Du jour au lendemain la Covid-19 a exhorté la plupart des entreprises à revoir leur organisation et à modifier profondément leurs habitudes. Face à la soudaineté de la crise sanitaire, la mise en place du télétravail a dû se faire dans l’urgence, au détriment de certaines règles essentielles de sécurité informatique.
Ce qui était acceptable dans le cadre d’une situation de crise appelant des réponses rapides à des problématiques pressantes d’entreprise, ne l’est plus dès lors qu’on envisage de rendre pérennes certaines pratiques.
Et en parallèle, les activités cybercriminelles, elles, s’intensifient dangereusement, essayant de profiter du désordre pour mener leurs attaques.
L’année dernière, 65 % des cyber-attaques en France ciblaient les télétravailleurs*
Prenons 5 min pour faire le point des risques et voir comment y faire face.
Tout a changé…
Avec le télétravail, les risques ne sont plus les mêmes car l’environnement informatique a changé. Parmi ces changements, l’utilisation d’un équipement personnel pour se connecter au système de l’entreprise est certainement le plus massif.
En parallèle, la migration vers le cloud de nombreux applicatifs, logiciels et stockages historiquement installés en interne ont apportés une grande souplesse, et ont profondément modifié les usages. C’était tout à fait salutaire pour faire face à la situation inédite de crise, cependant il est utile de garder à l’esprit que ce changement n’annule pas le risque, il le transforme, en faisant entrer dans la chaîne informatique des prestataires jusqu’alors inoffensifs (fournisseur de solutions coud, revendeur, hébergeur…)
Chaque équipement personnel est devenu une surface d’attaque potentielle sur laquelle aucun contrôle n’est possible.
La connexion à distance au réseau de l’entreprise a souvent été improvisée et bricolée à l’aide d’applicatifs plus ou moins officiels et sécurisés, ouvrant ainsi des brèches énormes, dans lesquelles n’importe quel attaquant opportuniste s’engouffrera sans vergogne.
Les conséquences directes sont multiples et critiques
– la démultiplication de l’usage d’équipements personnels incontrôlés et incontrôlables, augmente et fragmente significativement la surface d’attaque
– les accès distants non sécurisés créent de nouveaux chemins d’attaque prolifiques
– les habitudes, mauvais usages ou négligences des collaborateurs sont plus difficiles à détecter et à déjouer… Mais vous ne pourrez pas leur reprocher s’ils n’ont jamais été formés…
– les arnaques classiques n’ont pas pris de repos : faux sites web de vente de matériel sanitaire, faux ordres de virements, fausses applications officielles, faux appels aux dons, fausses informations…
Les solutions en 4 recommandations
1. Disposer du matériel adéquat
– fournir un ordinateur professionnel pour tous les collaborateurs en télétravail
– opter pour un accès distant robuste et sécurisé : routeur professionnel et VPN
– posséder un système de sauvegardes fiable
– mettre à jour régulièrement l’ensemble des équipements
2. Former ses collaborateurs
Sensibilisez-les aux bonnes pratiques de sécurité informatiques, formez-les spécifiquement aux risques liés au télétravail, encadrez le télétravail par une charte de sécurité spécifique ou intégrée à la charte informatique générale
3. Identifier ses risques
Menez une analyse de risques et déterminez quels sont vos données, processus et équipements les plus critiques, protégez-les en priorité. Connaissez vos prestataires logiciels et cloud, identifiez les chaînes de sous-traitance, formalisez les relations par des contrats adéquats.
4. Déterminer des droits d’accès spécifiques et minimisés
Décidez qui peut accéder à quoi, d’où, quand et comment. Implémentez ces droits d’accès et renforcez l’authentification : multi-facteur, certificat, contrôle de conformité, biométrie…
Pour aller plus loin
Les mesures citées ci-dessus sont un très bon début. Si l’on voulait pousser la réflexion encore plus loin, il faudrait en fait repenser entièrement le modèle de sécurité.
L’approche classique s’intéresse au périmètre, autrement dit au dénombrement fini des équipements susceptibles d’accéder au Système d’Information, et détermine la meilleure manière de sécuriser celui-ci.
Désormais, les frontières sont non seulement floues, mais mouvantes, dynamiques. Les collaborateurs travaillent de n’importe où ou presque, basculent de leur ordinateur portable à un smartphone personnel, du réseau du bureau à un accès WiFi d’aéroport…
Dès lors, un changement de modèle s’avère inévitable, dans une logique de confiance zéro (zero trust), c’est-à-dire sans confiance implicite accordée à tout utilisateur connecté au réseau. Au contraire, le zero trust implique des contrôles d’accès renforcés et cumulatifs à de multiples niveaux.
Le sujet Zero Trust vous intéresse ? Contactez-nous !
*Source : « Au-delà des frontières : l’avenir de la cybersécurité dans le nouveau monde du travail » (Étude 2020-2021 téléchargeable gratuitement sur https://fr.tenable.com/analyst-research/forrester-cyber-risk-report-2021?)
