La cyber-hygiène est équivalente au concept d’un environnement sain dans le monde de la santé. Plus votre hygiène est saine, plus vous pourrez vous prémunir contre les fuites de données, les phishings, les ransomwares et autres cybermenaces. Cette pratique fait référence à toutes les actions que les administrateurs système et les usagers d’un système informatique peuvent mettre en place pour en améliorer la sécurité.

Comment préserver et améliorer sa cyber-hygiène ?

Voici quelques recommandations à suivre pour adopter une bonne cyber-hygiène. Non exhaustives, ces règles représentent une base solide sur laquelle bâtir l’organisation de la sécurité de vos systèmes.

1. Auditer son Système d’Information

Un système connu et maîtrisé est la première pierre d’un système sûr. En effet, comment concevoir une politique de sécurité sans connaître l’état actuel de son SI ? Il est nécessaire d’être conscient de l’existence de toutes les portes d’entrées du système afin de pouvoir les sécuriser. Une cartographie de son réseau et un schéma localisant les données sensibles permettent donc de déterminer les composants les plus importants de son SI.

Tournez-vous vers des prestataires qualifiés PASSI (Prestataires d’Audit de la Sécurité des Systèmes d’Information) pour effectuer vos audits. Ils répondent aux exigences déontologiques de l’ANSSI et sont garants de la confidentialité des failles découvertes. De plus, un prestataire externe adoptera une position neutre - un regard extérieur ne sera que bénéfique. Enfin, certaines problématiques nécessiteront des compétences précises et rares qu’on ne retrouve que chez des experts.

2. Garder son système à jour

De nouvelles failles de sécurité ou de nouvelles méthodes d’attaques sont régulièrement au cœur de fuites de données. Il est important d’appliquer les correctifs des applications du système et de mettre en place une politique de mises à jour et de vérifications. Il faut anticiper la fin de maintenance de ses logiciels et entretenir un inventaire des correctifs appliqués. Un suivi régulier des applications et des systèmes ainsi qu’une capacité d’anticipation permettront de se prémunir contre ce type de cybermenaces.

3. Gérer les accès et les identités

Les accès d’un SI sont une porte d’entrée plus que commune pour les cyberattaquants. Un accès administrateur peut avoir des conséquences désastreuses s’il tombe entre de mauvaises mains. Les comptes à privilèges doivent donc faire l’objet d’une attention toute particulière. Pour cela, on peut utiliser des solutions de Privileged Access Management (PAM).

Plus généralement, les solutions d’Access Management (AM) offrent des moyens pour tracer, sécuriser et gérer les accès aux applications. Dédiées à la sécurité, ces solutions offrent des fonctionnalités plus sécurisées que celles offertes par les applications - qu’elles soient SaaS ou On Premise (cinématiques d’authentification poussées, protocoles de communication les plus récents, politique de mot de passe généralisée, etc.). En effet, chaque application impose des mesures de sécurité à son niveau ce qui peut entraîner des disparités en termes de protection. À titre d’exemple, on peut retrouver comme fonctionnalités : l’authentification multi-facteurs, l’authentification passwordless, le Single-Sign-On ou encore du Self-Service Password Reset.

Lorsque l’utilisation de solutions tierces n’est pas envisageable, il est également possible d’appliquer des méthodes comme le principe du moindre privilège pour limiter les risques de fuites de données.

4. Sécuriser le télétravail

Pour travailler à distance - de chez soi ou de chez un partenaire, vos collaborateurs et collaboratrices auront forcément besoin de se connecter aux ressources de l’entreprise pour accéder à des données ou des applications internes. L’installation d’un VPN sur les postes des employé.e.s est nécessaire afin de créer un tunnel de communication sécurisé entre le PC de l’utilisateur et le réseau interne.

Au-delà de la mise en place d’outils pour sécuriser les connexions, il est important de sensibiliser les acteurs du SI au danger du télétravail et leur proposer de bonnes pratiques à appliquer - telles que : verrouiller systématiquement sa session, télétravailler depuis un environnement physique sécurisé ou finalement ne pas utiliser son poste professionnel à des fins personnelles.

Sécuriser l’environnement numérique professionnel de vos employé.e.s lorsque ces derniers travaillent depuis un environnement personnel permettra de diminuer le nombre de failles de sécurité auxquelles votre entreprise peut être exposée.

5. Sensibiliser et former

La sécurité du Système d’Information est à la charge de tous, à tout instant. À ce titre, il est nécessaire de sensibiliser la population de son SI aux enjeux de sécurité et aux bons comportements à adopter. Des campagnes de sensibilisation peuvent s’avérer très efficaces : exercices de phishing, USB dropping ou encore mise en place de vidéos et questionnaires éducatifs.
Grâce à cela, un.e employé.e qui travaille depuis un café pensera - par exemple - à ne pas se connecter à un Wi-Fi public s’il ne dispose pas de protections adaptées.

Ces mesures ne doivent pas être limitées aux simples utilisateurs. Les équipes opérationnelles doivent également être formées sur les bonnes pratiques à appliquer à leur niveau pour ne pas engendrer de vulnérabilités exploitables. Une défaillance du facteur humain est la clef du succès des attaques par ingénierie sociale. Apprendre à ses associés à se méfier est souvent le meilleur moyen de protection possible.

Adopter une bonne cyber-hygiène nécessite de la régularité. En effet, des habitudes doivent être créées et maintenues dans le temps. La sécurisation de son système doit impérativement se faire au niveau technique mais il ne faut pas négliger les habitudes et applications réelles des utilisateurs. Chacun d’entre eux est un maillon à part entière de la chaîne du Système d’Information - et doit être sensibilisé et protégé.