TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ

La page est créée Bruno Michaud
 
CONTINUER À LIRE
TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ
CYBERSÉCURITÉ

    TENDANCES ET
RECOMMANDATIONS
            2019
TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ
CYBERSÉCURITÉ – TENDANCES ET RECOMMANDATIONS 2019

   TENDANCES 2019 EN MATIÈRE
   DE CYBERSÉCURITÉ

             Les attaques sur la correspondance commerciale            Les normes de sécurité de l’information,
             par courriel (e-mail) se multiplient (attaques par        une priorité pour les entreprises
             hameçonnage ou spear phishing)                            En matière de sécurité de l’information, de nom-
             La messagerie électronique est l’outil de prédilection    breuses entreprises se basent sur des normes interna-
             des pirates, notamment pour l’usurapation d’identité      tionales, telles que ISO/IEC 27001 ou sur la base de
             (phishing) ou autres attaques d’ingénierie sociale        rapport de conformité à des contrôles définis tel que
             au sein des entreprises. Les victimes sont invitées à     ceux attestés par des auditeurs tiers indépendants
             divulguer des informations internes sensibles ou à        dans des rapports de type ISAE 3402.
             payer des factures falsifiées. Cela concerne en parti-     Ces normes constituent le fondement d’un solide
             culier les dirigeants (CEO, CFO, etc.) et le personnel    niveau de sécurité et sont axées sur les systèmes de
             de la comptabilité et du controlling.                     gestion; de ce fait, elles ne sont pas très concrètes
                                                                       dans leur application pratique. Seules les mesures
             Les cas d’extorsion de fonds par rançongiels              réellement mises en œuvre renforcent finalement la
             (ransomware) se multiplient                               sécurité de l’information d’une entreprise!
             En 2018, les cas d’extorsion de fonds à l’aide de
             ransomwares tels que WannaCry ont augmenté de             Renforcement des exigences (internationales) en
             350% par rapport à l’année précédente, avec une           matière de compliance
             concentration croissante des attaques sur le secteur      Les entreprises doivent se tenir informées en continu
             de la santé. L’objectif est toujours le même: soustrac-   au sujet des nouvelles lois, réglementations et
             tion d’information ou chiffrer des informations afin       directives relatives à la sécurité des informations et à
             d’extorquer ensuite de l’argent, généralement sous        la confidentialité des données (RGPD, Directive NIS,
             forme de crypto-monnaies.                                 règlement sur la protection de la vie privée). En raison
                                                                       des contraintes réglementaires plus strictes et plus
             Les vulnérabilités des partenaires commerciaux            complexes, la mise en place de mesures supplé-
             d’une entreprise mettent en péril son propre              mentaires s’impose, ce qui augmente le besoin de
             réseau                                                    spécialistes en la matière.
             Les pirates utilisent souvent les interfaces dédiées
             aux partenaires commerciaux (par exemple, un              Pénurie de compétences dans le secteur de la
             réseau privé virtuel, VPN, des portails clients, etc.)    sécurité de l’information
             pour accéder à des données d’entreprise sensibles.        La pénurie d’experts en cybersécurité reste un pro-
             Pour ce faire, ils pénètrent dans le réseau du par-       blème pour les entreprises en 2019. Les spécialistes
             tenaire commercial, puis entrent dans l’entreprise        expérimentés, qualifiés et certifiés dans le domaine
             ciblée via les interfaces. En raison de la relation de    de la cybersécurité sont une denrée rare.
             confiance qui existe entre les partenaires commer-
             ciaux, les interfaces sont souvent moins bien sécuri-     Résignation à l’égard de la sécurité de
             sées ou surveillées et, par conséquent, ces attaques      l’information
             ne sont pas détectées suffisamment tôt.                    La consolidation de nombreuses données entre les
                                                                       mains d’une poignée d’entreprises, la dépendance
                                                                       croissante à l’égard des appareils périphériques en
                                                                       réseau (IoT ou internet des objets) et les rapports
                                                                       constants sur les menaces en ligne et les violations
                                                                       de données ont entraîné une certaine désensibili-
                                                                       sation de la population. De nombreuses personnes
                                                                       optent pour la résignation et renoncent à contrôler
                                                                       leur présence numérique (selon la devise: «De toutes
                                                                       façons, je n’ai rien à cacher»). Mais les pirates poten-
                                                                       tiels profitent de cette désillusion et les fraudes telles
                                                                       que l’usurpation d’identité ou le cyberespionnage
                                                                       augmentent de manière significative.
TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ
CYBERSÉCURITÉ – TENDANCES ET RECOMMANDATIONS 2019

   RECOMMANDATIONS 2019 EN MATIÈRE
   DE CYBERSÉCURITÉ

             Effectuer une analyse régulière des menaces                 Mettre en place un processus de gestion des
             via e-mail                                                  incidents
             En raison de la prolifération des tentatives d’escro-       Lorsque des plans de réponse aux incidents et de pour-
             querie et de piratage par e-mail, de nombreux outils        suite des activités ont été mis en place, les entreprises
             et systèmes de détection et de défense ont été              peuvent réagir de manière appropriée en cas d’incidents
             développés et optimisés ces dernières années. De            touchant à la sécurité de l’information. La gestion des
             nombreux dispositifs sont déjà mis en œuvre dans            incidents doit faire office d’instance centralisée de
             la plupart des entreprises (antivirus, DKIM, SPF,           sécurité de l’information à l’échelle de toute l’entreprise
             etc.). Pour vérifier leur efficacité, il est recommandé       et servir d’interface avec les autorités locales (telles que
             d’effectuer périodiquement une analyse des menaces          l’autorité de protection des données). L’organisation et
             véhiculées par e-mail. A l’instar du test d’intrusion,      le personnel peuvent être préparés aux cas d’urgence à
             cette analyse consiste en une tentative ciblée de           l’aide de simulations de cybersécurité (jeux de simula-
             contourner les dispositifs de sécurité afin d’infiltrer       tion).
             des logiciels malveillants.
                                                                         Développer une stratégie globale de surveillance de
                                                                         l’infrastructure informatique
             Mettre en place une gestion des correctifs                  Les menaces pesant sur la cybersécurité sont différentes
             efficace et rapide                                           en fonction de l’entreprise et du secteur d’activité. Afin
             De nombreux pirates exploitent les vulnérabilités des       d’identifier et de répondre aux menaces potentielles,
             systèmes obsolètes ou non mis à jour pour accéder           des technologies de surveillance de l’infrastructure
             frauduleusement aux données d’une entreprise. Des           informatique doivent être mises en œuvre. A cette fin,
             programmes efficaces de gestion des correctifs et            il convient d’élaborer à l’échelle de toute l’organisation
             la fermeture rapide des vulnérabilités identifiées           une stratégie en matière de surveillance et de gestion
             peuvent empêcher de telles attaques.                        des journaux (log).

             Vérifier l’infrastructure du réseau et des                   Réaliser régulièrement des contrôles d’efficacité
             applications                                                L’ensemble des directives, processus, listes de contrôle
             Des contrôles automatisés réguliers (par exemple,           et autres documents doivent être examinés périodi-
             une fois par mois) de l’infrastructure réseau et de         quement pour en vérifier l’exhaustivité, l’adéquation et
             l’environnement applicatif permettent d’identifier les       l’efficacité. Les mesures organisationnelles et techniques
             vulnérabilités existantes et notoires. En outre, les sys-   mises en œuvre doivent toujours correspondre aux
             tèmes particulièrement sensibles doivent être soumis        menaces effectives du moment et être validées par des
             à un contrôle technique de sécurité approfondi (test        analyses de risque régulières.
             d’intrusion).
                                                                         Instaurer une gestion sécurisée des utilisateurs et
             Sensibiliser à la cybersécurité par des formations          des accès
             et des stages appropriés                                    Outre l’utilisation de mots de passe complexes,
             Les attaques d’ingénierie sociale prennent les per-         il est impératif de mettre en place un concept efficace
             sonnes pour cible, c’est pourquoi les mesures tech-         de gestion et d’octroi des habilitations (droits d’accès).
             niques ne garantissent pas une protection suffisante         L’objectif est de limiter au minimum l’utilisation de
             à cet égard. En matière de prévention, il convient de       comptes d’utilisateurs privilégiés (administrateurs). Pour
             mettre en place des mesures telles que la simulation        l’octroi des autorisations, il est recommandé de créer un
             de campagnes de phishing ainsi que des formations           concept simple et efficace, facile à gérer et à auditer.
             de sensibilisation à la cybersécurité et de renforce-       Au vu des données récemment publiées sur les viola-
             ment de la vigilance dans ce domaine.                       tions de données et les bases de données de mots de
                                                                         passe (par exemple, Collection #1), il est conseillé aux
                                                                         entreprises d’envisager (notamment pour les systèmes
                                                                         critiques ou sensibles) le recours à l’authentification
                                                                         multifactorielle, à base de jetons (matériels) ou de bio-
                                                                         métrie (telles que les empreintes digitales).
TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ
CYBERSÉCURITÉ – TENDANCES ET RECOMMANDATIONS 2019

   CONCLUSION

Les incidents de cybersécurité causent un préjudice durable à votre
entreprise. Tandis que les pertes financières sont couvertes par une
assurance, le préjudice en matière de réputation est souvent irrépa-      CONTACT:
rable. Si la confiance des clients et des partenaires commerciaux est
perdue, elle ne pourra être rétablie que très difficilement. La valeur
d’une entreprise et sa réputation augmentent en même temps que
son savoir-faire. Les entreprises doivent donc être conscientes à tout
moment des données et des informations qu’elles traitent et de leur
valeur. C’est là une condition indispensable pour pouvoir prendre                                          Philipp Lüttmann
des mesures efficaces, permettant de protéger les actifs de l’entre-                                        cybersécurité & risques
prise et de satisfaire aux exigences réglementaires.                                                       Partner
                                                                                                           philipp.luettmann@bdo.ch
A l’ère de la numérisation et des exigences de conformité telles                                           +41 44 444 37 86
que le RGPD, la protection des données et des informations doit
constituer une priorité absolue pour votre entreprise. Investir dans
la sécurité de l’information permet de réduire les risques d’incidents
liés à la confidentialité et à la sécurité des données et d’éviter ainsi
une perte de réputation, le versement d’une rançon ou d’éventuelles
pénalités. A long terme, l’expérience concrète de la sécurité des
informations accroîtra la confiance de vos clients et aidera le service                                     Axel Timm
informatique à jouer son rôle de catalyseur dans le succès de votre                                        cybersécurité & risques
entreprise.                                                                                                Partner
                                                                                                           axel.timm@bdo.ch
                                                                                                           +41 44 444 34 84

                                                                                                           Alessandro Oberti
                                                                                                           cybersécurité & risques
                                                                                                           alessandro.oberti@bdo.ch
                                                                                                           +41 22 322 24 95

                                                                          Avec 34 succursales et plus de 1300 collaborateurs, la
                                                                          société fiduciaire BDO SA est le partenaire privilégié en
                                                                          Suisse pour les petites et moyennes entreprises,
                                                                          administrations publiques et organisations à but non
                                                                          lucratif. Elle propose des services financiers et fiduciaires,
                                                                          d’audit dans le domaine bancaire et d’assurance (agréée
                                                                          FINMA) ainsi que dans l’industrie, de conseil aux entre-
                                                                          prises, de conseil fiscal et juridique ainsi que des services
                                                                          informatiques, immobiliers et de cybersécurité.
www.bdo.ch
TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ TENDANCES ET RECOMMANDATIONS 2019 - CYBERSÉCURITÉ
Vous pouvez aussi lire