En matière de sécurité, la transformation numérique entraîne de nouvelles exigences et de nouveaux risques. Pour permettre aux utilisateurs d’adopter ces nouveaux services en toute confiance tout en comprenant parfaitement les risques liés aux données pour l’entreprise, une approche globale doit être mise en place.
J’expose ici les 5 règles d’or que je recommande aux nouveaux responsables de la sécurité informatique.
A lire également : Contrôle parental : pourquoi et comment surveiller le téléphone de votre enfant ?
A chaque étape du projet de transformation des données, il y a des conséquences importantes en matière de sécurité qu’il faut garder en tête.
Cela va d’un accès plus large au système à des données non structurées et de moins en moins cloisonnées, à une population d’utilisateurs plus vaste et plus diversifiée et à la coexistence d’anciennes applications et de nouvelles technologies.
A lire aussi : Espionner un portable à distance : quelles sont les meilleures solutions ?
La liste est longue. Par conséquent, les stratégies traditionnelles de cloisonnement ne sont plus pertinentes. La mise en place d’une stratégie de sécurité globale (et non cloisonnée), entièrement repensée, est nécessaire pour assurer le succès de votre plan de transformation numérique. Les nouveaux managers en matière de sécurité informatique ont du pain sur la planche !
Une approche » de bout en bout «
Cela implique une véritable vision, prenant en compte tous les aspects de la numérisation et offrant une approche cohérente de la sécurité. Une approche » de bout en bout » devrait être employée et axée sur deux objectifs principaux : la protection de la vie privée des clients et des employés, en particulier des données personnelles.
Et la protection de l’entreprise, en mettant l’accent sur ses capacités informatiques et ses données de production. Pour aider les nouveaux responsables de la cybersécurité pendant la transformation numérique, voici mes cinq règles d’or pour réussir.
1 – Pensez à la sécurité dès le stade du développement
La particularité de la transformation numérique est l’arrivée des nouvelles technologies et des nouvelles utilisations de technologies existantes. Généralement développées par conception itérative, la sécurité de ces applications est souvent traitée à l’étape post-pilote une fois le concept approuvé. Mais sécuriser le post-développement d’une application peut s’avérer très compliqué si la structure n’a pas été développée dans cet esprit au départ. Une méthode de développement dite » sécurisée par la conception » doit donc être adoptée pour s’assurer que les différents risques sont identifiés dès le stade du développement.
2 – Soyez vigilants
La vigilance doit être de mise dans la gestion des identités des utilisateurs et des accès au système. C’est l’un des véritables enjeux de la transformation numérique. La multiplication et la diversité des utilisateurs augmentent, mais les systèmes d’autorisation restent un point faible. Même les solutions biométriques ont montré leurs limites.
Par exemple, les profils d’utilisateurs autorisés à générer des données sensibles (comme les virements de fonds) devraient être séparés des profils qui autorisent ensuite ces données. De plus, le nombre d’utilisateurs et de comptes à accès privilégié devrait être réduit au minimum. Enfin, une politique stricte en matière de mots de passe devrait être appliquée en combinaison avec des systèmes d’authentification multifactorielle pour les processus sensibles.
3 – Isolez les systèmes vulnérables
Les suites d’applications sont souvent très variées car elles utilisent des technologies développées à différentes périodes dans le temps. Comme les nouvelles applications doivent communiquer avec la suite existante et s’y intégrer, la gestion de l’obsolescence et de l’hétérogénéité technologique entre applications doit être traitée en priorité.
Il est donc parfois nécessaire d’isoler ces systèmes vulnérables en les protégeant spécifiquement car ils n’ont pas été développés pour faire face à ces nouveaux problèmes de sécurité dès le départ. Enfin, tout manquement aux règles de sécurité doit être noté et traité de manière appropriée.
4 – Installez un SOC (« Security Operations Center »)
Chaque jour, de nouvelles failles sont découvertes dans les logiciels d’entreprise. Et chaque jour des pirates développent de nouveaux plans d’attaque. Ces failles, pour lesquelles il n’existe actuellement aucune solution corrective (vulnérabilité Zero Day) valent de la poussière d’or sur le darknet et offrent une porte ouverte même sur les systèmes informatiques les mieux protégés.
La simple fixation de normes de sécurité, même si elle est absolument nécessaire pour limiter les risques, s’avère insuffisante. Pour détecter et faire face à des attaques quotidiennes de plus en plus sophistiquées, la meilleure solution serait de faire appel à une équipe d’experts qui analyseront en temps réel toutes les activités (journaux de trafic, emails, différents flux, etc.).
En recherchant les « signaux faibles » qui les alerteront d’actions suspectes telles que la connexion administrative depuis un lieu inhabituel ou l’exfiltration de données sensibles. Une fois les menaces détectées, vous pouvez réagir en conséquence.
5 – Informez les utilisateurs
Ne perdez pas de vue que les utilisateurs eux-mêmes sont souvent le point vulnérable du système, car les pirates profiteront de leur naïveté.
Il est donc essentiel d’informer et de former régulièrement les utilisateurs du système sur le mode de fonctionnement des pirates et le code de conduite à adopter. Il est également important de développer les applications de manière à limiter les dommages potentiels d’un utilisateur victime de piratage informatique.
Installez la confiance numérique
Maintenant que nous sommes conscients des incidents de sécurité de plus en plus fréquents et médiatisés, les clients, le personnel et les actionnaires peuvent devenir méfiants ou se désengager totalement.
Qui peut oublier les attaques sur TV5 Monde, les fuites de données et les vols chez Sony ou chez le fabricant de jouets VTech ?
La transformation numérique ne sera couronnée de succès que si elle s’accompagne de la confiance numérique, de la certitude que les questions de sécurité feront l’objet d’un suivi attentif et du plus haut niveau de professionnalisme. N’oubliez pas qu’en donnant confiance aux utilisateurs, vous assurerez la longévité de l’entreprise.
Rétablir la confiance après un incident de sécurité majeur est souvent une question très complexe.
Choisir un partenaire de confiance
Les hackers redoublent d’ingéniosité pour atteindre leur but. Désormais, il devient primordial pour toute entreprise de savoir choisir un collaborateur de confiance pour un renforcement optimal de la menace cyber.
Bien que la lutte contre la cybercriminalité repose sur la responsabilité de chacun, il ne faut pas négliger le travail d’équipe, aussi bien en interne qu’en externe à l’entreprise. Pour assurer la partie externe, autant collaborer avec une entreprise de cybersécurité fiable. Il s’agit d’être le plus armé possible, avec une organisation reconnue, en charge de la sécurité des données et des infrastructures.
Pour aider les entreprises à identifier facilement ces partenaires en sécurité, l’Anssi a lancé l’octroi de différents labels. Il s’agit notamment de :
- PASSI (prestataire d’audit de la sécurité des systèmes d’information) ;
- PRIS (prestataire de réponse aux incidents de sécurité) ;
- PDIS (prestataire de détection des incidents de sécurité) ;
- Prestataire de services sécurisés d’informatique en Cloud ;
- France Cybersecurity, qui est attribué à une gamme de services ou produits déployé en cybersécurité.
Selon l’agence, ces labels sont établis afin de couvrir les exigences relatives à la structure de l’entreprise, notamment les implantations, les dirigeants ou les actionnaires, aux installations comme les équipements dédiés et les locaux. Enfin, sont également pris en compte le personnel et le fonctionnement des prestations.
