7 conseils pour se protéger contre les menaces inhérentes au télétravail et à la mobilité
Pendant des années, les équipes de sécurité ont développé des stratégies autour d’un environnement confiné et contrôlé, mettant en place une infrastructure censée préserver et sécuriser l’entreprise . Or, les intrusions, infections et pertes de données font régulièrement la Une.
Par ailleurs, le recours de plus en plus fréquent au télétravail risque d’aggraver la situation, et la probabilité d’être victime d’une violation de données ou d’une attaque par malware n’est qu’une question de temps.Rien de bien nouveau pour les
professionnels de la sécurité, puisque d’après une étude d'OpenVPN, 90 % d’entre
eux estiment que leurs effectifs en télétravail représentent une menace pour la
sécurité. Une étude Malakoff Médéric met également en lumière les inquiétudes
des dirigeants d’entreprises français qui, à 43%, déclarent que le télétravail
constitue un risque en termes de sécurité des outils informatiques. Et 36 %
affirment qu’un télétravailleur a déjà été à l’origine d’un incident de sécurité.
Ces statistiques sont loin d’être rassurantes.
Face à cette évolution, les techniques
traditionnelles mises en place (connexions VPN au niveau du siège ou
utilisation d’un outil de gestion du contenu en mode cloud) peuvent certes se
révéler probantes, mais sont limitées aux équipements connectés à Internet. Pour
offrir le plus de souplesse possible aux collaborateurs tout en préservant la
sécurité des données, de la propriété intellectuelle et des accès de
l’entreprise, il est recommandé de suivre quelques règles :
Sensibiliser à la sécurité
La sensibilisation à la sécurité doit faire partie de la formation d’intégration de chaque employé de l’entreprise, quel que soit le poste occupé. Elle doit contribuer à faire évoluer les mentalités des salariés qui, individuellement, sauront alors ce que l’on attend d’eux pour assurer la protection de l’entreprise, de ses actifs et de ses équipements.
En définissant d’emblée certaines règles fondamentales, comme l’instauration de critères pour la création de mots de passe solides, la détection des tentatives de phishing ou encore le principe de sauvegarde des données, les entreprises gagneront en sécurité.
Responsabiliser les utilisateurs quant
à la sécurité de leurs appareils et des actifs dont ils ont la charge, permet non
seulement de sécuriser leur poste de travail, mais aussi l’ensemble des
équipements qu’ils utilisent quotidiennement, comme leur installation Wifi à
domicile et leur téléphone.
Ne faire confiance à personne
Quelle que soit leur nature, des
données qui tombent entre de mauvaises mains, même s’il s’agit d’un
collaborateur, risquent de mener à la catastrophe. Il est donc essentiel de
concevoir des réseaux sur un modèle « zéro confiance », qui permet de
stocker les données en lieu sûr et de ne les rendre accessibles qu’aux
utilisateurs autorisés. En effet, tous les utilisateurs d’un réseau
d’entreprise n’ont pas besoin d’accéder à l’ensemble des ressources pour mener
à bien leurs missions. Et, il est toujours plus facile d’octroyer une
autorisation après vérification que de révoquer un accès à l’issue d’une
possible compromission.
Privilégier l’authentification à deux facteurs
Un mot de passe sécurisé ne suffit plus aujourd’hui — les exemples qui l’attestent sont légion. Alors que les programmes de sécurité préconisent une actualisation trimestrielle des mots de passe, les utilisateurs empruntent souvent le chemin de la moindre résistance pour mettre à jour le dernier en date.
Face à ce comportement prévisible, un garde-fou peut être instauré via un mécanisme simple d’authentification à deux facteurs. Si un mot de passe est compromis, cette double authentification empêche les tentatives d’accès d’aboutir, tout en avertissant l’utilisateur et l’administrateur informatique de cette activité suspecte.
Via token ou smartphone, cette double
authentification apporte un niveau de sécurité supplémentaire face à des mots
de passe bien souvent compromis.
Des correctifs à tout-va
Le «patch Tuesday», qui correspond à la diffusion de mises à jour incontournables, est le calendrier auquel se réfèrent nombre d’administrateurs informatiques pour corriger les failles de leurs logiciels d’infrastructure et autres programmes critiques. Sans correctifs il n’y a pas de protection.
Alors que nombre d’entreprises
disposent d’une stratégie en matière de correctifs, il ressort d’une récente étude de ServiceNow menée par Ponemon
Institute que plus de 62 % d’entre elles ignorent si les vulnérabilités sont
corrigées rapidement, et que 74% sont incapables d’appliquer les correctifs
dans les délais prévus en raison d’une pénurie de personnel qualifié en
cybersécurité[1]. Le manque de visibilité
sur les systèmes et leur vulnérabilité rendent les points d’accès vulnérables
aux attaques. Les entreprises n’ont d’autre choix que de s’appuyer sur des
plateformes de protection des endpoints pour préserver la sûreté de leurs
environnements.
Services automatisés
Il est également recommandé de
s’équiper de solutions d’automatisation ciblées pour gérer plus facilement le
réseau nomade de l’entreprise. En automatisant les processus et les traitements
de protection des terminaux, les entreprises mettent en place une approche
préventive et les équipes informatique et sécurité peuvent se concentrer sur la
détection de risques plus conséquents visant l’infrastructure.
Des renseignements valables, grâce à la journalisation
Les données sont reines dans ce domaine, en particulier lorsqu’il s’agit de l’utilisation et de la connexion des équipements par les collaborateurs en télétravail.
Un poste de travail s’est connecté à un nouveau réseau Wifi ? Les équipes informatiques doivent en être averties. De gros volumes de données sont en train d’être transférés ou copiés sur des appareils portables ? Il faut être au courant. Au même titre que les informations contextuelles sur l’authentification, axées sur la géolocalisation et les date/heure de connexion. Un salarié en poste s’est connecté à partir d’un poste de travail à l’étranger ? Rien ne doit être ignoré.
La journalisation des modalités
d’utilisation des terminaux peut aider les équipes sécurité à résoudre les
problèmes avant qu’ils ne passent inaperçus, à sécuriser les données, mais
aussi à leur fournir des données fiables en cas d’incident.
Dispositifs d’urgence
Un équipement est sur le point d’être perdu.
Quelqu’un s’apprête à se connecter au Wifi gratuit d’un cybercafé ou à utiliser
une clé USB. Et ce, malgré toutes les heures de sensibilisation et de formation.
Parce que la commodité et la curiosité l’emporteront toujours sur les
formations en sécurité, il faut absolument mettre en place un dispositif
d’urgence. Il est essentiel de déployer des solutions permettant de bloquer instantanément
des machines, de supprimer l’accès cloud, et même d’effacer à distance le
contenu d’appareils volés.
Au bout du compte, le programme de sécurité parfait n’existe pas. Les effectifs de l’entreprise continueront à se développer en dehors de ses murs, et il faut donc accepter d’adapter en permanence sa stratégie de sécurité en fonction de l’évolution des usages.