Articles

Avec le confinement, les PME ont dû s’adapter pour travailler à distance. Si le changement s’est fait rapidement, cela a souvent été au détriment de la sécurité informatique. L’urgence a mis en péril les données de ces entreprises. Et révélé certaines carences en termes de protection des données. Mais jusqu’à quel point ? Voici quelques éléments pour juger de l’exposition et des risques encourus.

Alors que les médias parlent de seconde vague épidémique, un autre effet boomerang risque de se faire jour. Tout aussi silencieux, pas mortel, mais pas moins dangereux, pour les entreprises en tout cas. Car si les PME ont trouvé des parades pour maintenir leur activité avec une majorité d’employés à distance, la contrepartie a été une exposition importante des données. Les hackers de tout poil ne s’y sont pas trompés, puisque les tentatives d’extorsion d’identifiants ont explosé ces derniers mois.

Alors que le télétravail va probablement devenir une règle, et en tout cas se prolonger pendant de nombreux mois, il est peut-être temps, l’urgence passée, d’évaluer le niveau de risque auquel votre entreprise est soumise depuis sa généralisation. Sous forme de 4 affirmations simples. Et de quelques contre-pieds.

Vous ne seriez pas prêt à laisser votre ordinateur portable à n’importe qui

Faites ce test assez simple : demandez-vous quelles seraient les conséquences d’abandonner, là, tout de suite, votre ordinateur, et de recommencer dans la foulée à travailler sur un ordinateur tout neuf. Dans la plupart des cas, le premier réflexe consiste à minimiser. Puis en y réfléchissant, vous vous rendez compte rapidement que quelques fichiers – doux euphémisme – se trouvent là, sur votre bureau par exemple. Et uniquement là.

La mise en place rapide et brutale du confinement a forcé les uns et les autres à récupérer en urgence des données habituellement stockées sur les infrastructures de l’entreprise. Entendez par-là : copier localement des fichiers nécessaires au travail. Adieu alors sauvegardes, et protection des données. Le temps a alors fait son œuvre : les fichiers locaux ont été modifiés, et la seule version qui fait désormais foi se trouve désormais sur votre propre ordinateur. Le phénomène s’est évidemment amplifié avec le télétravail.

En termes de gestion des données, vous avez peut-être fait preuve d’ignorance ou et de naïveté

Dans un monde idéal, mais pas illusoire, vous devriez n’envisager votre ordinateur que comme un simple terminal d’accès aux données. Et non pas une zone de stockage des fichiers. De la même façon, l’installation et la configuration du poste ne devraient requérir qu’un minimum d’action de votre part, le reste étant hautement automatisé. Ainsi, perdre son ordinateur ne devrait jamais être un souci. Et l’installation d’un nouvel ordinateur, l’histoire d’une heure au maximum.

Vous seriez prêt à laisser votre ordinateur à n’importe qui

A l’opposé, vous faites peut-être preuve d’un excès de confiance. Ou pire, vous pêchez par ignorance ou naïveté. Le fait d’avoir un mot de passe (à peu près) solide pour vous connecter à votre ordinateur portable ne vous met évidemment pas à l’abri. Si vous le perdiez, ou pire qu’on vous le dérobait, maintenant qu’il contient quelques-unes de vos données d’entreprise, un code un peu complexe n’y changerait rien.

Un simple démontage de la machine permet d’en extraire le disque dur – l’élément en charge du stockage permanent de vos fichiers, et s’il n’est pas protégé correctement – par un cryptage par exemple, d’en lire les données. Ne comptez d’ailleurs pas non plus sur vos mots de passe Excel ou autre, ils ne servent pratiquement à rien.

Le MDM permet la gestion intégrale des données, de leur stockage et de leur utilisation

Alors, comment rester tout à fait zen si jamais vous deviez ne pas retrouver votre laptop préféré ? Plusieurs techniques permettent de faire face en tout sérénité. En premier lieu, le cryptage intégral des données du disque empêchera leur lecture par un tiers. Ensuite, un système de gestion de la sécurité des appareils mobiles (MDM, Mobile Device Management), mettra en place des garde-fous : effacement à distance, soit manuel, soit automatique si l’appareil ne s’est plus enregistré en MDM depuis 30 jours par exemple.

Vous avez utilisé des clés USB pour transférer vos fichiers

Toujours dans l’urgence de la situation, vous deviez récupérer vos derniers fichiers de travail pour les emmener à la maison. Mais vous n’avez pas de laptop, et il a donc fallu parer au plus pressé pour faire une copie quelque part. Comment ? Grâce à ce petit reliquat des années 2000, objet fort pratique mais peu sécurisé : la clé USB.

Mis à part le fait que ces appareils ne sont pas fiables – surtout celui que vous avez exhumé de votre tiroir, et qui n’avait pas servi depuis 2 ou 3 ans, il est un vecteur de risque important. Parfait notamment pour véhiculer silencieusement les virus en tout genre – décidément, on y revient – et infecter toutes les machines sur lesquelles il se trouve.

En plus d’être un facteur d’infection, il est aussi un facteur de fuite de données. Dans tous les cas, vous devriez empêcher sur vos machines la connexion et la reconnaissance des clés USB. C’est une mesure sanitaire de protection informatique. Là encore, une gestion serrée de vos ordinateurs avec MDM permet d’empêcher la copie des données sur de telles clés. Oui mais alors, comment récupérer mes fichiers ?

Vous n’avez pas utilisé de clé USB pour transférer vos fichiers

Plus aguerri que les autres, vous avez préféré tout placer sur un service de transfert de données en ligne. Dropbox, WeTransfer, ou autres : le choix est large. Il faut avouer que ces outils sont pratiques. En quelques clics, vous centralisez dans le Cloud des fichiers de travail, que vous retrouvez confortablement derrière le PC familial en plein home office. A un petit détail près.

Vous avez en effet probablement utilisé un service grand public. Dans le cas de Dropbox, le résultat est simple : la version gratuite vous force à abandonner la propriété des données qui y ont été placées – c’est écrit dans les petites lignes au moment de l’installation. Et dans tous les cas, mettre des données d’entreprise sur un service personnel s’apparente à de la fuite de données, pour ne pas dire pire.

Avec une gestion efficace, l’envoi des fichiers d’entreprise sur une messagerie personnelle devient tout simplement impossible

Bien évidemment, des solutions sont à disposition pour contrer ces gestes malheureux. En voici quelques exemples.

MDM et sécurité informatique en entreprise

En premier lieu, vous devriez vous munir d’un système de stockage des données en ligne, mais dans le cadre de l’entreprise. Pourquoi ? Tout d’abord pour garder le contrôle sur ces données et leur accès. Gestion des permissions et des utilisateurs, authentification multi-facteur, suivi des accès : autant de critères qui protègent vos données. Mais surtout, qui les rendent accessibles au bureau comme à la maison, en toute sécurité, et de manière indifférenciée. La question de l’accès en dehors des bureaux ne se pose plus. Et à ce moment-là, lâcher votre portable au premier venu n’est plus effrayant.

Maintenant que la question de l’accès sécurisé est réglée, comment faire pour éviter la fuite des données ? C’est là que la gestion des appareils portables prend tout son sens. En identifiant les données d’entreprise, en leur appliquant des règles de gestion strictes, et en les imposant sur les appareils, vous pouvez définir avec précision les actions permises aux utilisateurs. Un exemple ? Tout simplement empêcher la copie sur un emplacement qui n’est pas sécurisé. Comme une clé USB par exemple.

Autre cas d’usage : empêcher l’envoi des fichiers sur des messageries personnelles. Grâce au MDM, vous gardez le contrôle des flux de messagerie. Si des documents sont marqués comme confidentiels, vous pouvez en refuser l’expédition par email, tout simplement. Et pour les documents standards, vous n’autorisez leur envoi que par la messagerie officielle de l’entreprise. Evidemment, le but n’est pas de bloquer complètement les utilisateurs, mais de faire de la pédagogie : n’envoyez que ce qui est nécessaire, sachant que tous les emails seront tracés par MDM.

Vous l’aurez compris, toute crise a ses avantages. Celle-ci aura permis de mettre en évidence les mauvaises pratiques et, au choix, notre naïveté ou notre excès de confiance quant à la gestion des données. Avec, au bout du compte, la mise en évidence de solutions salvatrices pour les protéger. Car si la sécurisation des données peut paraître parfois contraignante, c’est elle qui assure finalement la bonne santé de l’entreprise. D’autres gestes barrière en somme.

Emmanuel Dardaine

emmanuel dardaine expert cloud

En matière de sécurité informatique, comme ailleurs, le mieux est l’ennemi du bien. Autrement dit, une solution complexe et coûteuse vous apportera un niveau de sécurité extrême. Alors que quelques outils simples vous protégeront de la majorité des attaques. Et sans vous ruiner. Voici 3 outils que toute bonne PME se doit d’acquérir.

Dans l’univers des petites entreprises, le pragmatisme prime. Parfois à l’excès, ce qui peut conduire au simplisme. Sous prétexte qu’elles n’ont pas des secrets d’Etat à cacher, et que « jusqu’ici, tout va bien », elles se contentent de protections relativement sommaires. Jusqu’au jour où elles se retrouvent attaquées. Et qu’elles prennent conscience de la valeur de leurs données – et de leur informatique en général. Car les temps ont changé, et les attaques à grande échelle n’épargnent désormais plus personne.

Phishing, Social Engineering, Crypto Locking et Ransomware : autant de termes barbares que les PME découvrent, souvent dans la douleur. Si certaines de ces attaques peuvent s’avérer sophistiquées, la grande majorité utilise des méthodes très basiques, en ciblant le maillon le plus faible de la chaîne : l’utilisateur. Au-delà des efforts d’éducation, qui restent cruciaux et qui doivent s’inscrire dans le temps, donner aux collaborateurs quelques outils simples protégera votre entreprise comme jamais. Simples, mais pas simplistes. Voyons cela.

MFA, la fusée à deux étages (ou plus) des mots de passe

MFA signifie Multi-Factor Authentication. Ou en bon Français, authentification à facteur multiples. Vous êtes bien avancé… Il s’agit concrètement de ne plus baser l’authentification à un service – typiquement la messagerie d’entreprise – sur un unique mot de passe, mais sur une série de moyens, en cascade. Par exemple, après avoir rentré votre mot de passe, vous serez amené à confirmer votre authentification. Cette confirmation pourra passer par un SMS, ou une application qui générera un code à usage unique sur votre smartphone.

Dans la plupart des cas, cette authentification sera donc double. Ce qui vous prémunit déjà des attaques les plus courantes. Parmi elles, le phishing. Vous avez probablement déjà reçu des emails vous invitant à confirmer votre adresse email et votre mot de passe, de la part de sites institutionnels (la Poste, ou une banque). Il s’agit en général de sites contrefaits, dans le seul but de vous mettre en confiance et de vous voler votre mot de passe de messagerie. La double authentification empêchera donc les pirates d’accéder à votre messagerie. Pour autant, votre mot de passe est compromis, et vous devrez le changer. Surtout si vous l’utilisez de manière répétée, un peu partout.

Le gestionnaire de mot de passe, parade ultime

Avec en moyenne 40 mots de passe à retenir, la vie de l’utilisateur informatique est parfois complexe. Là encore, en excès en entraîne un autre : cette avalanche de mots de passe aboutit à des méthodes qui annihilent tout l’intérêt de ces codes. Qui finissent donc fatalement dans des fichiers, des Post-It ou des listes imprimées, à la vue du premier visiteur venu. Et même si l’authentification MFA vous protège, toutes les applications ne sont pas compatibles. Vos mots de passe exposés vous font donc courir de grands risques.

Office 365 protège désormais nativement sa messagerie Exchange avec MFA, notamment avec une application pour smartphone très efficace.

Comment alors vivre en sécurité dans un monde numérique tout en simplifiant la gestion des codes de protection ? Avec un gestionnaire de mot de passe, vous ne craignez plus d’en avoir un différent par application, et qui soit long et complexe. Une application les gère pour vous. Stockés et cryptés dans le Cloud, vos mots de passe sont accessibles via une simple application en ligne ou sur votre smartphone. Mieux, les codes peuvent être copiés-collés sans même apparaître à l’écran, ou être transmis automatiquement dans les formulaires de connexion. L’accès à l’application est protégé quant à lui… par du MFA, ou un accès biométrique. La boucle est bouclée.

Le backup, cette pierre angulaire de votre protection

Imaginons maintenant que, malgré toutes ces protections (ou, en leur absence), un pirate accède à vos fichiers. Pour être honnête, leur contenu ne l’intéresse probablement pas beaucoup. Pas autant que vous en tout cas. Et c’est là tout l’intérêt de l’indélicat hacker : il va crypter vos données à l’aide d’un ransomware, un logiciel malveillant, et vous demander une rançon. Dans la plupart des cas, payer ne vous servira à rien, et vos données ne seront pas décryptées. Si tel devait être le cas toutefois, ne vous imaginez pas en veine : il y a fort à parier que l’attaque se reproduira si vous ne prenez pas d’autre mesure de protection.

Dans tous les cas, comptez plutôt ne vous en remettre qu’à vous-mêmes. En la matière, une stratégie de backup adaptée sera votre meilleure alliée. Une stratégie Cloud d’ailleurs. Pourquoi ? Si vos sauvegardes sont bien conçues, mais qu’elles tournent sur un disque externe branché à votre serveur, comptez sur le pirate et son ransomware pour ne pas les oubliez au moment du cryptage. Vos jolis backups ne vous serviront à rien. Alors que si vos données sont externalisées dans le Cloud, elles seront épargnées par la diffusion du virus dans votre réseau. Avec une rétention efficace (7 jours minimum), vous aurez la possibilité de récupérer une bonne partie des fichiers en état de marche, même si la catastrophe se produit pendant un week-end prolongé.

La sécurité n’est pas toujours une histoire d’argent

Reste à savoir combien vous coûtera ce trio d’outils indispensables. Commençons par le MFA. Réservé il y a peu aux grandes entreprises, en contrepartie d’investissements colossaux, le MFA est maintenant à la portée de tous. En tout cas pour les applications qui le supportent nativement. Le meilleur exemple ? Office 365 protège désormais nativement sa messagerie Exchange avec MFA, notamment avec une application pour smartphone très efficace. Idem pour Dropbox Business ou Windows pour ne citer qu’eux. Pas de surcoût donc.

Pour un gestionnaire de mot de passe, comptez quelques francs par mois et par utilisateur. Probablement donc moins que le coût mensuel du café à la pause pour chaque utilisateur. Et pour un backup Cloud externalisé digne de ce nom, comptez quelques dizaines de francs par mois pour quelques centaines de gigaoctets. Un coût qui sera variable en fonction du volume de vos données. Mais finalement, pas grand-chose à l’échelle de votre entreprise.

Se constituer un kit de survie d’entreprise basé sur ces 3 bonnes pratiques informatique est donc à la portée de n’importe quelle PME. Peu intrusifs, ces outils se greffent sur l’existant, et agissent comme une couche de sécurité supplémentaire sans rien remettre en cause. Leur coût abordable devrait achever de vous convaincre. Ne reste plus qu’à franchir le pas. Sans trop tarder toutefois, les hackers de tout poil, eux, ne vous attendrons pas.

Emmanuel Dardaine

emmanuel dardaine expert cloud

40 : c’est le nombre moyen de mots de passe que nous devons mémoriser. Tous les retenir n’est pas aisé. Surtout lorsqu’ils sont peu utilisés. Pour aider notre mémoire, les moyens ne manquent pas, mais ils ne sont pas tous sécurisés. Heureusement, le gestionnaire de mot de passe peut vous sauver.

Mots de passe simplistes ou réutilisés en masse, Post-It sous le clavier, ou encore fichier Excel non crypté : ce sont bien souvent les premiers recours à notre mémoire défaillante. On ne va pas se mentir : nous y avons tous eu recours. Mais à quel risque ? Car, ne l’oublions pas, l’objectif premier du mot de passe est de sécuriser les accès à nos services.

Imaginez qu’un individu mal intentionné découvre le mot de passe que vous utilisez partout, ou mette la main sur votre listing de codes, et vous vous retrouvez dans une situation (très) inconfortable. Et vous faite courir à toute votre entreprise des risques énormes. Il existe pourtant une alternative sérieuse, le gestionnaire de mot de passe, qui vous simplifie la vie tout en garantissant un niveau de sécurité maximal. Petit tour d’horizon sur cet outil incontournable.

Mais qu’est-ce qu’un gestionnaire de mots de passe ?

Il s’agit d’un service – souvent en ligne – qui permet à un utilisateur de gérer et stocker ses mots de passe dans une base de données centralisée et sécurisée. L’accès au gestionnaire s’effectue via un mot de passe unique. Ou mieux, par votre empreinte digitale si votre smartphone le supporte.

Grâce au gestionnaire de mots de passe, l’utilisateur s’affranchit donc de devoir se souvenir de l’intégralité de ses codes, et peut ainsi sans contrainte adopter une stratégie de mot de passe plus complexe – et donc plus robuste. Et définir un mot de passe différent pour chaque application ou service.

Il faut en effet garder à l’esprit que la diversification des mots de passe est un facteur clé de la sécurisation des données. 83% des employés utilisent le même mot de passe pour plusieurs usages et/ou applications. L’interception d’un seul mot de passe peut alors rendre vulnérable tout un ensemble de comptes et de documents.

Le gestionnaire se charge de synchroniser ensuite votre base de mots de passe sur le Cloud en utilisant un cryptage fort de bout en bout. Vous retrouvez l’ensemble de vos codes sur n’importe quel appareil. Pour accéder à vos services n’importe où, et en toute sécurité.

Intégration au navigateur et générateur de mots de passe

Mais au-delà du stockage, du cryptage et de la synchronisation de votre base de codes personnels, les gestionnaires de mot de passe vous facilitent aussi la vie en accélérant l’accès aux informations.

La plupart d’entre eux offrent des extensions qui s’intègrent directement dans votre navigateur préféré. Ainsi, lors de la création d’un nouvel identifiant sur un site web, il sera enregistré directement dans votre base. Lors de visites ultérieures, il vous proposera automatiquement de remplir à votre place les champs de connexion. Fini donc les copier-coller.

83% des employés utilisent le même mot de passe pour plusieurs usages et/ou applications. L’interception d’un seul mot de passe peut alors rendre vulnérable tout un ensemble de comptes et de documents.

Fini aussi le casse-tête pour générer des mots de passe répondant aux conditions de complexité de plus en plus exigeantes et variées des sites Web ou des services en ligne. Un générateur intégré au gestionnaire sera toujours plus inventif que vous. Et si le code est incompréhensible ? Ca n’est plus un souci, vous n’aurez de toute façon pas à le retenir.

Une arme redoutable contre le phishing

En faisant appel à l’extension de gestionnaire de mots de passe dans votre navigateur, vous vous protégez également des risques de phishing sans vous en rendre compte. Le phishing, vous savez, ce sont ces emails que vous recevez de la Poste ou d’UBS, et qui vous invitent à saisir votre mot de passe.

La technique est simple : pour récupérer vos identifiants, les hackers dupliquent des pages de site internet – par exemple, l’interface de connexion à votre site de e-banking – tout en utilisant une URL de connexion quasi identique à la vraie (typiquement, un caractère ajouté au milieu du lien de connexion).

Même en étant vigilant, il est très simple de se faire piéger. Contrairement au commun des mortels, le gestionnaire de mots de passe sera en mesure d’identifier à coup sûr la fausse URL et n’indiquera donc pas vos informations de connexion. Et vous serez naturellement mis sur vos gardes.

Vos mots de passe dans votre poche

Atout supplémentaire, les gestionnaires de mots de passe – majoritairement basés sur le Cloud – offrent une grande souplesse. Que ce soit sur votre ordinateur – professionnel ou personnel – ou votre smartphone, vos mots de passe sont accessibles dès que vous êtes connectés à Internet.Gestionnaire de mots de passe LastPass

Et pour les utilisateurs qui en veulent encore plus, l’ajout d’une authentification renforcée permet d’en remettre une couche. Certains choisirons l’authentification multi-facteurs, qui couple le mot de passe d’accès au gestionnaire avec une vérification supplémentaire, via un SMS ou une application tierce. D’autres opteront pour l’authentification biométrique, en mettant à profit les capacités de leur smartphone.

Lutter contre les regards indiscrets

Le mieux est parfois l’ennemi du bien. Même avec une protection digne de Fort Knox, un simple regard malveillant pourrait percer le secret de vos mots de passe. Par-dessus votre épaule dans le train ou l’avion par exemple, au moment de vous en servir.

Mais le gestionnaire de mots de passe ne les affiche jamais par défaut. Il peut vous proposer de les copier alors même qu’ils n’apparaissent pas en clair. Ou même de les insérer directement dans les formulaires de connexion, avec l’extension de navigateur mentionnée plus haut. Tout en vous laissant la possibilité de les consulter en clair, à votre demande et d’un simple clic, à l’abri des regards.

Vous l’aurez compris, le gestionnaire de mot de passe n’a que des qualités : il les crypte et les stocke pour vous, en optimise la complexité, et vous rend leur usage enfin simple et sécurisé. De quoi en finir définitivement avec les listes en clair et les mémos en papier. Et quand on sait qu’une solution professionnelle de ce type revient à quelques CHF 50.- par utilisateur et par an, il n’y a plus lieu d’hésiter.

Le Cloud, c’est sur Internet. Et Internet n’est pas synonyme de confiance. Voici résumé en quelques mots les arguments des patrons d’entreprise les plus réticents au Cloud public. L’évolution technologique rapide a laissé de côté la pédagogie, et contribué à entretenir cet état d’esprit. Mais pas de panique, on vous propose de décortiquer le vrai du faux de ce sujet récurrent.

Il nous arrive encore en clientèle de nous voir opposer des objections au Cloud public. Pour les plus farouches – il en reste, mais de moins en moins, il s’agit même d’une fin de non-recevoir, tant qu’ils seront aux manettes de leur PME. Dans la majorité des cas, la crainte de laisser son informatique ouverte à tous les vents constitue le critère numéro un. S’il est illusoire de vouloir convaincre tout le monde, une grande partie de ces craintifs s’appuie sur des arguments infondés. Une sorte de zone grise qu’il est utile de démystifier.

Non, Cloud public ne signifie pas « ouvert au public »

Tout d’abord, mettre son informatique dans le Cloud public ne signifiera jamais la rendre accessible à tous. Lorsque vous connectez des ordinateurs sur votre réseau d’entreprise, vous ne vous demandez jamais s’ils sont accessibles depuis Internet, non ? Et pourtant ils disposent tous d’un accès à la toile… Alors pourquoi en serait-il autrement dans le Cloud ?

Vos différentes machines sont sécurisées de facto sur votre réseau par le routeur ou le firewall (la « box ») qui connectent vos bureaux à Internet. Ce B-A-BA de la protection réseau empêche par défaut toute connexion entrante depuis Internet. Mais laisse les connexions sortantes – celles effectuées depuis vos machines – se faire librement. Les machines dans le Cloud public bénéficient exactement du même mécanisme. Mais à la puissance 10, 100, ou même 1’000.

Car non seulement un serveur Cloud n’accepte pas par défaut de connexion depuis Internet, mais les services de Cloud public bénéficient d’armées d’ingénieurs et de moyens de surveillance hors-norme. Qui assurent que toute tentative d’intrusion sur vos machines sera détectée et annihilée en moins de temps qu’il ne faut pour l’écrire. Amazon Web Services assure détecter et bloquer 99% des tentatives d’attaque en moins de 1s. Qui peut en dire autant chez vous ?

Non, les fournisseurs de Cloud public n’accèdent pas à vos données

Les scandales récents de manipulation et de traitement de données personnelles – Facebook et Cambridge Analytics en l’occurrence – n’ont pas aidé à remonter l’estime du Cloud auprès des plus sceptiques. Toutefois, l’informatique Cloud des entreprises n’a rien à voir avec les applications en ligne. Tout d’abord parce vous avez donné votre consentement aux réseaux sociaux pour l’exploitation de vos données. Et surtout parce que ces applications – Facebook, Twitter, Instagram – ne vous appartiennent pas.

Dans le cas d’une application d’entreprise hébergée sur votre Cloud public, il y a une différence de taille : cette application, et les données qu’elle traite, restent sous votre contrôle. Le fournisseur de Cloud public se limite à mettre à disposition l’infrastructure pour exécuter vos programmes, et en stocker les données.

Mais, s’ils stockent vos fichiers, peuvent-ils tout autant y accéder en contrôlant les disques durs qu’ils vous louent ? Absolument pas : vous avez la possibilité, sans surcoût et pour quelques clics seulement, de les crypter avec vos clés d’encodage personnelles. Le prestataire Cloud, ou même toute entité extérieure – un voleur ou une autorité judiciaire – ne pourrait rien faire de la suite de bits qu’elle trouverait sur ces supports de stockage.

Non, votre informatique « maison » n’est pas plus sûre que le Cloud public

Va pour le cryptage qui rend vos données inexploitables par le commun des mortels, et inutilisables en dehors de votre organisation. Mais tout de même, avoir son serveur sous les yeux est rassurant, pensez-vous. Vous avez la possibilité de l’emmener ailleurs, de l’arrêter en cas de problème. Certes, mais disposer physiquement de ces machines vous expose au vol, au dégât des eaux, au feu, à la panne.

Autant de risques dont le Cloud public vous prémunit. Car leur prévention est traitée à l’échelle industrielle dans le Cloud. L’effet de volume joue son rôle à plein, et vous garantit une protection sans commune mesure avec ce que vous pourriez jamais vous offrir avec votre propre matériel, dans vos locaux.

Résultat ? Des taux de disponibilité proches de 100%. Et une fiabilité dont vous n’auriez pas même osé rêver. On parle de moins d’une chance sur 10 millions de perdre un fichier parmi 10’000. Par an.

Et oui, vous pouvez savoir où se trouvent vos données

La question n’est pas ici de connaître avec précision l’emplacement de l’équipement qui stocke vos fichiers. Vous ne pourrez de toute façon jamais y accéder physiquement, les datacenters de Cloud public étant aussi hermétiques que Fort Knox. Non, l’enjeu est plutôt de savoir sur quel territoire se trouvent vos ressources informatiques Cloud. Et par conséquent de quelle juridiction vous dépendez. Au cas où une autorité judiciaire soit saisie et que l’extraction de vos données soit ordonnée.

Depuis que le Cloud public existe, ou presque, vous avez la possibilité de choisir le pays dans lequel vos données se trouveront effectivement. Vous connaissez ainsi le niveau d’exposition en fonction des conditions réglementaires de cet état. Les fournisseurs Cloud s’engagent pour leur part à ne pas procéder à des copies en dehors du territoire de votre choix.

Et le meilleur des deux mondes est à portée de clic désormais, puisque Microsoft ouvrira deux régions d’hébergement de son Cloud Azure dès 2019. De quoi rassurer les plus frileux tout en bénéficiant des services de ce géant.

Envi de creuser le sujet de la sécurité Cloud ?

Je suis sûr que certaines de ces objections vous ont déjà traversé l’esprit. Mais avez-vous réellement pris le temps de vous pencher sur la question ? Avez-vous déjà (réellement) approfondi le sujet sans vous fier aux « on dit » ?  En un clic, vous pouvez bénéficier de notre expertise des Cloud publics, suisses et européens, pour vous guider vers la meilleure solution en accord avec vos besoins, et vos exigences en termes de sécurité et de prix. Abstraction faite des préjugés.

emmanuel dardaine expert cloud

Emmanuel Dardaine

 

Les premiers jours de l’année sont souvent ceux des nouveaux départs et des bonnes résolutions. Cependant, si l’on est sincère dans le choix de celles-ci, elles ne durent le plus souvent que quelques semaines et sont vite abandonnées au profit de nos bonnes vieilles habitudes… Pourtant celles qui touchent à la sécurité de votre entreprise sont essentielles.

Alors en ce début d’année, nous avons décidé de vous aider en vous proposant 8 bonnes pratiques pour garder votre informatique « en bonne santé » et vous prémunir des failles de sécurité qui pourraient s’avérer catastrophiques.

1. Choisir et gérer ses mots de passe

A en croire le classement des mots de passe les plus utilisés en 2018, il y a beaucoup à faire dans ce domaine. En suivant ces quelques règles vous devriez vous éviter des problèmes :

  • imposez-vous des règles de longueur et de complexité de mots de passe, ou forcez-les dans votre système d’authentification
  • vous manquez d’imagination ? remplacez quelques caractères par un caractères spécial ressemblant (par exemple : « a » devient « @ », « t » devient « ! » ou « 1 » , « e » devient « 8 »)
  • remplacez les mots de passe par défaut sur vos nouveaux équipements et services (routeur, compte de messagerie, etc.)
  • bannissez les fichiers Excel ou PostIt ; imposez à vos collaborateurs un gestionnaire de mots de passe comme Lastpass, une solution fiable et efficace que nous conseillons à nos clients

2. Définir les utilisateurs et gérer les droits d’accès

Le maître mot est de pouvoir dans tous les cas identifier la provenance d’une action sur votre informatique et gérer au plus juste l’attribution et la suppression des droits :

  • utilisez un compte « utilisateur » et non « administrateur » pour vos usages quotidiens
  • limitiez les accès « administrateur » aux seules personnes en charge de la gestion de votre informatique
  • identifiez précisément les différents utilisateurs et bannissez les comptes génériques : stagiaire, contact, poste1, etc. ; chaque employé doit être identifié nommément afin de pouvoir relier une action à un utilisateur individuel
  • adoptez des procédures d’arrivée et de départ du personnel strictes pour octroyer les droits informatiques au plus juste et les révoquer en temps et en heure

3. Se méfier de votre messagerie

80% des piratages débutent par un e-mail. La liste de recommandations ci-dessous devrait vous permettre de déceler les principales menaces :

  • identifiez l’expéditeur de l’e-mail et vérifiez la cohérence entre l’adresse, le contenu et l’expéditeur présumé ; en cas de doute n’hésitez pas à contacter directement l’expéditeur
  • n’ouvrez pas les pièces jointes provenant d’un expéditeur inconnu ou dont le titre ou le format vous semblent incohérents
  • Si un lien se trouve dans votre e-mail, avant de cliquer, survolez-le avec votre souris et vérifiez la cohérence du lien dans l’info bulle qui apparaît à l’écran
  • ne répondez jamais aux demandes d’information personnelles et ne relayez pas les messages de type « chaines de solidarité » et « alertes virales » ; vérifiez au préalable les contenus sur « hoaxbuster » pour vous assurer de leur véracité

4. Effectuer les mises à jour

Que ce soit vos serveurs, vos postes de travail, vos équipements réseaux, vos smartphones ou vos applications, de nombreuses mises à jour sont publiées régulièrement. Pour corriger les failles de sécurité, vous devez impérativement les appliquer et demander à vos employés de faire de même. Là encore, vous avez la possibilité d’automatiser ces tâches pour ne pas vous reposer sur les bonnes volontés individuelles.

Si l’application des mises à jour vous prend trop de temps ou risque de générer des effets de bord sur votre informatique, nous vous conseillons de missionner votre informaticien ou d’opter pour des services externalisés. Vérifiez au préalable qu’ils bénéficient bien d’un support illimité en temps et qu’ils incluent l’application régulière des mises à jour.

5. Sécuriser votre WiFi

Le responsable d’un acte malveillant depuis une connexion Internet est par défaut le souscripteur de cette connexion. Qu’elle soit exploitée illicitement par un hacker ou l’un de vos employés, votre responsabilité de dirigeant est mise en jeu.

Assurez-vous alors que votre WiFi soit sécurisé et que le protocole de chiffrement soit le bon (WPA2 ou WAP-AES). Les clés WEP sont désormais à bannir, car trop faibles : elle peuvent être déchiffrées en quelques minutes rendant ainsi votre accès Internet accessible à n’importe qui.

Les accès WiFi public/visiteur devront eux être réalisés avec des antennes professionnelles (ex : Cisco Meraki) qui permettent grâce à une surveillance Cloud centralisée d’être alerté en cas de comportement anormal mais aussi de séparer logiquement les réseaux.

6. Effectuer des backups réguliers

Qu’on se le dise, les sauvegardes, ça devrait être comme l’assurance pour les voitures :  obligatoire ! Mais il y a sauvegarde et sauvegarde. Alors les quelques conseils ci-dessous devraient vous guider vers la bonne voie :

  • optez pour une solution de sauvegarde automatique et non manuelle
  • choisissez un support fiable et avec une durée de vie suffisante (ex : les clé USB ne sont pas fiables et ne doivent pas être utilisées pour des sauvegardes de longue durée)
  • externalisez vos sauvegardes : les solutions de backup Cloud sont fiables et bon marché (ex : 1To avec contrôle journalier vous coûteront CHF 85.- /mois).
  • optez pour des solutions de sauvegarde cryptées pour garantir la confidentialité de vos données
  • conservez au minimum un historique de 7 jours, pour vous prémunir des ransomwares

7. Redoubler de prudence avec vos smartphones et tablettes

De nombreuse entreprise mettent à disposition de leurs employés des smartphones sans pour autant les sécuriser ou du moins restreindre leur accès au réseau d’entreprise. Gardez à l’esprit qu’à ce jour les smartphones ne sont que très peu protégés. Les conseils suivants vous permettront de minimiser les risques pour votre entreprise :

  • installez uniquement les applications nécessaires et vérifiez avant de les télécharger à quelles données elles accèdent ; bannissez par défaut les applications trop curieuses
  • sauvegardez régulièrement le contenu de vos smartphones/tablettes sur un support externe ou Cloud
  • utilisez une solution de MDM (Mobile Device Management) pour surveiller les appareils qui se connectent au réseau d’entreprise ; par exemple, Cisco Meraki propose des solutions efficaces et abordables

8. Protéger vos appareils lors des déplacements

Lors des déplacements, les risques de vol, de perte, de casse ou encore d’intrusion sont décuplés. Si vous êtes amené à vous déplacer régulièrement, l’utilisation d’un poste de travail virtuel sera à coup sûr la meilleure solution. Votre ordinateur effectuera uniquement de l’affichage et s’apparentera à une coquille vide pour la personne malveillante qui souhaiterait y accéder. Vos données resteront, elles, bien au chaud dans le Cloud.

En complément, l’ajout d’une solution de MDM vous permettra de localiser votre smartphone ou votre ordinateur en cas de perdu ou de vol et d’en effacer le contenu à distance le cas échéant.

En conclusion

L’application de ces quelques recommandations vous permettra à coup sûr de renforcer considérablement votre sécurité informatique. Mais en aucun cas, elles ne pourront vous dispenser de surveiller et de faire évoluer votre informatique pour gagner en sécurité et en simplicité.

Si vous prenez en ce début d’année la décision de renforcer votre sécurité informatique, ou d’analyser votre parc existant, nous mettons à votre disposition notre expertise et nous vous accompagnons dans cette démarche avec plaisir. Pour cela, il vous suffit de cliquer ci-dessous.