La grande majorité des incidents que nous traitons n'exploitent aucune technique avancée. Ils exploitent une de ces dix mesures manquantes.
La cybersécurité donne l'impression d'un domaine réservé aux grandes structures avec de gros budgets. En réalité, les incidents les plus fréquents s'expliquent par des manques élémentaires. Voici les dix mesures que nous vérifions en premier dans chaque audit, dans l'ordre où nous les traitons.
Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse. Testez une restauration complète au moins deux fois par an, et conservez une copie hors ligne ou hors site : c'est la seule protection réellement efficace contre un rançongiciel.
Messagerie de direction, accès bancaires, administration du système d'information, comptes d'hébergement. Un mot de passe volé ne suffit alors plus à entrer. C'est la mesure au meilleur rapport effort/efficacité qui existe.
Un compte partagé entre cinq personnes rend toute traçabilité impossible et survit aux départs. Chaque utilisateur doit avoir son propre accès, avec ses propres droits.
Dressez la liste des accès à couper le jour du départ d'un collaborateur, et faites-la appliquer par les ressources humaines, pas par la seule bonne volonté du service informatique. Les comptes dormants d'anciens employés sont une porte d'entrée classique.
Un utilisateur n'a accès qu'à ce dont il a besoin pour son travail. Cela limite mécaniquement l'ampleur d'un incident : un compte compromis n'ouvre alors qu'une petite partie du système.
Systèmes, serveurs, applications métiers, équipements réseau. La plupart des intrusions exploitent des failles connues et corrigées depuis des mois. Définissez une fenêtre de mise à jour régulière plutôt que d'attendre l'incident.
La majorité des compromissions commencent par un clic sur un lien ou une pièce jointe. Une session de sensibilisation annuelle, suivie de faux e-mails de test, change durablement le comportement des équipes.
La fraude au faux ordre de virement ne relève pas de la technique mais de la procédure. Instaurez une règle simple : tout changement de coordonnées bancaires d'un fournisseur se vérifie par un appel à un numéro connu, jamais à celui indiqué dans le message.
Les serveurs de production ne doivent pas partager le même réseau ni les mêmes accès que les postes bureautiques. Cette séparation contient la propagation d'un incident.
Qui appelle-t-on, dans quel ordre, avec quels numéros, et qui décide de couper quoi ? Une page suffit. Le jour de l'incident, ce document vous fera gagner les heures qui comptent le plus.
Si vous ne devez en retenir que trois : sauvegardes testées, double authentification, révocation des départs. Elles n'exigent presque aucun investissement et couvrent la majorité des scénarios que nous rencontrons sur le terrain.