5 questions à poser à votre professionnel de la cybersécurité

Presque chaque semaine, nous entendons parler d'une autre entreprise ou organisation qui a été victime d'une cyberattaque. Nous savons que les cybercriminels sont plus persistants et nous devons faire preuve de plus de diligence dans la protection des informations.

Je pense que dans nos vies personnelles, la plupart d'entre nous essayons d'être plus prudents. Fini (j'espère) le temps de définir chacun de nos mots de passe personnels à 123456. Pourtant, nous ne semblons pas porter le même niveau de préoccupation au bureau. Étant donné que notre professionnel de l'informatique maîtrise sûrement notre cybersécurité, je ne devrais pas m'inquiéter… n'est-ce pas ?

Le fait est qu'en tant qu'employés, nous jouons un rôle essentiel dans la protection de l'entreprise pour laquelle nous travaillons, et il suffit d'un faux clic pour compromettre une entreprise. Une étude récente de Willis Towers Watson a révélé que 90 % des réclamations liées aux cyberincidents résultent d'un certain type d'erreur ou de comportement humain. Voici cinq questions et réponses pour vous guider dans votre cheminement vers la sécurisation de votre entreprise.

1. Quels sont les principaux cyber-risques auxquels mon entreprise est confrontée ?

Le risque d'une entreprise varie considérablement en fonction de son environnement d'exploitation unique, il y a donc beaucoup de choses à évaluer et à considérer.

Avez-vous de nombreux employés qui utilisent le courrier électronique ? Le spear phishing peut être un risque majeur pour vous. Est-ce que chaque appareil avec une adresse IP dans votre atelier est sécurisé ? Sinon, le code malveillant, l'accès et l'utilisation non autorisés ou l'exfiltration de données pourraient être les principaux risques.

La réalisation d'évaluations des risques de cybersécurité doit être un élément clé du programme de gestion de la sécurité des informations de votre organisation. Tout le monde sait qu'il existe un certain niveau de risque en ce qui concerne les données, les actifs d'information et les installations critiques et sécurisées d'une entreprise. Mais comment quantifier et se préparer à ce risque de cybersécurité ? L'objectif d'une évaluation des risques de sécurité informatique est de déterminer à quels risques de sécurité les actifs critiques de votre entreprise sont confrontés et de savoir combien de fonds et d'efforts doivent être utilisés pour les protéger.

Le cadre de gestion des risques du NIST (RMF) est une excellente ressource pour commencer. Le RMF fournit une approche structurée mais flexible pour gérer la part de risque résultant des systèmes que votre entreprise peut contrôler et des processus commerciaux de votre organisation.

2. Est-il possible d'utiliser un gestionnaire de mots de passe ?

Bien que l'utilisation d'un gestionnaire de mots de passe pour vos comptes personnels en ligne soit un excellent moyen de rester en sécurité, n'oubliez pas de vérifier les politiques de votre entreprise avant d'utiliser un logiciel au travail.

Les gestionnaires de mots de passe peuvent vous aider à stocker vos mots de passe ainsi qu'à en générer des uniques pour chaque site. Cependant, conserver tous vos mots de passe au même endroit est risqué. Il est important de comprendre comment vos mots de passe sont protégés et s'ils sont cryptés. Il existe divers produits commerciaux disponibles qui fonctionnent avec plusieurs appareils et navigateurs, alors faites vos recherches pour trouver celui qui répond le mieux à vos besoins.

3. Mon entreprise se conforme-t-elle aux principaux cadres ou normes de sécurité de l'information et doit-elle le faire ?

La protection de votre propriété intellectuelle et des informations sensibles de vos clients et employés peut vous offrir, à vous et à vos clients, une tranquillité d'esprit. Il s'agit également d'une bonne pratique commerciale lorsque vous examinez l'impact financier, la baisse de productivité et la perte de confiance qu'une cyberattaque peut vous coûter.

Pour les entreprises de la chaîne d'approvisionnement du ministère de la Défense (DoD), une telle protection est un must absolu. Ces entreprises sont tenues de respecter les normes de sécurité minimales du DFARS (Defence Federal Acquisition Regulation Supplement) ou risquent de perdre leurs contrats DoD.

Voici plusieurs exemples de cadres ou de normes de sécurité qui peuvent vous aider à comprendre et à atténuer vos risques :NIST Cybersecurity Framework, NIST SP 800-53 - Security and Privacy Controls for Information Systems and Organizations, le NIST MEP Cybersecurity Self-Assessment Handbook et le Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS). Il est facile de se demander quel document vous devez référencer, voici donc un peu plus d'informations sur chacun :

• Le Framework est plus élaboré (et plus concis) que le NIST SP 800-53, qui est un catalogue de contrôles de sécurité et de confidentialité. Le cadre est plus facile à gérer pour les cadres et les décideurs qui peuvent ne pas avoir de formation technique. Il se concentre également sur la façon d'évaluer et de hiérarchiser les fonctions de sécurité et de référencer des documents existants tels que NIST SP 800-53, qui est mieux utilisé par le personnel technique qui mettra en œuvre la sécurité et peut comprendre ses informations plus détaillées sur les contrôles à sélectionner et à mettre en œuvre.
• Le manuel d'auto-évaluation de la cybersécurité NIST MEP aidera votre entreprise à se conformer aux exigences de sécurité NIST SP 800-171 en réponse aux exigences de cybersécurité DFARS. Le manuel fournit un guide étape par étape pour évaluer les systèmes d'information d'un petit fabricant par rapport aux exigences de sécurité du NIST SP 800-171 rev 1, « Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations ».

• La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est un ensemble de politiques et de procédures largement acceptées visant à optimiser la sécurité des transactions par carte de crédit, de débit et de paiement. Le PCI DSS a été créé en 2004 par Visa, MasterCard, Discover et American Express. Le maintien de la sécurité des paiements est requis pour toutes les entreprises qui stockent, traitent ou transmettent des données de titulaire de carte. La violation ou le vol des données des titulaires de carte affecte l'ensemble de l'écosystème des cartes de paiement. Quelques exemples d'impacts sur votre entreprise sont la perte de confiance des clients, la diminution des ventes, les pertes dues à la fraude, les frais juridiques, les amendes et la résiliation de la capacité d'accepter les cartes de paiement. Le maintien de la conformité PCI DSS est essentiel au succès à long terme d'une entreprise qui traite les paiements par carte et maintient les cyberdéfenses prêtes contre les attaques visant à voler les données des titulaires de carte. La plupart des petites entreprises peuvent utiliser un outil d'auto-validation pour évaluer leur niveau de sécurité des données des titulaires de carte.

4. Qu'est-ce que l'authentification à deux facteurs et comment l'activer ? Pourquoi les mots de passe ne sont-ils pas assez bons ?

L'authentification à deux facteurs (2FA) est une couche de sécurité supplémentaire utilisée pour s'assurer que vous êtes bien celui que vous prétendez être. Le problème est que seuls les noms d'utilisateur et les mots de passe sont faciles à deviner et que les gens utilisent les mêmes mots de passe pour plusieurs sites. Des incidents divulgués publiquement révèlent que 5 518 enregistrements sont divulgués chaque minute.

2FA empêche d'autres personnes d'accéder facilement à vos comptes. Lorsque 2FA est activé, vous entrez votre nom d'utilisateur et votre mot de passe dans la page de connexion. Ensuite, au lieu d'y accéder immédiatement, il vous sera demandé de fournir une autre information. Ce deuxième facteur pourrait être l'un des suivants :

• Quelque chose que vous savez :un numéro d'identification personnel (PIN), une phrase secrète ou des réponses à des questions secrètes.
• Quelque chose que vous avez :une carte de crédit, une carte-clé, un smartphone, un jeton matériel ou logiciel ou une notification du site.
• Quelque chose que vous êtes :un motif biométrique d'une empreinte digitale, d'un scan de l'iris ou d'une empreinte vocale.

Si vous ne savez pas si vos sites ou applications ont ou non 2FA, visitez TwoFactorAuth.org pour le découvrir.

Activez 2FA pour tous les comptes. Voir les instructions étape par étape de Telesign pour activer2FA :https://www.turnon2FA.com.

5. Existe-t-il un processus d'approbation pour acheter des applications que je trouve utiles pour mon travail ?

La plupart des entreprises ont des politiques sur la façon d'acheter des logiciels (en boîte/en ligne ou hébergés en externe dans le cloud). Il est important de savoir quelles applications vous pouvez utiliser immédiatement, et lesquelles peuvent nécessiter une enquête plus approfondie pour s'assurer qu'elles sont suffisamment sécurisées pour votre utilisation et les données qui seront traitées et/ou stockées en leur sein. Sachez ce qui est requis et travaillez avec votre professionnel de la cybersécurité pour suivre les processus requis afin de garantir que les informations seront correctement sécurisées.

Si vous souhaitez mieux comprendre votre risque de cybersécurité, vous pouvez utiliser le MEP National Network ^TM Outil d'auto-évaluation de la cybersécurité. Si vous avez des questions ou souhaitez parler à un professionnel de la cybersécurité, contactez votre centre de réseau national MEP local.