Dans le domaine de la cybersécurité, les menaces émanant d'initiés sont au premier plan et constituent l'une des principales causes de violations. Cependant, une menace interne ne signifie pas que l'initié a des intentions malveillantes. La plupart du temps, il s'agit d'une erreur commise par un utilisateur involontaire, qui a par exemple réagi à un courriel d'hameçonnage, ce qui a conduit à une violation. Selon l'enquête Insider Data Breach Survey 2021, 94 % des organisations ont subi une violation de données par un initié l'année dernière, et 84 % d'entre elles ont été victimes d'une violation directement due à une erreur humaine. Les menaces internes ne se limitent pas à l'hameçonnage. L'indice 2019 IBM X-Force Threats Intelligence Index cite les systèmes, les serveurs et les environnements cloud mal configurés comme l'un des deux moyens les plus courants par lesquels les initiés par inadvertance laissent les organisations ouvertes aux attaques. Vous ne pouvez pas éliminer l'erreur humaine, mais en fournissant des directives claires en matière de cybersécurité et en formant régulièrement les employés, la fréquence et la gravité des incidents peuvent être réduites.
La première étape pour réduire le rôle de l'erreur humaine dans les incidents de cybersécurité consiste à mettre en place une politique de cybersécurité et à former les employés à ce qu'il faut faire et ne pas faire en matière de cybersécurité. Voici une liste de dix points à inclure dans votre politique pour vous aider à démarrer.
1. Souligner l'importance de la cybersécurité
Commencez par expliquer pourquoi la cybersécurité est importante et quels sont les risques potentiels. Le vol des données d'un client ou d'un employé peut avoir de graves conséquences pour les personnes concernées et mettre en péril l'entreprise. Il est essentiel que les employés puissent trouver rapidement où signaler un incident de sécurité. Ne comptez pas sur l'utilisateur pour se souvenir du site interne sur lequel il doit chercher les informations de contact ; assurez-vous qu'elles se trouvent à un endroit intuitif. Remplacez peut-être le mot de passe inscrit sur la note autocollante par les informations requises pour signaler un incident !
2. Enseigner la gestion efficace des mots de passe
Les mots de passe peuvent faire ou défaire le système de cybersécurité d'une entreprise. Inclure des lignes directrices sur les exigences en matière de mots de passe. La révision 3 de la publication spéciale 800-63 du NIST contient des changements significatifs dans les directives suggérées pour les mots de passe. Insistez auprès des employés sur le fait qu'ils ne doivent pas utiliser les mêmes mots de passe sur différents sites. Joignez le geste à la parole. Si les employés doivent se souvenir de plusieurs mots de passe, fournissez-leur les outils nécessaires pour rendre cette tâche moins pénible. Un gestionnaire de mots de passe est très utile. L'authentification multifactorielle réduit l'impact d'un mot de passe compromis, même s'il s'agit du mot de passe principal du gestionnaire de mots de passe.
3. Apprendre aux employés à identifier les escroqueries et à adopter les meilleures pratiques
Sensibilisez les employés aux différents types de courriels d'hameçonnage et d'escroqueries, et à la manière de repérer quelque chose de louche. Si les employés reçoivent un courriel qui sort de l'ordinaire, même s'il s'agit d'un courriel interne envoyé par un autre employé, ils doivent d'abord vérifier auprès de l'expéditeur avant d'ouvrir les pièces jointes ou de cliquer sur les liens. Il est préférable de vérifier auprès de l'expéditeur par téléphone ou en personne. Lorsque des comptes de messagerie sont piratés, c'est l'attaquant qui répond à une demande de renseignements sur la validité des informations contenues dans le courriel. Dans la mesure du possible, rendez-vous sur le site web de l'entreprise au lieu de cliquer sur un lien contenu dans un courriel. Par exemple, si un courriel de LinkedIn contient un lien, tapez www.linkedin.com et connectez-vous à votre compte pour consulter le message.
En outre, l'apport de connaissances générales en matière de cybersécurité sur les meilleures pratiques de protection des fichiers et des appareils peut contribuer à renforcer les défenses d'une organisation. OPSWAT Academy propose des cours gratuits sur ces meilleures pratiques et est à la disposition de tous ceux qui souhaitent en savoir plus sur les technologies spécifiques à OPSWAT.
4. Appliquer les mises à jour et les correctifs
Les systèmes d'exploitation modernes, les programmes anti-malware, les navigateurs web et d'autres applications se mettent régulièrement à jour, mais ce n'est pas le cas de tous les programmes. Lorsque les employés installent des logiciels non approuvés, le service IT peut ignorer l'existence d'applications vulnérables non corrigées sur ses biens. Il incombe au service IT de vérifier que les systèmes d'exploitation et les applications disposent des correctifs et des versions les plus récents. Le fait de ne pas s'assurer de l'état des terminaux et des serveurs relève du domaine des menaces d'initiés involontaires posées par une mauvaise configuration du système, etc. Une analyse régulière des vulnérabilités et un audit du système doivent être effectués.
5. Protéger les IPI
Les attaquants sont souvent à la recherche de données confidentielles, telles que les données des cartes de crédit, les noms des clients, les adresses électroniques et les numéros de sécurité sociale. Lorsque ces informations sont envoyées à l'extérieur de l'organisation, il est important que les employés comprennent qu'ils ne peuvent pas se contenter de les envoyer par courrier électronique. Il faut utiliser un système de transfert de fichiers sécurisé qui crypte les informations et ne permet qu'au destinataire autorisé d'y accéder. Pour plus de sécurité, une technologie comme le DLP deOPSWAT peut aider à prévenir les violations potentielles de données et les violations de la conformité réglementaire en détectant et en bloquant les données sensibles et confidentielles dans les fichiers et les courriels, y compris les numéros de carte de crédit et les numéros de sécurité sociale.
6. Verrouiller les ordinateurs et les appareils
Lorsque les employés quittent leur bureau, ils doivent verrouiller leur écran ou se déconnecter pour empêcher tout accès non autorisé. Les employés sont responsables du verrouillage de leur ordinateur ; toutefois, le service IT devrait configurer des délais d'inactivité comme mesure de sécurité. Les ordinateurs portables doivent également être physiquement verrouillés lorsqu'ils ne sont pas utilisés.
7. Secure Portable Media
Les téléphones mobile perdus ou volés constituent une menace importante pour leur propriétaire et ses contacts. L'utilisation de verrous d'écran pour ces appareils est essentielle. Le stockage, tel que les cartes MicroSD externes et les disques durs des ordinateurs portables, doit être crypté. Lorsque vous apportez des supports portables tels que des lecteursUSB et des DVD, il est important de rechercher des logiciels malveillants sur ces appareils avant d'accéder à des ressources telles que les ordinateurs de travail et le réseau. OPSWATLe site MetaDefender Kiosk offre une solution simple pour vérifier la sécurité des supports portables.
8. Signaler la perte ou le vol d'un appareil
Informez les employés que les appareils volés peuvent être un point d'entrée pour les pirates qui veulent accéder à des données confidentielles et que les employés doivent immédiatement signaler les appareils perdus ou volés. Souvent, le service IT peut effacer les appareils à distance, de sorte qu'une découverte précoce peut faire toute la différence.
9. Jouer un rôle actif
Expliquez que les employés doivent faire preuve de bon sens et jouer un rôle actif en matière de sécurité. S'ils constatent une activité suspecte, ils doivent la signaler à leur administrateur IT . Si les employés se rendent compte d'une erreur, même après qu'elle s'est produite, le fait de la signaler à IT signifie que des mesures peuvent encore être prises pour atténuer les dommages. La cybersécurité est une question qui concerne tous les membres de l'entreprise, et chaque employé doit jouer un rôle actif pour contribuer à la sécurité de l'entreprise. Si un employé craint de perdre son emploi pour avoir signalé une erreur, il est peu probable qu'il le fasse. Veillez à ce que les employés se sentent à l'aise pour signaler des incidents.
10. Appliquer les paramètres de confidentialité
Informez les employés qu'il est fortement recommandé d'appliquer des paramètres de confidentialité maximum sur leurs comptes de médias sociaux tels que Facebook et Twitter. Demandez-leur de s'assurer que seuls leurs contacts peuvent voir leurs informations personnelles telles que leur date de naissance, leur lieu de résidence, etc. Limiter la quantité d'informations personnelles disponibles en ligne réduira l'efficacité des attaques de spear phishing. Soyez particulièrement vigilant lorsque vous remarquez quelque chose de suspect provenant d'un contact LinkedIn. Un compte LinkedIn compromis peut permettre certaines des attaques d'ingénierie sociale les plus sophistiquées.
L'orientation des nouveaux employés doit comprendre une documentation et des instructions sur la politique de cybersécurité. Organisez régulièrement des formations à la cybersécurité pour vous assurer que les employés comprennent et se souviennent des politiques de sécurité. Un moyen amusant de s'assurer que les employés comprennent la politique est de leur faire passer un test sur leurs actions dans des situations données en exemple.
Outre l'information et la formation des employés, les entreprises doivent s'assurer qu'un système est en place pour surveiller et gérer les ordinateurs et les appareils, que la recherche multiple de logiciels malveillants est utilisée pour garantir la sécurité des serveurs, des pièces jointes aux courriels, du trafic web et des supports portables, et que les employés peuvent transférer des fichiers confidentiels en toute sécurité. En savoir plus sur les autres mesures que les entreprises peuvent prendre pour garantir un accès sécurisé au bureau et à domicile.
Pour en savoir plus sur la façon dont OPSWAT peut vous aider à protéger votre infrastructure critique, prenez rendez-vous avec l'un de nos experts en cybersécurité.
