatiques, le recours massif au télétravail et la numérisation croissante ont contribué à augmenter leur exposition aux risques numériques.

Les entreprises font face aux attaques de réseaux de cybercriminels de plus en plus structurés dont les motivations sont diverses, allant de l’appât du gain aux revendications idéologiques. Pour les victimes, les cyberattaques se soldent très souvent par une demande de rançon, un vol de données sensibles ou encore une indisponibilité des équipements. La reprise d’activité, lorsqu’elle est possible, est souvent longue à mettre en œuvre, coûteuse et très éprouvante pour les dirigeants et leurs collaborateurs.

Ce guide de sensibilisation regroupe l’essentiel des bonnes pratiques en sécurité numérique à destination des dirigeants et de leurs collaborateurs. À partir de conseils simples, il permet de développer une véritable culture de la cybersécurité au sein d’une entreprise et de mettre en place des mesures pour se protéger en cas d’attaque. La prise en considération du risque numérique par la direction et la sensibilisation des collaborateurs sont des composantes tout aussi essentielles à mettre en œuvre que les mesures techniques.

Dans ce guide pratique et pédagogique figurent les recommandations concrètes d’experts en sécurité numérique, des témoignages d’entrepreneurs et des récits de victimes de cyberattaques, une présentation détaillée des principales menaces et de leurs caractéristiques, ainsi qu’un plan d’action à activer en cas d’attaque, décrivant les étapes importantes à suivre pour la reprise d’activité.

Pour le télécharger c’est ici.

La clé USB est-elle en train de devenir l’outil de prédilection des pirates informatiques ?

Accessible, offerte ou prêtée, la clé USB est devenu un petit dispositif de stockage du quotidien. Elle existe sous différentes formes et différentes capacités de stockage. En “goodies” personnalisable, elle peut même devenir un objet de communication. Légère, portable et mobile, celle-ci tient même dans la poche ! Utilisée pour stocker et transporter les données (documents, photos, etc), la clé USB n’en demeure pas moins fragile et facile à perdre. De plus, son usage étant massivement répandu, elle fait partie des “gadgets” privilégiés des hackers pour piéger les individus et organisations.

Les études montrent qu’une infection sur trois a pour origine des supports USB (clés, câbles…) et que une clé sur deux contiendrait au moins un dossier présentant des risques”.
Dans le milieu professionnel, 90% d’employés utilisent des clés USB et 80% des collaborateurs utilisent des clés non chiffrées.
Parmi ces salariés, 87% des personnes interrogées reconnaissent ne pas avoir révélé la perte d’une clé USB utilisée dans le cadre professionnel. Pire encore, de nombreux collaborateurs négligents continuent de connecter des clés USB provenant de l’extérieur sur leurs ordinateurs professionnels.
Ajoutez à cela la multitude d’endroits peu ou pas sécurisés où des clés USB “traînent” et sont, de ce fait, facilement accessibles (tiroirs de bureaux, bureaux, banettes de rangement…) et vous commencez à disposer d’une arme de diffusion massive.

S’appuyant sur ces mauvaises habitudes, les pirates informatiques détournent cette banalisation de la clé USB à leur avantage. Ils ont inventés plusieurs scénarios de clés « piégées ». Le fil conducteur est la scénario de la clé « perdue » ou offerte : la clé semble avoir été oubliée, ou “égarée” dans la rue, ou “distribuée” dans les boîtes aux lettres ou, plus sournoisement, “offerte” lors d’un événement ou conférence. Déposée sur le coin d’un bureau, près de la machine à café, le but est d’attirer votre attention. Poussé par la curiosité (et potentiellement l’envie de profiter d’une clé de 32 Go !!), l’utilisateur décide de se l’approprier. Il la connecte, par exemple, sur son poste de travail afin d’examiner son contenu…mais rien ne se passe. Quelques jours plus tard, le drame arrive : il reçoit un e-mail dans lequel une personne mal intentionnée lui dévoile avoir piraté ses mots de passe, coordonnées bancaires et récupéré ses données…et tout cela en arrière plan, de manière invisible.

Avec d’autre type de programmes voire via des modifications de l’électronique embarquée, ces clés USB peuvent déclencher une décharge électrique fatale pour tout appareil (ordinateur, smartphone) ou bien aspirer tous les mots de passe stockés sur un ordinateur ou permettre de prendre le contrôle à distance d’un ordinateur, le champ des possibles est vaste et seulement limité par l’imagination des hackers.

Comme nous l’avons vu, certaines clés USB peuvent contenir un malware ou un message frauduleux dont l’objectif est d’infecter votre ordinateur puis l’ensemble du réseau informatique de votre organisation et les conséquences peuvent être dramatiques :

• Vol de données, de mots de passe
• Prise de contrôle à distance
• Arrêt des systèmes
• Usurpation d’identité
• Espionnage
• Destruction complète de votre ordinateur, voire du système informatique

Les organisations sont garantes du RGPD. Rappelons qu’en cas de non-respect du règlement, la CNIL peut “sanctionner un responsable de traitement qui n’a pas pris les mesures nécessaires”.

Que faire si un utilisateur a branché une clé USB malveillante ?

Il vaut mieux prévenir que guérir et donc sensibiliser les collaborateurs à ne pas brancher une clé USB dont ils ne connaissent pas la provenance. Cepensant si un collaborateur connecte une clé USB malveillante il doit immédiatement :

• Verrouiller la session de son ordinateur
• Déconnecter son poste rapidement du réseau et/ou débrancher le câble réseau
• Avertir son responsable et/ou le Service Informatique

Utiliser des Clés USB : les bonnes pratiques

• Configurez un mot de passe pour les fichiers et/ou dossiers que vous sauvegardez sur la clé USB
• Procurez-vous une solution permettant de chiffrer les clés USB
• Restreignez ou interdisez l’usage les clés USB en configurant les paramètres de l’ordinateur
• Désactivez les fonctions Autorun et l’Autoplay (exécution automatique d’un lecteur) de votre ordinateur
• Utilisez des clés biométriques, dont la sécurité repose sur la reconnaissance digitale

Avant toute chose, formez vos collaborateurs aux bons gestes informatiques à adopter au quotidien. Sensibilisez-les notamment aux risques liés à l’utilisation de supports USB et particulièrement aux clés.
Rappelez-leur que toute clé extérieure à votre organisation – offerte, trouvée, prêtée ou provenant de leur sphère privée – ne doit jamais être connectée. En cas de doute, ils ne doivent ni la conserver ni la jeter dans n’importe quelle poubelle. (pour éviter qu’une autre personne ne la trouve et risque de la brancher à son tour). Conseillez leur de remettre cette clé à un expert informatique (de leur entourage professionnel ou privé).

Messageries, réseaux sociaux, banques, administrations et commerces en ligne, réseaux et applications d’entreprise… la sécurité de l’accès à tous ces services du quotidien repose aujourd’hui essentiellement sur les mots de passe. Face à leur profusion, la tentation est forte d’en avoir une gestion trop simple. Une telle pratique serait dangereuse, car elle augmenterait considérablement les risques de compromettre la sécurité de vos accès.
Voici 10 bonnes pratiques à adopter pour gérer efficacement vos mots de passe.

• Choisissez un mot de passe particulièrement robuste pour votre messagerie

Votre adresse de messagerie est généralement associée à beaucoup de vos comptes en ligne. Cela permet notamment de recevoir les liens de réinitialisation des mots de passe de vos autres comptes. Un cybercriminel qui réussirait à pirater votre messagerie pourrait facilement utiliser la fonction « mot de passe oublié » des différents services auxquels vous pouvez accéder, comme votre compte bancaire, pour en prendre le contrôle.
Votre mot de passe de messagerie est donc l’un des plus importants à protéger.

• Utilisez un mot de passe différent pour chaque service.

Ainsi en cas de perte ou de vol d’un de vos mots de passe, seul le service concerné sera vulnérable.
Dans le cas contraire, tous les services pour lesquels vous utilisez le même mot de passe compromis seraient piratables.

• Utilisez un mot de passe suffisamment long et complexe

Une technique d’attaque répandue, dite par « force brute », consiste à essayer toutes les combinaisons possibles de caractères jusqu’à trouver le bon mot de passe. Réalisées par des ordinateurs, ces attaques peuvent tester des dizaines de milliers de combinaisons par seconde. Pour empêcher ce type d’attaque, il est admis qu’un bon mot de passe doit comporter au minimum 12 signes mélangeant des majuscules, des minuscules, des chiffres et des caractères spéciaux.

• Utilisez un mot de passe impossible à deviner

Une autre technique d’attaque utilisée par les pirates est d’essayer de « deviner » votre mot de passe. Évitez donc d’employer dans vos mots de passe des informations personnelles qui pourraient être faciles à retrouver (sur les réseaux sociaux par exemple), comme le prénom de votre enfant, une date anniversaire ou votre groupe de musique préféré.

Évitez également les suites logiques simples comme 123456, azerty, abcdef… qui font partie des listes de mots de passe les plus courants et qui sont les premières combinaisons qu’essaieront les cybercriminels pour tenter de forcer vos comptes.
Comment créer un mot de passe solide ?

– La méthode des premières lettres : Un tiens vaut mieux que deux tu l’auras
> 1tvmQ2tl’A
– La méthode phonétique : J’ai acheté huit CD pour cent euros cet après-midi
> ght8CD%E7am

• Utilisez un gestionnaire de mots de passe

Il est humainement impossible de retenir les dizaines de mots de passe longs et complexes que chacun est amené à utiliser quotidiennement. Ne commettez pas pour autant l’erreur de les noter sur un pense-bête que vous laisseriez à proximité de votre équipement, ni de les inscrire dans votre messagerie ou dans un fichier non protégé de votre ordinateur, ou encore dans votre téléphone mobile auquel un cybercriminel pourrait avoir accès. Apprenez à utiliser un gestionnaire de mot de passe sécurisé qui s’en chargera à votre place, pour ne plus avoir à retenir que le seul mot de passe qui permet d’en ouvrir l’accès.
KeePass, un gestionnaire de mots de passe sécurisé et gratuit. Ce petit logiciel libre et en français, certifié par l’ANSSI, permet de stocker en sécurité vos mots de passe pour les utiliser dans vos applications. KeePass dispose aussi d’une fonction permettant de générer des mots de passe complexes aléatoires.

• Changez votre mot de passe au moindre soupçon

Vous avez un doute sur la sécurité d’un de vos comptes ou vous entendez qu’une organisation ou société chez qui vous avez un compte s’est faite pirater. N’attendez pas de savoir si c’est vrai ou pas. Changez immédiatement le mot de passe concerné avant qu’il ne tombe dans de mauvaises mains.

• Ne communiquez jamais vos mots de passe à un tiers

Votre mot de passe doit rester secret. Aucune société ou organisation sérieuse ne vous demandera jamais de lui communiquer votre mot de passe par messagerie ou par téléphone. Même pour une « maintenance » ou un « dépannage informatique ». Si l’on vous demande votre mot de passe, considérez que vous êtes face à une tentative de piratage ou d’escroquerie.

• N’utilisez pas vos mots de passe sur un ordinateur partagé

Les ordinateurs en libre accès que vous pouvez utiliser dans des hôtels, cybercafés et autres lieux publics peuvent être piégés et vos mots de passe peuvent être récupérés par un criminel. Si vous êtes obligé d’utiliser un ordinateur partagé ou qui n’est pas le vôtre, utilisez le mode de « navigation privée » du navigateur, qui permet d’éviter de laisser trop de traces informatiques, veillez à bien fermer vos sessions après utilisation et n’enregistrez jamais vos mots de passe dans le navigateur. Enfin, dès que vous avez à nouveau accès à un ordinateur de confiance, changez au plus vite tous les mots de passe que vous avez utilisés sur l’ordinateur partagé.

• Activez la « double authentification »* lorsque c’est possible

Pour renforcer la sécurité de vos accès, de plus en plus de services proposent cette option. En plus de votre nom de compte et de votre mot de passe, ces services vous demandent une confirmation que vous pouvez recevoir, par exemple, sous forme de code provisoire reçu par SMS ou par courrier électronique (e-mail), via une application ou une clé spécifique que vous contrôlez, ou encore par reconnaissance biométrique. Ainsi grâce à cette confirmation, vous seul pourrez autoriser un nouvel appareil à se connecter aux comptes protégés.

* Également appelée « authentification forte », « authentification multifacteurs », « 2FA », « vérification en deux étapes », « validation en deux étapes », « authentification à deux facteurs », « identification à deux facteurs », « vérification en deux temps »…
Quelques services proposant la double authentification :
• Outlook/Hotmail, Gmail, Yahoo Mail…
• Facebook, Instagram, LinkedIn, Snapshat, Tik Tok, Twitter…
• Skype, Teams, WhatsApp, Zoom…
• Amazon, eBay, Paypal…
• Apple iCloud, Dropbox, Google Drive, OneDrive…

• Changez les mots de passe par défaut des différents services auxquels vous accédez

De nombreux services proposent des mots de passe par défaut que vous n’êtes parfois pas obligé de changer. Ces mots de passe par défaut sont souvent connus des cybercriminels. Aussi, il est important de les remplacer au plus vite par vos propres mots de passe que vous contrôlez.

L’AMF en collaboration avec l’Agence Nationale de la Sécurité des Systèmes d’Information a publié un guide afin de susciter une prise de conscience des élus et de leurs services quant aux risques numériques.

La dématérialisation, engagée par l’ensemble des acteurs et accélérée par la crise sanitaire, participe à la profonde transformation numérique de la société. Elle s’accompagne de l’essor de menaces multiples, permanentes et de plus en plus agressives pouvant désorganiser de nombreuses structures privées comme publiques, petites comme grandes.

Les cyberattaques profitent des vulnérabilités techniques, juridiques, organisationnelles ou humaines et peuvent immobiliser l’action de la collectivité, entacher son image et la confiance des usagers, voire même engager la responsabilité des élus.

Ce guide interroge les multiples risques numériques. Il apporte des conseils pratiques et propose des axes prioritaires d’action à renforcer ou à développer.
Le guide présente notamment l’élaboration d’une gouvernance numérique adaptée à l’échelle de la structure, pour faire face le plus efficacement possible aux attaques.

Il rappelle enfin que l’ANSSI et la plateforme cybermalveillance.gouv.fr sont à la disposition des élus pour les conseiller et les aider, en particulier en cas de cyberattaque.
Une bonne connaissance des enjeux de la cybersécurité permettra aux élus et à leurs services d’investir afin de développer la protection de leurs systèmes d’information, de se prémunir d’un sinistre informatique et ainsi de construire une sécurité numérique collective

Télécharger le guide

L’AMF en collaboration avec l’Agence Nationale de la Sécurité des Systèmes d’Information a publié un guide afin de susciter une prise de conscience des élus et de leurs services quant aux risques numériques.

La dématérialisation, engagée par l’ensemble des acteurs et accélérée par la crise sanitaire, participe à la profonde transformation numérique de la société. Elle s’accompagne de l’essor de menaces multiples, permanentes et de plus en plus agressives pouvant désorganiser de nombreuses structures privées comme publiques, petites comme grandes.

Les cyberattaques profitent des vulnérabilités techniques, juridiques, organisationnelles ou humaines et peuvent immobiliser l’action de la collectivité, entacher son image et la confiance des usagers, voire même engager la responsabilité des élus.

Ce guide interroge les multiples risques numériques. Il apporte des conseils pratiques et propose des axes prioritaires d’action à renforcer ou à développer.
Le guide présente notamment l’élaboration d’une gouvernance numérique adaptée à l’échelle de la structure, pour faire face le plus efficacement possible aux attaques.

Il rappelle enfin que l’ANSSI et la plateforme cybermalveillance.gouv.fr sont à la disposition des élus pour les conseiller et les aider, en particulier en cas de cyberattaque.
Une bonne connaissance des enjeux de la cybersécurité permettra aux élus et à leurs services d’investir afin de développer la protection de leurs systèmes d’information, de se prémunir d’un sinistre informatique et ainsi de construire une sécurité numérique collective

Télécharger le guide

Au delà de l’aspect imprononçable de ces deux mots, au vu de certaines actualités il parait important de faire le distingo entre ces deux concepts.

Nous allons voir qu’autant la théorie est simple, autant la mise en pratique est subordonnées à des questions qui peuvent vite devenir épineuses …

Donnée identifiante

Avant d’aborder ces deux concepts il apparait indispensable d’introduire la notion de donnée identifiante. La caractère identifiant d’une donné est sa capacité  à isoler un individu parmi d’autres de façon suffisamment précise pour que, directement ou par recoupement, on puisse remonter jusqu’à l’individu personne physique.

il est tout à fait possible qu’une donnée, qui originairement caractérisait un individu, perde son pouvoir identifiant, ou du moins que ce dernier devienne moins fort et donc moins sujet à des recoupements.

Plusieurs mécanismes permettent cette dégradation d’identification et notamment l’anonymisation et la pseudonimisation

Pseudonymisation

La pseudonymisation est le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable

L’exemple typique est la liste de patient et de leur pathologie.En créant une table de correspondance avec le nom du patient et un code, si je remplace la liste des nom des patients par les codes, la liste devient en théorie anonyme si je ne dispose pas de cette fameuse table de correspondance.

En langage protection des données personnelles, on remplace les données directement identifiantes (nom, prénom, etc.) d’un jeu de données par des données indirectement identifiantes (alias, numéro séquentiel, etc.). La pseudonymisation permet ainsi de traiter les données d’individus sans pouvoir identifier ceux-ci de façon directe.

Anonymisation

L’anonymisation est un « traitement » de données à caractère personnel dont le but consiste à empêcher irréversiblement l’identification de la personne concernée. Il n’existe dès lors plus aucune table de correspondance permettant de remonter jusqu’à la personne concernée.

Lorsqu’une donnée est anonymisée, elle perd (en théorie) complétement son caractère identifiant, ce qui signifie qu’elle n’est plus soumise aux règles protectrices du RGPD. Aucune réversibilité n’est possible.

Cette donnée, devenue une information « neutre », pourra alors être traitée comme n’importe donnée non personnelle.

Que choisir ?

Au delà des aspects techniques, la question principale qui va se poser est relative à la nécessité de pouvoir re-identifier la personne.
Dans l’exemple médical, il faudra probablement pouvoir, à terme, identifier le patient pour pouvoir lui administrer son traitement ou lui donner ses résultats cliniques, et donc la table de correspondance va être conservée.
A l’inverse pour des traitement purement statistiques, toutes les données directement identifiantes peuvent être supprimées.

Les limites de l’anonymisation en pratique

Pour prendre un exemple concret et d’actualité, nous allons parler des données transmises par les opérateurs aux services de l’état (pour être exact à l’INSERM).

Ces données sont déclarées anonymisées (je vous conseille la lecture de l’analyse « Traçage des données mobiles dans la lutte contre le Covid-19 » publiée par le député Mounir MAHJOUBI), nous resteront prudents sur cette déclaration puisque le mécanisme d’anonymisation n’est pas décris précisément.

Nous pouvons supposer que le fichier de bornage contient pour chaque téléphone, les positions « triangulées » et le téléphone associé. Nous supposerons également que pour l’anonymiser l’opérateur se contente de supprimer l’identifiant ou le numéro de téléphone du fichier. On obtient donc un listing de position associé à un ID aléatoirement attribué.

Si nous nous arrêtons là tout va bien. En prenant une donnée de bornage je suis incapable de dire à qui appartient ce téléphone. Oui mais puisque nous disposons de l’ensemble des données de bornage de tous les téléphones et cela sur des durées longues nous allons pouvoir faire ressortir des modèles :

• Le terminal AB666 part tous les matins entre 9h30 et 10h du point A pour aller au point B
• Ce même terminal revient du point B au point A tous les soirs entre 18h et 19h
• Et enfin, le samedi et le dimanche il se rend dans d’autres lieux en partant du point A

Hypothèse plausible :

• Le point A est le domicile d’AB666
• Le point B sont lieu de travail

Et immédiatement toute la théorie de l’anonymisation s’effondre. En fonction du degré de précision du bornage, du type d’habitation (maison ou appartement), de la densité d’habitant de la zone, j’ai soit directement l’adresse de la personne dans une habitation individuelle (et donc l’identité de la personne), soit il me faudra quelques recoupements pour l’obtenir.

Clairement la donnée n’est pas anonyme …

Et cette problématique est en fait très complexe car les variables sont nombreuses, si je parle d’un homme en région parisienne qui a une Ferrari, la donnée n’est pas identifiante. Par contre si je parle d’un homme qui a une Ferrari sur un département faiblement peuplé, il y a de fortes chances que le nombre de propriétaires masculin de Ferrari se compte sur les doigts d’une main et que donc cette données soit potentiellement identifiante.

Les bonnes pratiques théoriques de la CNIL

Dans ce contexte de crise sanitaire, les communes peuvent être amenées à mettre en place de nombreux traitements de données personnelles pour alerter et informer les populations mais aussi pour assister leurs administrés. Par exemple, le Plan Communal de Sauvegarde entraîne la collecte de données de santé pour garantir la prise en charge prioritaire et/ou particulière de certains habitants. La multiplication de fichiers de données personnelles sensibles n’est pas sans risques pour les droits et libertés des personnes. Ces fichiers sont souvent conservés ou partagés sans garanties suffisantes de confidentialité et de sécurité.

En cette période de crise sanitaire, la pérennité des systèmes informatique des administrations est un élément stratégique. Le site internet d’une commune est l’un des seuls moyens de communication directe des citoyens avec l’administration du fait du confinement. Mais face à des attaques qui se multiplient, l’Agence nationale de la sécurité des systèmes d’information  (ANSSI) publie des recommandations qui doivent attirer toute l’attention des responsables.

Moins d’un mois après la paralysie informatique subie de plein fouet par la région Grand Est, une nouvelle attaque informatique de grande ampleur a mis en péril, samedi 14 mars, les systèmes d’information et les données liées aux élections municipales des villes de Marseille et Martigues ainsi que de la métropole Aix-Marseille-Provence (Bouches-du-Rhône). Principales conséquences concrètes : les sites internet de ces collectivités étaient inaccessibles plusieurs jours, tout comme les téléphones fixes et les ordinateurs des agents.
Les infrastructures informatiques ont mis près d’un mois à revenir à leur fonctionnement nominal et cela ne s’est pas fait sans perte de données.
Lors de ces attaques, des codes malveillants de type rançongiciel ont été utilisés, rendant certains fichiers inutilisables 

Recommandations
Pour « empêcher la compromission complète du système d’information, les mesures d’hygiène et de sécurité classiques s’appliquent ». Il s’agit, en premier lieu, « d’assurer une sauvegarde des données critiques » comme les bases de données métier ou le partage de fichiers réseaux. « Ces sauvegardes doivent être périodiquement exportées vers un support inaccessible depuis le réseau et leur restauration doit être testée périodiquement afin de s’assurer qu’elles soient utilisables en cas d’urgence. Cette mesure est la seule garantie de protection des données face à un rançongiciel qui chiffrerait les données en ligne par propagation réseau », avertit l’Anssi. Qui conseille, en outre, de « mener des campagnes de mises à jour, en commençant par les vulnérabilités exploitables à distance (RCE) », de « restreindre, par filtrage réseau, l’accès à certains ports réseau les plus critiques sur les postes de travail » ou encore « d’utiliser les comptes d’administration de l’Active Directory seulement depuis des postes dédiés sans usage bureautique (navigation, messagerie, etc.) et sans accès à Internet ».

En cette période particulière, deux nouvelles tendances s’affirment dans le monde du travail. Le télétravail afin de maintenir une activité professionnelle malgré le confinement et le Bring Your Own Device (BYOD) (en français : « Apportez Votre Equipement personnel de Communication » ou AVEC), qui désigne l’usage d’équipements informatiques personnels dans un contexte professionnel.

Cette utilisation existe déjà depuis quelques années mais du fait de la crise sanitaire, elle connait un énorme essor, notamment parce bon nombre de salariés ne sont pas équipés de pc portable. De ce fait, le télétravailleur va utiliser, pour se connecter au réseau de l’entreprise, un équipement personnel comme son ordinateur, sa tablette ou son smartphone.

Cette possibilité est prévue par le code du travail et est liée à un choix de l’employeur. Malgré tout, il faut être particulièrement attentif à deux aspects principaux : garantir la sécurité du Système d’Information de l’entreprise et garantir le respect de la vie privée du collaborateur.

Quelles mesures prévoir pour la sécurité des données ?

L’employeur est responsable de la sécurité des données personnelles de son entreprise, y compris lorsqu’elles sont stockées sur des terminaux dont il n’a pas la maîtrise physique ou juridique, mais dont il a autorisé l’utilisation pour accéder aux ressources informatiques de l’entreprise.

Les risques contre lesquels il est indispensable de se prémunir vont de l’atteinte ponctuelle à la disponibilité, l’intégrité et la confidentialité des données, à la compromission générale du système d’information de l’entreprise (intrusion, virus, chevaux de Troie, etc.).

Pour réduire ces risques il est nécessaire d’identifier les risques, en tenant compte des spécificités du contexte (quels équipements, quelles applications, quelles données ?) et de les estimer en termes de gravité et de vraisemblance. En fonction de l’identification, il sera nécessaire de déterminer les mesures à mettre en œuvre et les formaliser dans une politique de sécurité.

Par exemple :

• cloisonner les parties de l’outil personnel ayant vocation à être utilisées dans un cadre professionnel (création d’une « bulle de sécurité ») ;
• contrôler l’accès distant par un dispositif d’authentification robuste de l’utilisateur (si possible à l’aide d’un certificat électronique,  d’une carte à puce, etc.) ;
• mettre en place des mesures de chiffrement des flux d’informations (VPN, HTTPS, etc.) ;
• prévoir une procédure en cas de panne/perte du terminal personnel (information de l’administrateur réseau, mise à disposition d’un équipement alternatif professionnel, effacement à distance des données professionnelles stockées sur le terminal personnel) ;
• exiger le respect de mesures de sécurité élémentaires telles que le verrouillage du terminal avec un mot de passe conforme aux bonnes pratiques et l’utilisation d’un antivirus à jour ;
• sensibiliser les utilisateurs aux risques, formaliser les responsabilités de chacun et préciser les précautions à prendre dans une charte ayant valeur contraignante ;
• subordonner l’utilisation des équipements personnels à une autorisation préalable de l’administrateur réseau et/ou de l’employeur.

Quelles garanties pour la vie privée ?

La sécurité du système d’information de l’entreprise et le nécessaire maintien du pouvoir de direction et de contrôle de l’employeur doivent être conciliés avec le respect de la vie privée des employés qui utilisent des équipements personnels dans le cadre de leur activité professionnelle. Par exemple, il n’est pas possible de prévoir des mesures de sécurité ayant pour objet ou effet d’entraver l’utilisation d’un smartphone dans un cadre privé, au motif que cet équipement peut être utilisé pour accéder aux ressources de l’entreprise (interdire la navigation sur internet, le téléchargement d’applications mobiles).

De telles restrictions pourraient difficilement être considérées comme justifiées par la nature de la tâche à accomplir et proportionnées au but recherché.

De la même manière, l’employeur ne peut pas accéder à des éléments relevant de la vie privée stockés dans l’espace personnel de l’équipement (liste des sites internet consultés, photos, films, agenda, annuaire). Il doit cependant pouvoir accéder au contenu professionnel stocké dans ce terminal.  

Si l’employeur peut prévoir un effacement à distance de la partie du terminal personnel spécifiquement dédiée à l’accès distant aux ressources de l’entreprise, il ne peut en revanche s’arroger le droit d’effacer à distance l’ensemble des données présentes sur le terminal de l’employé.

Pour rappel, nous avons abordé la partie télétravail il y a quelques semaines ici.