A combien estimez-vous vos données et leur perte ?

Vous vous dites peut-être que ce n’est pas si grave de perdre vos données, ou qu’il vous suffit de payer la rançon pour être débarrassé du problème et de ces hackers. Usurper votre identité n’a pas grande valeur, vos clients vous connaissent et savent comment vous communiquez, vos projets, vos services et surtout votre professionnalisme. Malgré ça... comme nous allons le voir, chaque faille exploitée est une mine d’or potentielle pour les hackers et les conséquences sont parfois dramatiques pour vous !

Comment la perte de donnée peut-elle se produire ?

Vous vous dites que c’est trop gros pour être vrai et que vous faites suffisamment attention pour éviter cela ?
Nous vous invitons dans ce cas a prendre quelques minutes et d'explorer ses différent procédés utilisés par les attaquants pour obtenir l'accès à vos données et d'analyser si vous vous êtes véritablement prémunis de tous ces risques informatique. Nous avons évoqué la cause principale, qui est le vol par infiltration sur votre réseau, et de ce fait dans votre infrastructure. Il existe également d'autres techniques qui permettent à une personne malveillante de récupérer vos données, pour ne citer que quelques exemples...

Négligence, interception de données et attaques de type man-in-the-middle

Un email non-chiffré envoyé à une personne ou en copie d'un autre destinataire qui n'était pas celui souhaité peut avoir de graves répercutions. Prenons un exemple simple, dans le contenu de votre pièce jointe ou le corps de votre message se trouve des données permettant à votre destinataire de comprendre votre méthodologie de travail, un secret de fabrication ou des données stratégiques de l'entreprise vos destinataires, certes malhonnête, ont la possibilité de réutiliser ces informations soit en les revendent au plus offrant ou en créer une structure concurrente à la votre. Bien qu'il existe des procédures dans les outils de messagerie électronique pour effectuer un rappel de votre message, si ce dernier a déjà été lu (cas qui devient de plus en plus fréquent avec le paramétrage de nos messageries sur nos smartphones). Il est donc important avant de cliquer sur le bouton d'envoi du message de toujours prendre le temps de contrôler ce que l'on envoie et surtout à qui !

Certaines attaques informatique consistent à intercepter des échanges entre deux interlocuteurs en se faisant passer pour l'un d'entre eux. Ces attaques visant à récupérer vos échanges, dites man-in-the-middle en anglais, sont des procédés très connus par les personnes qui travaillent dans la sécurité informatique. Il existe des solutions pour contrer ce type de pratiques mais elles sont généralement coûteuses en temps. Il est toujours important de bien identifier de manière unique vos interlocuteurs par exemple en vous servant de certificats électroniques issus d'autorités de certification dites de confiance pour vous assurer l'identité de votre interlocuteur.

Le stockage en réseau

Aujourd'hui, nos équipements nous sollicitent tous pour que nous utilisions des services Cloud pour stocker, synchroniser et sauvegarder nos données. Bien que très utiles, ses outils peuvent nécessiter un paramétrage de sécurité et ce dernier doit être réalisé par vous ou votre prestataire de service. Dans le pire des scénarios les données que vous déposez deviennent public et consultable par n'importe qui sur internet.

Attention, il est également important de gérer la sécurité des fichiers de l'entreprise que vous déposez sur votre espace partagé sur le serveur dit de fichier, connecté sur le réseau local de l'entreprise. En effet, si vous ne filtrer pas les personnes qui peuvent potentiellement avoir accès à certains dossiers ou fichiers, vous exposez ces informations à la vue de tous les membres de votre organisation. Il est donc important que vous définissiez votre politique de sécurité, les profils de personnes qui doivent avoir accès à tel ou tel données et que créiez des groupes en fonctions de ces profils. Pensez que votre politique de sécurité est un entonnoir et que plus vous progressez dans votre arborescence plus votre filtre va limiter les profils.

Compte et mot de passe

L'utilisation de la même adresse email et du même mot de passe sur l'ensemble de vos réseaux sociaux et quand on parle de mot de passe... votre date de naissance, les noms et prénoms de vos proches, le nom de votre animal... un conseil arrêtez immédiatement toutes ses informations sont accessibles sur internet ! Nous vous invitons à faire quelques recherches simples sur internet en tapant comme mot clef votre nom et votre prénom ou ceux d'une personne de votre famille, vous verrez qu'on peut aisément retrouver ce type d'information. Qu'il s'agisse d'une archive d'un journal mis à disposition sur son espace en ligne (très souvent pour les généalogistes) sur la naissance, un poste que vous avez fait ou qu'une personne à fait sur l'un des nombreux réseaux sociaux mis à notre disposition, vous verrez qu'il est très facile avec un peu de patience de trouver tout un tas d'informations.

Un visuel sur votre écrans

Pour les personnes nomades (commerciaux, VRP, dirigeant, ...) ayez toujours en tête que si vous travaillez dans un lieu public comme par exemple un aéroport, vous devez faire attention aux regards indiscrets de vos voisins. Ils pourraient jeter un coup d'œil par-dessus votre épaule ou sur la vitre qui réverbère votre écran et en apprendre beaucoup sur vous et les informations que vous transportez. Privilégiez des espaces privatifs ou vos locaux d'entreprise pour travailler !

Connexion sur des réseaux non sécurisés

Rappelez-vous également de ne surtout pas utiliser de Wi-Fi public pour accéder à vos données d’entreprise, ils ne sont pas protégés et très prisés par les attaquants pour tenter de vous dérober vos informations, véhiculer des virus ou des malwares et que vous pourrez ensuite véhiculer à d'autre personnes par la suite. Sont réputé réseau Wi-Fi public tous les réseaux qui ne vous demandent pas de clef pour vous connecter la première fois. Bien souvent, vos équipements vous signalent que ces réseaux ne sont pas privés et que vous devez rester extrêmement vigilent. Pour la plupart des systèmes d'exploitation le niveau de sécurité de votre appareil passe au niveau le plus haut et vous ne pouvez plus sortir correctement sur internet, utiliser vos applications reliées aux services sur le Cloud...

Quelles sont les conséquences de la perte de données ?

L’utilisation illégitime de vos données

Pour en tant que Gérant ou PDG de l'entreprise, il est important que vous ayez conscience que la perte ou le vol de données peut avoir des conséquences néfastes. Imaginez un peu que l’on accède à vos comptes de réseaux sociaux. Vous vous dites certainement de toute façon vous publiez très peu, et pourtant, les hackers ont pléthore de possibilités. Ils peuvent choisir de changer le un mot de passe et l'adresse email, le numéro de téléphone de récupération de votre mot de passe. Plus grave, ils peuvent envoyer des liens frauduleux à l’ensemble de vos contacts et usurper votre identité pour soutirer de l’argent à ces mêmes personnes. De ce fait, vous pouvez vous retrouver impliqué(e) involontairement dans des malversations et des escroqueries…

Le coût d'une amende des autorités et de la perte de vos clients

La perte de votre réputation, qu'elle est pu se produire à partir d'une faille que vous avez laissée ou encore des données qui vous ont été volées puis divulguées sur internet, va indéniablement déclencher une perte de vos clients. En effet, votre défaillance va irrémédiablement susciter une perte de confiance même chez vous clients historiques avec lesquels vous travaillez depuis de nombreuses années. Mettez vous à leur place et demandez vous comment ces clients réagiront ils ? Ils vous ont confié des données stratégiques voir même sensibles que vous ne savez pas protéger. Les conséquences peuvent être également plus grave car vous n’avez pas respecté les normes RGPD, de ce fait vous courrez le risque de recevoir une amende conséquente, pour divulgation de données personnelles.

Les pertes peuvent devenir dramatiques pour votre entreprise et vous pouvez perdre votre avantage concurrentiel si certains secrets sont dévoilés. Vos concurrents directs peuvent réutiliser les informations qui ont fuitées sur internet pour utiliser vos idées, ou aller prospecter vos clients.

La médiatisation d’une fuite de données

Il est plus difficile de développer de préserver l’image de votre entreprise que de la construire. Malheureusement pour vous, les fuites de données sont les sujets qui réalisent le plus fort taux d'audition et de lecture pour les sociétés de l'information (blogs, journaux, télévision, ...). Les professionnels ont déjà fait les frais d’un effet bad buzz sur la toile qui ont conséquences sont encore désastreuses pour leur entreprise.

Le maintient des accès

Un hacker qui dispose de l'accès à vos objets connectés (smartphone, montre, ordinateurs, serveurs, ...) à un gros avantage sur vous. Il devient capable de désactiver la sécurité de votre entreprise et de s'introduire dans vos locaux pour récupérer du matériel, des documents voir même mettre en place divers solutions pour lui permettre de conserver et de répandre son influence au sein de votre système d'information, télécharger des données et ensuite les revendre aux plus offrants. Vos équipements deviennent alors des zombies ou bot en anglais qui n'attendent qu'une chose, les instructions de leur maître et le nom, ou devrions nous dire les adresses IP, de nouvelles cibles.

Dans ce dernier cas de figure vous êtes exposés à des poursuites judiciaire pour avoir orchestré de manière non-intentionnel des attaques informatiques envers d'autres utilisateurs. Même vous vous pouvez démontrer votre innocence, vous devrez tout de même consacrer de votre temps et de votre énergie pour vous défendre.

Comment se protéger contre la fuite de données ?

Pour éviter la perte de données, vous pouvez déjà mettre en pratique des règles simples de sécurité. Elles sont régulièrement mises à jour et publiées de tous par l'ANSSI sur son site, vous ne savez pas qui ils sont ? Au service du Premier ministre, elle est rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN), l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) est l’autorité nationale chargée d’accompagner et de sécuriser le développement du numérique. L’ANSSI est un acteur majeur de la cybersécurité et apporte son expertise et son assistance technique aux administrations et aux entreprises avec une mission renforcée au profit des opérateurs d’importance vitale (OIV). Sa principale mission est d'assurer un service de veille, de détection, d’alerte et de réaction aux attaques informatiques.

La perte de données peut arriver bien plus vite qu’on ne le pense, une négligence, une faille exploitable et c’est le drame. N’oubliez pas que la protection de vos données est la responsabilité de tous au sein d’une entreprise. notre conseil mettez tout en œuvre pour chacun(e) connaisse les actions et les implications qui lui incombent pour minimiser le risque de fuites.

Voici quelque principe de base pour que vous puissiez vous prémunir de la perte de vos données :

La complexité de votre mot de passe

C’est la base de la sécurité informatique, on ne le répétera jamais assez, plus votre mot de passe est fort plus vous serez sécurisé.

N'oubliez pas également de ne pas utiliser le même identifiant et mot de passe sur plusieurs services différents. En effet, lorsqu'un attaquant a eu accès à votre boite email par exemple, il peut consulter les newsletters que vous avez reçu récupérer l'identifiant de connexion présent dans le message de confirmation de la création de compte et tester le même mot de passe pour se connecter aux autres services. Sachez que des outils gratuits sont mis à votre disposition pour enregistrer de manière sécurisé vos mots de passe en chiffrant le contenu de cette base, il comporte même des outils qui vous propose des mots de passe et surtout évalue son niveau de complexité. Chez MAXDEV-SOLUTION nous recommandons l'application keepass.

Vous pouvez en plus activez de votre mot de passe les options dites MFA pour multi-factor authentification. Lorsque cette option est disponible, qu'il s'agisse de réseaux sociaux, banque en ligne, marketplace, boîte email… nous vous invitons à l'activer. Pour les cas où le service n'est pas mis à votre disposition, vous pouvez faire appel à des prestataires sécurité qui proposent des solutions de One Time Password pour protéger vos accès les plus critiques. Par ce dispositif, vous recevez une notification lors de la connexion à votre service contenant un code à taper pour valider votre connexion, ce code est à usage unique.

Privilégiez les accès VPN

Lors de vos déplacements utilisez des accès VPN pour vous connecter et accéder aux données stockées sur votre réseau privé d'entreprise via votre partage de connexion mobile en 4G/5G. Le VPN a l'avantage de chiffrer vos échanges de bout en bout, la plupart des algorithmes proposés pour chiffrer ses échanges sont suffisamment complexes pour vous garantir qu'aucun attaquant pourra par la méthode de force brut casser vos échanges pour ensuite pouvoir les reconvertir en message clair et les exploiter. Attention, ici nous parlons de VPN que vous mettez en place avec vos équipes ou votre prestataire de service pour accéder aux données de votre entreprise.

Appliquez les mises à jour demandées par votre système

Les mises à jours ont diverses utilités notamment elles comblent les éventuelles failles détectées dans le produit et améliorent son fonctionnement. Ce n'est pas pour rien que votre équipement vous rappel régulièrement qu'une mise à jour est disponible, et non les développeurs de nos applications ou de nos systèmes d'exploitation ne les ont pas conçues pour avoir plaisir de vous importuner à chaque fois qu'ils déploient de nous patchs de sécurité. Plus vous ferez régulièrement vos mises à jour et moins vous serez exposés à des failles de sécurité découvertes par des prestataires en sécurité.

Sauvegardez vos données

Cette pratique vous permet de vous prémunir du chiffrement de vos données, vous devez également bien choisir la méthode de sauvegarde que vous souhaitez mettre en œuvre. Bien évidemment une simple copie sur votre poste de travail n'est pas considérée comme une sauvegarde. Elle doit être rendu disponible sur un support informatique externe à votre équipement. Qu'il s'agisse d'une solution Cloud ou d'un simple disque dur externe c'est déjà une solution de sécurité. Il faut bien évidemment que ses copies ou sauvegardes soient orchestrées de manière régulières pour vous assurer de minimiser la quantité de travail que vous perdriez en cas de chiffrement de votre disque dur. Ce principe est la base de votre Plan de Reprise d'Activité (PRA).