Cybersécurité : 5 bonnes résolutions pour 2017

Pas besoin de boule de cristal pour le deviner : les cyber-menaces ne vont pas disparaître en 2017. Et les vulnérabilités numériques des entreprises non plus. Comment faire pour éviter la fin du monde ?

Regardons d’abord quelles sont les tendances du côté des menaces. Selon CSO online, le site d’information des Cyber Security Officers, les tendances seront les suivantes :

  1. Les mots de passe de mauvaise qualité seront toujours le talon d’Achille de la sécurité, et la porte d’entrée la plus facile pour les hackers.
  2. Les Ransomwares vont continuer à se développer.
  3. Il y aura une augmentation des attaques utilisant les interfaces mobiles comme point d’entrée.
  4. A cela s’ajoute l’Internet des objets, en plein boom, qui a tendance à passer sous les radars des CSO.
  5. Enfin, le délai moyen entre une attaque et sa découverte ne va pas diminuer.

Face à ces prévisions plutôt alarmantes, comment se protéger ? Voici quelques bonnes résolutions à mettre en œuvre le 1er janvier… et les 364 jours qui suivent.

Mots de passe :

Les mots de passe représentent les fondations de toute politique de sécurité. Ils doivent être solides et uniques. 2 caractéristiques qui peuvent être difficiles à concilier. Voici 3 conseils pour y arriver.

  1. La solidité : les attaques « brute force » gagnent en puissance chaque année. Il est donc important d’avoir un mot de passe solide comportant un grand nombre de caractère (12 au minimum), avec des chiffres et des caractères spéciaux. Les mots du dictionnaire sont à proscrire. Les variantes des mots du dictionnaire telles que « B6njour » ou bien « Pa$$w0rd » sont à éviter car les cybercriminels les connaissent. Il vaut mieux utiliser des suites de caractères aléatoires ou bien composées par les 1ères lettres d’une phrase, en y ajoutant chiffres et caractères spéciaux.
  2. Le caractère unique des mots de passe est sans doute un défi pour la plupart des utilisateurs. Il est quasiment impossible de retenir un grand nombre de mots de passe de qualité, vu les exigences mentionnées plus haut. Les noter sur des post-it n’est pas une bonne idée non plus. 2 possibilités s’offrent donc à nous :
    1. Travailler avec une « racine de mot clé » de haute qualité et y ajouter des suffixes (chiffres ou initiales des services utilisés) ;
    2. Utiliser un gestionnaire de mots de passe : cette solution est intéressante car elle permet de générer des mots de passe de haute qualité, sans avoir à les retenir. Elle permet également d’être alerté lorsqu’un service utilisé est victime d’une attaque, de manière à changer de mot de passe rapidement. Elle nécessite cependant d’être très prudent et d’avoir un « master password » (il s’agit du mot de passe donnant accès à tout les autres mots de passe) très solide et d’activer la double authentification sur un gestionnaire de mots de passe en ligne.
  3. Dans tous les cas, l’option de la double authentification (2 factors authentification) devra être activée à chaque fois que c’est possible, et obligatoirement pour les services « sensibles » comme le Webmail, les réseaux sociaux, les services financiers etc.

Revoyez tous nos conseils et astuces sur les mots de passe : https://securitymadein.lu/password/

Ransomwares

Les ransomwares sont des logiciels malveillants qui sont souvent indétectables. Ils ont  pour seul but de chiffrer tous les fichiers de leurs victimes, lesquelles reçoivent ensuite une demande de rançon pour que leurs précieuses données soient libérées. Le problème est que le payement rançons passe souvent par des réseaux non officiels. Ils n’offrent donc aucune garantie de pouvoir réellement déchiffrer les données qui avaient été cryptées par le ransomware.

Le meilleur remède aux ransomwares est la prévention, sous forme de backup régulier.

Pour en savoir plus : https://securitymadein.lu/ctb-locker_fr/

To BYOD or not to BE

Les tablettes et smartphones ont fait irruption dans l’entreprise depuis un certain temps. Leurs avantages en terme de productivité et de mobilité ne sont plus à démontrer. Mais ces nouveaux interfaces introduisent de nouveaux risques de par leur nature même : ils sont portables et donc exposés aux menaces externes à l’entreprise comme le réseau mobile ou Wi-Fi non sécurisé, la perte ou le vol, les malwares…

Il est donc indispensable d’encadrer l’utilisation de ces ordinateurs d’un nouveau genre par une politique de sécurité spécifique. Celle-ci devra être soutenue par des outils de contrôle et d’inventaire des tablettes et smartphones qui se connectent au réseau de l’entreprise ou utilisent certaines applications professionnelles.

Tout savoir sur les malwares mobiles : https://securitymadein.lu/mobile-malware-not-game/

Internet of Things… and Threats

Les objets connectés posent un peu le même problème que les smartphones et tablettes… sauf qu’ils passent plus facilement inaperçus et peuvent donc introduire des vulnérabilités qui ne seront même pas détectées.

Fiat Lux (Que la lumière soit)!

Les cyber-attaques sont de plus en plus sophistiquées et en même temps de plus en plus difficile à détecter. Des malwares « dormants » sont peut-être déjà rentrés chez vous à votre insu.

Ne pas voir le danger peut créer une dangereuse quiétude. Il vaut donc mieux arrêter de rêver que tout va bien, allumer la lumière et braquer les projecteurs, notamment sur le trafic réseau. Vous y découvrirez au minimum des dizaines ou des centaines de tentatives d’intrusions rudimentaires. Et quelques unes plus perfectionnées. En mettant en place un système de détection d’intrusions professionnel (IDS), vous pourrez vous protéger contre des milliers de schémas d’attaque déjà identifiés. CIRCL a mis au point une plate-forme de partage d’information sur les malwares : MISP. Il s’agit d’un outil précieux à découvrir pour mieux connaître la menace. Au lieu d’ignorer ou de cacher ses problèmes, les montrer et les partager permet à chacun d’être mieux armé pour y faire face. C’est la philosophie de MISP, un système de partage d’information qui  peut servir à alimenter un IDS ou bien être utilisé à des fins de « forensic » (récolte des traces et des preuves pouvant éventuellement servir aux autorités judiciaires).

Données personnelles : privacy by design

Dans « données personnelles », il y a « personnelles ». Si vous l’aviez oublié, la nouvelle réglementation européenne en matière de protection des données personnelles vous le rappellera bientôt. Le compte à rebours est enclenché pour la mise en application du nouveau règlement européen (GDPR) le 25 mai 2018. Mieux vaut commencer à y penser sans tarder, car le « privacy by design » va devenir une exigence forte. Mais la contrainte peut être tournée en argument commercial. A bon entendeur…

En savoir plus sur le « privacy by design »

Share with care: