Archives de catégorie : double authentification

Chiffrement, cryptage, Cybersécurité, double authentification, Mise à jour, Securite informatique

Menaces internes : les ignorer c’est s’exposer

Face à l’hypermédiatisation des plus grandes menaces informatiques touchant les entreprises au niveau mondial, on peut légitimement penser qu’elles émanent toutes de logiciels de pointe malveillants ou de pirates commandités par des États. Mais si on pose la question à un professionnel de la sécurité, il répondra que la véritable menace est bien plus proche qu’on ne le pense.

Il y a tout juste quelques mois, Verizon et Bupa – deux marques à la réputation mondiale – ont dû faire face à des fuites de données considérables, affectant des millions de clients. Toutefois, dans les deux cas, l’auteur n’était pas extérieur à l’entreprise, mais bel et bien une ressource localisée en interne, possédant un accès autorisé à des données sensibles. Dans le cas de Bupa, un employé mécontent a délibérément divulgué plus de 500?000 dossiers clients en ligne. Pour Verizon, c’était une simple erreur de configuration d’un collaborateur qui a entraîné l’exposition des informations personnelles de plus de 6 millions de clients.

Les entreprises restent focalisées sur les menaces externes

Le défi des menaces internes réside dans la multiplicité des facettes qui les caractérisent et qui rend toute protection complexe. Les employés en interne, les sous-traitants et autres parties prenantes ont souvent besoin d’accéder à des ressources sensibles pour accomplir leur travail.

Il est, de fait, beaucoup plus difficile de se protéger des actes accidentels et malveillants que de mettre ces données en danger. Et même si la menace interne est claire, la majorité des entreprises continuent à la sous-estimer.

Dans une enquête menée au salon de la sécurité Security BSides London, 71 % des professionnels de la sécurité ont indiqué considérer que les entreprises devraient s’inquiéter davantage des menaces internes.

En outre, 47 % des participants ont été jusqu’à dire que les menaces internes/les utilisateurs non éduqués constituent la menace la plus négligée par les entreprises. Près de la moitié des professionnels de la sécurité considèrent que les menaces les plus fortes sont celles provoquées par les États-nations comme la Corée du Nord ou la Russie.

Menace informatique ?

Malgré leurs inquiétudes à l’égard des menaces internes, 92 % des participants reconnaissent que l’industrie dans sa globalité continue de déployer bien plus de ressources pour contrer les menaces externes. Cette approche de type «?château fort?» de la cybersécurité prévaut depuis des années, et les fournisseurs proposent de plus en plus de couches de défense du périmètre pour aider à construire des murailles plus hautes et à creuser des douves plus profondes. Mais quelle est l’utilité de ces défenses si la menace est déjà à l’intérieur??

Dans le cas de l’attaque récente de Verizon, un tiers, qui transférait des données client vers un nouvel espace de stockage Cloud, a commis une erreur de configuration d’accès, ce qui a engendré un accès externe accidentel. Si la menace interne était vue comme un risque réél, elle serait véritablement prise au sérieux. Mais cela ne semble pas être le cas dans la plupart des conseils d’administration. Dans l’enquête Security BSides London, seuls 9 % des interrogés ont indiqué trouver que la direction supérieure de leur entreprise prenait de bonnes décisions pour la stratégie et les dépenses de sécurité.

Menaces internes : comment réduire les risques ?

Comme pour de nombreux problèmes de sécurité, il n’est pas toujours nécessaire d’investir beaucoup pour réduire considérablement la menace. Des investissements stratégiques dans deux domaines essentiels peuvent faire la différence :

Éducation et information : le moyen de défense le plus efficace contre les menaces internes accidentelles réside dans une éducation et une information permettant d’éveiller les consciences. La grande majorité des fuites de données accidentelles ont lieu parce que les employés ne sont tout simplement pas conscients des conséquences de leurs actes. Une formation régulière sur la sécurité des données contribue à réduire les cas de négligence et à s’assurer que les employés réfléchissent avant d’agir dès que des données sensibles sont en jeu. Dans cette optique, il est important de fournir des rappels réguliers pour informer les employés des nouvelles procédures ou technologies de données mises en œuvre.

Une approche de la sécurité plus centrée sur les données

Malheureusement, toutes les menaces internes ne sont pas intentionnelles, comme l’illustre la récente fuite de données de Bupa. Dans ces circonstances, une couche de technologie supplémentaire peut aider à empêcher la fuite de données sensibles. Si l’éducation et l’information ne suffisent pas, les équipes sécurité doivent pouvoir comprendre et visualiser l’utilisation des données, afin de pouvoir repérer rapidement toute activité inhabituelle pouvant indiquer un risque. De plus, des politiques automatiques concernant l’accès aux données, voire qui empêchent les employés de copier, transférer ou supprimer des données sensibles, peuvent aider à contrer les fuites ou actes malvaillants.

Malgré l’accumulation des preuves attestant des risques engendrés par les menaces internes pour les entreprises modernes, les personnes qui décident des dépenses de sécurité restent obstinément focalisées sur les risques externes. Bien que cela représente une source de frustration croissante pour les professionnels de la sécurité, la bonne nouvelle est qu’il n’est pas nécessaire d’investir des fortunes pour améliorer considérablement la protection contre les menaces internes. Des dépenses stratégiques focalisées sur l’éducation et l’information, combinées à des technologies tenant compte des données, peuvent contribuer à décourager les employés les plus malveillants ou insouciants, et à garantir que les données sensibles n’arrivent jamais entre de mauvaises mains. (par Thomas Fischer, Global Security Advocate chez Digital Guardian)

Chiffrement, Communiqué de presse, cryptage, Cybersécurité, double authentification, Securite informatique

Mots de passe, authentification forte… 5 conseils pour ne plus se faire pirater

Voler un mot de passe est devenu un sport numérique pour les pirates tant les méthodes sont nombreuses. Si rien n’est infaillible, quelques méthodes peuvent permettre de réduire les risques.

Le mot de passe, un précieux trop souvent ignoré. Selon des informations publiées récemment, des pirates se seraient fait passer pour des employés de Microsoft afin de dérober des mots de passe auprès de députés britanniques. La réussite de cette attaque – la plus importante jamais menée à l’encontre du parlement – serait le résultat de l’erreur humaine, et plus précisément de l’utilisation de mots de passe « faibles » ne respectant pas les recommandations du Service numérique parlementaire (Parliamentary Digital Service). Cet incident a montré que même de hauts fonctionnaires pouvaient être vulnérables. L’homme reste souvent le maillon faible de la cybersécurité.

Les employés font généralement preuve d’une méconnaissance en ce qui concerne les questions de sécurité en ligne. Il ne se rendent pas compte qu’ils mettent leur entreprise en danger. Pourtant, bien que les organisations doivent absolument veiller à ce qu’ils ne courent aucun risque, un certain équilibre doit également être trouvé.

Si la sécurité devient une contrainte vis-à-vis de leurs tâches quotidiennes, ils seront moins enclins à observer les meilleures pratiques en la matière. Pire, ils pourraient tenter de contourner les stratégies de sécurité en place, ce qui engendrerait des risques encore plus importants.

Définir des exigences basiques en matière de mots de passe

Lorsqu’il s’agit de créer des mots de passe, on a généralement tendance à se contenter du minimum requis, et le lieu de travail ne fait pas exception sur ce plan. Il est donc important de définir des exigences relatives au nombre minimal de caractères, ou encore de complexité. L’utilisation de mots de passe « simples » (dates de naissance, noms d’animaux de compagnie et autres séquences de chiffres récurrentes, comme 123456) doit également être vivement déconseillée. Enfin, les équipes informatiques doivent exiger que tout nouveau mot de passe soit différent des anciens, et qu’ils soient mis à jour à intervalles réguliers.

Activer l’authentification à deux facteurs sur l’ensemble des comptes

Outre des mots de passe forts, les entreprises devraient également activer l’authentification à deux facteurs (2FA) de façon globale. Leurs utilisateurs seront alors obligés de saisir un élément d’identification supplémentaire. Une empreinte digitale, un mot de passe à usage unique. Des sésames afin de pouvoir accéder à leurs comptes.

Avec cette couche de protection, même si un pirate parvenait à dérober un mot de passe, il ne pourrait pas se connecter au compte. En outre, cette approche protège les identifiants des outils de découverte de mots de passe, et permet de limiter les dégâts en cas de tentative de phishing réussie. De plus en plus d’organisations sont séduites par les avantages de l’authentification 2FA et la mettent en œuvre de façon étendue dans le cadre de politiques de sécurité plus globales.

Gérer les accès des utilisateurs

Que vous ayez 5 ou 500 employés, seules les personnes appropriées doivent avoir accès aux informations adéquates. Les données sensibles devraient également être partagées avec le moins d’individus possible, et un protocole devrait être mis en place pour tout employé souhaitant accéder à un compte dont il n’a pas les identifiants.

Les entreprises devraient également concevoir un système afin d’assurer un suivi des mots de passe des différents comptes et de lister quels employés ont accès à quels comptes. Cette approche permet non seulement de s’assurer de la bonne gestion des mots de passe, mais aussi de savoir lesquels mettre à jour en cas de départ d’un salarié.

Émettre des directives relatives à l’utilisation d’appareils personnels

Le travail à distance étant de plus en plus utilisé par les employés, ces derniers utilisent de plus en plus leurs appareils personnels au travail. En effet, les sphères professionnelles et personnelles sont plus mêlées que jamais, et ils veulent par conséquent pouvoir utiliser leurs services librement. Bien que les bénéfices soient nombreux à la fois pour les employés et pour l’entreprise, cette pratique présente également un risque. Par exemple, s’ils cherchent à accéder à des données d’entreprise via un réseau sans fil public, ils exposeront sans le savoir leurs comptes professionnels. Les organisations doivent donc sensibiliser leurs employés aux risques liés à l’utilisation de leurs appareils personnels dans le cadre professionnel.

Créer une stratégie formelle

Enfin, les entreprises devraient développer une stratégie de sécurité formelle englobant l’ensemble des conseils ci-dessus, ainsi que toute autre information de sécurité dont les employés devraient être au courant. La base de cette stratégie de cybersécurité consisterait à reconnaître que les hommes sont tout aussi importants que les technologies. Qu’ils soient nouveaux ou existants, les employés devraient être formés régulièrement afin d’être sensibilisés aux risques potentiels, et d’apprendre comment contribuer à minimiser l’exposition de leur entreprise aux menaces potentielles. Enfin, la stratégie mise en place ne doit absolument pas être perçue comme une corvée. Pour cela, la gamification peut servir à stimuler l’engagement des employés et rendre la formation amusante et ouverte à chacun.

De nombreux outils permettent de gérer des mots de passe. Ils se nomment LastPass, Keeper, 1Password, Dashlane ou encore ZenyPass. Ce dernier est un nouveau gestionnaire de mots de passe. Comme ses camarades et concurrent, il s’adresse au grand public comme aux entreprises. Il permet de stocker ses mots de passe dans un coffre-fort numérique sécurisé, et de se connecter plus facilement à ses services web, tout en utilisant sur chacun de ces services des mots de passe différents et robustes, pour mieux les protéger. OpenSource, Français, il dispose ses serveurs en Europe (soumis à la réglementation Européenne).

Base de données, Chiffrement, Communiqué de presse, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Sauvegarde, Securite informatique

Près de la moitié des entreprises ont subi une compromission de données en 2016

La forte progression du trafic Internet émanant de bots crée un sérieux angle mort pour la sécurité IT, et 79% des entreprises ne savent toujours pas si leur trafic web provient d’humains ou de bots selon une étude de Radware.

La publication d’une nouvelle étude intitulée Radware Research: Web Application Security in a Digitally Connected World ne laisse rien présagé de bon. Ce rapport, qui examine la façon dont les entreprises protègent leurs applications web, identifie des lacunes de sécurité au sein des actuelles pratiques DevOps, recense les principaux types et vecteurs d’attaques et identifie les principaux risques.

L’étude qui s’intéresse aux secteurs d’industrie les plus ciblés, comme la vente au détail, la santé et les services financiers, souligne la prolifération du trafic web généré par des bots et son impact sur la sécurité applicative des entreprises. En réalité, les bots sont à l’origine de plus de la moitié (52%) de tout le flux du trafic Internet. Pour certaines entreprises, les bots constituent plus de 75% du trafic total. Les résultats soulignent ainsi qu’une entreprise sur trois (33%) ne sait pas distinguer les « bons » bots des « mauvais ».

Le rapport révèle également que près de la moitié (45%) des sondés ont expérimenté une compromission de données l’année passée et que 68% ne sont pas certains de pouvoir préserver la sécurité de leurs informations internes. De plus, les entreprises protègent souvent mal leurs données sensibles. 52% n’inspectent pas le trafic échangé depuis et vers des API. 56% ne sont pas en capacité de suivre les données une fois qu’elles quittent l’entreprise.

Toute entreprise qui collecte les informations de citoyens européens va bientôt devoir se conformer aux réglementations strictes sur la confidentialité des données imposées par le nouveau règlement général sur la protection des données (GRPD) ou GDPR (General Data Protection Regulations).

Ces nouvelles obligations prendront effet en mai 2018. Toutefois, à moins d’un an de l’échéance, 68% des entreprises craignent de ne pas être prêtes à temps.

« Il est alarmant que les dirigeants d’entreprises qui recueillent les données sensibles de millions de consommateurs doutent de la sécurité des informations qu’ils détiennent », déclare Carl Herberger, vice-président des solutions de sécurité chez Radware. « Ils connaissent les risques mais des angles morts, potentiellement vecteurs de menaces, persistent. Tant que les entreprises ignoreront où se situent leurs vulnérabilités et qu’elles n’auront pas pris les bonnes mesures pour se protéger, les attaques d’ampleur et les compromissions de données continueront de faire les gros titres. » Selon le Dr Larry Ponemon, « Ce rapport montre clairement que la pression exercée à fournir des services applicatifs en continu limite la capacité des méthodes DevOps à assurer la sécurité des applications Web aux différentes étapes du cycle de vie des développements logiciels.»

La sécurité applicative est trop souvent négligée. Tout le monde veut bénéficier des avantages de l’automatisation totale et de l’agilité conférées permis par le déploiement continu. La moitié (49%) des sondés utilisent actuellement le déploiement continu des services applicatifs et 21% envisagent de l’adopter au cours des 12 à 24 mois. Toutefois, ce modèle peut aggraver les problématiques de sécurité du développement applicatif : 62% reconnaissent que la surface d’attaque s’en trouve étendue et la moitié environ déclare ne pas intégrer la sécurité au processus.

Les bots prennent le dessus. Les bots sont la dorsale du e-commerce aujourd’hui. Les e-commerçants utilisent les bots pour les sites comparateurs de prix, les programmes de fidélité électroniques, les chatbots, etc. 41% des commerçants ont même déclaré que plus de 75% de leur trafic émane de bots, alors que 40% ne font toujours pas la différence entre les bons et les mauvais bots. Les bots malveillants constituent un risque réel. Certaines attaques de web scrapping volent la propriété intellectuelle des commerçants, cassent les prix et rachètent des stocks de façon à écouler la marchandise via des canaux non autorisés en dégageant une marge. Mais les bots ne sont pas le seul problème des commerçants. Dans le secteur de la santé, où 42% du trafic émane de bots, 20% seulement des responsables de la sécurité IT étaient certains qu’ils pourraient identifier les « mauvais » bots.

La sécurité des API est souvent négligée. Quelque 60% des entreprises partagent et consomment des données via les API, y compris des informations personnelles, des identifiants et mots de passe, des détails de paiements, des dossiers médicaux, etc. Pourtant, 52% n’inspectent pas les données échangées avec leurs API, et 51% n’effectuent aucun audit de sécurité ni n’analysent les failles éventuelles des API en amont de l’intégration.

Les périodes de vacances sont à haut risque pour les commerçants. Les commerçants sont confrontés à deux menaces distinctes mais très dommageables pendant les périodes de vacances : les pannes et les compromissions de données. Des pannes d’Internet lors de la haute saison quand les commerçants dégagent le plus de bénéfices peuvent avoir des conséquences financières désastreuses. Pourtant, plus de la moitié (53%) ne sont pas certains de la disponibilité à 100% de leurs services applicatifs. Les périodes où la demande est forte comme celles du Black Friday et du Cyber Monday, exposent également les données des clients : 30% des détaillants laissent entendre qu’ils peinent à protéger correctement leurs données sensibles au cours de ces périodes.

Les données médicales des patients courent des risques également. 27% seulement des sondés dans le secteur de la santé ont confiance dans leur capacité à protéger les dossiers médicaux de leurs patients, même s’ils sont près de 80% à devoir se conformer aux réglementations d’état. Il est primordial de déployer des correctifs de sécurité pour faire face aux actuelles menaces et mieux pouvoir atténuer leur impact, mais 62% environ des sondés dans le secteur de la santé n’ont peu ou pas confiance dans la capacité de leur établissement à pouvoir adopter rapidement des correctifs de sécurité et déployer les mises à jour, sans compromettre la conduite des opérations. Plus de la moitié (55%) des établissements de santé déclarent n’avoir aucun moyen de suivre les données partagées avec une tierce partie une fois qu’elles ont quitté le réseau interne. Les organisations du secteur de la santé sont les moins enclines à rechercher des données volées sur le Darknet : 37% ont déclaré le faire contre 56% dans le secteur des services financiers et 48% dans le secteur de la vente au détail.

La multiplication des points de contact aggrave le niveau de risque. L’avènement des nouvelles technologies financières (comme celles liées aux paiements mobiles) facilite l’accès des consommateurs et leur degré d’engagement, ce qui a pour effet d’accroître le nombre des points d’accès comportant des vulnérabilités et de majorer le niveau de risque auquel sont confrontés les responsables de la sécurité. Alors que 72% des organisations de services financiers partagent les identifiants et mots de passe et que 58% partagent les détails des paiements réalisés via des API, 51% ne chiffrent pas le trafic, avec le risque d’exposer les données en transit des clients.

Chiffrement, Cybersécurité, double authentification, Securite informatique

La mauvaise gestion des comptes et des accès à privilèges

Une étude mondiale auprès de plus de 900 professionnels de la sécurité informatique lève le voile sur une mauvaise gestion à grande échelle des comptes à privilèges. Neuf répondants sur dix reconnaissent des difficultés dans la gestion des comptes à privilèges. Un professionnel de la sécurité informatique sur cinq (18 pourcents) procède encore à une journalisation en format papier pour gérer les comptes à privilèges.

Une nouvelle étude mondiale, éditée par la société de One Identity, met en lumière de mauvaises pratiques généralisées en termes de gestion des comptes à privilèges. Dimensional Research a récemment interrogé 913 professionnels de la sécurité informatique sur les difficultés, les habitudes et les tendances en matière de gestion des accès aux données de l’entreprise. Parmi les conclusions les plus éloquentes, neuf répondants sur dix (88 pourcents) admettent rencontrer des problèmes pour gérer les mots de passe à privilèges, alors qu’un sur cinq (18 pourcents) effectue toujours une journalisation en format papier pour gérer les comptes à privilèges.

Ces conclusions sont significatives dans la mesure où les comptes à privilège octroient un accès littéralement illimité à quasiment tous les composants de l’infrastructure IT d’une entreprise et donnent en substance la clé des systèmes et données de l’entreprise les plus stratégiques et les plus sensibles. Cette étude révèle également trois domaines majeurs sujets à d’inquiétantes pratiques lacunaires pour gérer les comptes à privilèges.

Outils et plateformes d’administration

outre le fait que 18 pourcents des répondants admettent utiliser des journaux en format papier, il est surprenant que 36 pourcents utilisent des tableurs tout aussi inappropriés pour faire le suivi des comptes à privilèges. L’étude a également découvert que deux tiers (67 pourcents) des entreprises s’appuient sur deux outils ou davantage pour gérer ces comptes – ce qui révèle une incohérence généralisée dans la gestion des comptes à privilèges.

Supervision et visibilité : la majorité des professionnels de la sécurité informatique (57 pourcents) admet faire la supervision de certains comptes à privilèges uniquement, voire ne pas du tout superviser les accès à privilèges. Pire, 21 pourcents des répondants avouent être incapables de superviser ou d’enregistrer l’activité associée à des identifiants d’administration, alors que 32 pourcents indiquent qu’ils ne peuvent pas identifier de manière cohérente les personnes à l’origine de ces activités.

Gestion et modification des mots de passe : une impressionnante proportion de 86 pourcents des entreprises ne change pas régulièrement le mot de passe de leurs comptes administrateurs après chaque utilisation. De plus, 40 pourcents des professionnels de la sécurité informatique n’appliquent pas la meilleure pratique fondamentale consistant à modifier le mot de passe administrateur par défaut. En contournant ces meilleures pratiques, les comptes à privilèges deviennent une vulnérabilité et ouvrent la porte à une exfiltration de données ou pire en cas de compromission.

“Quand une entreprise n’applique pas les processus les plus élémentaires de sécurité et de gestion des comptes à privilèges, elle s’expose à un risque considérable. Encore et toujours, les brèches ouvertes par le piratage de comptes à privilèges résultent en coûts de mitigation astronomiques ainsi qu’en vol de données et en marques écornées,” note John Milburn, président et directeur général de One Identity. “Les résultats de cette étude indiquent qu’il existe une vaste et inquiétante proportion d’entreprises n’ayant pas de procédures appropriées en place. Il est capital que les organisations implémentent les meilleures pratiques en matière de comptes à privilèges sans créer de nouvelles entraves à la réalisation du travail.”

Éviter une gestion archaïque

Un récent rapport de Forrester indique que huit brèches sur dix impliquent des identifiants à privilèges et met en lumière combien les pirates ciblent les comptes à privilèges. Les cybercriminels savent qu’obtenir l’accès à des comptes à privilèges est le moyen le plus rapide et le plus simple de mettre la main sur les données et les systèmes sensibles d’une entreprise. C’est pourquoi les organisations ne peuvent plus se contenter de pratiques dépassées, comme des registres en format papier ou une journalisation sous Excel pour gérer ces comptes prioritaires.

Base de données, Chiffrement, Cloud, Communiqué de presse, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, Sauvegarde, Securite informatique

La sécurité reste l’un des freins les plus importants à l’adoption du Cloud

Selon une récente enquête, la sécurité informatique reste l’un des freins les plus importants à l’adoption du Cloud pour les entreprises.

Les entreprises de la zone EMEA se tournent de plus en plus vers Office 365 de Microsoft, même si compte tenu de toutes les cyber attaques récentes, les inquiétudes concernant la sécurité restent l’un des freins les plus importants à l’adoption du cloud. Telle est une des principales conclusions d’une enquête internationale conduite auprès de plus de 1.100 organisations par Barracuda Networks, Inc., un éditeur de solutions de sécurité et de protection de données basées sur le cloud.

L’enquête, intitulée “Office 365 Adoption Survey: Drivers, Risks, and Opportunities” avait pour but de mesurer les tendances autour de l’adoption et de l’utilisation de Microsoft Office 365, y compris les facteurs contribuant à la décision pour ou contre la migration vers cette plate-forme. L’étude a également permis de rassembler des informations sur l’utilisation par les entreprises de solutions tierces de sécurité et de protection de données avec Office 365, et leur engagement vis à vis de revendeurs à valeur ajoutée (VARs) et de fournisseurs de services managés.

Commentant ces résultats, Chris Ross, SVP International chez Barracuda Networks, a déclaré : “L’adoption d’Office 365 continuant d’augmenter d’une année sur l’autre en Europe, il est naturel d’assumer que les inquiétudes concernant les cyber menaces vont persister. Mais il est encourageant de constater que les entreprises s’éveillent à l’importance d’une approche de protection multi-couches, ce qui suggère une meilleure compréhension de leurs obligations lors de l’adoption du cloud.”

Un domaine où l’Europe a encore du chemin à faire pour atteindre les niveaux constatés aux États-Unis est l’adoption de solutions tierces pour ajouter une couche supplémentaire de sécurité contre les attaques de spear phishing, d’usurpation d’identité et de ‘social engineering.

Seules 14% des organisations de la zone EMEA ont déjà quelque chose en place, à comparer à 36 pour cent aux États-Unis. Nous pensons que cette situation devrait évoluer au cours de l’année qui vient, et nous incitons les entreprises européennes à y prêter attention.

Nous constatons que les cyber criminels changent de cibles, passant du top management à des employés plus bas dans la hierarchie, et de grandes entreprises à des organisations plus petites disposant de moins de ressources.”

Principales conclusions dans la zone EMEA

* Près des deux tiers (62%) des entreprises de la zone EMEA utilisent désormais Office 365, en augmentation de 50 pour cent par rapport à une enquête similaire réalisée par Barracuda en 2016.

* Parmi celles qui n’utilisent pas aujourd’hui Office 365, un peu moins de 40% indiquent qu’elles prévoient de migrer dans l’avenir – une proportion moindre qu’aux États-Unis, où près de 49% déclarent prévoir cette migration.

* La plus grande inquiétude visant la sécurité pour plus de 90% des entreprises européennes concerne les ransomwares. Près la moitié d’entre elles (48%) avouent avoir déjà été frappée par une infection de ce type, même si seulement 3% d’entre elles ont finalement payé la rançon.

* Pour les entreprises ayant déjà été frappées, le mail a été de loin le principal vecteur d’attaque pour les cyber criminels, près des trois quarts (70%) des attaques par ransomware arrivant via email. Les trafic web (18%) et le trafic réseau (12%) n’ont représenté qu’un nombre relativement faible d’infections.

* La raison la plus couramment invoquée pour ne pas migrer vers Office 365 a changé depuis l’étude de l’année dernière, les entreprises européennes rejoignant les américaines en plaçant en tête les inquiétudes concernant la sécurité (32%). Mais à la différence des États-Unis, les entreprises européennes citent toujours une politique “no cloud” comme une raison significative de ne pas migrer (28%).

* Malgré ces inquiétudes, plus de 85 pour cent des entreprises européennes interrogées ont indiqué ne pas utiliser la fonction Advanced Threat Protection (ATP) de Microsoft Office 365 – s’appuyant plutôt sur des solutions tierces pour accroître la protection de leurs environnements Office 365. Plus de deux cinquièmes d’entre elles (43%) utilisent des solutions tierces de sécurité, d’archivage ou de sauvegarde, ce chiffre étant encore plus important (68%) parmi celles qui prévoient de migrer.

* A côté de cela, 41% des organisations interrogées ont déclaré redouter des attaques de phishing, de spear phishing, d’usurpation d’identité ou de ‘social engineering’. Toutefois, seules 14% des organisations européennes ont indiqué disposer d’une solution tierce pour adresser ces menaces.

“Ces résultats confirment la prise de conscience croissante des besoins de sécurité que nous constatons chez nos clients, et la nécessité d’adopter une approche multi-couches pour progresser,” a ajouté Sanjay Ramnath, Vice President of Security Products and Business Strategy chez Barracuda. “Nos clients et nos partenaires indirects qui déploient Barracuda Sentinel et Barracuda Essentials for Office 365 peuvent migrer certains de leurs processus de gestion stratégiques dans le cloud, tout en étant certains d’être protégés contre les ransomwares, les attaques de spear phishing et d’autres menaces avancées.”

Communiqué de presse, Cybersécurité, double authentification, Entreprise, Mise à jour, Patch, Propriété Industrielle, Securite informatique

Global Transparency Initiative

Global Transparency Initiative : alors qu’il ne reste que quelques jours à l’administration américain pour effacer les outils Kaspersky de leurs postes informatiques, le géant de la sécurité informatique Russe lance son programme transparence !

Kaspersky Lab a présenté son « Global Transparency Initiative ». Mission, la société russe fournira un accès au code source – y compris des mises à jour – pour une évaluation par un tiers de confiance. Kaspersky explique qu’il ouvrira aussi trois centres de transparence dans le monde entier. Un peu comme l’annonçait, il y a quelques années, Microsoft. La Global Transparency Initiative s’inscrit dans le cadre de l’engagement à garantir l’intégrité et la fiabilité de des solutions logiciels, afin de protéger les clients contre les cyber-menaces.

Grâce à cette initiative, Kaspersky Lab incitera la communauté de la cyber sécurité dans sa globalité et d’autres parties prenantes à valider et vérifier la fiabilité de ses solutions, de ses processus internes et de ses opérations commerciales. Le Russe entend également favoriser la mise en place de mécanismes de responsabilisation supplémentaires, qui permettront à l’entreprise de démontrer qu’elle s’attaque rapidement et en profondeur à tous les problèmes de cybersécurité. Dans le cadre de cette initiative, la société a l’intention de fournir à un tiers de confiance, et sous condition, l’accès au code source de ses logiciels – y compris les mises à jour des logiciels et des règles de détection des menaces – à des fins d’examen et d’évaluation indépendants. « La balkanisation de l’Internet ne profite à personne, explique Eugene Kaspersky, PDG de Kaspersky Lab. Sauf aux cybercriminels. Une coopération réduite entre les pays favorise l’action des cybercriminels et les partenariats public-privé ne fonctionnent pas comme ils le devraient.« .

Kaspersky a été accusé par la Maison Blanche d’avoir participé (directement ou indirectement) à des fuites de données concernant le renseignement américain. A regardé de plus prêt, le protectionnisme de l’Oncle Sam a trouvé un moyen de couper l’herbe sous le pied d’une entreprise concurrente aux structures locales. A voir si l’examen indépendant du code source de la société, réalisé par un tiers de confiance et qui débutera d’ici le 1er trimestre 2018, avec des examens similaires des mises à jour logicielles de la société et des règles de détection des menaces à suivre sera suffisent pour faire reculer l’administration Trump.

A noter que Kaspersky vient de signer un nouvel accord de partenariat avec Europol. Tout comme Trend Micro qui vient d’unir son expertise avec les policiers d’Europol pour protéger le secteur financier face aux attaques ciblant les Distributeurs Automatiques de Billets.

Biométrie, Chiffrement, cryptage, Cybersécurité, double authentification, Securite informatique

SoundProof, la biométrie par le bruit

Une entreprise Suisse propose SoundProof, une nouvelle forme de contrôle biométrique. Le bruit ambiant permet de valider une connexion !

La biométrie, c’est permettre l’accès à un espace, un ordinateur, un système en utilisant une partie de son corps : iris, empreinte digitale, veines, visage, … Une entreprise Suisse basée à Zurich, Futurae, annonce avoir rajouté une couche de sécurisation à la biométrie. Baptisé SoundProof, la méthode de sécurité utilise les micros de votre ordinateur, console, smartphone, tablette, montre connectée pour enregistrer le bruit vous entourant et comparer avec les sons contenues dans sa base de données. SoundProof compare et valide ou non l’accès. Une double authentification par le bruit. A note que si le silence est complet, le matériel contrôlé va émettre son propre son, différents à chaque connexion, qui sera reconnu par SoundProof. (LT)

Android, Chiffrement, Cybersécurité, double authentification, ios, IOT, Sécurité, Securite informatique, Smartphone, Téléphonie, VPN, Windows phone

Conseils avisés pour un été et des vacances en toute sécurité

Un commentaire

Vacances en toute sécurité ! Nous voilà déjà en été, une période propice à la famille, à la détente et aux voyages.  Que vous choisissiez de faire le tour de votre région ou un tour du monde, il est probable que votre fidèle PC portable vous accompagne (on ne sait jamais…), tout comme votre smartphone bien sûr. Vous aurez peut-être envie de vérifier vos emails via le Wi-Fi public de votre hôtel. Ou vos enfants auront peut-être envie de s’adonner à des jeux vidéo sur votre portable. Cependant, si votre cybersécurité est défaillante, vous pourriez bien subir quelques mauvaises surprises …

Car c’est une réalité, des vacances en toute sécurité pour votre informatique n’est pas à négliger : si vous n’avez pas pris le temps de sécuriser vos dispositifs connectés, vous risquez d’en pâtir. Les malwares comme WannaCry se propagent rapidement. Ils exploitent des vulnérabilités logicielles connues, que les entreprises ou individus ne prennent pas toujours le temps de patcher. Le botnet Mirai a ainsi utilisé environ 100 000 équipements connectés non–sécurisés, à l’instar de caméras de sécurité, pour submerger le fournisseur de services Dyn, entraînant une panne gigantesque qui a mis hors ligne nombre de sites Web.

Il faut faire le parallèle entre les cyberattaques et, d’autre part, les virus ou bactéries. Ce n’est que lorsque l’origine des maladies a été identifié que les bonnes mesures d’hygiène personnelle se sont imposées auprès du grand public. Auparavant, les chirurgiens ne se lavaient pas forcément les mains avant d’opérer. Même constat chez les cuisiniers avant de se mettre aux fourneaux. Les maladies se propageaient alors rapidement d’une personne à l’autre. Lorsque les recherches médicales ont pu établir le rôle d’organismes microscopiques dans les maladies, et l’importance d’une bonne hygiène pour s’en débarrasser, se laver les mains est devenu une habitude  et donc un frein aux épidémies.

En clair, WannaCry et  Mirai ont pu se propager grâce à une hygiène technologique défaillante de la part des utilisateurs.

D’autre part, n’oublions pas les équipements mobiles : si les malwares s’en prennent principalement aux ordinateurs de bureau et portables, les cybercriminels ne se sont pas pour autant désintéressés du mobile, ce qui invite les utilisateurs à en faire de même. Pour le grand public, la cybersecurité est, pour l’essentiel, liée à leur PC et le puissant concentré de technologie qui tient dans la paume de la main est souvent négligé. Pourtant, les smartphones connaissent des vulnérabilités et les bonnes pratiques s’imposent pour pouvoir les neutraliser.

Soyez en charge de votre sécurité

Les dispositifs connectés ne sont pas tenus légalement d’être protégés contre les cybercriminels. Il est donc de la responsabilité des consommateurs, en tant que citoyens responsables, de sécuriser leurs équipements.

Voici quatre bonnes pratiques de cybersécurité à adopter pour garder la main sur vos équipements et sécuriser les applications et données qui y sont hébergées.

1. Vacances en toute sécurité : sachez éviter les pièges du Wi-Fi 

Les hotspots WiFi publics sont sources de risques. Vos connexions en ligne sont susceptibles d’être interceptées de différentes façons, par une attaque de type man-in-the-middle notamment. Imaginons un individu malveillant présent dans un lieu public, à la terrasse d’un café par exemple et qu’il ait nommé  son équipement « Café-WiFi gratuit ». Lorsque vous vous y connectez, il vous connecte à Internet via son équipement mais il est aussi capable de détourner l’ensemble du trafic entre vous et votre site de shopping par exemple. Il obtient ainsi le détail de vos paiements, votre adresse, vos identifiants de connexion, etc.

Pour éviter que vos données sensibles ne soient interceptées, vous devez utiliser un service de VPN de confiance lorsque vous accédez à un réseau WiFi public. Si vous avez l’habitude de vous connecter à des hotspots publics, sachez qu’il existe de nombreux services de VPN économiques, peu onéreux ou gratuit, qui sauront sécuriser vos transactions. Une des règles d’or est d’éviter de se connecter aux réseaux Wi-Fi inconnus, par exemple dans un café où vous n’avez pas vos habitudes. Un WiFi gratuit dans un hôtel où vous séjournez a plus de chance d’être sécurisé. Vous pouvez également utiliser les hotspots mobiles de votre fournisseur d’accès à Internet pour y connecter votre smartphone.

Une autre bonne pratique consiste à s’assurer que votre connexion est sécurisée ou chiffrée lorsque vous vous connectez en ligne à partir d’un lieu public, ou que vous réalisez une transaction bancaire ou commerciale. Vérifiez dans la barre d’adresse de votre navigateur que l’adresse débute par https:// plutôt que http://, pour valider qu’un chiffrement par SSL protège vos transactions. L’activation de SSL est essentielle, mais ce protocole ne sécurise que les flux de communication et non vos données, ces dernières étant vulnérables en cas de connexion à un point d’accès malveillant. Ainsi, si vous vous connectez à un réseau Wi-Fi, assurez-vous de sa légitimité.

Enfin, ce petit conseil en bonus : désactivez les connexions Wi-Fi automatiques sur votre dispositif. Dans le cas contraire, si vous vous connectez à un point d’accès malveillant, votre équipement pourrait bien s’en souvenir et s’y reconnecter automatiquement lorsque ce point d’accès sera de nouveau à portée de connexion.

Dernier point, utilisez IMPÉRATIVEMENT un VPN dès que vous souhaitez utiliser une connexion wifi dans un hôtel, camping, commerce, … Il vous protégera et chiffrera vos connexions.

2. Vacances en toute sécurité : renforcez vos mots de passe

Une des principales raisons pour laquelle il est souvent simple de pirater les comptes personnels est que nombre d’utilisateurs se contentent d’un même mot de passe pour différents comptes : une telle pratique est évidemment dangereuse ! Certes, il n’est pas forcément simple de se souvenir de 50 mots de passe différents, si ce n’est plus. Et pourtant, différencier ses mots de passe est un gage de sécurité. Il existe des services de gestion de mots de passe en ligne, comme LastPass, qui peuvent vous aider, car il vous suffit de ne vous souvenir que d’un seul mot de passe principal. De tels services peuvent également créer des mots de passe forts et aléatoires pour chaque application à laquelle vous accéder, pour ensuite les stocker dans un format chiffré.

3. Vacances en toute sécurité : privilégiez une authentification à deux facteurs

Les applications sont de plus en plus nombreuses à imposer deux ou plusieurs étapes pour authentifier leurs utilisateurs. Cette approche est pertinente, même si certains la considèrent comme fastidieuse : elle lutte efficacement contre le détournement d’identité ou les ransomwares. Il ne vous en prendra que quelques secondes supplémentaires avant que votre code de sécurité ne s’affiche sur votre smartphone et que vous puissiez le saisir pour vous authentifier. Ces quelques secondes d’attente vous aideront à vous protéger, ainsi que vos comptes en ligne et vos données. Rappelons que la sécurité est une fonctionnalité et non un bug…

4. Vacances en toute sécurité : Identifiez les virus et les malwares

Installez les antivirus et antimalwares, tenez-les à jour et exécutez-les régulièrement. Mais assurez-vous de choisir le bon outil. Il existe en effet nombre de produits qui affirment être des outils de sécurité, mais qui sont, en réalité et quelque peu ironiquement, des malwares. Aucun antimalware ne peut être efficace à 100% et il est important de programmer l’exécution régulière – une fois par mois à minima – d’un second ou troisième outil de sécurité pour analyser votre équipement ou votre réseau. Nombre d’éditeurs proposent des versions en ligne gratuites de leurs outils ou vous les offrent pendant une période d’essai. La majorité des antimalwares dispose d’un pare-feu et vous devez donc vous activer cette protection supplémentaire.

Planifiez et soyez vigilant !

Ne vous laissez pas piéger pendant cet été. Vous êtes seul en charge de votre sécurité. Prenez les mesures nécessaires avant de partir en vacances et restez vigilants tout au long. En prenant quelques mesures de bon sens et d’hygiène, vous aurez bien plus de chances de vous tenir à l’écart de toute catastrophe digitale. (Christophe Auberger, Directeur Technique France, Fortinet)

Android, Argent, Chiffrement, Cybersécurité, double authentification, ID, Identité numérique, ios, Particuliers, Securite informatique, Smartphone, Téléphonie, Vie privée, Windows phone

hotspot free : WiFi dans le commerce de détail, les erreurs à éviter

Hotspot free – Nous sommes arrivés au point où la plupart d’entre nous emportent constamment au moins un équipement connectable par WiFi. Selon le rapport VNI 2016 de Cisco, d’ici 2021, plus de 540 millions de hot spots publics seront opérationnels dans le monde. Et déjà aujourd’hui, beaucoup d’enseignes de distribution ont réalisé qu’offrir à leurs clients un réseau WiFi fiable fait partie des impératifs incontournables. En tant que commerçant, voici quelques conseils ; en tant que client, voici pourquoi votre wifi connecté chez un commerçant en dira beaucoup « trop » sur vos agissements.

Mais le WiFi gratuit, le hotspot free est devenu bien plus qu’un simple outil pour se connecter à Internet. Les enseignes ne peuvent pas simplement le ‘brancher puis l’oublier’ s’ils veulent retirer tous les avantages de leur réseau sans fil. Voici les 5 erreurs principales que font les commerçants lorsqu’ils offrent le WiFi gratuit à leurs clients. Pour le client, l’utilisation d’un VPN est une obligation !

1 – hotspot free : Pas de page de démarrage ou de portail captif.

Il est nécessaire de ne pas oublier de mettre en place une page de démarrage ou un portail captif lorsque de l’installation d’une réception WiFi pour la clientèle. Beaucoup de commerçants offrent simplement le WiFi gratuit avec un vieil écran « cliquer ici pour accepter les conditions générales ». Les visiteurs sont capables de contourner rapidement ces écrans pour accéder à Internet lorsqu’ils sont dans le magasin, privant l’enseigne d’un grand nombre d’informations client et de prospects potentiels.

Des pages de démarrage personnalisables et des portails captifs peuvent collecter des informations client utiles telles que des adresses email, des numéros de téléphone mobile, des comptes de réseaux sociaux, ou d’autres encore en échange d’un accès Internet. Ce processus aide le commerçant à mieux cibler son audience et à s’adresser à une base de clients plus large. Obtenir une authentification pour de grands canaux de réseaux sociaux tels que Facebook, Twitter et Instagram lui fournira en outre l’opportunité d’accéder à un éventail d’informations plus large telle que la ville de résidence, les écoles fréquentées, les goûts vestimentaires, etc.

Au minimum, la page de démarrage du réseau WiFi doit pouvoir collecter des données démographiques de base telle que le genre et l’âge.

2 – hotspot free : Exposer les clients à des escrocs ou des ‘pirates’.

Comme la plupart des professionnels de la distribution en sont déjà conscients, aucune organisation ne peut plus se permettre d’ignorer les principales de base de la cyber sécurité. Les hot spots WiFi publics sont d’attractifs terrains de chasse pour les pirates. Sans l’utilisation de mesures de protection adéquates, des pirates peuvent facilement intercepter des informations personnelles appartenant aux invités sur le réseau, telles que des adresses email, des numéros de carte de crédit et d’autres données sensibles. Mais la sécurité du réseau WiFi n’est pas simplement un moyen de protéger des clients. Elle permet également de protéger la réputation de l’enseigne elle-même.

Comment la sécurité WiFi fonctionne-t-elle exactement ? Les systèmes WIPS (Wireless Intrusion Prevention System) sont une solution de sécurité de réseau sans fil couramment utilisée pour défendre les réseaux WiFi contre le cyber espionnage. Le problème est que la plupart de ces solutions sont onéreuses et que, bien que découvrir et bloquer des hackers dans l’environnement immédiat leur soit relativement facile, la plupart de ces solutions ne peuvent faire précisément la distinction entre des équipements et des points d’accès véritablement malicieux et d’autres légitimes au voisinage du point de vente. Ce problème de faux positifs peut entraîner des systèmes WIPS à couper par inadvertance d’inoffensifs équipements ou points d’accès dans le voisinage – une erreur qui peut nuire à la réputation de l’enseigne ou même avoir des conséquences juridiques. Beaucoup de commerçants désactivent en fait la fonction préventive de leur système WIPS pour éviter de prendre ce risque.

La bonne nouvelle est que les solutions de sécurité WiFi haute performance ne sont plus réservées à de très grandes entreprises disposant de ressources illimitées, et qu’il existe de nouvelles technologies qui éliminent virtuellement les faux positifs des systèmes WIPS. Il est donc désormais possible de protéger son réseau sans fil et ses clients avec un système WIPS qui peut classer automatiquement et avec précision les équipements connectés et les points d’accès dans les catégories autorisé, externe et pirate, et réagir en conséquence.

De plus, comme le sait toute entreprise de distribution, maintenir une conformité complète avec la norme PCI est essentiel, même si ce standard est chaque année de plus en plus strict. Ceci posé, la conformité à cette norme ne suffit pas à elle seule à garantir la sécurité des clients et de l’enseigne. En fait, un standard PCI pour la sécurité des réseaux sans fil n’exige de n’effectuer des scans réguliers pour identifier des points d’accès pirates qu’une fois par trimestre. Ceci correspond à un seul scan tous les 90 jours ! Donc encore une fois, la conformité est importante, mais elle doit être associée à une protection WIPS complète en 24/7, 365 jours par an.

3 – hotspot free : Perdre des ventes au profit des géants du e-commerce.

L’enseigne fait-elle tout ce qui est en son pouvoir pour garantir que des clients n’utilisent pas ses points de vente simplement comme un showroom pour voir ou essayer des produits avant de dénicher le meilleur prix en ligne sur des sites marchands concurrents ? De nombreuses techniques d’engagement mobile existent pour entamer le dialogue avec les visiteurs lorsqu’ils se connectent au réseau WiFi. Ces outils permettent aux enseignes d’étendre leurs stratégies d’engagement au-delà de la page d’accueil et de fournir à leurs invités une expérience personnalisée qui leur apporte des informations pertinentes au moment le plus opportun.

Par exemple, des outils d’interception d’URL permettent de présenter aux consommateurs présents sur le réseau WiFi des coupons, des codes de réduction ou des messages spécifiques lorsqu’ils comparent les prix du magasin à ceux d’autres sites marchands. Le réseau WiFi peut aussi être utilisé comme un canal supplémentaire pour communiquer directement avec les clients via SMS, MMS ou leur réseau social préféré. En outre, des enquêtes délivrées via WiFi pourront aider l’enseigne à mieux connaître les opinions et les comportements de ses clients. Elle pourra ainsi ajuster sa stratégie marketing en conséquence, tout en montrant à ses clients qu’elle reste à leur écoute.

4 – hotspot free : Négliger les outils d’analytics WiFi.

Un client qui entre dans un point de vente physique doit être considéré de la même façon que s’il visitait le site web de l’enseigne. Les informations sur les chemins qu’il a emprunté, les rayons qu’il a traversés, la durée de sa visite et les achats qu’il a effectués peuvent être cruciales pour la stratégie marketing immédiate et future.

Beaucoup de chaînes de distribution n’arrivent pas à utiliser les fonctions d’analytics de leurs réseaux WiFi pour comprendre le taux de fréquentation, la durée moyenne de visite de leurs clients et d’autres paramètres qui peuvent les aider à optimiser l’agencement de leurs points de vente. Le réseau WiFi est capable de fournir des quantités massives de données client collectées via des scans passifs, actifs et d’autres connexions des utilisateurs au sein ou autour des réseaux WiFi. Lorsqu’elles sont correctement analysées, ces informations peuvent révéler des parcours client privilégiés, des comportements et les caractéristiques démographiques des utilisateurs du WiFi, qui peuvent toutes être utilisées pour mieux optimiser l’offre et l’agencement des points de vente.

5 – hotspot free : Ne pas privilégier la sécurité Internet pour les familles et les enfants.

En plus de protéger le réseau WiFi contre les pirates, les enseignes doivent vérifier qu’elles prennent les précautions nécessaires pour permettre à leurs invités de tous âges de profiter d’un accès Internet sans risquer de rencontrer des contenus non désirés. Une excellente ressource pour la sécurité de la navigation Internet est Friendly WiFi, une organisation qui fournit un standard certifiant qu’un lieu public fournit une connexion Internet sécurisée et filtrée. Ces lieux et points de vente affichent clairement l’emblème Friendly WiFi, aisément reconnaissable.

Le WiFi peut changer la donne pour une enseigne de distribution, pour le meilleur ou pour le pire. Un hotspot free laissé sans protection, un réseau WiFi ouvert aux visiteurs sur un point de vente peut exposer les données personnelles de ses clients et visiteurs à des pirates. Inversement, un réseau WiFi sécurisé et correctement exploité peut fournir une expérience en ligne sûre et efficace aux clients, qui aideront l’enseigne à créer des interactions positives avec eux, à accroître leur niveau de satisfaction et les ventes. Pour les clients, l’utilisation d’un VPN est une obligation. Cela empêchera toute fuite de données et d’informations liées à votre vie privées, autres que celles que vous fournissez volontairement, via votre smartphone.  (avec Pascal Le Digol Country Manager France de WatchGuard)

Base de données, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise

Gérer les droits d’accès et les identités à l’heure du cloud

Aujourd’hui, l’adoption du cloud est devenue inéluctable. La part grandissante des environnements dit « hybrides » au sein des entreprises compliquent les politiques de protection des données, des droits d’accès, à l’heure où les attaques comme les ransomwares se multiplient auprès des PME comme des grandes comptes.

Droits d’accès à l’heure du Cloud ! Si s’engager dans une démarche rapide et complète de maitrise des risques peut paraître illusoire au vu du chantier que cela représente, il n’est pas encore trop tard pour adopter de bonnes pratiques et se prémunir contre les risques associés aux droits dans ces environnements étendus. Le cloud n’impose pas forcément de réinventer toute l’organisation : les politiques et les protocoles de gouvernances déjà mises en place pour répondre aux pressions réglementaires doivent simplement être adaptés à ces nouveaux actifs informatiques sensibles.

Depuis quelques années, l’économie mondiale du « Pay as you grow » touche l’informatique. Les logiciels que l’on achetait il y a 20 ans, comme les suites Adobe et Office, sont désormais louables au mois, sans engagement et à moindre prix. Ainsi, le locatif s’est démocratisé, notamment au sein des entreprises. L’environnement hybride alliant cloud et privé (c’est-à-dire où l’on est à la fois propriétaire et locataire)  permettent aux utilisateurs de libérer leurs données des frontières en fonction de leurs usages.

Les grands ténors de l’édition comme Microsoft, Google ou Amazon tendent de plus en plus vers le cloud, qui propose un vrai levier économique : lorsqu’une entreprise crée de la donnée, elle choisit de l’héberger chez elle ou dans un conteneur appartenant à l’un de ces ténors – un réflexe devenu aujourd’hui incontournable, à l’heure d’un modèle économique novateur qui érige la mensualisation en paradigme. La location souffle un vent de liberté et permet aux entreprises de s’affranchir de tout engagement.

Les défis de la gestion des droits d’accès

Devant l’inéluctabilité du cloud, en termes de sécurité informatique, chaque entreprise a sa propre politique interne, qu’elle soit légère ou très élaborée. Quoiqu’elles soient variées, leur objectif est semblable : adapter les droits d’accès et les identités au cadre de chaque entreprise. Dans un contexte normé par la GDPR, les lois françaises et allemandes ou le monde de la Fintech, la problématique actuelle est universelle : prévenir pour mieux guérir ! Si les cadres règlementaires et les technologies existent pour mieux se prémunir et protéger ses données, mais il faut néanmoins que les responsables se donnent les moyens de prendre les décisions. Dans des environnements de plus en plus complexes, la gestion des droits d’accès au cloud et des identités est un véritable défi. Mieux contrôler pour mieux protéger les données dans le système d’information ?

Les dernières attaques mettent en lumière l’enjeu particulier de cette question, puisqu’elles ciblent l’usurpation d’identité, cette façon d’octroyer des droits d’accès pour mettre à mal un système informatique. Pour éviter cela, pas de miracle : il faut les bonnes personnes en face des bons contrôles d’accès, au bon moment et pour les bonnes raisons. Typiquement, on fonctionne encore énormément avec une approche périmétrique : il faut des firewalls, des murs érigés aussi haut que possible, plus grands, plus résistants et plus épais … mais pas forcément plus efficaces. Plutôt que d’ériger une cathédrale en béton armé dont le vigile peut être trompé, il est préférable de placer des contrôles d’accès pertinents à chaque point d’entrée.

Le cas de Microsoft : la migration vers Office 365

Pour atteindre un meilleur niveau de sécurité, les entreprises sont encouragées à muscler, en interne, leur stratégie de gestion des droits d’accès et des identités. A l’instar d’autres environnements hybrides, la gestion globale des identités et des accès dans Office 365 engendre de nombreux défis. La migration vers les services d’Office 365 impose rapidement à l’entreprise de gérer les risques externes associés au Cloud. Mais il ne faut pas confondre vitesse et précipitation : l’étape fondamentale préalable à la mise en place d’Office365 est de faire le ménage dans les droits d’accès pour assurer une transition en toute sérénité vers le cloud. Ensuite, trois points doivent attirer une vigilance particulière :

·      La structure déjà complexe des droits d’accès empêche les responsables informatiques d’acquérir une vision globale des liens entre utilisateurs et ressources. Cette problématique s’intensifie avec la migration dans le cloud : nouvelles ressources, nouveaux types d’accès, nouvel annuaire ; d’où la nécessité de maintenir un contrôle et une visibilité optimale sur les structures de ressources et les identités.

·      Le cycle de vie des utilisateurs se transforme aussi avec la migration vers le cloud : il faut prendre en compte, lors des arrivées, des mutations ou des départs, l’attribution ou le retrait des droits correspondants et enrichir les profils existants. Cette refonte est indispensable pour assurer la continuité de l’activité, maintenir la productivité des collaborateurs et garder le contrôle des licences Office 365 dont l’importance financière est cruciale.

·      La sécurité des données est mise en péril par l’hybridation de l’environnement : qui peut accéder aux données ? Qui valide les nouveaux droits ? Comment assurer que la situation est conforme avec les politiques de l’entreprise et les bonnes pratiques ? Ces questions, présentes depuis l’implémentation d’Active Directory dans les environnements d’entreprise, prennent un nouveau sens avec le déploiement des ressources cloud.

Qui dit sécurité, dit risques. Aujourd’hui, pour bien sécuriser, il faut prendre de la hauteur et surpasser la technologie en définissant des moyens humains et techniques dédiés à cela. Les mesures de sécurité liées à la production toujours plus prolifique de data doivent s’adapter aux moyens de l’entreprise. Le ransomware est l’incident d’aujourd’hui, mais il ne sera pas le défi de demain. Tous les jours, les pirates réinventent leurs modes d’attaques. La cyber-sécurité des entreprises doit les suivre, sinon les devancer : elle ne doit pas être figée mais mouvante, au fait des actualités, prête à se renouveler et jamais transposée d’une entreprise à une autre. Une bonne sécurité est une sécurité sur-mesure. [Tribune de Chakir Moullan, Country Manager France 8MAN]