Protection de base : protégez votre entreprise ou votre autorité
Quels que soient leur taille, leur secteur d’activité ou leur savoir-faire technique, toutes les entreprises et autorités peuvent être touchées par des cyberattaques. Les conséquences peuvent aller d’une panne temporaire des systèmes à des cas relevant de la responsabilité civile et des atteintes à la réputation en passant par la perte de données confidentielles. Une protection efficace nécessite donc des mesures tant techniques qu’organisationnelles qui se renforcent mutuellement. Vous découvrirez ci-dessous comment les entreprises et les autorités peuvent améliorer leur cybersécurité de manière ciblée.
Mesures techniques et organisationnelles
Les vecteurs de cyberattaque sont non seulement le personnel, mais aussi, souvent des systèmes informatiques insuffisamment protégés. Les mesures techniques apportent une contribution essentielle à la sécurité de l’information, mais elles doivent aussi être complétées par des mesures organisationnelles. En particulier si elles engendrent des frais élevés ou exigent beaucoup de personnel, une pesée d’intérêts est nécessaire entre les coûts découlant de leur mise en œuvre et les risques liés au statu quo.
La cybersécurité n’est pas juste une tâche technique relevant du département informatique : c’est une mission centrale de la direction. Cette dernière doit décider où investir des ressources pour protéger des processus critiques et quelles conséquences elle est prête à assumer.
Mesures organisationnelles
Au sein des entreprises et des autorités, les mesures organisationnelles liées à la cybersécurité sont importantes pour traiter les informations de manière sûre et responsable. Dans ce cadre, il est essentiel de sensibiliser le personnel, car celui-ci joue au quotidien un rôle décisif pour la sécurité de l’information.
En parallèle, les mesures organisationnelles permettent de garantir que les compétences et les responsabilités sont clairement définies et comprises par toutes les personnes concernées.
Voici les principales mesures organisationnelles :
Il importe ici d’évaluer les dépendances des processus d’affaires par rapport à l’informatique. Quelles sont les conséquences de l’indisponibilité d’un système ou du stockage des données ? Quelles sont les répercussions financières ? Quelles contremesures peuvent être mises en œuvre ?
La méthode de cybersécurité et de résilience (MCSR) de l’OFCS est un moyen efficace d’aborder ces considérations. Elle aide à identifier les objets informatiques à protéger et à renforcer la sécurité précisément là où une panne causerait les plus grands dommages. Dans ce cadre, le département informatique assure la mise en œuvre opérationnelle, tandis que la direction reste responsable de la classification des risques et de la gestion de la continuité.
Le travail doit pouvoir être effectué même si l’écosystème informatique est partiellement ou totalement indisponible durant un certain temps. La cause n’est d’ailleurs pas forcément une cyberattaque : une panne d’électricité, un événement naturel ou d’autres circonstances peuvent rendre votre infrastructure informatique inopérationnelle.
Il convient de définir précocement des solutions de rechange pour les différents systèmes, d’établir un concept d’urgence décrivant comment l’organisation peut continuer à fonctionner en cas de défaillance informatique temporaire et de le garder à portée de main.
Au sein de l’organisation, il convient de désigner les personnes qui sont responsables de l’accomplissement des tâches liées à la sécurité des systèmes reposant sur les technologies de l’information et de la communication (TIC). Les rôles, les responsabilités et les compétences qui s’appliquent à l’organisation d’urgence et de crise doivent être clairs.
Souvent, les organisations de petite taille externalisent leur informatique à des prestataires spécialisés. Le paysage informatique moderne permet en outre de recourir à des services cloud comme Microsoft 365. Dans ce contexte, les responsabilités doivent être définies sans équivoque : le fournisseur protège la plateforme, mais l’organisation se charge elle-même de protéger les données. Le contrat doit régler les questions de responsabilité civile au cas où les prescriptions de sécurité ne sont pas respectées ou que la sécurité informatique est négligée. Il doit être formulé de façon claire et limpide.
Les principes suivants s’appliquent à l’utilisation des services cloud : il ne faut jamais sauvegarder des informations sensibles sans les chiffrer et, avant l’utilisation, il convient de procéder à un examen critique des dispositions relatives à la protection des données et des emplacements où les données sont stockées (de préférence en Suisse ou dans l’Union européenne) pour assurer le respect de la loi fédérale sur la protection des données (LPD). Il faut lire les conditions générales du prestataire avant d’utiliser ses services cloud.
Il convient d’établir un inventaire des données et des informations et d’y définir les éléments sensibles. L’inventaire doit servir de base à l’élaboration d’un concept de protection pour ces éléments.
Il faut bien réfléchir aux informations qui sont publiées sur le site web de l’organisation ou sur les réseaux sociaux, car elles peuvent être systématiquement collectées par des criminels. En particulier, il est préférable de ne pas mentionner nommément sur le site web les personnes qui sont chargées des affaires financières et qui ont accès à l’e-banking. Les détails relatifs aux responsables des finances servent en effet souvent de base à des tentatives d’escroquerie ciblées (p. ex. arnaque au président). Pour les ordres de paiement, il est recommandé d’utiliser un ordinateur dédié qui n’est pas employé pour naviguer sur internet ou consulter la messagerie électronique. L’application systématique du principe des quatre yeux pour les paiements et la limitation des droits des fonctions (p. ex. restrictions par pays) réduisent fortement les risques d’abus financier.
Il est préférable de ne pas transmettre de données ou d’informations confidentielles par des canaux impersonnels comme le téléphone ou les courriels. Les informations confidentielles devraient être systématiquement chiffrées ou expédiées par courrier postal aux destinataires externes.
La sensibilisation de tout le personnel à l’utilisation de l’infrastructure informatique est essentielle. Des formations régulières sur la gestion des menaces dans le monde numérique aident à reconnaître des appels ou des courriels frauduleux.
De plus, le personnel doit savoir à qui s’adresser en cas de question sur la sécurité informatique et qui informer lors d’un incident de sécurité informatique. Une culture proactive du signalement dans laquelle on peut communiquer immédiatement et sans crainte le fait d’avoir cliqué sur le mauvais bouton est souvent le facteur décisif pour éviter un gros préjudice.
Formation en ligne cyber de la Conférence des directrices et directeurs des départements cantonaux de justice et police (CCDJP): elearningcyber.ch.
Les mots de passe sont importants. Ils ne suffisent toutefois pas pour sécuriser efficacement les données et les systèmes. Il est préférable de recourir à l’authentification à plusieurs facteurs pour tous les accès qui sont critiques pour les affaires. Pour les mots de passe, privilégiez la longueur plutôt que les combinaisons de symboles compliquées : visez au moins douze signes comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux. Il faut impérativement éviter de réutiliser les mêmes mots de passe. L’OFCS recommande donc de recourir à un gestionnaire de mots de passe permettant de générer des mots de passe pour chaque application. Les mots de passe et les données d’accès ne doivent jamais être transmis.
Souvent, les logiciels malveillants pénètrent dans les ordinateurs par le biais de fichiers joints à des courriels (p. ex. fausses factures ou candidatures). Il est donc recommandé de bloquer la réception des pièces jointes dangereuses et de s’assurer qu’aucune macro ne peut être exécutée dans les documents Office provenant de sources non fiables.
Les canaux de communication permettant au personnel de signaler les événements suspects devraient être définis. Il est préférable de n’utiliser que le format texte pour les courriels et de privilégier les fichiers PDF plutôt que les documents Office contenant des macros. Les liens hypertextes sont transparents s’ils sont écrits sous forme complète.
De plus, il faudrait éviter de renvoyer vers des sites qui demandent un nom d’utilisateur, un mot de passe ou d’autres données. Dans la mesure du possible, il convient de s’adresser aux destinataires d’un courriel en utilisant leur prénom et leur nom afin de lutter contre les tentatives d’escroquerie impersonnelles.
Pour tous les ordres de paiement transmis par voie numérique, utilisez un ordinateur dédié que vous n’employez pas pour naviguer sur internet ou consulter votre messagerie électronique. Établissez des règles pour toutes les opérations liées aux paiements et veillez à ce qu’elles soient systématiquement respectées : le principe des quatre yeux, la signature collective et la limitation des droits des fonctions réduisent fortement les risques d’abus financier, en particulier lorsque plusieurs membres du personnel sont autorisés à procéder aux paiements. Discutez avec votre banque des mesures de sécurité envisageables.
Les mesures techniques constituent l’une des bases essentielles de la cybersécurité. Elles visent à protéger les systèmes informatiques, les réseaux et les données contre les accès non autorisés, les manipulations et les pannes. Diverses technologies et procédures sont utilisées à cette fin.
Il est crucial de ne pas considérer ces mesures isolément, mais en complément de celles qui ont trait à l’organisation.
Il est recommandé de recenser l’infrastructure TIC dans un inventaire aussi détaillé que possible. En effet, il faut connaître son infrastructure TIC, ses services, ses ordinateurs et ses utilisatrices et utilisateurs pour identifier les éléments à protéger et à surveiller. Les organisations devraient notamment savoir quels systèmes sont connectés à internet et donc publiquement visibles, car il faut particulièrement bien les sécuriser.
Une sauvegarde, c’est une assurance-vie contre les attaques par rançongiciel. Un processus clair qui règle la sauvegarde régulière des données et qui est systématiquement appliqué constitue une bonne protection. Au moins une copie des données doit être conservée hors ligne sur un site externe : c’est le seul moyen d’éviter que la sauvegarde soit aussi chiffrée lors d’une attaque.
Chaque organisation devrait se demander combien de jours de perte de données elle peut supporter et adapter son système de sauvegarde en conséquence. Le bon fonctionnement de ce dernier devrait en outre être vérifié régulièrement. Il convient également de s’entraîner de temps à autre à restaurer des sauvegardes afin que les personnes compétentes maîtrisent le processus en situation réelle. Il est recommandé de conserver les anciennes sauvegardes durant plusieurs mois.
Le matériel et les logiciels obsolètes constituent une porte d’entrée de choix pour les logiciels malveillants. C’est pourquoi il faut maintenir les systèmes à jour. Cela s’applique tant au système de gestion de contenu (CMS) du site web qu’aux appareils comme les imprimantes ou les routeurs. Pour chaque logiciel, les mises à jour de sécurité doivent être installées dès qu’elles sont disponibles.
Il est recommandé d’installer un antivirus doté d’une fonctionnalité d’analyse en temps réel sur chaque ordinateur. De plus, les systèmes devraient être mis à jour régulièrement et faire périodiquement l’objet d’une analyse complète de l’antivirus.
Il convient d’activer un pare-feu sur chaque ordinateur. En outre, le réseau de l’organisation devrait être protégé contre les menaces émanant d’internet au moyen d’un pare-feu supplémentaire. La définition des règles de pare-feu permet de contrôler quelles connexions entrantes et sortantes doivent être autorisées. Il convient ici d'adopter une approche restrictive et de n'autoriser que les connexions nécessaires, dans les deux sens. Il faut également choisir un serveur DNS qui bloque les sites web connus pour leur contenu malveillant.
Les accès à distance vers le réseau de l’organisation ne sauraient être protégés uniquement par une authentification simple (identifiant et mot de passe). Il est recommandé d’utiliser au moins une authentification à deux facteurs ou d’établir une connexion sécurisée au moyen d’un réseau virtuel privé (VPN). Ce principe s’applique aussi aux responsables TIC externes.
Les réseaux des organisations devraient être divisés en secteurs (p. ex. réseaux séparés pour la production, les ressources humaines, la comptabilité) et il faudrait éviter d’octroyer des droits pour plusieurs secteurs. Une segmentation rigoureuse du réseau permet d’empêcher les logiciels malveillants de se propager librement. Ainsi, il est par exemple possible d’éviter, dans des installations industrielles, que des ordinateurs de commande ne pouvant plus être mis à jour deviennent des portes d’entrée pour les pirates dans le réseau. Le prestataire informatique peut prodiguer des conseils lors de la planification et de la mise en œuvre.
Informations complémentaires
En ligne de mire – Espionnage économique Le court-métrage « En ligne de mire » fait partie du programme de prévention et de sensibilisation Prophylax du Service de renseignement de la Confédération. Le film vise à sensibiliser les acteurs de l’industrie et de la recherche en Suisse aux menaces liées à l’espionnage.
Formation en ligne sur la cybersécurité et la sécurité de l’information pour les villes et les communes La Conférence des directrices et directeurs des départements cantonaux de justice et police (CCDJP) a adopté en plénum un concept de formation continue Cyber destiné à l’administration publique. Cette formation en ligne est aussi ouverte aux villes et aux communes.
Formation en ligne cyber de la Conférence des directrices et directeurs des départements cantonaux de justice et police (CCDJP) : elearningcyber.ch.
Les labels ci-dessous ont été élaborés en collaboration avec des partenaires de la Cyberstratégie nationale (CSN) et avec le soutien de l’OFCS. Ils contribuent à vérifier la cybersécurité au sein de votre organisation :
