Repérer les risques de cybersécurité : guide pratique pour votre entreprise

Cet article est apparu à l'origine sur IndustryWeek. Billet invité de Traci Spencer, gestionnaire de programme de subventions pour TechSolve, Inc., partenaire régional sud-ouest de l'Ohio MEP, membre du MEP National Network^TM.

Cet article est la première partie d'une série en cinq parties décrivant les meilleures pratiques en matière de « Cybersécurité pour les fabricants ». Ces recommandations suivent le cadre de cybersécurité du National Institute of Standards and Technology (NIST), qui est devenu la norme pour le secteur manufacturier américain.

Selon une étude 2018 sponsorisée par IBM par l'Institut Ponemon, la moyenne mondiale pour une violation de données est de 3,86 millions de dollars. Cela se décompose à presque 150 $ par enregistrement volé. Si vous êtes un petit ou moyen fabricant, vous pourriez ne pas penser que des statistiques comme celles-ci s'appliquent à vous. Mais sur 17 industries représentées dans le rapport, les secteurs les plus impactés étaient la finance, les services, et attendez — la fabrication.

Puisque les fabricants mettent souvent moins de ressources dans la sécurité de l'information, ils sont une cible populaire pour les cybercriminels. Et il ne faut qu'une seule cyberattaque pour dévaster le système opérationnel entier d'un fabricant plus petit. Machines en réseau, fournisseurs, distributeurs, ou même clients pourraient tous être piratés via un seul ordinateur/appareil dans une installation de fabrication.

D'autres risques incluent :

• Perte d'informations critiques pour faire tourner votre entreprise
• Impact négatif sur la confiance des clients
• Amendes réglementaires et frais juridiques qui en résultent
• Productivité diminuée ou arrêtée.

Heureusement, vous pouvez apprendre à protéger vos opérations avec l'aide du National Institute of Standards and Technology (NIST), qui a développé un cadre en cinq étapes pour la cybersécurité qui peut être implémenté par une entreprise de toute taille. Disponible en ligne, le NIST Cybersecurity Framework peut être expliqué plus en détail par votre représentant local du MEP National Network, les experts de référence pour faire progresser la fabrication américaine. Vous pouvez aussi consulter le Manufacturers Guide to Cybersecurity (ajouter lien quand on connaît l'emplacement du document) qui fournit aux fabricants les pratiques de base et outils nécessaires pour développer un programme de cybersécurité.

Prêt à faire votre premier pas vers la sécurité des données ? Le processus commence par l'identification de vos risques.

Contrôler qui a accès à vos informations

Faites une liste des employés avec accès informatique et incluez tous vos comptes d'entreprise, le type d'accès (physique ou mots de passe), et sécurisez physiquement tous les ordinateurs portables et appareils mobiles quand ils ne sont pas utilisés. Faites utiliser à vos employés un écran de confidentialité ou positionnez l'écran de l'ordinateur pour que les gens passant ne puissent pas voir les informations à l'écran, et faites-leur régler le verrouillage d'écran pour s'activer quand l'ordinateur n'est pas utilisé.

N'autorisez pas l'accès physique aux ordinateurs ou systèmes par du personnel non autorisé, tel que :

• Équipes de nettoyage ou personnel de maintenance
• Personnel de réparation informatique ou réseau non supervisé travaillant sur systèmes ou appareils
• Individus non reconnus qui entrent dans votre bureau ou atelier sans être questionnés par un employé

Il ne faut que quelques secondes à un criminel pour accéder à une machine non verrouillée. Ne leur facilitez pas la tâche pour voler vos informations sensibles.

Effectuer des vérifications d'antécédents et de sécurité pour tous les employés

Les vérifications d'antécédents sont essentielles pour identifier vos risques de cybersécurité. Des recherches nationales complètes devraient être menées pour tous les employés potentiels ou autres qui auront accès à vos ordinateurs et systèmes et équipements de l'entreprise.

Ces vérifications devraient inclure :

• Vérifications d'antécédents criminels
• Vérifications de délinquants sexuels
• Vérifications de crédit, si possible (certains États américains limitent l'utilisation des vérifications de crédit)
• Références pour vérifier les dates travaillées pour les employeurs précédents
• Vérification de l'éducation et des diplômes

Vous pouvez aussi envisager de faire une vérification d'antécédents sur vous-même, ce qui peut rapidement vous alerter si vous êtes devenu sans le savoir victime d'usurpation d'identité.

Exiger des comptes utilisateurs individuels pour chaque employé

Si vous subissez une perte de données ou une manipulation non autorisée de données, il peut être difficile d'enquêter sans comptes individuels pour chaque utilisateur. Créez un compte séparé pour chaque employé et sous-traitant qui a besoin d'accès. Exigez qu'ils utilisent des mots de passe forts et uniques pour chaque compte.

Limitez le nombre d'employés qui ont un accès administratif, surtout s'il n'est pas requis pour qu'ils effectuent leurs tâches quotidiennes. Envisagez des comptes invités avec seulement un accès Internet pour les visiteurs ou clients à votre installation.

Créer des politiques et procédures de cybersécurité

Bien que créer votre première politique de cybersécurité puisse sembler une tâche intimidante, il y a plein de conseils faciles à suivre du MEP National Network qui peuvent vous aider à démarrer. Vous pouvez aussi vouloir consulter un professionnel du droit familier avec la loi cyber pour réviser vos politiques pour vous assurer que vous êtes conforme aux lois et réglementations locales.

Votre nouvelle politique de cybersécurité devrait inclure :

• Vos attentes de vos employés pour protéger les informations de l'entreprise
• Les ressources essentielles qui doivent être protégées et comment vous attendez de vos employés qu'ils protègent ces informations
• Un accord signé de chaque employé pour confirmer qu'ils ont lu la politique et la comprennent.

Gardez l'accord signé dans le dossier RH de chaque employé. Révisez la politique au moins une fois par an et faites des mises à jour quand vous faites des changements à la technologie de votre entreprise. Vous pouvez alors utiliser votre politique de cybersécurité pour former vos nouveaux employés sur leurs responsabilités de sécurité de l'information et établir des pratiques acceptables pour toutes vos opérations commerciales.

Maintenant que vous avez appris comment identifier vos risques et évaluer vos ressources, il est temps de penser à les protéger. Dans la deuxième partie de notre série en cinq parties « Cybersécurité pour les fabricants » du MEP National Network, nous parcourons les étapes clés pour protéger vos données et informations précieuses des menaces cyber.