Recommandations aux TPE et PME pour une cybersécurité efficace

-inventorier tous les équipements (ordinateur et périphériques, mobile multifonction, tablette, serveurs...) et les services (hébergement du site web, service de messagerie...) pour savoir quoi protéger et identifier les biens critiques pour l’activité de l’entité ;

-inventorier les logiciels utilisés (nature, fonctions principales et versions) et s'assurer de posséder des licences d'utilisation valides, indispensables pour respecter la loi et pour la maintenance ;

-inventorier les données, notamment celles dont la perte ou l'altération affecterait ou interromprait l'activité, et les traitements de données sensibles ;

-inventorier tous les accès, les catégories des accédants (administrateur, utilisateur, invité) et les moyens d'accès (connexion locale ou distante) afin de vérifier qu'aucun accès indu n'est maintenu (ancien employé ou prestataire) ;

-inventorier les interconnexions du système d'information (SI) de l'entreprise avec l'extérieur (Internet)

-identifier les données à sauvegarder (essentielles à la poursuite de l'activité), qu'il s'agisse de données « métier » (fichiers client, savoir-faire de fabrication...) ou techniques (configuration des ordinateurs ou de l’infrastructure de l’entreprise) ;

-déterminer le rythme des sauvegardes, en fonction du volume de données numériques produites sur un temps donné, pouvant être différent pour les données « métier » et techniques ;

-choisir le(s) support(s) à privilégier pour la sauvegarde (support physique, cloud ou les deux) et vérifier l'intégrité et la viabilité de la sauvegarde lors d'une restauration ;

-évaluer la pertinence du chiffrement des données (en cas de stockage dans un cloud, elles restent ainsi protégées) ;

-respecter le cadre juridique, notamment le règlement général sur la protection des données (RGPD), quels que soient les objectifs du stockage (traitement ou sauvegarde)

-ne pas utiliser un matériel ou un logiciel au-delà de son « cycle de vie » (mise au rebut ou désinstallation de tout matériel ou logiciel qui ne peut plus être mis à jour) ;

-activer la mise à jour automatique des logiciels et des matériels pour qu'elle s'effectue à chaque mise à disposition d'un correctif par les éditeurs et opérer toute mise à jour en cas de survenance d'une vulnérabilité critique ;

-si la mise à jour des systèmes numériques utilisés dans l'entreprise est effectuée par un sous-traitant, s'assurer qu'elle l'est effectivement et exiger, si nécessaire, cette pratique dans les contrats de sous-traitance

-déployer un antivirus sur tous les équipements, en priorité ceux connectés à Internet, car il protège des menaces connues, qui évoluent très rapidement ;

-pour une protection efficace, tenir à jour le logiciel en lui-même et sa base de données de signatures, qui permet l’identification de programmes et de fichiers malveillants ;

-activer la mise à jour et le scan automatiques des espaces de stockage et éventuellement souscrire à un pare-feu, un filtrage web, un VPN ou à des outils anti-hameçonnage et de renforcement de la sécurité des transactions bancaires

-corréler la longueur du mot de passe avec le niveau critique du service auquel il donne accès (minimum 9 caractères pour les services peu critiques et 14 pour les services critiques) ;

-constituer un mot de passe avec des capitales et des minuscules, des chiffres et des caractères spéciaux ;

-ne pas insérer d'élément personnel dans le mot de passe ;

-recourir éventuellement à une phrase de passe (passphrase en anglais, consistant à choisir aléatoirement un certain nombre de mots parmi un corpus déterminé), souvent bien plus longue qu'un mot de passe « classique », mais pouvant être plus simple à mémoriser ;

-choisir des mots de passe différents pour chaque service nécessitant une authentification et ne jamais utiliser un même mot de passe pour sa messagerie personnelle et sa messagerie professionnelle ;

-utiliser un coffre-fort de mots de passe, de préférence certifié par l'ANSSI, permettant de sauvegarder l'ensemble des mots de passe dans un fichier chiffré, accessible par un seul et unique mot de passe, et ainsi de ne pas avoir à les mémoriser ;

-ne pas choisir des mots de passe trop faciles à deviner et activer une authentification multifacteurs/secondaire quand elle est proposée par le fournisseur de service ;

-implémenter une authentification multifacteurs par jeton physique (carte à puce, token USB...) dans les PME pour simplifier l’accès à leurs terminaux et activer un service d’authentification unifié (type « single sign on ») pour simplifier et renforcer l’authentification

-dans les TPE, activer un pare-feu préinstallé sur le poste de travail et le paramétrer par défaut (blocage de toute connexion entrante) ;

-dans les PME, installer un pare-feu local sur tous les postes de travail (intégré au système d’exploitation ou solution logicielle tierce) en assurant l'homogénéité des configurations et le filtrage des flux, pour protéger en priorité l’interconnexion du SI à Internet ou, pour les entités les plus matures en matière de sécurité, pour segmenter le réseau interne en zones ayant des niveaux différents de sensibilité et d'exposition aux menaces

-proscrire la redirection de messages professionnels vers une messagerie personnelle car cela constitue un vecteur de fuite irrémédiable d’informations ;

-dans les PME, s'assurer de disposer d’un système d’analyse antivirus en amont des boîtes aux lettres des utilisateurs pour prévenir la réception de fichiers infectés et de l’activation du chiffrement TLS (transport layer security, technologie permettant de sécuriser les échanges de données entre le navigateur et le serveur) des échanges entre serveurs de messagerie (de l’entité ou publics) ainsi qu’entre les postes « utilisateur » et les serveurs hébergeant les boîtes de messagerie électronique ;

-ne pas exposer directement les serveurs de messagerie électronique d’entreprise sur Internet et mettre en place un serveur relais dédié à l’envoi et à la réception des messages pour couper la liaison avec Internet

-l’exfiltration de données depuis l’entreprise vers Internet, portant ainsi atteinte à leur confidentialité, voire à la réputation de l’entreprise si elles sont diffusées ;

-l’intrusion depuis Internet pour porter atteinte à l’intégrité ou à la disponibilité du SI et des outils de production de l’entreprise ;

-l’usurpation d’identité ;

-le détournement du SI de l’entreprise pour des usages frauduleux ou délictueux

-créer des comptes « utilisateur » dédiés à chaque employé et ne disposant pas de privilège d’administration afin de limiter le risque d’installation de codes malveillants et, en cas d'usages professionnel et personnel sur un seul et même ordinateur, créer des comptes « utilisateur » pour chaque usage ;

-n'utiliser que les comptes « utilisateur » pour naviguer sur Internet, les comptes « administrateur » facilitant la prise de contrôle complète de l'ordinateur par l'attaquant ;

-révoquer les comptes et les accès d'un collaborateur qui quitte l'entreprise ;

-sur les mobiles multifonctions ou les tablettes, limiter les autorisations données à chaque application pour chacune de leurs utilisations et télécharger les applications uniquement depuis les marchés officiels ou le site Internet des éditeurs ;

-dans les PME, interdire par défaut les connexions entre les postes des utilisateurs, dédier les postes et les comptes d’administration à l'administration du SI de l’entreprise et, si possible, cloisonner les activités numériques de l'entreprise en différentes zones réseaux par des dispositifs de filtrage physiques ou virtualisés

-avant de partir en mission, sauvegarder ses données pour les retrouver en cas de perte ou de vol des équipements, doter ses équipements d’écrans de confidentialité, vérifier que ses mots de passe ne soient pas préenregistrés et, si possible, procéder au chiffrement de ses données les plus sensibles ou de l’ensemble du disque dur ;

-pendant la mission, garder ses appareils, supports et fichiers avec soi, informer son entreprise en cas de perte ou de vol de son matériel et refuser la connexion d’équipements appartenant à des tiers à ses propres équipements ;

-après la mission, ne jamais utiliser les clés USB offertes lors de ses déplacements, qui sont susceptibles de contenir des programmes malveillants ;

-en cas de voyages en dehors de l'Union européenne, l'ANSSI recommande, entre autres, d'utiliser des matériels dédiés à la mission et de les garder toujours avec soi, de ne pas recharger son mobile à partir d'un ordinateur non maîtrisé ou d'une prise USB en libre-service dans les aéroports ou de changer les mots de passe utilisés pendant le voyage et de faire analyser ses équipements après la mission

-prendre connaissance de recommandations concernant les bonnes pratiques, d'alertes sur les menaces en cours et d'informations sur les mises à jour logicielles disponibles en suivant les actualités publiées par le dispositif Cybermalveillance.gouv.fr ;

-consulter la veille technique relative aux campagnes d’attaques et aux vulnérabilités du centre gouvernemental de veille, d'alertes et de réponse aux attaques informatiques (CERT-FR) ;

-informer régulièrement le personnel des bonnes pratiques de sécurité et des principales menaces qui peuvent affecter la vie de l'entreprise, via, par exemple, une charte informatique ou des diffusions fréquentes de messages en interne (réunions, newsletters, revues de presse...) et encourager les collaborateurs à déclarer les incidents

-en cas de problème de sécurité, réaliser un diagnostic en ligne sur la plateforme Cybermalveillance.gouv.fr pour obtenir des conseils personnalisés permettant de le résoudre ou se rapprocher des chambres des métiers ou du commerce ;

-en cas d'incident avéré, déconnecter son équipement ou son SI d’entreprise d’Internet (retrait de la prise ou désactivation des services WiFi pour un équipement individuel, action sur l'équipement réseau ou le pare-feu pour un SI d'entreprise), ne pas éteindre ni modifier les ordinateurs et matériels affectés par l’attaque pour qu'ils soient utiles aux enquêteurs, ne pas payer la rançon demandée en cas de rançongiciel, ouvrir une main courante pour tracer les actions et les événements liés à l'incident et ainsi faciliter l'intervention du prestataire, communiquer sur l'incident (en interne et en externe) ;

-en cas de fuite de données personnelles, faire une déclaration auprès de la CNIL et porter plainte