[79% des RSSI souhaitent adopter une approche plus stratégique de la gestion des cyberrisques humains. Lire le rapport.

Sommaire

Chaque année, au mois d’octobre, le Mois de la sensibilisation à la cybersécurité encourage les organisations à remettre la sensibilisation à la sécurité au centre des préoccupations. C’est l’occasion de rappeler aux collaborateurs que la cybersécurité n’est pas uniquement la responsabilité de l’équipe informatique. Chaque e-mail ouvert, chaque mot de passe créé et chaque message auquel vous répondez peut soit renforcer la sécurité de votre organisation, soit laisser la porte ouverte aux pirates.

Le thème de cette année, « Compliquez la vie des cybercriminels », nous rappelle que les pirates recherchent toujours la voie la plus facile pour s’introduire dans une organisation. Ils ciblent les mots de passe faibles, les employés distraits, les logiciels obsolètes et toute personne qui réagit sans prendre le temps de réfléchir. Plus vous leur compliquez la tâche, moins ils ont de chances de réussir.

Heureusement, compliquer la tâche des pirates ne nécessite pas de connaissances techniques pointues. De petites habitudes de sécurité adoptées de manière régulière créent des obstacles supplémentaires pour les cybercriminels, les obligeant à redoubler d’efforts et augmentant ainsi le risque d’échec de leurs attaques. Dans de nombreux cas, cela suffit à les inciter à passer à autre chose et à chercher une autre cible.

Si le Mois de la sensibilisation à la cybersécurité est l’occasion idéale de renforcer ces comportements, ceux-ci restent tout aussi importants tout au long de l’année. Cet article présente cinq mesures concrètes que chaque salarié peut mettre en œuvre pour compliquer la tâche des cybercriminels.

Pourquoi il est important de se compliquer la vie

Lorsque l’on pense aux cyberattaques, on a tendance à imaginer des pirates informatiques chevronnés parvenant à contourner des systèmes de sécurité complexes. En réalité, de nombreuses attaques réussies reposent sur un principe bien plus simple.

Les cybercriminels savent que les gens sont très occupés. Ils comprennent que nous jonglons sans cesse entre e-mails, réunions, messages et échéances. Plutôt que d’essayer de contourner des mesures de sécurité techniques rigoureuses, ils guettent souvent les moments où quelqu’un est suffisamment distrait pour cliquer sur un lien, valider une demande ou partager des informations sans y prêter davantage attention.

C’est pourquoi les pirates ont autant recours à l’ingénierie sociale. Ils créent un sentiment d’urgence, se font passer pour des organisations de confiance et font passer des demandes inhabituelles pour des démarches courantes, car ils savent que ces tactiques sont efficaces.

Chaque bonne pratique en matière de sécurité ajoute un obstacle à ce processus. Un collaborateur qui prend le temps de vérifier une demande inhabituelle peut ainsi déjouer une attaque par hameçonnage. Un autre qui signale un e-mail suspect peut empêcher des dizaines de collègues de recevoir le même message. Une organisation qui maintient ses systèmes à jour prive les attaquants de la possibilité d’exploiter des vulnérabilités connues.

Aucune de ces mesures n’est spectaculaire en soi, mais, combinées, elles constituent une défense bien plus solide.

Réfléchissez-y à deux fois avant de cliquer

De nombreuses cyberattaques sont conçues pour pousser les gens à réagir rapidement plutôt qu’à réfléchir mûrement.

Vous pourriez recevoir un e-mail vous informant que votre mot de passe est sur le point d’expirer, un SMS concernant une livraison manquée ou une demande émanant d’une personne se faisant passer pour un supérieur hiérarchique et vous demandant d’effectuer un paiement urgent. Ces messages sont conçus pour créer un sentiment d’urgence, incitant les destinataires à agir avant même d’avoir le temps de s’interroger sur ce qui se passe.

Prendre quelques secondes supplémentaires peut faire toute la différence. Avant de cliquer sur un lien ou d’ouvrir une pièce jointe, demandez-vous si la demande vous semble authentique. Attendiez-vous ce message ? L’adresse e-mail de l’expéditeur correspond-elle à celle de l’organisme qu’il prétend représenter ? Le ton utilisé vous semble-t-il inhabituel ou plus pressant qu’il ne le devrait ?

Si quelque chose vous semble louche, fiez-vous à votre instinct. Vérifiez la demande par un autre canal de communication plutôt que de répondre directement au message. Les cybercriminels misent sur la rapidité ; en ralentissant le processus, vous leur enlevez l’un de leurs principaux atouts.

Renforcez la sécurité de vos mots de passe et utilisez l’authentification à plusieurs facteurs

Malgré des années de conseils en matière de sécurité des mots de passe, les mots de passe faibles et réutilisés restent l’un des moyens les plus courants utilisés par les pirates pour accéder aux comptes.

La réutilisation d’un même mot de passe sur plusieurs systèmes engendre un risque inutile. Si un compte est compromis à la suite d’une fuite de données, les pirates tenteront souvent d’utiliser ces mêmes identifiants ailleurs, dans l’espoir qu’ils aient été réutilisés.

La création de mots de passe uniques pour chaque compte limite considérablement l’impact d’une éventuelle violation de sécurité. Les gestionnaires de mots de passe facilitent grandement cette tâche en générant des mots de passe forts et en les stockant en toute sécurité, ce qui évite aux employés d’avoir à mémoriser des dizaines de combinaisons différentes.

Dès qu’elle est disponible, l’authentification à plusieurs facteurs (MFA) doit également être activée. La MFA ajoute un niveau de sécurité supplémentaire en exigeant une vérification complémentaire en plus du mot de passe. Même si un pirate parvient à obtenir les identifiants de connexion, il a beaucoup moins de chances d’accéder au système sans ce deuxième facteur d’authentification.

C’est l’un des changements les plus simples que les organisations puissent mettre en œuvre, mais il reste l’un des plus efficaces.

Veillez à maintenir vos logiciels à jour

Les mises à jour logicielles arrivent souvent à des moments inopportuns ; il est donc compréhensible que l’on soit tenté de les reporter à plus tard.

Le problème est que de nombreuses mises à jour contiennent des correctifs de sécurité destinés à corriger des failles que les pirates connaissent déjà. Retarder ces mises à jour revient à laisser la porte ouverte plus longtemps que nécessaire.

Les cybercriminels recherchent activement les systèmes équipés de logiciels obsolètes, car il est souvent beaucoup plus facile d’exploiter des failles connues que d’en découvrir de nouvelles.

Le fait de maintenir à jour les systèmes d’exploitation, les navigateurs, les appareils mobiles et les applications professionnelles permet de combler ces failles avant que les pirates ne puissent en tirer parti.

Pour les organisations, la gestion automatisée des correctifs permet de garantir que les mises à jour sont appliquées de manière cohérente à l’échelle de l’entreprise. Pour les employés, le fait d’installer les mises à jour lorsque cela leur est demandé et de redémarrer leurs appareils lorsque cela est nécessaire constitue un geste simple qui contribue à renforcer considérablement la sécurité.

Signalez tout ce qui vous semble anormal

L’un des principaux atouts de toute organisation réside dans son personnel. Les collaborateurs sont souvent les premiers à repérer quelque chose d’inhabituel, qu’il s’agisse d’un e-mail suspect, d’une notification de connexion inattendue ou d’une demande qui semble louche. Le fait de signaler rapidement ces éléments permet aux équipes de sécurité d’enquêter avant qu’un incident potentiel ne se transforme en un problème bien plus grave.

Certains employés hésitent car ils craignent de déclencher une fausse alerte. Ils ne veulent pas faire perdre du temps à qui que ce soit ni se retrouver dans une situation embarrassante si le message s’avère fondé.

En réalité, les équipes de sécurité préfèrent de loin enquêter sur un incident anodin plutôt que de découvrir une attaque après qu’elle se soit déjà propagée au sein de l’organisation.

La mise en place d’une culture dans laquelle chacun se sent à l’aise pour poser des questions et faire part de ses préoccupations favorise un dépistage plus précoce, des interventions plus rapides et de meilleurs résultats pour tous.

Continuez à vous former à mesure que les menaces évoluent

Les cybercriminels ne restent jamais les bras croisés. Les e-mails de hameçonnage que l’on recevait il y a cinq ans sont très différents des attaques auxquelles nous sommes confrontés aujourd’hui. L’intelligence artificielle aide les criminels à créer des e-mails plus convaincants, la technologie de clonage vocal permet d’imiter des collègues de confiance avec une précision alarmante, et le hameçonnage par code QR est de plus en plus courant.

À mesure que les techniques d’attaque continuent d’évoluer, la sensibilisation doit évoluer en parallèle. C’est pourquoi la sensibilisation à la sécurité ne doit pas être considérée comme une activité ponctuelle, limitée au Mois de la sensibilisation à la cybersécurité. Une formation continue permet aux collaborateurs de se tenir informés des menaces émergentes et leur donne l’assurance nécessaire pour identifier les activités suspectes dès leur apparition.

Des formations régulières de sensibilisation, des simulations réalistes d’hameçonnage et des communications opportunes jouent toutes un rôle important dans le renforcement des bonnes pratiques tout au long de l’année. Plus les collaborateurs sont confrontés fréquemment à des scénarios réalistes dans un environnement sécurisé, mieux ils seront préparés lorsqu’ils devront faire face à de véritables attaques.

De petites habitudes pour une sécurité renforcée

La cybersécurité ne repose pas sur une seule décision parfaite ni sur une seule technologie. Elle se construit grâce à des centaines de petites actions menées chaque jour au sein d’une organisation. Prendre le temps de vérifier un e-mail, créer un mot de passe fort, installer une mise à jour ou signaler un élément suspect peut sembler anodin pris isolément, mais, ensemble, ces gestes rendent les organisations bien plus résilientes.

Les cybercriminels recherchent toujours la voie la plus facile vers leur objectif. Chaque bonne habitude en matière de sécurité augmente le temps, les efforts et l’incertitude liés à la mise en œuvre d’une attaque. Lorsqu’un nombre suffisant d’obstacles est en place, de nombreux attaquants en concluront que la cible ne vaut pas la peine qu’ils y consacrent tant d’efforts.

Le Mois de la sensibilisation à la cybersécurité offre une excellente occasion de renforcer ces comportements, d’engager le dialogue et de rappeler aux collaborateurs le rôle important qu’ils jouent dans la protection de l’organisation. Les organisations qui poursuivent ce dialogue bien au-delà du mois d’octobre sont celles qui ont le plus de chances d’instaurer une culture durable de sensibilisation à la sécurité.

Téléchargez gratuitement votre kit de sensibilisation à la cybersécurité

Vous recherchez des ressources pratiques pour soutenir votre campagne dans le cadre du Mois de la sensibilisation à la cybersécurité ?

Notre kit de sensibilisation à la cybersécurité regorge de ressources prêtes à l’emploi conçues pour mobiliser vos collaborateurs, encourager des comportements positifs en matière de sécurité et vous aider à instaurer une culture de la sécurité plus solide tout au long de l’année.

Que vous organisiez des activités pour le mois d’octobre ou que vous souhaitiez maintenir la sensibilisation à la sécurité au premier plan tout au long de l’année, cette boîte à outils vous propose des ressources pratiques qui facilitent la mise en œuvre de campagnes de sensibilisation.

Téléchargez dès aujourd’hui votre kit de sensibilisation à la cybersécurité gratuit et commencez à compliquer la tâche des cybercriminels.

FAQ

Pourquoi le Mois de la sensibilisation à la cybersécurité est-il important ?

Le Mois de la sensibilisation à la cybersécurité encourage les organisations à sensibiliser leur personnel aux menaces en ligne, à renforcer les bons réflexes en matière de sécurité et à aider les employés à comprendre le rôle important qu’ils jouent dans la protection de l’entreprise. Bien qu’il ait lieu chaque année en octobre, les habitudes qu’il promeut devraient faire partie intégrante du quotidien professionnel.