Il y a des jours où protéger votre entreprise contre les menaces ressemblera à une bataille sans fin. Certaines des mesures de cybersécurité que vous prendrez et recommanderez à d’autres personnes seront coûteuses à un coût élevé, tandis que d’autres pourraient être moins coûteuses, mais avec des efforts considérables. Et puis, il y a ces quelques mesures spéciales qui feront une différence significative dans la posture de sécurité de votre entreprise, sans se ruiner ou mettre à rude épreuve vos ressources déjà épuisées.

Sans ordre particulier, voici une liste de mesures de cybersécurité qui amélioreront la sécurité de votre entreprise tout en offrant un retour sur investissement important pour l’effort ou le coût. Excuses à l’avance à ceux qui considèrent qu’une telle liste est l’abonnement à la théorie de la solution miracle ou de la pilule magique. Il n’y a clairement pas de telle chose. Si vous pensez que vous ne pouvez utiliser qu’une seule des actions ci-dessous, alors vous avez déjà échoué. Adoptez-les tous et vous serez sur la bonne voie pour mieux protéger votre entreprise et être prêt à réagir lorsque les choses tournent mal. (N.-B. Ils ont déjà mal tourné, voir #10 ci-dessous)

1. Limitez la distribution et l’utilisation des comptes administrateurs

La situation proverbiale d’apprenti sorcier, ces récits ont beaucoup de pouvoir et ne devraient pas être vantés ou partagés sans une extrême prudence. Les pirates ont tellement de façons d’y entrer, mais s’ils ont accès à un compte administrateur, les ravages qu’ils peuvent causer sont presque illimités. Avantage secondaire : en limitant l’accès à ces comptes, vous évitez également ces blessures douloureuses auto-infligées, où un administrateur débutant supprime un segment du réseau parce qu’il n’était pas sûr de ce qu’il faisait. Un obstacle à cela est bien sûr le « moindre privilège » : les comptes doivent avoir le minimum absolu de privilèges requis pour exécuter les fonctions de base requises du compte.

2. Adoptez un cadre de cybersécurité comme celui du NIST

Une énorme quantité de sagesse et d’expérience collectives a été consacrée à l’élaboration de ces cadres, y compris celui du NIST. Vous pouvez littéralement vous épargner des années d’apprentissage en suivant la structure et les étapes, et en identifiant davantage où se situe votre organisation en matière de maturité en matière de cybersécurité.

Certaines industries appliquent l’utilisation de cadres liés à l’industrie tels que PCI, HIPAA, etc. Il va sans dire que si votre entreprise est dans une telle industrie ou une combinaison d’industries, vous devez vous assurer de respecter ces cadres.

3. Surveillez vos journaux DNS

Allez, c’est tellement de la vieille école… Pas! Trésor d’informations pour les paranoïaques, les journaux DNS vous donnent des informations de base sur qui fait quoi, se connecte à qui, à quelle heure et à quelle date. Ne vous laissez pas emporter. Vous pouvez même aller plus loin et mettre en œuvre un DNS fiable et aller jusqu’à mettre sur liste noire des pays spécifiques. Votre entreprise ne fait pas d’affaires en Afghanistan et n’ouvre pas de succursale en Ukraine? Il n’y a alors aucune raison pour que vous acceptiez des connexions de ces pays.

4. Il est temps d’avoir un gestionnaire de mots de passe (et une politique sur les mots de passe)

Bien sûr, il existe des moyens de créer des mots de passe faciles à retenir mais complexes qui sont différents pour chaque compte et application. Mais utiliser un bon gestionnaire de mots de passe est la bonne façon de le faire pour une entreprise. Il y a tellement de bons gestionnaires de mots de passe et le coût est de faible à gratuit. Faites comprendre à vos utilisateurs que le fait d’avoir et d’utiliser un gestionnaire de mots de passe est la façon dont les entreprises doivent fonctionner aujourd’hui. De plus, il ne sert à rien d’utiliser un gestionnaire de mots de passe s’il n’inclut pas une politique de base pour créer des mots de passe difficiles (c’est-à-dire longs).

5. Inventaire

Oh mec, ça va être douloureux la toute première fois que tu l’entreprendras! Mais cela devient plus facile, comme se brosser les dents tous les jours, cela deviendra une habitude opérationnelle quotidienne / hebdomadaire qui nécessitera très peu d’efforts supplémentaires et offrira beaucoup de valeur. Pourquoi? Parce que vous ne pouvez pas protéger ce que vous ne savez pas que vous avez. Serveurs, données, appareils, applications, licences, tout, vous devez savoir ce que vous avez et où il se trouve. Un effet secondaire intéressant de l’effort d’inventaire est que vous trouverez tous les logiciels non pris en charge ou en fin de vie en cours d’exécution sur votre réseau et que vous les purgerez. Un autre effet secondaire est que vous trouverez des applications de sécurité que vous pensiez fonctionner qui ne fonctionnent pas du tout ou qui ne fonctionnent pas à leur pleine capacité. (Avoué : cela s’est produit…).

6. Pensez « cui bono » lors de l’analyse des risques et des menaces

Nous ne parlons pas de piratage ou de rançongiciels et autres, où les criminels propagent des logiciels malveillants en ratissant très large pour attraper un grand nombre de petits poissons. Si vous avez des données ou des informations très précieuses à protéger, pensez d’abord à qui bénéficierait vraiment (« cui bono ») de cibler une attaque contre votre entreprise pour exfiltrer ces informations et les utiliser ou les vendre. Une façon plus sophistiquée de dire cela aurait été de mentionner la modélisation des menaces.

7. Les gens plutôt que les outils

Non, celui-ci ne concerne pas la formation des utilisateurs (bien que ce soit important, voir #12 ci-dessous). Il existe de nombreux outils très coûteux et hautement spécialisés qui cocheront beaucoup de cases et satisferont la direction et les investisseurs que vous faites quelque chose. Mais il existe aussi des outils open source très utiles et crédibles qui peuvent être très utiles, lorsqu’ils sont gérés par des personnes expérimentées et compétentes. Trouvez d’abord les bonnes personnes, elles sauront quoi faire et pourront s’entendre assez bien avec des outils moins coûteux. Et garder ces gens heureux, motivés, mis au défi et informés, car il existe de nombreuses possibilités d’emploi pour eux.

8. Sauvegarde

Aucune explication n’est requise. Ok, peut-être juste un : assurez-vous de tester vos sauvegardes aussi!

9. Prenez soin des bases de la sécurité

Les choses habituelles sur le périmètre et le réseau qui vont de soi, mais nous le disons : antivirus, protection des courriels, pare-feu, correctifs et mises à jour automatisés, activation de la connexion, renforcement des systèmes, limitation des USB, envisager 2FA ou MFA, VPN, etc.

10. Changez votre état d’esprit : vous avez déjà été victime d’une violation

Une grande partie de la réflexion en matière de cybersécurité tourne autour de la protection, du blocage, de l’isolement, de l’obscurcissement et, de manière générale, de la tentative de créer une forteresse imprenable. Laisse tomber! Ok, n’abandonnez pas, mais changez votre état d’esprit pour un « vous avez déjà été violé ». Cet état d’esprit se déplace rapidement vers la protection des données, la gestion des droits, la classification des actifs, le chiffrement, etc. Les méchants sont dedans, assurons-nous que nous pouvons détecter leur présence ou leurs empreintes de pas, et aussi rendre difficile pour eux de trouver et d’utiliser des choses.

11. Surveillez ces navigateurs

Tout le monde en a un préféré et il y en a pas mal : Chrome, Firefox, IE (et Edge…), Opera, etc. Une grande partie des problèmes vient de ces vilains plug-ins. Une façon de limiter les risques est d’appliquer un seul navigateur renforcé pour un usage professionnel et de limiter les plugiciels qui peuvent être utilisés.

12. Sensibilisation et formation

C’est le plus important de tous! La nouvelle la plus encourageante est que nous faisons des percées dans ce domaine, les utilisateurs sont collectivement de plus en plus éduqués et plus paranoïaques. La cybersécurité n’est pas le problème d’un seul ministère, ni celui d’une seule personne, c’est le problème de tous. Commencez par une conscience de base et gardez les choses simples sans faire peur à tout le monde. Ensuite, commencez progressivement une formation et donnez-lui le temps nécessaire. Évitez le FUD, personne n’apprend bien sous stress. (Shameless Plug : nous avons créé un site pour aider vos utilisateurs à en apprendre davantage sur la sécurité des courriels, qui est une grande partie de la cybersécurité, puisque la plupart des attaques commencent par courriel).

Voilà, nous avons réussi à en arriver à 12 choses que vous pouvez faire pour améliorer la cybersécurité de votre entreprise sans vous ruiner ou puiser trop dans vos équipes déjà surchargées. Chaque petit geste compte, chaque petit geste aide. Aucune mesure, action, personne ou outil ne peut le faire à lui seul.