La cyber-sécurité est une responsabilité partagée par tous. Chaque ordinateur ou appareil électronique hacké devient un pivot potentiel pour mener d’autres attaques, transformant ainsi les victimes en complices. Tout utilisateur est responsable de la protection de ses appareils, non seulement pour leur propre pérennité, mais afin qu’internet soit un endroit sûr pour chacun.
Dans cette optique, le mois d’octobre a été choisi par le NCSAM (National Cyber Security Awareness Month) pour sensibiliser aux cyber-risques et promouvoir les meilleures pratiques de protection. Cette campagne a commencé aux États-Unis en 2004, et l’Europe y participe depuis 2012.
Pendant un mois, plus de 700 entreprises, dont 3 firmes suisses, vont encourager les institutions, entreprises et citoyens à agir en ligne de façon responsable.
Voici nos recommandations générales qui s’appliquent à tous :
Gardez vos systèmes à jour et n’installez que des applications dont vous avez besoin et de source sûre.
L’erreur est humaine et les développeurs font souvent des erreurs qui peuvent être exploitées par des hackeurs pour corrompre vos systèmes. Que vous utilisiez un Mac, PC, Android ou iPhone, vous devez mettre régulièrement votre système à jour afin de corriger ces erreurs. Avec près de 15’000 vulnérabilités (erreurs qui peuvent être exploitées par un hackeur) découvertes chaque année, le processus de mise à jour des applications et des systèmes d’exploitation est essentiel pour assurer la sécurité d’un système.
Plus de 85% des attaques informatiques n’utilisent pas des zero-days (des attaques contre lesquels il n’y a aucune défense), mais des vulnérabilités connues du public et corrigées dans un patch ou un update. Dès qu’un éditeur de logiciels publie un correctif pour réparer une vulnérabilité, se met en place une course entre les hackeurs voulant exploiter la vulnérabilité et les utilisateurs qui doivent installer ce correctif. De ce fait, il est essentiel de mettre à jour vos applications le plus rapidement possible.
Utilisez des mots de passe longs et à usage unique. Si possible, activez l’authentification forte.
Le mot de passe est l’outil principal pour s’authentifier à un système ; c’est pour cela qu’il doit être choisi et utilisé avec beaucoup d’attention. En analysant comment les hackeurs cassent les mots de passe, on réalise que le facteur le plus important est d’utiliser des mots de passe longs (15 caractères ou plus).
Aussi, tous les jours, des sites web se font hacker et les mots de passe sont volés (plus de 4,7 milliards sont répertoriés au jour d’aujourd’hui). Si vous utilisez le même mot de passe sur plusieurs sites, aussitôt qu’un d’eux est piraté, le hackeur peut facilement accéder à vos comptes sur les autres sites.
Une protection efficace contre le vol de vos données est l’utilisation d’un deuxième facteur, ce qui limite grandement les actions d’un hackeur qui aurait réussi à se procurer votre mot de passe. Bien que tous les sites web n’offrent pas ce service, il est fortement conseillé de l’activer chaque fois que l’option vous est proposée.
Utilisez en tout temps un bon antivirus, firewall et backup
Les antivirus sont un rempart essentiel pour protéger un ordinateur. Ils permettent d’empêcher aux applications malveillantes de s’installer sur les ordinateurs et à des codes dangereux de s’exécuter. La qualité des antivirus varie beaucoup d’un fournisseur l’autre. Les plus simples ne peuvent que bloquer des virus déjà connus, tandis que les plus avancés permettent de retracer les incidents, découvrir des nouveaux virus et notifier les administrateurs en cas de problèmes.
Le firewall permet de limiter et contrôler le contenu entrant et sortant d’un ordinateur. Que ce soit pour prévenir une attaque ou pour empêcher le vol de données, un firewall a un rôle essentiel. Généralement, un firewall est installé à l’entrée du réseau (sur le modem) et un autre sur l’ordinateur.
Le backup est un plan de secours en cas d’incident : il s’agit d’une copie de vos données sur un autre support, afin de pouvoir les récupérer en cas de problème. La règle habituelle est d’avoir au moins trois copies de chaque donnée sur deux différents types de support, dont une copie est hors-site. Il est aussi recommandé d’avoir son backup en « lecture seule » afin d’empêcher qu’il soit effacé lors d’une attaque.
Gardez le contrôle de vos données : cryptez les informations sensibles, limitez la publication d’informations personnelles et ne diffusez des informations qu’aux personnes pertinentes
Les données digitales sont très facilement copiables et vivent pour toujours. Une fois que des données sont volées, envoyées aux mauvaises destinataires ou publiées publiquement vous en perdez complètement le contrôle. La majorité des pertes de données sont dues à des erreurs humaines telles que les mauvais destinataires dans les emails, la publication sur des réseaux sociaux sans vérifier la confidentialité préalablement, ou encore la perte d’appareils.
Par exemple, un profil LinkedIn peut dévoiler à un hackeur les technologies utilisées en interne d’une entreprise et des photos de vacances peuvent indiquer à un cambrioleur quand pénétrer chez vous.
Pour protéger vos données, le cryptage est essentiel. Assurez-vous que vous visitez des sites web sécurisés avec HTTPS, que vous communiquez avec des logiciels sûrs (tels que Signal Private Messenge ou ProtonMail) pour vos échanges confidentiels et que vous cryptez vos données sur vos ordinateurs et smartphones .
Prenez une seconde pour réfléchir avant d’ouvrir un fichier ou cliquer sur un lien. En cas de doute, demandez.
De nos jours, 90% des cyber-attaques commencent par un email qui vous demande d’exécuter une action telle que cliquer sur un lien, ouvrir une pièce jointe ou transmettre des informations. Afin de se protéger, il faut toujours correctement s’assurer de l’expéditeur et ne jamais s’empresser de cliquer. Vous pouvez vous protéger en quelques secondes en appelant l’expéditeur afin de vous assurer que c’est un email légitime, ou en retapant un lien dans un navigateur plutôt que de cliquer dessus.
Dans une entreprise, il y a souvent une personne responsable à qui vous pouvez transmettre l’email afin qu’il valide sa légitimité.
Il n’y a pas de honte à se faire hacker : il est par contre inexcusable de ne pas en aviser son entourage. Communiquez en cas d’incident !
Aucun système n’est impénétrable et un adversaire avec suffisamment de détermination et de moyens arrivera probablement à hacker un système. Les compagnies victimes d’attaques ont tout d’abord besoin d’un support professionnel pour limiter les dégâts et se rétablir. Rien ne peut réellement excuser des négligences, mais le facteur essentiel reste la gestion et la communication post-incident.
Que ce soit dans le monde privé ou celui de l’entreprise, une attaque, doit être annoncée à toutes les victimes et aux collatéraux, afin qu’ils puissent réagir de leur côté et adapter leur stratégie de protection en conséquence. Les entreprises scrupuleuses devraient être transparentes pour que l’industrie globale puisse apprendre de leurs erreurs rendant finalement l’internet un endroit plus sûr pour la société en entier.
