Face à ces enjeux, la cybersécurité doit devenir une priorité absolue pour les entreprises afin de prévenir les pertes de temps et de revenus. Alors que 95 % des incidents de cybersécurité proviennent d’erreurs humaines, la société SaaS spécialisée en sécurité applicative, Indusface, a rassemblé ses conseils d’experts pour vous aider à faire un nettoyage complet de vos données et ainsi renforcer leur sécurité, à l’ère du télétravail et de l’intelligence artificielle.

Les conséquences les plus courantes d’une mauvaise cyber-hygiène
• Perte de données
• Données égarées
• Failles de sécurité
• Logiciels obsolètes

Liste de contrôle pour la cyber hygiène de votre entreprise
1. Faites un inventaire complet de tous les matériels (ordinateurs, appareils mobiles, et équipements connectés comme les imprimantes et télécopieurs), des logiciels (programmes utilisés sur votre réseau ou installés sur les appareils de l’entreprise), et des applications (web comme Dropbox, Google Drive, etc.) que vous utilisez au quotidien.

2. Identifiez les éléments vulnérables : séparez-vous des équipements et désinstallez les logiciels dont vous n’avez pas besoin, mettez à jour tous vos logiciels et applications et changez régulièrement vos mots de passe.

3. Établissez une politique centralisée de cyber-hygiène :
- Changement régulier des mots de passe : implémentez des changements fréquents avec des mots de passe complexes pour prévenir les accès non autorisés.
- Mises à jour régulières : maintenez à jour logiciels et matériel pour garantir des performances optimales et prévenir les dysfonctionnements imprévus.
- Contrôle des installations : documentez toutes les nouvelles installations et interdisez le téléchargement de logiciels non approuvés par l’entreprise.
- Sauvegarde des données : effectuez des sauvegardes régulières sur des supports secondaires tels que des disques durs externes ou des services de stockage cloud.

4. Surveillez attentivement les logiciels et ressources connectés à Internet : identifiez tous les actifs publics, effectuez des évaluations régulières des éléments vulnérables, et mettez en place un plan de réduction des risques pour sécuriser ces points de contact critiques.
Comment transformer la cyber-hygiène de votre lieu de travail ?
Les données clients représentent l’actif le plus précieux d’une organisation. Lorsqu’elles incluent des informations identifiables personnelles (IIP), toute fuite peut entraîner des problèmes majeurs de conformité et des sanctions financières importantes.
Les applications, telles que les sites web, les applications mobiles et les API, sont souvent la cible privilégiée des pirates pour exfiltrer ces données. Cependant, les employés peuvent également être exploités comme vecteurs d’attaque, en se faisant passer pour eux afin de pénétrer les systèmes de sécurité.

Pour commencer, nous allons explorer les méthodes de sécurisation des applications dans le cadre de la cyber-hygiène.

1. Comprendre votre surface d’attaque externe
Les grandes organisations ont souvent du mal à maintenir un inventaire exhaustif de tous les actifs externes accessibles via Internet.
La première étape consiste à évaluer ce risque en utilisant des outils de découverte de la surface d’attaque. Ces outils permettent de recenser tous les sites web, applications, et adresses IP publics, afin de mieux comprendre et protéger l’ensemble des points d’accès potentiels.

2. Analyser la surface d’attaque pour détecter les vulnérabilités
Une analyse du framework MITRE ATT&CK a révélé que plus de 50 % des incidents de cybersécurité sont causés par l’exécution de code à distance, un chiffre bien plus élevé que celui des attaques par hameçonnage, qui ne représentent qu’environ 10 % des incidents. Les injections de code, telles que les scripts intersites ou les injections HTML, exploitent des vulnérabilités dans les applications, permettant aux pirates de compromettre les systèmes.
Une fois la surface d’attaque externe identifiée, l’étape suivante consiste à analyser en profondeur toutes les applications critiques de votre entreprise pour détecter ces vulnérabilités. La détection précoce est cruciale pour prévenir les incidents de sécurité.
En outre, la plupart des normes de conformité exigent la réalisation d’un test de pénétration manuel annuel, effectué par des experts certifiés, pour identifier les failles de sécurité qui pourraient passer inaperçues.

3. Corriger régulièrement les vulnérabilités
Après avoir identifié les vulnérabilités, il est essentiel de les corriger rapidement. Cependant, des études montrent que même les vulnérabilités critiques mettent souvent plus de 200 jours à être corrigées après leur découverte. Ce délai peut être dû à un manque d’expertise dans l’application des correctifs, à la complexité du code hérité ou à la crainte de perturber la continuité des activités, comme l’a illustré l’incident récent chez CrowdStrike.
Pour pallier ces retards, une solution consiste à appliquer des correctifs virtuels via un WAAP (Web Application and API Protection) ou un WAF (Web Application Firewall). Ces outils empêchent l’exploitation des vulnérabilités, permettant ainsi de gagner du temps pour déployer les correctifs nécessaires sans compromettre la sécurité des applications.

4. Analyser régulièrement vos registres
L’analyse régulière des registres d’accès, de requêtes, de réponses, et autres types de registres est une étape cruciale pour détecter les anomalies susceptibles d’indiquer des attaques sur les applications. L’intelligence artificielle (IA) joue un rôle clé dans ce domaine en identifiant rapidement les comportements inhabituels et en adaptant les politiques de sécurité en fonction des nouvelles menaces. L’utilisation de l’IA permet non seulement de repérer les anomalies plus efficacement, mais aussi d’ajuster les défenses en temps réel pour protéger les systèmes contre les attaques potentielles.

5. Encourager la responsabilité individuelle
Il est essentiel que les employés comprennent les implications personnelles d’une violation de données et aient une bonne connaissance des pratiques de sécurité liées aux points d’accès. En 2023, plus de 352 millions de personnes ont été touchées par des violations de données, soulignant l’importance pour les organisations de dispenser une formation approfondie sur la gestion des données sensibles et sur les mesures de protection à adopter.
Les employés doivent être conscients des risques associés à une mauvaise gestion des données sensibles et des conséquences potentielles sur leur sécurité personnelle. En comprenant que les attaques ne touchent pas seulement l’entreprise mais peuvent également avoir des répercussions directes sur eux-mêmes, les employés seront plus motivés à suivre les politiques de sécurité de l’organisation.
Un engagement accru de la part des employés peut être favorisé par une sensibilisation régulière aux menaces et une formation continue. Cela renforce leur compréhension de la fréquence et de la gravité des attaques, contribuant ainsi à une culture de sécurité plus robuste et proactive au sein de l’entreprise.

6. Utiliser un logiciel de cryptage
Les logiciels de cryptage jouent un rôle crucial dans la protection des données contre les risques de violation associés au travail à distance. En cryptant les fichiers sensibles, les employeurs assurent qu’en cas de vol, les données restent inaccessibles et protégées contre toute exploitation non autorisée.
Pour maximiser l’efficacité du cryptage, les employeurs doivent élaborer des politiques de sécurité claires et détaillées. Ces politiques doivent inclure des directives précises sur la manière et les moments où les fichiers doivent être cryptés, en particulier pour ceux qui télétravaillent. Il est également essentiel de mettre en place des contrôles de routine pour vérifier le respect de ces règles et assurer la conformité continue aux pratiques de cryptage.

7. Utiliser des VPN dans toute l’entreprise
Les violations de données ont coûté environ 4,45 millions de dollars aux entreprises en 2023. C’est pourquoi il est impératif d’investir dans des outils qui permettent de couvrir les vulnérabilités.
L’utilisation d’un réseau privé virtuel (VPN) est une mesure essentielle pour protéger les données lorsque les employés accèdent à des documents professionnels via des réseaux domestiques ou publics non sécurisés. Le VPN chiffre les communications entre les dispositifs des employés et les serveurs de l’entreprise, réduisant ainsi le risque d’interception et d’accès non autorisé.
Encourager l’adoption généralisée des VPN dans toute l’entreprise est une étape simple mais efficace pour renforcer la sécurité des données et protéger les informations sensibles contre les menaces potentielles sur des réseaux ouverts.

8. Politiques d’utilisation de l’IA
Lorsque les entreprises intègrent des systèmes d’IA, ils bénéficient d’une efficacité et d’une rapidité d’exécution améliorées. Cependant, cette dépendance à l’IA expose également les entreprises à des risques de cyberattaques accrus. Les systèmes d’IA, en raison de leur capacité à gérer des volumes importants de données sensibles — allant des informations privées des consommateurs aux données financières de l’entreprise — deviennent des cibles de choix pour les cybercriminels.
Les mêmes algorithmes qui optimisent les processus commerciaux peuvent, en effet, être exploités pour attaquer les vulnérabilités des systèmes. Il est donc crucial que les politiques de sécurité de l’entreprise prennent en compte non seulement les avantages de l’IA mais aussi les risques potentiels, en mettant en place des mesures de protection robustes contre les vecteurs d’attaque qui cherchent à exploiter les failles dans la logique des systèmes d’IA pour accéder à des données critiques.

9. Politiques de télétravail
Venky Sundar, fondateur et président pour les Amériques chez Indusface, souligne les risques associés au télétravail :
« Le télétravail expose les employés à des environnements moins sécurisés, augmentant ainsi les risques de violations de données, tant numériques que physiques. Beaucoup de travailleurs à distance utilisent des appareils partagés pour des fins professionnelles et personnelles, ce qui accroît le risque de compromission des données de l’entreprise. »
« Les stratégies de sécurité conçues pour les bureaux ne sont donc plus suffisantes. Les données sont désormais accessibles en dehors du périmètre traditionnel de sécurité, où le service informatique ne peut pas exercer un contrôle direct. »
« Il est donc essentiel que les politiques de sécurité soient élaborées sur la prémisse que les violations de sécurité sont inévitables. Les entreprises doivent concevoir leurs systèmes de manière à limiter les dommages même si les ordinateurs portables des employés sont compromis. Adopter une approche holistique en matière de sécurité des applications et des points d’accès est primordial pour protéger l’infrastructure informatique critique. »