5 questions essentielles à poser à votre professionnel de la cybersécurité

Presque chaque semaine, nous entendons parler d'une autre entreprise ou organisation qui a été victime d'une cyberattaque. Nous savons que les cybercriminels sont plus persistants et que nous devons être plus diligents dans la protection de l'information.

Je pense que dans nos vies personnelles, la plupart d'entre nous essaient d'être plus prudents. Disparus (je l'espère) sont les jours où l'on définissait chacun de nos mots de passe personnels à 123456. Pourtant, nous ne semblons pas emporter le même niveau de préoccupation au bureau. Puisque notre professionnel IT a sûrement une poignée sur notre cybersécurité, je ne devrais pas m'inquiéter… n'est-ce pas ?

Le fait est que nous, en tant qu'employés, jouons un rôle vital dans la protection de l'entreprise pour laquelle nous travaillons, et il ne faut qu'un mauvais clic pour compromettre une entreprise. Une étude récente de Willis Towers Watson a révélé que 90 % des réclamations d'incidents cyber résultent d'un certain type d'erreur ou de comportement humain. Voici cinq questions et réponses pour vous guider dans votre parcours pour rendre votre entreprise plus sécurisée.

1. Quels sont les principaux risques cyber auxquels mon entreprise fait face ?

Le risque d'une entreprise varie considérablement en fonction de son environnement opérationnel unique, il y a donc beaucoup de choses à évaluer et à considérer.

Avez-vous de nombreux employés qui utilisent l'e-mail ? Le spear phishing (hameçonnage ciblé) pourrait être un risque majeur pour vous. Chaque appareil avec une adresse IP sur votre atelier est-il sécurisé ? Sinon, le code malveillant, l'accès non autorisé et l'utilisation ou l'exfiltration de données pourraient être des risques majeurs.

Effectuer des évaluations de risques de cybersécurité devrait être une partie clé du programme de gestion de la sécurité de l'information de votre organisation. Tout le monde sait qu'il y a un certain niveau de risque impliqué quand il s'agit des données critiques et sécurisées d'une entreprise, des actifs d'information et des installations. Mais comment quantifier et se préparer à ce risque de cybersécurité ? Le but d'une évaluation de risque de sécurité IT est de déterminer quels risques de sécurité les actifs critiques de votre entreprise affrontent et de savoir combien de financement et d'efforts devraient être utilisés pour les protéger.

Le NIST Risk Management Framework (RMF) est une excellente ressource pour commencer. Le RMF fournit une approche structurée, mais flexible, pour gérer la portion de risque résultant des systèmes que votre entreprise peut contrôler et des processus d'affaires de votre organisation.

2. Est-il OK d'utiliser un gestionnaire de mots de passe ?

Bien qu'utiliser un gestionnaire de mots de passe pour vos comptes personnels en ligne soit une excellente façon de rester sécurisé, n'oubliez pas de vérifier les politiques de votre entreprise avant d'utiliser un logiciel au travail.

Les gestionnaires de mots de passe peuvent vous aider à stocker vos mots de passe ainsi qu'à en générer d'uniques pour chaque site. Cependant, garder tous vos mots de passe en un seul endroit est risqué. Il est important de comprendre comment vos mots de passe sont protégés et s'ils sont chiffrés. Il existe divers produits commerciaux disponibles qui fonctionnent avec plusieurs appareils et navigateurs, alors faites vos recherches pour en trouver un qui répond le mieux à vos besoins.

3. Mon entreprise est-elle conforme aux cadres ou normes de sécurité de l'information de premier plan et en a-t-elle besoin ?

Protéger votre propriété intellectuelle et les informations sensibles des clients et employés peut vous donner, à vous et à vos clients, la tranquillité d'esprit. C'est aussi une pratique commerciale saine quand on regarde l'impact financier, la diminution de la productivité et la perte de confiance qu'une cyberattaque peut vous coûter.

Pour les entreprises dans la chaîne d'approvisionnement du Département de la Défense (DoD), une telle protection est un must absolu. Ces entreprises sont tenues de répondre aux normes minimales de sécurité du Defense Federal Acquisition Regulation Supplement (DFARS) ou risquent de perdre leurs contrats DoD.

Voici plusieurs exemples de cadres ou normes de sécurité qui peuvent vous aider à comprendre et atténuer votre risque : NIST Cybersecurity Framework, NIST SP 800-53 - Security and Privacy Controls for Information Systems and Organizations, le NIST MEP Cybersecurity Self-Assessment Handbook, et le Payment Card Industry Data Security Standard (PCI DSS). Il est facile de se confondre sur quel document vous devriez référencer, alors voici un peu plus d'informations sur chacun :

• Le Framework est plus haut niveau (et plus concis) comparé à NIST SP 800-53, qui est un catalogue de contrôles de sécurité et de confidentialité. Le Framework est plus gérable pour les cadres et décideurs qui n'ont pas de formation technique. Il se concentre aussi sur comment évaluer et prioriser les fonctions de sécurité et référence des documents existants comme NIST SP 800-53, qui est mieux utilisé par le personnel technique qui mettra en œuvre la sécurité et peut comprendre ses informations plus détaillées sur quels contrôles sélectionner et implémenter.
• Le NIST MEP Cybersecurity Self-Assessment Handbook aidera votre entreprise à être conforme aux exigences de sécurité NIST SP 800-171 en réponse aux exigences de cybersécurité DFARS. Le manuel fournit un guide étape par étape pour évaluer les systèmes d'information d'un petit fabricant par rapport aux exigences de sécurité dans NIST SP 800-171 rev 1, "Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations."

• Le Payment Card Industry Data Security Standard (PCI DSS) est un ensemble largement accepté de politiques et procédures destinées à optimiser la sécurité des transactions par carte de crédit, débit et espèces. Le PCI DSS a été créé en 2004 par Visa, MasterCard, Discover et American Express. Maintenir la sécurité des paiements est requis pour toutes les entreprises qui stockent, traitent ou transmettent des données de porteurs de carte. La violation ou le vol de données de porteurs de carte affecte l'ensemble de l'écosystème des cartes de paiement. Quelques exemples d'impacts sur votre entreprise sont la perte de confiance des clients, la diminution des ventes, les pertes par fraude, les coûts juridiques, les amendes, et la résiliation de la capacité d'accepter les cartes de paiement. Maintenir la conformité PCI DSS est vital pour le succès à long terme d'une entreprise qui traite des paiements par carte et maintient ses défenses cyber prêtes contre les attaques visant à voler des données de porteurs de carte. La plupart des petites entreprises peuvent utiliser un outil d'auto-validation pour évaluer leur niveau de sécurité des données de porteurs de carte.

4. Qu'est-ce que l'authentification à deux facteurs et comment l'activer ? Pourquoi les mots de passe ne suffisent-ils pas ?

L'authentification à deux facteurs (2FA) est une couche de sécurité supplémentaire utilisée pour s'assurer que vous êtes bien qui vous dites être. Le problème est que les noms d'utilisateur et mots de passe seuls sont facilement devinés, et les gens utilisent les mêmes mots de passe pour plusieurs sites. Les incidents divulgués publiquement révèlent que 5 518 enregistrements fuient chaque minute.

La 2FA empêche les autres d'accéder facilement à vos comptes. Quand la 2FA est activée, vous entrez votre nom d'utilisateur et mot de passe dans la page de connexion. Ensuite, au lieu d'obtenir immédiatement l'accès, vous devrez fournir une autre information. Ce second facteur pourrait être l'un des suivants :

• Quelque chose que vous savez – un numéro d'identification personnel (NIP), une phrase de passe ou des réponses à des questions secrètes.
• Quelque chose que vous avez – une carte de crédit, une carte à puce, un smartphone, un jeton matériel ou logiciel ou une notification du site.
• Quelque chose que vous êtes – un motif biométrique d'une empreinte digitale, un scan d'iris ou une empreinte vocale.

Si vous n'êtes pas sûr que vos sites ou applications ont la 2FA, visitez TwoFactorAuth.org pour le découvrir.

Activez la 2FA sur tous les comptes. Voir les instructions étape par étape de Telesign pour activer la 2FA : https://www.turnon2FA.com.

5. Y a-t-il un processus d'approbation pour acheter des applications que je trouve utiles pour mon travail ?

La plupart des entreprises ont des politiques sur la façon d'acheter des logiciels (soit en boîte/en ligne, soit hébergés externement dans le cloud). Il est important de savoir quelles applications vous pouvez utiliser immédiatement, et lesquelles peuvent nécessiter une enquête supplémentaire pour s'assurer qu'elles sont assez sécurisées pour votre utilisation et les données qui seront traitées et/ou stockées en elles. Sachez ce qui est requis et travaillez avec votre professionnel de la cybersécurité pour passer par les processus requis pour s'assurer que l'information sera correctement sécurisée.

Si vous souhaitez mieux comprendre votre risque de cybersécurité, vous pouvez utiliser l'Outil d'auto-évaluation de cybersécurité du MEP National Network™. Si vous avez des questions ou souhaitez parler à un professionnel de la cybersécurité, contactez votre Centre MEP National Network local.