Un antivirus, un pare-feu, des sauvegardes. Ces protections restent importantes. Mais l’entreprise à protéger a changé — et les attaques aussi.
CYBERSÉCURITÉ
Protéger votre entreprise ne peut plus se résumer à installer un antivirus
Label d’experts en Cybersécurité par la Région Wallonne
Ils ne cherchent plus une machine sans antivirus. Ils cherchent une occasion.
Un compte valide
Un identifiant suffit parfois à ouvrir la porte
Un appareil insuffisamment protégé
Personnel, non géré, partagé
Une règle trop permissive
Une configuration qui a survécu au besoin
Un mot de passe réutilisé
Une fuite externe devient un problème interne
Un accès oublié
Un compte qui aurait dû être fermé
Un message suffisamment crédible
Assez pour obtenir une action
La cybersécurité consiste à réduire, couche après couche, le nombre d’occasions laissées à une attaque de réussir.
Prévenir. Détecter. Contenir. Reprendre.
La sérénité ne vient pas de la certitude qu’il ne se passera jamais rien. Elle vient du fait d’avoir réfléchi à ce qui se passe si quelque chose arrive.
La sécurité commence avant même d'installer les outils
Ajouter un antivirus, un pare-feu et quelques logiciels ne crée pas automatiquement une architecture sûre. Avant les outils viennent les décisions.
C’est le principe du Security by Design : ne pas ajouter la sécurité après coup lorsqu’un problème apparaît, mais concevoir l’environnement pour réduire le risque dès le départ.
Les questions posées avant de choisir un outil
- Qui doit pouvoir accéder à quoi ?
- Depuis quels appareils ?
- Quels systèmes doivent pouvoir communiquer entre eux ?
- Quels services doivent être accessibles de l’extérieur ?
- Que se passe-t-il lorsqu’un compte est compromis ?
- Jusqu’où un incident pourrait-il se propager ?
- Que faut-il pouvoir restaurer ?
Les couches de protection
Chaque couche réduit le nombre d’occasions laissées à une attaque. Dépliez celles qui vous concernent.
Appareils — vos données savent-elles depuis quel appareil on y accède ?
Même utilisateur. Même identifiant. Mais pas nécessairement le même niveau de sécurité.
Le matin, un collaborateur se connecte depuis son laptop d’entreprise : cet ordinateur est géré, ses paramètres et ses mises à jour peuvent être contrôlés. Le soir, la même personne ouvre son compte depuis son ordinateur personnel, qui peut ne pas appliquer les mêmes règles, être partagé avec d’autres et échapper à la maîtrise de l’entreprise.
Nous pouvons mettre en place une gestion centralisée des ordinateurs, smartphones et autres appareils, associée à des règles déterminant dans quelles conditions ils peuvent accéder aux ressources professionnelles. Selon les besoins, l’objectif peut être de gérer les équipements professionnels, de vérifier certaines conditions avant d’autoriser un accès, ou de protéger les données de l’entreprise utilisées depuis un appareil personnel.
Le but n’est pas d’empêcher les collaborateurs de travailler où ils en ont besoin, mais d’éviter qu’un identifiant valide soit à lui seul un laissez-passer vers les données de l’entreprise.
Réseau — un pare-feu n'est pas sécurisé simplement parce qu'il est installé
Ce n’est pas la présence du boîtier qui détermine à elle seule le niveau de sécurité.
Ce qui compte, c’est ce qu’il laisse entrer, ce qu’il laisse sortir, quels services sont exposés, quelles communications sont autorisées, quelles fonctions de sécurité sont activées et si sa configuration correspond toujours à l’environnement réel de l’entreprise.
Chez PVS, les pare-feu sont configurés, maintenus et suivis par des ingénieurs formés et spécialisés. Parce qu’un équipement mal configuré peut donner une impression de protection sans apporter le niveau attendu.
Installer l’outil est une étape. Savoir le configurer et le faire évoluer est le vrai travail.
Détection — ce qui n'est pas bloqué doit encore pouvoir être détecté
Toutes les activités suspectes ne commencent pas par une alerte spectaculaire.
Parfois, le premier indice est discret : une connexion inhabituelle, une succession d’événements anodins pris séparément, ou un comportement qui ne correspond pas à ce qui est normalement observé.
C’est là qu’interviennent nos systèmes de monitoring et d’analyse des événements de sécurité. Ils fonctionnent en permanence afin de centraliser, surveiller et mettre en relation des informations provenant de l’environnement informatique.
L’intérêt n’est pas d’accumuler davantage d’alertes, mais de transformer des événements techniques isolés en informations qui peuvent mériter une investigation ou une réaction.
Mots de passe — un accès professionnel n'est pas une information personnelle
Un accès professionnel ne devrait pas dépendre de la manière dont chaque collaborateur a décidé, individuellement, de gérer ses secrets.
Un mot de passe écrit sur un Post-it sous un clavier est évidemment une mauvaise idée. Mais le problème va plus loin : comment les accès communs sont-ils partagés ? Que se passe-t-il lorsqu’un collaborateur quitte l’entreprise ? Peut-on révoquer un accès sans changer manuellement le mot de passe chez tous les autres ?
Nous pouvons mettre en place un gestionnaire de mots de passe sécurisé et collaboratif permettant d’organiser les accès de l’entreprise, de partager ce qui doit l’être sans multiplier les copies et de reprendre le contrôle lorsqu’une personne change de fonction ou quitte l’organisation.
Un mot de passe professionnel est un accès à l’entreprise. Il doit être géré comme tel.
Fuites de données — et si vos identifiants circulaient déjà quelque part ?
Une entreprise n’a pas besoin d’avoir elle-même été piratée pour qu’un de ses comptes soit exposé.
Un collaborateur peut avoir utilisé son adresse professionnelle sur un service tiers. Ce service subit ensuite une fuite et des identifiants commencent à circuler. Si un mot de passe a été réutilisé ailleurs, une fuite qui semblait externe devient soudain un problème pour l’entreprise.
C’est pourquoi nous pouvons surveiller l’apparition d’adresses, comptes et informations liés à l’entreprise dans les sources de fuite et espaces du dark web couverts par nos outils. Lorsqu’une exposition est identifiée, l’intérêt est de pouvoir l’analyser et agir avant que quelqu’un ne tente d’exploiter les données.
Savoir qu’une information a fuité ne supprime pas le risque. Cela permet de ne plus l’ignorer.
Messagerie — réduire ce qui arrive jusqu'à vos collaborateurs
Chaque tentative détectée avant d’arriver devant un collaborateur est une décision risquée de moins qu’il devra prendre.
La messagerie reste un point particulièrement sensible parce qu’elle combine deux choses très utiles à un attaquant : un canal utilisé en permanence et une personne à qui l’on peut demander d’agir. Ouvrir un document. Cliquer sur un lien. Se reconnecter. Valider une demande.
C’est précisément pour cette raison que nous renforçons notre standard de protection de la messagerie avec Mailbox Security PVS. Cette protection ajoute des mécanismes destinés notamment à analyser les messages, les liens et les pièces jointes et à mieux détecter certaines tentatives de phishing ou d’usurpation avant qu’elles n’atteignent ou ne trompent l’utilisateur.
Cela ne remplace pas la vigilance humaine. Cela évite simplement de lui demander d’être la seule barrière.
« Nos collaborateurs font attention »
Tant mieux. C’est indispensable. Mais ce n’est pas une stratégie de sécurité suffisante.
Pouvons-nous raisonnablement garantir que chaque personne prendra la bonne décision, sur chaque message, chaque jour de l’année ?
Un mauvais e-mail n'a plus forcément l'air d'un mauvais e-mail
Imaginez qu’un fournisseur avec lequel vous échangez réellement voie sa messagerie compromise. L’attaquant peut observer les échanges, comprendre qui parle à qui, attendre le bon moment, puis intervenir dans une conversation qui existe déjà.
Le nom du fournisseur est correct. L’adresse peut être légitime. Le contexte est crédible. La facture était effectivement attendue. La différence peut tenir à un lien, une demande ou un numéro de compte bancaire.
Votre collaborateur n’a pas besoin d’être imprudent pour être exposé. Il lui suffit de faire confiance à quelque chose qui, jusque-là, méritait sa confiance.
Même une personne prudente travaille parfois dans l'urgence
Elle répond à un message entre deux réunions. Elle consulte rapidement un e-mail sur son téléphone. Elle reçoit une demande provenant apparemment d’un collègue ou d’un fournisseur qu’elle connaît.
C’est l’une des raisons pour lesquelles la sécurité ne peut plus dépendre uniquement de la capacité humaine à repérer ce qui semble suspect.
Et si quelqu'un pense s'être trompé, vous le dira-t-il immédiatement ?
Une personne clique sur quelque chose. Puis elle doute. Peut-être que ce n’était rien. Peut-être qu’elle hésite à appeler parce qu’elle a peur d’avoir « fait une bêtise ». Alors elle attend.
En cybersécurité, ce silence peut être plus problématique que l’erreur initiale. Chez PVS, nous préférons qu’un collaborateur nous signale un doute sans conséquence plutôt qu’un incident réel qui reste invisible.
La sécurité ne consiste pas à chercher un coupable. Elle consiste à détecter et réagir le plus tôt possible.
Les outils comptent. La manière dont ils travaillent ensemble compte davantage.
Une entreprise n’est pas sécurisée parce qu’elle possède une collection de bons outils. Elle l’est lorsque ces mécanismes répondent à une architecture cohérente, correctement configurée, surveillée et adaptée lorsque l’environnement évolue.
La cybersécurité n'est jamais vraiment terminée
Votre entreprise change : un collaborateur arrive, un autre part, un nouvel appareil est acheté, une application est ajoutée, un accès externe devient nécessaire. Les techniques d’attaque évoluent elles aussi.
C’est pourquoi nous ne considérons pas la sécurité comme un projet que l’on installe une fois avant de passer à autre chose. Les outils doivent être maintenus, les règles doivent évoluer, les alertes doivent être analysées et les risques réévalués — pour que l’architecture continue à correspondre à la manière dont l’entreprise travaille réellement.
Vous ne savez pas par où commencer ?
C’est normal. Une PME n’a pas besoin d’empiler toutes les technologies disponibles — elle a besoin de savoir où se trouvent ses risques les plus importants.
Pas par un catalogue. Pas par une boîte à acheter. Mais par quelques questions simples.
Faire le point sur la sécurité de votre environnement
- Qu’est-ce qui doit absolument continuer à fonctionner ?
- Qui peut accéder à vos données aujourd’hui ?
- Depuis quels appareils ?
- Que détecteriez-vous si un compte était compromis demain ?
- Que se passerait-il si une première protection échouait ?