21) Permettre systématiquement le téléchargement d'exécutables sur Internet.
Souvent autorisé, bien que vecteur d'infections par des codes malveillants, le
téléchargement sera sécurisé par un filtrage antiviral depuis le proxy.
22) Mettre en place des comptes génériques d'administration. Pour des
raisons de traçabilité, il est conseillé de privilégier des comptes nominatifs.
Il est ainsi plus aisé de révéler des actes de malveillance interne ou des intrusions.
Pensez à bannir également les comptes de test.
23) Se satisfaire des seuls résultats d'un scanner de vulnérabilité
pour définir le niveau de sécurité de serveurs ou d'applications. Les outils automatiques
ne doivent pas être surévalués.
24) Déployer un réseau Wi-Fi avec le WEP activé et non WPA ou un autre
protocole sécurisé, et sur lequel n'importe quel ordinateur muni d'une carte sans
fil pourrait se connecter.
25) Laisser des prises réseau non utilisées opérationnelles en permanence
et ouvertes sur le réseau local. Des ports sont en effet souvent actifs pour des
raisons de facilité, notamment dans les salles de réunion.
26) S'en tenir à la configuration par défaut. L'installation sur le
réseau est souvent prise en charge par des personnes dont la première préoccupation
est la connectivité. Des routeurs restent ainsi parfois configurés en protocole
de routage sans authentification.
27) S'imaginer qu'il existe un paramétrage standard, applicable dans
l'ensemble des systèmes d'information. Le paramétrage doit avant tout tenir compte
des spécificités de chaque entreprise.
28) Croire que les serveurs frontaux ne sont pas exposés parce qu'ils
vont juste prendre en charge la présentation des données au format Web. Ils ne
stockent certes pas directement les données, mais ils peuvent être attaqués (en
Cross Site Scripting ou par injection SQL) afin de servir ensuite de passerelles
vers les bases de données.
29) Penser qu'un serveur en interne est à l'abri et permettre par conséquent
qu'il soit accessible directement par l'utilisateur. C'est négliger les risques
de malveillance interne et la contamination par propagation d'un programme comme
un cheval de Troie ou un ver.
