Conserver votre confidentialité en ligne

Ce n'est peut-être pas le sujet le plus important qui vous préoccupe lorsque vous dirigez votre entreprise, mais la confidentialité en ligne devient de plus en plus importante à mesure que nous nous rapprochons d'un monde entièrement connecté à Internet.

Qu'est-ce que la confidentialité ?

En termes simples, la vie privée est un retrait de la société ou du public. Depuis au moins 1890, il y a eu des discussions sur le droit d'une personne de garder ses affaires personnelles secrètes. La confidentialité est étroitement liée à la sécurité de l'information, qui consiste à protéger la confidentialité, l'intégrité et la disponibilité des informations. La confidentialité concerne davantage la manière dont les données sont collectées, stockées, traitées et utilisées. La protection de votre vie privée en ligne peut impliquer la protection de toute forme d'informations personnelles telles que des photos, des vidéos, des dessins ou des documents.

Dans la plupart des cas, vous ne pouvez pas préserver votre confidentialité en ligne sans sécuriser vos informations. C'est pourquoi il est important de considérer à la fois la sécurité et la confidentialité pour protéger les informations de votre entreprise. La mise en route du NIST Privacy Framework décrit plus en détail la relation entre la sécurité et la confidentialité, mais par souci de simplicité, ce blog se concentrera uniquement sur la partie chevauchante de la relation.

Quels sont les risques en ligne courants ?

À mesure que nous devenons plus connectés, les risques de fuite d'informations personnelles sur Internet augmentent. Les violations de données, les vols et les fuites d'informations résultent souvent d'un manque de sécurité du côté de l'utilisateur. Selon le rapport Verizon Data Breach Report 2020, 22% des violations en 2019 étaient dues à une simple erreur humaine – des choses comme un e-mail envoyé à la mauvaise personne ou un employé révélant accidentellement ses identifiants de connexion. Ces risques doivent être évalués lors du traitement d'informations personnelles et sensibles.

Dans le monde des affaires, vous devez équilibrer la quantité d'informations que vous communiquez au public avec la publicité de ce que fait votre entreprise. Est-ce que quelque chose que vous êtes sur le point d'envoyer ou de publier sur les réseaux sociaux révèle quelque chose qu'il ne devrait pas sur l'entreprise ?

Par exemple, supposons qu'un stagiaire publie une photo de lui à l'entrée de votre entreprise. Cela semble anodin, mais si le badge du stagiaire ou le système de sécurité de votre entreprise est visible, un attaquant pourrait utiliser ces informations pour obtenir un accès non autorisé. Il est important d'être conscient et d'examiner attentivement les informations que vous publiez sur vous-même et votre entreprise.

Suivi des cookies et des empreintes digitales

Une autre chose à considérer est les données collectées sur vous et vos employés sur Internet. Les cookies de suivi et les empreintes digitales suivent votre activité en ligne. Les cookies sont de petits fichiers contenant des informations identifiables placés sur un site Web pour suivre les données du site, enregistrer les fichiers de configuration et identifier les utilisateurs. L'empreinte numérique est un processus qui suit tout, du mouvement du curseur de votre souris à la taille de votre écran.

Les cookies et les empreintes digitales peuvent suivre vos mouvements et informations en ligne, permettant aux criminels de planifier plus facilement une attaque. Par exemple, si vos clients sont suivis sur le site Web de votre entreprise, un attaquant pourrait utiliser ces informations pour envoyer des e-mails ciblés, appelés spear phishing, qui semblent provenir de votre entreprise. Les liens contenus dans ces e-mails vers de faux sites Web peuvent inciter les gens à saisir leurs identifiants de connexion, qui peuvent être utilisés pour pénétrer dans votre réseau.

Risques des médias sociaux

S'engager avec les médias sociaux présente également un risque. Les employés peuvent partager des informations sur votre entreprise que vous préférez garder privées. Par exemple, les employés peuvent partager des photos de leur environnement de travail sans se rendre compte que la photo contient des informations commerciales sensibles en arrière-plan. Les informations divulguées en ligne peuvent être utilisées dans une attaque d'ingénierie sociale, où les gens sont amenés à donner des informations confidentielles, ou une attaque physique comme une effraction. Vos protections de sécurité peuvent être excellentes, mais si un employé publie une photo avec un mot de passe affiché dans le arrière-plan, votre système de sécurité aura peu d'effet.

Les entreprises qui exploitent une présence sur les réseaux sociaux ou un site Web doivent également savoir si leur système suit les personnes via des cookies ou des empreintes digitales. De nombreux États ont des lois sur la façon dont ces informations peuvent être collectées ou utilisées, et des lois sur le moment où ces informations doivent être détruites.

Gardez votre vie privée

Réfléchissez aux informations qui devraient être partagées. Avant d'envoyer des images ou des messages, déterminez s'ils contiennent des informations sensibles, notamment :

• Tout ce qui pourrait être utilisé par un criminel, comme une photo de vos systèmes de sécurité
• Reçus d'équipement ou autres informations potentiellement sensibles concernant votre entreprise
• Tout ce qui est personnel, comme lorsqu'un membre du personnel est en vacances
• Informations potentiellement embarrassantes, comme l'historique des recherches d'un client

Voici quelques conseils pour préserver la confidentialité en ligne :

Formez les employés à réfléchir à ce qu'ils partagent en ligne

Formez vos employés à ne pas révéler d'informations pouvant être utilisées contre eux ou contre l'entreprise. Par exemple, un employé peut mentionner sur les réseaux sociaux qu'il a occupé un poste élevé dans une entreprise. Plus tard, lorsqu'il publie des photos pendant ses vacances, un attaquant peut y voir une opportunité de pénétrer par effraction dans le compte personnel ou professionnel de l'employé.

Les employés doivent être formés pour ne pas partager d'informations sur leur travail à moins qu'elles ne soient autorisées et approuvées. Toute information en ligne peut être facilement collectée et partagée par des attaquants. Même des informations apparemment inoffensives lorsqu'elles sont collectées et agrégées peuvent présenter un risque. Des informations telles que les identifiants, les identifiants de connexion, les photos du chantier, les numéros de téléphone, les listes de fournisseurs et les horaires des employés peuvent être utilisées par des criminels.

Mettre à jour vos navigateurs et programmes

Gardez tous les programmes, systèmes d'exploitation et navigateurs Web à jour et corrigés pour vous assurer qu'ils protègent vos informations. L'exécution de la dernière version de n'importe quel programme garantit que vous n'êtes pas vulnérable aux attaques conçues pour l'ancienne version. L'utilisation de la dernière version vous protège également de tout ancien bogue ou vulnérabilité qu'une version antérieure peut avoir eu. Si la stabilité est une priorité, les correctifs de sécurité maintiennent le programme à jour sans effectuer une mise à jour complète.

Utilisez un bloqueur de sites Web au niveau du réseau

Évitez les sites Web qui utilisent des logiciels publicitaires ou des logiciels malveillants dans leurs publicités. Un bloqueur de sites Web au niveau du réseau empêche les utilisateurs de se connecter à ces sites Web. De plus, désactivez les fonctions de remplissage automatique et de saisie semi-automatique qui sont souvent proposées par les navigateurs et les moteurs de recherche. Ils peuvent collecter des informations privées et sensibles, il est donc particulièrement important de les désactiver sur les machines partagées.

Désactiver l'historique du navigateur (ou réduire sa portée)

L'historique du navigateur est souvent utilisé pour permettre un chargement plus rapide des sites Web fréquemment visités et pour fournir des publicités personnalisées. Cependant, il peut être utilisé par des criminels pour faire chanter des employés afin qu'ils fournissent des informations commerciales sensibles ou de l'argent en échange de ne pas divulguer ces informations au public. Si la politique de sécurité de votre entreprise exige de conserver un historique du navigateur, assurez-vous qu'il n'est conservé que jusqu'à un certain moment et que les anciennes informations sont détruites lorsqu'elles ne sont pas nécessaires.

Désactiver le suivi

Lorsque vous en avez la possibilité, désactivez le suivi, qui informe les sites Web et les navigateurs que vous ne souhaitez pas être suivi. Certains sites Web peuvent ne pas fonctionner si le suivi n'est pas activé. Dans ces cas, essayez le mode incognito ou privé pour la navigation. Lorsque vous devez utiliser un site Web nécessitant un suivi, n'utilisez pas d'ordinateur ayant accès à des informations sensibles.

Utiliser les extensions de blocage des publicités

En plus d'être ennuyeuse, la publicité en ligne peut diffuser des logiciels malveillants sur votre réseau. Le blocage des publicités réduit considérablement ce risque. Les bloqueurs de publicités au niveau du réseau sont plus faciles à gérer, mais généralement plus coûteux que de compter sur des individus pour ajouter ces extensions à leurs navigateurs

Bloquer les cookies intersites

Les cookies sont des bits de suivi intégrés dans les sites Web pour enregistrer des données telles que les préférences du site. Ces données peuvent identifier un utilisateur sur Internet. La désactivation complète des cookies rendrait certains sites Web inutilisables. Par conséquent, bloquer uniquement les cookies qui enregistrent les paramètres sur plusieurs sites Web (cookies intersites) est un bon compromis. Les cookies qui ne sont pas nécessaires doivent être bloqués. Une autre option consiste donc à utiliser une liste de sites où les cookies sont autorisés.

Bloquer Flash Player

Depuis janvier 2021, Flash Player n'est pas pris en charge, ce qui signifie que le fabricant n'a plus l'intention de développer des correctifs pour celui-ci, y compris des correctifs de sécurité. À moins que votre entreprise n'ait spécifiquement besoin de Flash Player pour ses opérations quotidiennes, son installation sur les machines locales ou sur votre réseau devrait être bloquée.

Bloquer l'accès Internet là où ce n'est pas nécessaire

Si une machine ne nécessite pas d'accès Internet pour vos opérations commerciales, ne lui permettez pas de se connecter. Isolez physiquement cette machine si nécessaire pour empêcher les attaques physiques. Placez les appareils qui nécessitent un accès réseau, mais pas d'accès Internet, sur un VLAN/LAN séparé. Pour les machines qui n'ont besoin que sporadiquement d'un accès Internet pour exécuter les mises à jour, connectez-les simplement à Internet selon vos besoins.

Le réseau national MEP est prêt à vous aider

Savoir comment atténuer les risques et préserver la confidentialité en ligne peut être difficile, en particulier pour les petits et moyens fabricants aux ressources limitées. Experts du réseau national MEP ^TM sont disponibles pour vous aider avec ces problèmes et d'autres problèmes de cybersécurité. Le réseau comprend 51 centres MEP, situés dans les 50 États et à Porto Rico. Il suffit d'un simple coup de téléphone ou d'un clic pour vous aider.