C’est là que de nombreux plans de prévention commencent à échouer. Les entreprises investissent dans des contrôles rigoureux pour les systèmes auxquels elles pensent en premier, généralement les plus évidents, tandis qu’un partage de fichiers oublié ou une ancienne intégration fournisseur reste sans protection car personne ne l’a signalé comme critique. Identifier ce qui compte n’incombe pas uniquement au service informatique. Cela nécessite la contribution des équipes qui utilisent ces systèmes au quotidien, car ce sont elles qui savent ce qui serait préjudiciable s’ils cessaient de fonctionner ou tombaient entre de mauvaises mains.
Attribution des accès sur la base du besoin strict
Une fois qu’il est déterminé ce qui est important, l’étape suivante consiste à contrôler qui peut y accéder. Le principe du moindre privilège signifie que les utilisateurs ne disposent que des autorisations requises par leur fonction, et non d’un ensemble d’accès accumulés au fil des années, au gré des changements de poste et des projets. Les autorisations basées sur les rôles facilitent la gestion et réduisent les risques d’erreurs, car l’accès est lié à la fonction plutôt qu’à l’individu.
Les accès privilégiés, les comptes administrateurs, les systèmes capables de modifier les configurations ou de déplacer des données, nécessitent une couche de sécurité encore plus stricte. Ces comptes sont ceux que les pirates convoitent le plus ; ils doivent donc être séparés des comptes d’utilisateurs courants et faire l’objet d’une surveillance active. Un compte standard exposé constitue un problème. Un compte administrateur compromis fait souvent la différence entre un incident et une véritable crise.
Cette protection ne peut toutefois pas reposer uniquement sur les mots de passe. Un mot de passe seul s’expose à l’hameçonnage, au vol d’identifiants ou aux attaques par force brute. L’authentification multifacteur (clé de sécurité, notification sur appareil géré) comble cette lacune en ajoutant une barrière essentielle.
Application rapide des correctifs et rejet de la sécurité par défaut
Des vulnérabilités sont constamment découvertes dans les logiciels et les micrologiciels. Un processus clair et cohérent pour appliquer les mises à jour sur l’ensemble des appareils, systèmes et logiciels comble cette faille.
Il en va de même pour la configuration. La plupart des technologies ne sont pas sécurisées dès leur sortie d’usine. Les terminaux, les réseaux, les plateformes cloud et les technologies connectées sur le lieu de travail, les imprimantes et l’audiovisuel doivent tous être correctement configurés dès le départ. Présumer qu’un système est sûr simplement parce qu’il est neuf est l’une des lacunes les plus courantes que nous observons.
Élargissement du périmètre à protéger par l’environnement de travail connecté
Aujourd’hui, le lieu de travail est connecté, et chaque connexion représente une porte d’entrée potentielle. Un écran de salle de réunion, une imprimante réseau, un système d’accès intelligent. Ils contiennent néanmoins des données, sont connectés au réseau et nécessitent la même rigueur que celle appliquée aux postes de travail plus traditionnels.
Considérer le lieu de travail connecté comme un environnement unique, plutôt que comme un ensemble composé des systèmes informatiques et de tout le reste, permet de combler les lacunes qu’une vision plus étroite de la prévention a tendance à négliger.
Couverture et prise en compte des angles morts
Il peut être difficile de recenser toutes les vulnérabilités à travers les chaînes d’approvisionnement, les fournisseurs et les sites distants. Il y aura toujours des angles morts.
La meilleure approche consiste à les reconnaître, car une fois leur emplacement connu, il est possible d’intégrer des plans d’urgence dans le processus.
L’information est une source de pouvoir : plus les données et les renseignements sur l’ensemble des opérations commerciales sont abondants, meilleure est la préparation face à une attaque. Il convient de s’assurer des références des fournisseurs en matière de cybersécurité, et de maintenir avec eux une communication bidirectionnelle et transparente sur les menaces cyber.
La sensibilisation considérée comme un dispositif de contrôle et non comme un simple exercice de formation
Les collaborateurs de l’entreprise doivent être capables d’identifier des anomalies, comme une demande inattendue, un expéditeur inconnu ou une demande de connexion qu’ils n’ont pas déclenchée, et se sentir capables de les signaler sans hésiter.
Aucun de ces contrôles ne fonctionne isolément. La gestion des accès, l’authentification, l’application de correctifs, la configuration sécurisée et la sensibilisation remplissent tous des rôles différents, mais ensemble, ils forment des couches qui empêchent qu’une seule erreur ne se transforme en incident majeur. Les pirates n’ont besoin que d’une seule faille. L’objectif de la prévention est de s’assurer qu’ils ne la trouvent pas.
À propos de Sharp Europe
Sharp Europe accompagne les organisations dans un environnement de travail en pleine évolution. En mettant en relation les personnes et la technologie, l’entreprise propose des solutions fiables et personnalisées pour les espaces professionnels et publics, afin d’améliorer l’efficacité, la productivité et l’expérience de travail de ses clients.
Basée à Londres, Sharp Europe collabore avec des entreprises et institutions des secteurs privé et public. Son portefeuille couvre un large éventail de technologies : imprimantes, écrans et solutions d’affichage professionnels, services informatiques et plateformes collaboratives telles que Synappx Services.
Filiale de Sharp Corporation, qui compte plus de 39 000 collaborateurs dans le monde, Sharp Europe s’appuie sur plus de 500 experts IT répartis dans 17 pays et dispose de quatre sites de production en Europe.
Acteur de référence dans l’innovation technologique, Sharp Europe investit dans de nouveaux domaines pour accompagner ses clients dans leurs projets de transformation numérique et les aider à tirer le meilleur parti des technologies qui soutiennent leur développement.
Pour en savoir plus : www.sharp.eu
