La cybersécurité au service de toutes les entreprises

Croire que notre entreprise est à l’abri d’éventuelles cyberattaques est d’une naïveté qui peut s’avérer très dangereuse pour la sécurité des partenaires, des fournisseurs, des employés et des clients. Mais voyons ce qui se passe lorsqu’une entreprise est victime d’une attaque de ce type.

Les trois caractéristiques des données informatiques

Commençons par comprendre les propriétés des données informatiques qui, pour être « sûres », doivent répondre correctement à trois conditions :

Intégrité : les données sont-elles inviolables ? Autrement dit, nous devons évaluer si les données que nous détenons sont conservées dans leur forme et avec leurs caractéristiques originales, ce qui n’est possible que si nous pouvons contrôler les autorisations concernant leur modification éventuelle.
Accessibilité : pour chaque information, il y a des personnes qui sont autorisées à l’utiliser, et si ces personnes sont privées de cette possibilité de manière forcée et illégale, alors nous avons un problème.
Confidentialité : elle prévoit la vérification de la confidentialité des données. Il suffit de se demander si nos informations sont réservées à juste titre aux seules personnes autorisées.

Lorsque l’un de ces points est compromis par une activité extérieure, nous avons subi une cyberattaque.

Quelques exemples de cyberattaques

‘Bien sûr, on ne peut pas imaginer tous les types de fraudes qui peuvent être excogités, mais en se basant principalement sur les techniques d’attaque standard, il est possible de surveiller de près les éventuelles « voies d’accès » pouvant être utilisées par les cybercriminels.

Hameçonnage (ou phishing), attaques DDoS et violation de données (Data Breach)

Le hameçonnage (ou phishing) est peut-être la méthode la plus utilisée. Il se base sur l’usurpation de l’identité numérique d’une personne au sein de l’entreprise. Les pirates informatiques peuvent s’emparer des données d’identification d’une personne par le biais de courriels trompeurs pour l’inciter à communiquer ses données d’identification, par exemple en l’induisant à se connecter à un site qui simule le système d’une entreprise, ou en se faisant passer pour un collègue ayant une question urgente à régler afin de déclencher ainsi un processus d’escalade qui leur permet d’obtenir des numéros de carte de crédit ou l’accès à des comptes bancaires.

Il peut également arriver que le pirate informatique parvienne d’une manière ou d’une autre à exploiter les vulnérabilités d’un logiciel pour pénétrer dans les référentiels où sont stockées les données. Il lui suffira alors de prendre ces données en otage et d’empêcher l’entreprise d’y accéder pour demander une grosse rançon qui, même lorsqu’elle est payée, ne garantit pas la récupération des données. En effet, ces données pourraient avoir été corrompues ou, pire, avoir été copiées.

Il existe également des attaques DDoS (distributed denial of service, en français attaques par déni de service distribué), qui consistent à perturber un ou plusieurs services informatiques, bloquant ainsi l’exécution des processus. N’importe quel pirate informatique assez doué pourrait entrer dans notre système en utilisant des logiciels espions et des logiciels malveillants pour violer l’intégrité de nos données. Dans ce cas, nous sommes en présence de ce que l’on appelle techniquement une violation de données (ou Data Breach).

Pour évaluer la situation actuelle et le risque de violation des données au sein d’une entreprise, alpenite propose un éventail de solutions possibles pour élever les murs de protection nécessaires.

Évaluation du risque cybernétique

Au cours de cette phase, nos experts en sécurité effectueront un contrôle pour déterminer quelles sont les données les plus à risque et de quelle manière une violation pourrait les affecter. Autrement dit, on envisage l’hypothèse d’une attaque des données – apparemment les plus exposées – et on évalue une liste des conséquences possibles. À partir de là, on commence à réfléchir aux contre-mesures envisageables.

Test d’intrusion

Durant cette phase, en revanche, nous faisons littéralement le travail des hackeurs en essayant de manipuler le système de toutes les manières possibles et imaginables afin de faire ressortir d’éventuelles failles ou défaillances. Ce passage comprend sept’étapes.

• Collecte d’informations
• Analyse du réseau
• Liste des vulnérabilités
• Analyse des vulnérabilités
• Accès au système
• Maintien de l’accès au système
• Rapports

Analyse de la sensibilisation des utilisateurs

‘À ce stade, il est important d’évaluer la connaissance des utilisateurs pour comprendre à quel point ils sont attentifs et sensibles au problème et dans quelle mesure ils connaissent les techniques de prévention. Cette phase peut être gérée à l’aide de questionnaires, de campagnes de spam fictives pour évaluer leurs réactions, mais aussi à travers la gamification (une approche légère, ludique et interactive).

Formation au sein de l’entreprise

Enfin, il faut fournir à l’entreprise l’arme la plus puissante contre les violations de données : l’information. Le personnel est invité à participer à une série d’ateliers au cours desquels il sera informé des dangers liés aux violations de données et recevra les compétences nécessaires pour maîtriser les éventuels comportements à risque.