Les bases de la sécurité informatique

La sécurité des technologies de l’information ou la sécurité informatique est le processus de mise en œuvre des mesures et systèmes conçus pour protéger les informations (données commerciales et personnelles, conversations vocales, images fixes, films, présentations multimédias, y compris celles qui ne sont pas encore conçues) tout en utilisant des technologies développées pour créer, stocker, utiliser et échanger ces informations contre tout accès non autorisé, toute mauvaise utilisation, tout mauvais fonctionnement, toute modification ou destruction ou divulgation inappropriée, préservant ainsi la valeur, la confidentialité, l’intégrité, la disponibilité, l’utilisation prévue et sa capacité à fonctions critiques permises.

Les sujets abordés par la formation sur la sensibilisation à la sécurité informatique consistent en une combinaison de politiques et de procédures organisationnelles existantes sur la sécurité physique, la sécurité de bureau, la sécurité de mot de passe, le hameçonnage, les canulars, les virus, les vers, les chevaux de Troie, les logiciels espions et adwares; ainsi que sur les droits d’auteur relatif au partage de fichiers.

Ces sujets vous aideront vous et vos employés à comprendre pourquoi la sensibilisation à la sécurité est importante et à savoir comment prévenir les incidents et que faire s’ils se produisent.

 

1. Sécurité physique

En matière de sécurité physique, verrouiller vos portes et vos tiroirs de bureau / classeur devrait être l’objectif principal. Un élément utile à inclure pourrait être les statistiques de la criminalité, plus spécifiquement les vols. Un autre élément à ne pas oublier est le fait que si un attaquant potentiel a accès votre ordinateur, il pourrait installer un enregistreur de clé ou entrer dans une machine qui n’a pas été verrouillé.

 

2. Sécurité de bureau

La section sur la sécurité du poste de travail devrait expliquer en détail pourquoi il est important d’avoir un économiseur d’écran protégé par mot de passe ou, encore mieux, prendre l’habitude de verrouiller les ordinateurs lorsque les utilisateurs s’en éloignent.

Un timeout d’économiseur d’écran devrait être utilisé de sorte que  si un utilisateur s’éloigne de son ordinateur, l’écran de veille protégé par mot de passe apparaisse.

Personnellement, j’ai le mien réglé à 3 minutes, mais en faisant un Google recherche sur les délais d’écran typiques, la réponse moyenne est de 10 minutes; Cette information peut et doit être complétée avec des informations sur la façon de le faire.

La pilule d’avoir à prendre des mesures supplémentaires pour vous assurer que votre bureau est sécurisé peut être avalé plus facilement si les utilisateurs comprennent pourquoi ils devraient le faire.

Un autre élément qui pourrait être adressé est de s’assurer que les utilisateurs comprennent qu’il est important qu’ils ferment leurs ordinateurs à la fin de la journée. Parfois, cela permet d’appliquer des mises à jour précieuses et de faire votre part pour un environnement plus vert.

Si en quelque sorte un attaquant potentiel accède à un ordinateur qui est déjà  éteint, vous aurez plus de chance de voir votre ordinateur abandonné au profit de celui qui est déjà allumé et déverrouillé.

 

3. Réseaux sans fil et sécurité

Les réseaux sans fil et la section de sécurité devraient aborder la nature non sécurisée de réseaux sans fil ainsi que des trucs et astuces pour faire preuve de prudence et durcir les ordinateurs portables contre les dangers de «renifler» (sniffer).

Il faut également mettre l’accent sur le fait de ne pas stocker un type d’informations sensibles sur les ordinateurs portables qui vont accéder à un réseau sans fil.

Un autre domaine qui devrait être couvert est l’importance des pare-feu. Les Pare-feu Windows par eux-mêmes ne suffisent pas. La plupart du temps, les entreprises fourniront un pare-feu acheté sur les ordinateurs portables et les ordinateurs fournis par l’entreprise (par exemple, Sophos, McAfee, Norton, etc.); mais les ordinateurs portables personnels qui peuvent utiliser le réseau sans fil de l’entreprise doivent avoir un pare-feu installé.

Les pare-feu gratuits sont plus pour l’utilisateur personnel, que pas pour un usage commercial.

Il peut également être avantageux pour la formation d’évaluer ce que pourrait coûter à l’entreprise une faille ou brèche dans le système.

 

4. Sécurité par mot de passe

La section sur la sécurité des mots de passe doit inclure une formation sur ce qui constitue un minimum de sécurité requis; car certains mots de passe sont plus faciles à deviner qu’à craquer.

Partager des mots de passe et les laisser à la portée de n’importe qui devrait être fortement découragé.

Les utilisateurs doivent être conscients qu’une politique est en place et qu’elle doit être suivie.

Des personnes déléguées pourraientt faire le tour de tous bureaux et voir s’ils peuvent découvrir des mots de passe non sécurisés. Ils pourraient même aller plus loin et voir combien d’ordinateurs sont laissés sans écrans de veille protégés par mot de passe.

Des conseils utiles et des règles empiriques devraient également faire partie de cette section.

Par exemple :

• Les mots de passe ne doivent pas contenir le nom d’utilisateur ou une partie du nom complet de l’utilisateur.
• Les mots de passe ne doivent pas non plus être basés sur des informations personnelles telles que le nom d’un conjoint, équipe préférée, ou animal de compagnie.

Des exemples de mots de passe (par exemple B0n@3/$3) ) pourraient aider.

Un autre point important est de souligner que le mot de passe par défaut donné aux utilisateurs doit toujours être changé immédiatement.
Des instructions sur la façon de changer les mots de passe doivent également être incluses.

 

 

5. Phishing / Hameçonnage

Lorsque vous parlez de phishing, le terme ainsi que le but doivent toujours être définis. Les exemples sont la clé de cette partie de la formation de sensibilisation à la sécurité.

Les choses à éviter (par ex: en cliquer sur les liens fournis dans l’e-mail, et envoyer des informations bancaires et des mots de passe via email, etc) devraient être fortement soulignées afin que les gens sachent ce qui est dangereux.

Cela pourrait aussi être bénéfique pour les utilisateurs de faire des tests de phishing. Il y a un certain nombre de tests de phishing en ligne, mais celui que je recommande fortement est http://www.sonicwall.com/phishing/ puisque SonicWall est une entreprise qui s’occupe de Sécurité.

De cette façon, les éléments qui peuvent identifier un courrier électronique d’hameçonnage peuvent être expliqués et affichés.

Un autre élément qui devrait être abordé est de savoir comment réellement lutter contre le phishing.

 

6. Canulars

Les canulars devraient être abordés dans la formation, parce que beaucoup de temps et de ressources peuvent
être passé par les utilisateurs à lire et à transmettre des courriels de canulars.

Il pourrait également être utile de comparer les canulars aux virus qui sont répandus et qui se transmettant continuellement.

Les dangers des canulars devraient également être abordés parce que certains canulars avertissent d’un virus et disent aux utilisateurs de supprimer parfois des fichiers importants du système.

 

7. Malware/ logiciel malveillant

Quand il s’agit d’un logiciel malveillant, il doit toujours être défini et décomposé en catégories: virus, vers, chevaux de Troie, logiciels espions et logiciels publicitaires.

a . Virus
Commencez par décrire ce qui fait d’un virus est un virus. Il est important que les utilisateurs soient capables d’identifier un virus potentiel quand ils en voient un ou d’identifier les caractéristiques d’un virus qui a déjà infiltré le système de l’utilisateur. Les utilisateurs doivent également apprendre l’importance non seulement des analyses régulières de leurs ordinateurs, mais aussi de tous les fichiers qu’ils téléchargent depuis un site Web site, e-mail ou clé USB.

Une autre astuce importante à inclure est à quel point il est essentiel de garder les systèmes et applications à jour. Ne supposez jamais qu’un système ou une application va se mettre à jour. Les utilisateurs devraient voir de manière proactive si les systèmes et les applications qu’ils utilisent doivent être mises à jour.

Enfin, il est important de laisser les utilisateurs savoir ce qu’il faut faire si leur système devient
infecté.
Lorsque votre ordinateur de travail est infecté, ne faites rien à l’ordinateur en dehors de faire un scan avec le logiciel anti-virus sur la machine.
Téléphonez à la DSI de votre entreprise (ou à la personne I.T.) chargée d’évaluer votre machine.

Si votre machine à la maison (surtout si vous travaillez de la maison) devient infectée, il est important de suivre les étapes suivantes décrites sur Viruslist.com:

• Ne paniquez pas.
• Déconnectez-vous d’Internet et de tout réseau local.
• Si l’ordinateur ne peut pas démarrer, essayez de démarrer en mode sans échec ou démarrez à partir du Disque de démarrage Windows.
• Sauvegardez toutes les données importantes que vous ne pouvez pas vous permettre de perdre
• Si vous n’avez pas de logiciel anti-virus installé (qui ne devrait pas être le cas), installez-le, puis mettez-le à jour.
• Effectuez une analyse complète de votre système.

b. Vers
La section des vers peut être manipulée de la même manière que la section virale; soit comment le repérer, de quoi il est capable, comment prévenir, quoi faire si on est envahit.

c. Les chevaux de Troie
Comme les 2 précédentes sections, la partie des chevaux de Troie devrait définir ce qu’ils sont, ce qu’ils peuvent faire, ce qui peut être fait pour les empêcher, et que faire dans le cas de contamination.
Un élément qui devrait être souligné est que les chevaux de Troie sont différents des virus.

d. Spyware et Adware
Encore une fois, les logiciels espions et publicitaires devraient être définis, ce qu’ils peuvent faire devrait être
décrit, conseils de prévention et astuces, et que faire si on le trouve sur le système.

Les programmes d’identification et d’élimination des logiciels espions et logiciels publicitaires sont également traités; et la plupart sont gratuits (par exemple, Ad Aware, Spy Sweeper, etc.).

 

8. Partage de fichiers et droits d’auteur

Les suggestions sur la manière d’acquérir numériquement des œuvres protégées par le droit d’auteur devraient conclure.
Il convient également de souligner que, tout en étant illégaux, ces programmes et sites offrant des ressources pour tous, sont des lieux de reproduction pour les virus. Il convient également de préciser que le partage et le téléchargement illégal de fichiers constituent des infractions.

Cette section devrait être complétée en énonçant les conséquences juridiques d’un fichier illégal téléchargé et partagé

 

 

 

En conclusion, la formation à la sensibilisation à la sécurité, si elle est correctement mise en œuvre, est une nécessité pour toute organisation., surtout en sachant que les employés peuvent et devraient être la dernière ligne de défense.

Si à la base, les utilisateurs sont correctement informés sur ce qu’il faut surveiller (la prévention et les procédures d’assainissement), cela seul pourrait éviter beaucoup de problèmes potentiels qui pourraient affecter l’infrastructure et l’entreprise dans son ensemble.

Souvent, c’est juste la conscience qui est la clé de la prévention et de la protection.