Dans une certaine mesure, toutes les entreprises peuvent se trouver dans une situation de vulnérabilité face à des actes non-intentionnels ou malveillants commis par des employés.
Les menaces extérieures sont souvent davantage prises en considération que les menaces internes et les mesures pour les prévenir vont être plus rigoureuses. Cependant, il est important de se protéger du piratage interne dont les conséquences peuvent aussi être très graves pour les entreprises.
Il y a toutefois une distinction très importante à faire entre les actes involontaires et ceux qui visent délibérément à nuire à l’entreprise. Les moyens de lutter contre ces deux types d’action vont être différents. Quelle que soit la source de risque pour la sécurité informatique et générale de l’entreprise, il faut considérer l’équation suivante pour se protéger :
À travers des exemples d’entreprises qui ont subi des actes de piratage, nous partageons des erreurs classiques qu’il faut éviter et des recommandations pour vous prémunir des risques de piratage interne.
La confiance accordée aux employés est importante dans les entreprises, mais cela ne doit pas pour autant se faire au détriment de la sécurité. Nous avons l’exemple d’une entreprise québécoise qui s’est fait dérober plusieurs milliers de dollars par un employé qui avait réussi à obtenir le mot de passe de l’application pour éditer et imprimer les chèques. Cet employé a émis plusieurs chèques de petits montants à son ordre et a imité la signature de la personne habilitée à signer les chèques.
Il n’a pas été inquiété pendant plusieurs mois et a pu extorquer des fonds régulièrement. C’est seulement en faisant une conciliation bancaire que le comptable a identifié la fraude.
Dans ce cas, qui relève d’un vol peu complexe, deux défaillances dans la gestion de la sécurité peuvent se corriger.
• Avoir le même mot de passe pour tout : ordinateur, boîte courriel, logiciels, ...
• Garder le mot de passe écrit proche du poste de travail
• Avoir des mots de passe trop courts et trop peu complexes (avec un ou deux types de caractères)
• Conserver le même mot de passe trop longtemps
• Définir un mot de passe par application et au besoin utiliser une application de gestion des mots de passe
• Élever le niveau de complexité des mots de passe (utiliser les majuscules, des minuscules, des chiffres et des caractères spéciaux)
• Modifier les mots de passe tous les 3 à 6 mois
Que ce soit des documents informatisés ou papier, tout ce qui est de nature sensible doit être sécurisé et l’accès restreint.
• Donner les mêmes niveaux d’accès à tous les utilisateurs
• Ne pas avoir d’armoire sécurisée ou laisser les clés sur l’armoire
• Donner la gestion d’un processus sensible à un seul employé
Bonnes pratiques à mettre en place :
• Sécuriser l’accès aux documents clés
• Segmenter les niveaux d’accès aux applications et données sensibles
• Répartir la gestion de processus clés sur plusieurs personnes
• Cliquer sur des liens qui installent des logiciels malveillants
• Connecter des clés USB infectées
• Amener des appareils infectés de l’extérieur
• Laisser des documents ou appareils à portée des visiteurs
L’information aux employés est la première barrière pour prévenir ces actes.
• Charte informatique qui comprend les règles sur l’utilisation des courriels, la navigation sur internet, l’utilisation de périphériques personnels, le BYOD (Bring Your Own Device), ...
• Politique de destruction de documents
• Organisation du poste de travail en fin de journée
• Règles applicables pour les rencontres avec des visiteurs de l’extérieur
• Équiper les appareils de logiciel de localisation à distance
De grandes entreprises de plusieurs pays ont été victimes de « l’escroquerie au président » en 2014. Cette arnaque repose sur la confiance que les individus ont dans la sécurité des communications par courriel. Même s’il s’agit d’une fraude menée par des cybercriminels extérieurs aux entreprises, ce sont bien des actes involontaires internes qui permettent la réussite de l’arnaque et qui permet de détourner des millions de dollars.
La vulnérabilité aux actes malveillants ou involontaires qui mettent en péril la sécurité des entreprises n’est pas uniquement présente dans les petites structures comme le démontre l’escroquerie au président. Les bonnes pratiques recommandées ici doivent faire partie intégrante de la vie de l’entreprise pour réduire les risques.
D’un point de vue strictement informatique, il est nécessaire de ne pas retarder la mise en place des éléments de sécurité requis pour votre infrastructure.
© freshidea - Fotolia.com