Protéger votre vie privée en ligne : stratégies clés pour la réussite de votre entreprise

La protection de la vie privée en ligne n'est peut-être pas la priorité absolue lorsque vous dirigez votre entreprise, mais elle devient de plus en plus cruciale à mesure que nous évoluons vers un monde entièrement connecté à Internet.

Qu'est-ce que la vie privée ?

En termes simples, la vie privée est le retrait de la vue du public ou de l'entreprise. Depuis au moins 1890, le droit d'une personne à garder ses affaires personnelles secrètes fait l'objet de discussions. La vie privée est étroitement liée à la sécurité de l'information, qui vise à protéger la confidentialité, l'intégrité et la disponibilité des informations. La vie privée se concentre davantage sur la manière dont les données sont collectées, stockées, traitées et utilisées. Protéger votre vie privée en ligne peut impliquer la protection de toute forme d'information personnelle telle que des photos, des vidéos, des dessins ou des documents.

Dans la plupart des cas, vous ne pouvez pas préserver votre vie privée en ligne sans sécuriser vos informations. C'est pourquoi il est important de considérer à la fois la sécurité et la vie privée pour protéger les informations de votre entreprise. Le guide Getting Started with the NIST Privacy Framework décrit plus en détail la relation entre sécurité et vie privée, mais pour simplifier, cet article se concentrera uniquement sur la partie chevauchante de cette relation.

Quels sont les risques en ligne courants ?

À mesure que nous devenons plus connectés, les risques de fuite d'informations personnelles sur Internet augmentent. Les violations de données, les vols et les fuites d'informations résultent souvent d'un manque de sécurité de la part de l'utilisateur. Selon le 2020 Verizon Data Breach Report, 22 % des violations en 2019 étaient dues à de simples erreurs humaines — comme un email envoyé à la mauvaise personne ou un employé révélant accidentellement ses identifiants de connexion. Ces risques doivent être évalués lors de la manipulation d'informations personnelles et sensibles.

Dans le monde des affaires, vous devez équilibrer la quantité d'informations que vous divulguez au public avec la promotion de votre activité. Une publication sur les réseaux sociaux ou un envoi d'email révèle-t-il quelque chose qu'il ne devrait pas sur l'entreprise ?

Par exemple, un stagiaire publie une photo de lui à l'entrée de votre entreprise. Cela semble anodin, mais si son badge ou le système de sécurité de votre entreprise est visible, un attaquant pourrait utiliser ces informations pour obtenir un accès non autorisé. Il est essentiel d'être vigilant et de filtrer soigneusement les informations que vous diffusez sur vous-même et votre entreprise.

Cookies de suivi et empreintes numériques

Un autre point à considérer est la collecte de données vous concernant, vous et vos employés, sur Internet. Les cookies de suivi et l'empreinte numérique (digital fingerprinting) suivent votre activité en ligne. Les cookies sont de petits fichiers contenant des informations identifiables placés sur un site web pour suivre les données du site, enregistrer des fichiers de configuration et identifier les utilisateurs. L'empreinte numérique est un processus qui suit tout, du mouvement de votre curseur à la taille de votre écran.

Les cookies et l'empreinte numérique peuvent suivre vos déplacements et informations en ligne, permettant aux criminels de planifier plus facilement une attaque. Par exemple, si vos clients sont suivis sur le site web de votre entreprise, un attaquant pourrait utiliser ces informations pour envoyer des emails ciblés, appelés « spear phishing », qui semblent provenir de votre entreprise. Les liens dans ces emails vers de faux sites web peuvent inciter les gens à saisir leurs identifiants, qui peuvent ensuite être utilisés pour pénétrer votre réseau.

Risques liés aux réseaux sociaux

L'utilisation des réseaux sociaux présente également des risques. Les employés peuvent partager des informations sur votre entreprise que vous préféreriez garder confidentielles. Par exemple, ils peuvent publier des photos de leur lieu de travail sans réaliser que l'arrière-plan contient des informations sensibles. Les informations divulguées en ligne peuvent être utilisées dans une attaque d'ingénierie sociale, où les gens sont trompés pour divulguer des informations confidentielles, ou dans une attaque physique comme un cambriolage. Vos protections de sécurité peuvent être excellentes, mais si un employé publie une photo avec un mot de passe visible en arrière-plan, votre système de sécurité aura peu d'effet.

Les entreprises qui gèrent une présence sur les réseaux sociaux ou un site web doivent également être conscientes de savoir si leur système suit les personnes via des cookies ou l'empreinte numérique. De nombreux États ont des lois sur la manière dont ces informations peuvent être collectées ou utilisées, et sur le moment où elles doivent être détruites.

Protégez votre vie privée

Réfléchissez aux informations qui doivent être partagées. Avant d'envoyer des images ou des messages, demandez-vous s'ils contiennent des informations sensibles, notamment :

• Tout ce qui pourrait être utilisé par un criminel, comme une photo de vos systèmes de sécurité
• Reçus d'équipement ou autres informations potentiellement sensibles sur votre entreprise
• Informations personnelles, comme les dates de vacances d'un membre du personnel
• Informations potentiellement embarrassantes, comme l'historique de recherche d'un client

Voici quelques conseils pour maintenir votre vie privée en ligne :

Former les employés à réfléchir avant de partager en ligne

Formez vos employés à ne pas divulguer d'informations qui pourraient être utilisées contre eux ou contre l'entreprise. Par exemple, un employé pourrait mentionner sur les réseaux sociaux qu'il occupe un poste élevé dans une entreprise. Plus tard, lorsqu'il publie des photos de vacances, un attaquant pourrait y voir une opportunité de s'introduire via son compte personnel ou professionnel.

Les employés doivent être formés à ne pas partager d'informations sur leur travail sauf si cela a été validé et approuvé. Toute information en ligne peut être facilement collectée et partagée par des attaquants. Même des informations apparemment anodines, une fois collectées et agrégées, peuvent présenter un risque. Des informations comme les badges, identifiants, photos du lieu de travail, numéros de téléphone, listes de fournisseurs et plannings des employés peuvent être exploitées par des criminels.

Maintenez vos navigateurs et programmes à jour

Gardez tous les programmes, systèmes d'exploitation et navigateurs web à jour et corrigés pour assurer la protection de vos informations. L'exécution de la dernière version de tout programme garantit que vous n'êtes pas vulnérable aux attaques conçues pour les versions antérieures. Cela vous protège également des anciens bogues ou vulnérabilités. Si la stabilité est une priorité, les correctifs de sécurité maintiennent le programme à jour sans effectuer une mise à jour complète.

Utiliser un bloqueur de sites web au niveau du réseau

Évitez les sites web qui utilisent des logiciels publicitaires ou malveillants dans leur publicité. Un bloqueur de sites web au niveau du réseau empêche les utilisateurs de se connecter à ces sites. De plus, désactivez les fonctions de remplissage automatique et de saisie semi-automatique souvent proposées par les navigateurs et moteurs de recherche. Elles peuvent collecter des informations privées et sensibles, il est donc particulièrement important de les désactiver sur les machines partagées.

Désactiver l'historique du navigateur (ou en réduire la portée)

L'historique du navigateur est souvent utilisé pour permettre un chargement plus rapide des sites web fréquemment visités et pour fournir des publicités personnalisées. Cependant, il peut être utilisé par des criminels pour faire chanter les employés afin qu'ils fournissent des informations sensibles ou de l'argent en échange de la non-divulgation de ces informations. Si la politique de sécurité de votre entreprise exige de conserver un certain historique, assurez-vous qu'il ne soit conservé que jusqu'à un certain point dans le temps et que les anciennes informations soient détruites lorsqu'elles ne sont plus nécessaires.

Désactiver le suivi

Lorsque l'option est donnée, désactivez le suivi, ce qui informe les sites web et navigateurs que vous ne souhaitez pas être suivi. Certains sites peuvent ne pas fonctionner sans le suivi activé. Dans ce cas, essayez le mode navigation privée ou incognito. Lorsque vous devez utiliser un site qui nécessite le suivi, n'utilisez pas un ordinateur ayant accès à des informations sensibles.

Utiliser des extensions de blocage de publicités

En plus d'être ennuyeuses, les publicités en ligne peuvent diffuser des logiciels malveillants sur votre réseau. Le blocage des publicités réduit considérablement ce risque. Les bloqueurs de publicités au niveau du réseau sont plus faciles à gérer, mais généralement plus chers que de compter sur les individus pour ajouter ces extensions à leurs navigateurs.

Bloquer les cookies tiers (cross-site)

Les cookies sont des traceurs intégrés aux sites web pour enregistrer des données telles que les préférences du site. Ces données peuvent identifier un utilisateur à travers Internet. Désactiver complètement les cookies rendrait certains sites inutilisables, donc bloquer uniquement les cookies qui enregistrent des paramètres sur plusieurs sites (cookies cross-site) est un bon compromis. Les cookies non nécessaires doivent être bloqués ; une autre option consiste à utiliser une liste de sites où les cookies sont autorisés.

Bloquer Flash Player

Depuis janvier 2021, Flash Player n'est plus pris en charge, ce qui signifie que le fabricant n'a plus l'intention de développer des correctifs, y compris des correctifs de sécurité. À moins que votre entreprise n'ait spécifiquement besoin de Flash Player pour ses opérations quotidiennes, il doit être bloqué pour éviter son installation sur les machines locales ou votre réseau.

Bloquer l'accès Internet là où il n'est pas nécessaire

Si une machine n'a pas besoin d'accès Internet pour vos opérations commerciales, ne lui permettez pas de s'y connecter. Isolez physiquement cette machine si nécessaire pour prévenir les attaques physiques. Placez les appareils qui nécessitent un accès réseau mais pas Internet sur un VLAN/LAN séparé. Pour les machines qui n'ont besoin d'Internet que sporadiquement pour les mises à jour, connectez-les uniquement lorsque c'est nécessaire.

Le réseau national MEP est prêt à vous aider

Savoir comment atténuer les risques et maintenir la vie privée en ligne peut être accablant, surtout pour les petits et moyens fabricants aux ressources limitées. Les experts du réseau national MEP^TM sont disponibles pour vous aider sur ces questions et d'autres problèmes de cybersécurité. Le réseau comprend 51 centres MEP, situés dans les 50 États et à Porto Rico — leur assistance est à portée de main, par téléphone ou par clic.