Dans le monde des affaires, l'un des principaux problèmes est que la sécurité de l'entreprise n'est pas correctement priorisée. La sécurité des données n'est que trop rarement placée au centre des préoccupations.

Une grande menace pour la protection des données réside toujours dans le facteur humain, c’est pourquoi, les entreprises doivent miser sur l'éducation et la formation. C'est la seule façon d'éviter les comportements à risque, comme le fait de tomber dans le piège du phishing ou d'avoir une mauvaise hygiène des mots de passe, points de départ favoris des cyberattaques par ransomware ou exfiltration de données.

Quels sont ces comportements qui menacent l'intégrité des données sensibles ?

Risque 1 : le contournement des mesures de sécurité

Les outils de sécurité sont souvent une épée à double tranchant : bien qu’ils soient essentiels pour protéger les entreprises contre les cyber-incidents, ils peuvent être chronophages et constituer un obstacle à la productivité.

Mais si les produits de sécurité sont désactivés ou contournés d'une autre manière, cela signifie pour les entreprises non seulement une perte d'investissements, mais aussi une augmentation incontrôlée de la surface d'attaque.

Il est nécessaire de mieux éduquer les collaborateurs et leur expliquer clairement l'importance de chaque outil pour la sécurité de l'entreprise. Il est recommandé d'effectuer des audits de routine pour s'assurer que les outils de sécurité critiques soient effectivement adoptés. En outre, la facilité d'utilisation devrait être un facteur déterminant lors de la sélection des produits.

Risque 2 : téléchargement d'applications malveillantes

Le nombre d'applications utilisées dans les entreprises a fortement augmenté ces dernières années. L'intention sous-jacente est généralement de réduire les processus de travail manuels et d'augmenter la productivité. Il n'est toutefois pas rare que des applications et des services soient téléchargés sans autorisation, ce qui comporte un certain nombre de risques.

Les collaborateurs pourraient par exemple télécharger des applications contenant des ransomwares ou enregistrer des données sensibles sur des services tiers, pouvant entraîner des violations de la protection des données.

Il est important de définir des politiques de contrôle des applications avec des listes d'autorisation et de refus correspondantes. Ainsi les collaborateurs auront la possibilité de demander et de télécharger les services et les applications autorisés de manière contrôlée. Cela assure une plus grande transparence et contribue durablement à réduire le Shadow IT.

Risque 3 : accès aux systèmes après le départ de l'entreprise

Lorsqu'un employé quitte l'entreprise ou qu'il met fin à la collaboration avec un partenaire, cela nécessite un processus d'Offboarding minutieux. Tous ses comptes doivent être immédiatement supprimés ou désactivés. Si ce n'est pas le cas, ils deviennent des comptes fantômes. Ces derniers sont risqués car ils permettent aux cybercriminels et aux pirates internes de fouiller tranquillement dans une entreprise et d'exfiltrer des données en toute discrétion.

D’après l’étude de Varonis, « la grande exposition des données SaaS », ces dangers sont bien réels puisque, les entreprises disposent en moyenne de 1197 comptes inactifs et sur 1322 accès invités dont 56% sont encore utilisables après 90 jours d'inactivité.

Il est impératif de mettre en place une stratégie de moindre privilège garantissant que les accès à privilèges et l'accès au Cloud ne sont en principe accordés qu'en fonction des besoins et pour une durée limitée. En outre, il est recommandé d’utiliser une solution PAM qui identifie automatiquement les comptes privilégiés et limite ainsi la prolifération des comptes.

Surtout, il est essentiel de mettre en place des processus efficaces d'Offboarding qui garantissent que les autorisations sensibles sont retirées rapidement lorsque les collaborateurs ou les prestataires quittent l'entreprise.

Risque 4 : l'utilisation des appareils de l'entreprise par des tiers

Pour de nombreux collaborateurs, permettre à des membres de la famille ou à des amis d'accéder à leurs téléphones ou ordinateurs portables professionnels, par exemple pour surfer brièvement sur Internet ou télécharger un jeu, peut sembler anodin.

Mais cela peut avoir des conséquences fatales pour la sécurité de l'entreprise. Il est vite arrivé que des personnes non averties cliquent sur des liens ou téléchargent des contenus contenant des logiciels malveillants ou des ransomwares. Il est également arrivé qu’ils divulguent involontairement des informations sensibles.

Il faut tracer une limite nette entre la vie professionnelle et la vie familiale. Les collaborateurs doivent comprendre qu'une politique de tolérance zéro s'applique à l'utilisation par des tiers du matériel informatique de l'entreprise.

Risque 5 : mises à jour logicielles manquées

Les mises à jour de logiciels ne figurent généralement pas en tête de la liste de priorités. Elles nécessitent du temps et de l'énergie. De plus, leur installation est souvent demandée au mauvais moment. Les collaborateurs partent souvent du principe que les logiciels sont mis à jour automatiquement ou que le service informatique surveille ce processus.

Or, il arrive que des programmes doivent être mis à jour manuellement, ce que les collaborateurs ont tendance à négliger ou à ignorer. C'est d'autant plus dangereux que les mises à jour logicielles négligées sont des failles exploitables par les cybercriminels pour accéder aux ordinateurs ou aux réseaux.

Les mises à jour logicielles doivent être obligatoires et confiées aux administrateurs. Ceux-ci doivent s'assurer que l'ensemble des collaborateurs utilise toujours les versions les plus récentes et les plus sûres.

Une sécurité d'entreprise efficace, et donc une protection des données réussie, réside dans l'harmonie entre cybersécurité et productivité. L'art que les RSSI et les équipes informatiques doivent accomplir aujourd'hui consiste donc à minimiser les menaces extérieures et les comportements à risque souvent observés en interne, tout en permettant aux collaborateurs d'accéder de manière transparente aux systèmes et aux outils dont ils ont besoin, au moment où ils en ont besoin.

Pour ce faire, il faut des solutions de sécurité modernes qui automatisent la sécurité autant que possible et, surtout, qui la rendent invisible.

Par Yves Wattel, Vice President Southern Europe chez Delinea