La nature même de la cybersécurité et de la sécurité des réseaux fait qu'il n'est jamais possible de se reposer sur ses lauriers. Dès lors que vous pensez avoir couvert toutes les vulnérabilités potentielles, une multitude de nouvelles menaces apparaissent.

La cybersécurité est un domaine vaste, en constante évolution et en pleine croissance. En raison de son ampleur et des enjeux considérables qu'elle représente, les personnes chargées de maintenir la sécurité ont tendance à tomber dans un piège courant en matière de cybersécurité : « Tout va bien tant que nous passons notre audit de sécurité annuel. »

Cette façon de penser survient lorsque la cybersécurité est abordée avec une mentalité de « liste à cocher ». Si vous abordez la cybersécurité comme une liste d'éléments que vous pouvez cocher puis vous détendre, vous n'êtes certainement pas en sécurité.

Des entreprises telles qu'Equifax, Target et Home Depot ont réalisé les audits nécessaires dans leur secteur avant de subir des violations de données très médiatisées. Les audits de sécurité sont indispensables pour garantir la responsabilité, mais ils s'inscrivent dans un système plus large. Il est préférable d'aborder la cybersécurité comme un processus continu plutôt que comme un objectif à atteindre.

À quelle fréquence un audit de sécurité doit-il être effectué ?

Il est recommandé de le faire au moins deux fois par an, mais cela dépendra également de la taille de l'organisation et du type de données que vous traitez.

Au-delà de l'audit annuel

Créez une carte de l'ensemble de votre réseau

La première étape pour renforcer vos mesures de sécurité consiste à commencer par votre propre réseau. Plutôt que de commencer par les exigences de l'audit, vous devriez dresser une liste exhaustive de tout ce qui est connecté à votre réseau.

Un audit fournira une liste détaillée des éléments à vérifier. Les pare-feu sont-ils à jour ? Quelles sont les menaces auxquelles vous êtes exposé ? Cette liste sera utile. Cependant, elle ne donnera pas une image complète de votre réseau ni ne vous permettra de créer une segmentation au sein de celui-ci.

Cette carte comprendrait :

• Routeurs, commutateurs, pare-feu, WAF
• Imprimantes et périphériques connectés
• Internet des objets (téléviseurs intelligents, thermostats, caméras, etc.)
• Appareils mobiles
• Cloud/Saas – vos abonnements logiciels et mots de passe

L'élaboration d'une carte complète de votre réseau est la première étape vers une sécurité réseau renforcée. Avoir une vue d'ensemble de votre réseau vous permet d'appliquer une segmentation. Comme vous ne pouvez pas vous concentrer sur tout à la fois, la segmentation vous permet de séparer les parties vulnérables du réseau de vos données les plus cruciales.

Vous pouvez également corriger et évaluer systématiquement les zones du réseau, en passant d'un segment à l'autre. Cela vous permet de réduire le poids écrasant de la cybersécurité et d'aborder le problème étape par étape.

Sachez où vous pourriez être faible

Une fois que vous avez cartographié le réseau, vous devez ensuite hiérarchiser vos efforts. Selon un rapport Verizon de 2017, 80 % des piratages réussissent en raison d'un manque de correctifs.

Vous devrez élaborer un plan pour évaluer et corriger les vulnérabilités. C'est une autre raison pour laquelle la segmentation de votre réseau est importante. Si vous disposez de systèmes hérités, vous ne pourrez peut-être pas les corriger. Cependant, vous pouvez les séparer des informations sensibles de votre réseau.

Lorsque vous déployez un scanner de vulnérabilités, vous pouvez rester informé des correctifs nécessaires et hiérarchiser les segments les plus importants de votre réseau.

Mettre en place un programme de sensibilisation des utilisateurs

La seule menace plus urgente que la correction des vulnérabilités, ce sont vos employés.

Le facteur humain continue d'être à l'origine des violations. Qu'il s'agisse de l'utilisation d'identifiants volés, d'hameçonnage ou simplement d'une erreur, les personnes continuent de jouer un rôle important dans les incidents et les violations.

• https://www.verizon.com/business/resources/reports/dbir/2022/summary-of-findings/

Selon le même rapport de Verizon, 80 % des violations liées au piratage informatique utilisent des mots de passe réutilisés, volés ou faibles. Le nombre d'identifiants volés a augmenté de près de 30 % depuis 2017, ce qui en fait l'une des méthodes les plus éprouvées pour accéder à une organisation depuis quatre ans.

Les pirates informatiques savent que les équipes investissent dans la cybersécurité. Leur meilleure chance d'accéder au réseau est d'obtenir les identifiants d'une personne autorisée à y accéder. Par conséquent, même si vous avez parfaitement sécurisé votre réseau, si les identifiants d'un employé sont volés, vous pouvez être exposé à un risque.

Votre sensibilisation des utilisateurs ne sera pas évaluée lors d'un audit annuel, mais elle pourrait mettre vos données en danger. Pour vous assurer que toute votre équipe respecte les meilleures pratiques, voici quelques conseils que vous pouvez mettre en œuvre.

Envoyez une newsletter mensuelle sur la sécurité : parlez ouvertement des menaces existantes et profitez-en pour enseigner un élément à la fois.

Sensibilisez les utilisateurs à la protection de leurs données personnelles : lorsque vous sensibilisez votre équipe, établissez un lien entre ces questions de cybersécurité et les menaces réelles qui pèsent sur leur vie personnelle. À mesure qu'ils apprendront les meilleures pratiques pour se protéger et protéger leur famille, ils adopteront de meilleures habitudes au travail.

Mener des campagnes de phishing : la curiosité humaine pousse les gens à cliquer sur des liens, ce qui entraîne des problèmes. Certaines entreprises mènent leurs propres campagnes de phishing fictives afin de tester et de former leurs employés. L'objectif est de créer une légère paranoïa salutaire afin que les utilisateurs hésitent avant de cliquer sur un lien.

Investissez dans un coffre-fort pour mots de passe : les mots de passe faibles et volés constituent un élément critique de la cybersécurité. L'utilisation d'un coffre-fort pour mots de passe permet à votre équipe de disposer de mots de passe forts sans avoir à les oublier constamment.

Mettez en place un processus continu pour protéger votre entreprise

Les audits de sécurité annuels sont utiles aux entreprises pour évaluer leur cybersécurité et s'assurer qu'un niveau de protection de base est en place. Cependant, les services informatiques ne doivent pas tomber dans le piège consistant à penser que le fait de passer l'audit signifie que tout sera sûr.

Dans le monde en constante évolution de la cybersécurité, les menaces sont omniprésentes. La meilleure approche consiste à mettre en place un processus continu d'évaluation et d'amélioration.