On associe généralement les failles de sécurité informatique à la perte et au vol d’informations dus à l’intrusion de pirates informatiques. Il suffit de penser au piratage massif de la compagnie Ashley Madison, en 2017, qui avait contraint l’entreprise à négocier avec les pirates au risque de voir diffuser l’ensemble de ses données confidentielles. Une histoire semblable à celle de Sony, en 2014.

Toutefois, et particulièrement pour les PME, il est faux de croire que les menaces proviennent de l’extérieur. En effet, 85 % de l’espionnage corporatif est fait par les employés, soit à l’intérieur même des entreprises.

La sécurité informatique : un enjeu de plus en plus complexe

La prolifération des services de stockage en ligne, tels que Evernote, Dropbox et Google Drive, augmente les failles de sécurité et les risques de fuite d’information, en plus d’amener un lot d’enjeux organisationnels.

• À qui appartient l’information corporative emmagasinée dans le service de stockage ?
• À qui l’accès aux données est-il réservé ?
• Qu’est-ce qui empêche un employé qui quitte l’entreprise de réutiliser les données à la suite de son congédiement ?

Perte et vol de données en interne : un phénomène en hausse

C’est un phénomène de plus en plus répandu au sein des entreprises. En 2014, 67 % des organisations disaient avoir subi la perte ou le vol de données sensibles au cours des deux années précédentes. En 2016, ce nombre augmentait à 78 %.

Cette hausse peut s’expliquer par un manque de vigilance et par certaines erreurs auxquelles il est possible de remédier rapidement.

1. Accès trop étendu à de l’information sensible

62 % des employés des compagnies ont accès à des informations qu’ils ne devraient pas voir et desquelles ils n’ont aucune utilité.

2. Comptes usagers mal protégés

Les codes d’accès aux informations protégées sont souvent simples à découvrir ou ne sont pas modifiés sur une base régulière. Deux brèches sur trois relèvent de la faiblesse ou du vol de mots de passe.

 3. Manque de surveillance et de contrôle des accès

•  À peine le tiers des organisations fondées ont un système de contrôle des accès stricts appliqués à l’ensemble de leurs activités. 26 % n’ont recours à aucun système.

•  Seulement 8 % des entreprises révisent chaque mois les accès de leurs employés actuels et anciens aux logiciels de stockage de donnée. 38 % le font annuellement, et 24 % ne le font jamais.

Sept pistes de solution pour renforcer la sécurité informatique dans les PME

Heureusement, il existe des stratégies simples et efficaces pour prévenir les risques de piratage et de fuite de données au sein de votre PME.

1. Sécuriser le périmètre du réseau

Afin de bien sécuriser le périmètre du réseau, il est important maintenir  les logiciels des pare-feu à jour, et de mettre en place un processus de révision des accès en continu.

Pour ce faire, plusieurs logiciels offerts sur le marché peuvent grandement vous faciliter la tâche. C’est notamment le cas du programme d’évaluation des cybermenaces de Fortinet, baptisé Cyber Threat Assessment Program. Ce logiciel est conçu pour fournir aux organisations une analyse détaillée des types et du nombre de cybermenaces potentiellement dangereuses pour leurs réseaux qui ne sont pas détectées par leurs solutions de sécurité actuelles.

2. Surveillance du réseau

Qu’il s’agisse d’intrusions, d’agissements internes illicites ou de simples erreurs de négligence, il est primordial de surveiller votre réseau en tout temps afin de bien comprendre ce qui s’y déroule et les actions qui y sont posées. Cette surveillance permet, sur une base régulière, de :

• Auditer les accès et les changements au niveau des données ;
• Activer la mise en suspens de la messagerie pour litige ;
• Détecter les intrusions et repérer les activités anormales ou suspectes ;
• Prévenir les pertes de données, par exemple en installant un système de prévention d’intrusion.

3. Contrôle des accès

Pour un contrôle des accès sécuritaire, il faut classifier l’information et ne donner l’accès aux informations sensibles qu’aux seuls usagers internes ou externes qui ont besoin d’y accéder.

Il est également requis de contrôler les accès des utilisateurs privilégiés tels que les administrateurs.

Une surveillance des accès et de l’activité reliée au courrier électronique et aux systèmes de fichiers est également de mise.

4. Gestion des codes d’accès

Il est essentiel de modifier régulièrement les codes d’accès et d’utiliser un gestionnaire de mots de passe. Un tel système permet de ne jamais laisser trainer cette information sensible sur un bout de papier, tout en n’ayant pas à la partager à grande échelle. 

5. Protéger les données

La protection des données passe par l’application des mises à jour et des correctifs de sécurité, notamment de Microsoft et des antivirus, sur les serveurs et les postes de travail. Il est aussi de la plus haute importance de prévoir un système de sauvegarde des données efficace et fiable.

6. Instaurer un service infonuagique corporatif

La mise en place d’un service infonuagique corporatif permet d’éviter la prolifération de services infonuagiques personnels qui rendent difficile le contrôle des accès. Une fois que le système est en place, l’important est d’établir des politiques d’utilisation et de sécurité claires pour les employés.

7. Établir un processus de terminaison d’emploi

Finalement, les PME doivent instaurer une politique claire et rigoureuse de cessation d’emploi. Elles doivent veiller à fermer les accès des anciens employés (compte AD, Accès VPN, Services infonuagiques, comptes chez des fournisseurs et partenaires, téléphonie, BYOD) et détruire les informations corporatives.

Conclusion

 Comme l’exprime très bien la compagnie Varonis, la plupart des atteintes à la sécurité des données impliquent une menace interne déjà présente.

Dans la plupart des PME, la perte ou le vol de données proviennent de l’intérieur. En sécurisant vos systèmes informatiques contre la malveillance ou les erreurs de vos employés, vous serez en mesure de réduire considérablement les risques de failles informatiques.