Les budgets consacrés aux TI ne sont plus ce qu’ils étaient. L’époque où ils rivalisaient avec le PIB de petits pays est révolue. Et, bien qu’une énorme part du budget en TI continue d’être allouée aux dépenses en cybersécurité, cette enveloppe est désormais résolument réduite. Cependant, contrairement aux idées reçues, l’amélioration de la cybersécurité ne passe pas nécessairement par de coûteux investissements. Il est possible d’améliorer la protection et la surveillance de votre entreprise de façon significative en prenant quelques mesures de base qui génèrent des résultats appréciables.
En fonction de notre travail en cybersécurité auprès de nos clients, nous avons établi huit mesures simples et efficaces à mettre en place dès maintenant et qui ne grugeront pas votre budget.
- Procédez à l’inventaire de vos actifs d’information. Examinez soigneusement ce que vous savez véritablement au sujet de vos actifs en TI et de la façon dont ils sont gérés. Vous ne pouvez pas protéger les actifs dont vous n’avez pas connaissance! Cependant, vous pouvez avoir la certitude que si votre réseau est ciblé, les pirates informatiques trouveront les systèmes non protégés dont vous ignoriez l’existence et exploiteront cette faille. Lorsque vient le temps de procéder à l’inventaire des actifs, le déploiement d’un outil de détection automatisé constitue une mesure simple, efficace et peu coûteuse vous permettant d’être mieux informé au sujet de vos systèmes d’entreprise. Nous conseillons de déployer à la fois des systèmes d’inventaire actifs (connexion serveur DHCP et outils de balayage des adresses réseau) et des systèmes d’inventaire passifs (qui analysent le trafic des réseaux pour y détecter les activités).
- Évaluez le profil de protection de vos terminaux. Vous savez maintenant ce que vous possédez et vous avez acquis une connaissance approfondie de vos réseaux. Mais comment gérez-vous les correctifs apportés aux systèmes d’exploitation de ces outils (p. ex. mises à jour des ordinateurs portables et des appareils mobiles)? Êtes-vous certain que chaque terminal connecté à votre réseau est configuré de façon sécuritaire? Une fois de plus, l’automatisation est la clé. Déployez des correctifs automatisés une fois qu’ils auront été rigoureusement mis à l’essai et soigneusement examinés pour vous assurer qu’ils s’intègrent à votre environnement. Ceux-ci fourniront les plus récentes mises à jour des systèmes d’exploitation de vos terminaux.
- Examinez la sécurité liée aux accès physiques. La cybersécurité concerne la protection de vos actifs d’entreprise les plus importants : les données d’entreprise et leur infrastructure de soutien. Pour l’énoncer simplement, les failles de sécurité physique peuvent faire en sorte que des personnes non autorisées accèdent à vos systèmes et données (et, bien sûr, accèdent à des endroits sécurisés). Assurez-vous de combler toutes les lacunes de sécurité physique, ce qui vous aidera à sécuriser également votre infrastructure technologique. Vérifiez si ceux qui ont accès aux données et à l’infrastructure ont réellement besoin d’y accéder. Soyez également à l’affût des failles dans les processus existants, comme les procédures de cessation d’emploi, afin de repérer les accès accordés aux employés qui n’en ont plus besoin et de leur retirer.
- Abordez franchement la question des appareils mobiles. De plus en plus d’appareils mobiles sont connectés aux réseaux d’entreprise. L’adhésion au mouvement « Apportez vos appareils personnels » fait rage en ce moment. Cependant, une fois l’accès accordé à un appareil, qu’il soit fourni par l’entreprise ou appartienne à un employé, votre contrôle sur ce que l’utilisateur peut faire de vos données est limité. Assurez-vous d’avoir une compréhension claire des applications et données d’entreprise auxquelles il est possible d’accéder par l’entremise d’appareils mobiles en faisant appel à une solution de gestion des appareils mobiles. Si vos exigences ne sont pas clairement énoncées au sujet des applications et des connexions que vous considérez comme appropriées pour ces appareils, ne vous attendez pas à ce que vos employés fassent des choix sûrs.
- Évaluez vos outils existants. Avez-vous des outils de surveillance des réseaux? Faites-vous appel à des outils de centralisation des journaux d’exploitation? Pourriez-vous tirer meilleur parti de ces outils? La mise en œuvre de fonctionnalités supplémentaires à vos outils de sécurité existants peut éventuellement vous permettre d’économiser énormément d’argent et de temps. Envisagez d’utiliser vos ressources existantes avant d’investir dans de nouvelles solutions. Vous pourriez être en mesure d’améliorer votre infrastructure et de combler vos lacunes de sécurité à peu de frais.
- Concentrez vos activités de journalisation sur les systèmes essentiels. Comparez les anomalies détectées sur les systèmes aux exigences d’accès. Soyez prudent et assurez-vous de comprendre la façon dont les systèmes interagissent avant de mettre en œuvre des activités de journalisation. Résistez à la tentation d’activer tous les outils de surveillance existants au sein de votre infrastructure. Cette approche risquerait de compliquer l’analyse des causes fondamentales et de mener à une surutilisation de vos ressources.
- Sensibilisez vos employés de façon constante. La formation encourage les employés à adopter des comportements adéquats et agit à titre de rappel constant permettant d’intégrer la sensibilisation à la cybersécurité au sein de votre culture organisationnelle. L’adoption d’une culture axée sur la sécurité constitue l’un des meilleurs moyens d’améliorer la sécurité de votre organisation. Vos employés constituent votre meilleure arme de défense et sont généralement les premières cibles des attaques. Présentez-leur de courtes séances de formation de manière fréquente. En d’autres termes, proposez-leur chaque trimestre une séance de 10 à 15 minutes sur un sujet précis, plutôt que de leur imposer la corvée typique d’une heure ou deux que représente la formation annuelle sur la sécurité.
- Cherchez à obtenir le point de vue de vos employés. La cybersécurité est une difficulté qui touche les utilisateurs opérationnels, et la gestion des TI consiste à responsabiliser vos ressources et à tenir compte du point de vue de ceux qui connaissent vos activités. Vos employés sont votre meilleure source d’information et, parfois, un simple changement aux politiques et aux procédures peut avoir une incidence des plus déterminantes. Demandez à vos employés d’indiquer les risques repérés en regard de l’orientation de l’organisation et constituez une feuille de route des améliorations en fonction des perspectives des équipes opérationnelles.
Voilà donc des façons relativement peu coûteuses pour améliorer la cybersécurité au sein de votre entreprise. Je n’ai pas cherché à aborder le sujet de façon exhaustive, mais plutôt à offrir quelques pistes pratiques afin de permettre aux organisations des secteurs public et privé d’éviter de se positionner de façon vulnérable et de se présenter comme des cibles flagrantes.
Découvrez comment CGI aide ses clients à améliorer la cybersécurité au sein de leur organisation dans la
vidéo du centre des opérations de cybersécurité de CGI*.
*en anglais
