La cybersécurité sur le lieu de travail revêt une importance croissante, à mesure que de plus en plus d’entreprises adoptent les ressources numériques et le cloud. Les ransomwares figurent en tête de liste des menaces susceptibles de paralyser une organisation, et ces attaques commencent souvent par un e-mail de hameçonnage malveillant ciblant des collaborateurs spécifiques. Il suffit qu’un seul collaborateur soit victime d’une attaque sophistiquée pour que votre organisation soit paralysée par le blocage de l’accès aux fichiers, le vol de données et des menaces persistantes avancées dissimulées sur le réseau.
Le Colonial Pipeline, qui assure l’acheminement du gaz et du kérosène du Texas vers la côte Est, a été victime d’une attaque par rançongiciel. Cette attaque a interrompu la production et contraint cette infrastructure énergétique à cesser ses activités. Ce type d’attaques ne cesse de se multiplier, et elles commencent généralement par cibler un employé qui ne se rend pas compte qu’un message est malveillant. Cela résulte souvent d’un manque de formation et de sensibilisation à la cybersécurité sur le lieu de travail.
CryptoLocker, l’une des premières attaques par ransomware et l’une des plus répandues, a débuté par un e-mail de hameçonnage. Elle a touché près de 500 000 ordinateurs et entraîné des pertes de données à grande échelle à travers le monde. Ce logiciel malveillant a été diffusé par l’envoi massif d’e-mails contenant une pièce jointe au format ZIP. Une fois ouverte, cette pièce jointe analysait l’ordinateur et chiffrait les fichiers, les rendant ainsi inaccessibles tant qu’une rançon n’était pas versée. Les utilisateurs doivent savoir que tout e-mail comportant une pièce jointe au format ZIP doit être considéré comme suspect.
Responsable de la sécurité des systèmes d’information (RSSI) : l’intérêt d’un « mangeur de péchés »
Le rôle d’un responsable de la sécurité des systèmes d’information (RSSI) s’apparente beaucoup à celui du mythique « mangeur de péchés » du folklore médiéval anglais. Un mangeur de péchés prenait un repas et absorbait les péchés des défunts. Il portait ensuite sur lui les péchés d’autrui afin de les absoudre de leur culpabilité, de leur honte et des conséquences dans l’au-delà.
Un RSSI joue un rôle similaire : les fautes commises par des collaborateurs internes ont des répercussions sur sa réputation, ses performances professionnelles et ses perspectives d’avenir. Si un collaborateur est victime d’un scandale interne lié à la cybersécurité, il porte atteinte à la réputation de l’organisation et perturbe les services de production. Afin de protéger ce collaborateur des répercussions négatives et des conséquences, le RSSI endosse la responsabilité des fautes commises par cette malheureuse victime et répond de ses erreurs.
Le fait qu’il n’y ait qu’un seul RSSI au sein de l’organisation ne signifie pas pour autant que la responsabilité incombe exclusivement à une seule personne. C’est l’organisation dans son ensemble qui en assume la responsabilité. Dans le cas de la fuite de données chez Equifax, les administrateurs de serveurs et le RSSI chargé de la surveillance et de l’application des correctifs logiciels auraient pu être les seuls responsables de l’une des plus importantes fuites de données à ce jour, mais l’organisation Equifax dans son ensemble a été jugée irresponsable et a assumé la responsabilité des conséquences.
Outre sa responsabilité en matière de cybersécurité interne, un RSSI voit sa charge de travail s’alourdir à mesure que de plus en plus d’organisations migrent vers le cloud et se numérisent dans le cadre des confinements liés à la pandémie de 2020. Pour maintenir leur productivité, les organisations ont été contraintes d’autoriser le télétravail après la propagation mondiale de la COVID. Cette évolution des environnements de travail a entraîné un passage soudain au cloud computing et aux processus numériques. En conséquence, les entreprises se sont retrouvées dans le cloud sans avoir suffisamment pris en compte la cybersécurité. La cybersécurité a été reléguée au second plan, et les cybercriminels ont pleinement profité de cette négligence. Le phishing et les ransomwares ont connu un essor fulgurant, de plus en plus d’employés étant victimes de campagnes sophistiquées ciblant les particuliers.
Les sept péchés capitaux de la cybersécurité sur le lieu de travail
La sensibilisation à la cybersécurité est essentielle pour éviter les risques. Si vos collaborateurs ne connaissent pas le fonctionnement d’une attaque par hameçonnage, on ne peut pas s’attendre à ce qu’ils sachent l’éviter. L’erreur humaine est un facteur majeur dans les fuites de données, mais voici sept « péchés capitaux » et des moyens d’éviter d’en être la prochaine victime :
- Mots de passe peu sûrs. La complexité et la longueur des mots de passe réduisent le risque d’attaque par force brute visant les identifiants des employés. Les administrateurs peuvent définir des règles relatives aux mots de passe qui imposent une longueur et une complexité minimales, et empêchent les utilisateurs de réutiliser les mêmes mots de passe.
- Risques liés au Wi-Fi public. Les utilisateurs doivent être conscients des risques associés au Wi-Fi public. Toute application critique doit être utilisée via un réseau privé virtuel (VPN), et les utilisateurs ne doivent en aucun cas transmettre des données non chiffrées.
- Antivirus installé et mis à jour. Les organisations qui ont mis en place une politique « Bring Your Own Device » (BYOD) doivent sensibiliser les utilisateurs à l’importance d’un antivirus et de sa mise à jour régulière. Les administrateurs peuvent imposer des mises à jour sur les postes de travail, mais ils comptent sur les utilisateurs pour assurer la sécurité de leurs propres appareils grâce à un logiciel antivirus à jour.
- Ouverture des pièces jointes aux e-mails. Les administrateurs peuvent bloquer les e-mails suspects, mais les faux négatifs permettent aux cybercriminels d’inciter les destinataires à ouvrir des pièces jointes malveillantes. Les utilisateurs doivent savoir qu’il ne faut pas ouvrir les pièces jointes, en particulier si elles proviennent d’expéditeurs externes.
- Cliquer sur des liens contenus dans des e-mails. Les liens malveillants ouvrent des sites contrôlés par des pirates, sur lesquels les utilisateurs peuvent être amenés, par la ruse, à divulguer leurs identifiants réseau ou d’autres informations sensibles. Les utilisateurs doivent savoir qu’ils ne doivent pas saisir leurs identifiants après avoir cliqué sur un lien. Ils doivent plutôt saisir manuellement le nom de domaine dans leur navigateur afin de vérifier que le message est authentique.
- Partage des identifiants avec d’autres utilisateurs. Les utilisateurs ne doivent en aucun cas partager leurs mots de passe. S’ils le faisaient, un ancien salarié pourrait continuer à accéder à des systèmes critiques, même si son propre compte a été désactivé.
- Absence de sensibilisation à la cybersécurité. Sans formation, les utilisateurs ne disposent pas des moyens nécessaires pour identifier une attaque. Il incombe au RSSI de créer un environnement dans lequel la formation à la cybersécurité favorise une meilleure prévention des risques et réduit les erreurs humaines.
Aider les collaborateurs à lutter contre les cyberattaques et à renforcer leur sensibilisation à la cybersécurité
Si les responsables de la sécurité des systèmes d’information (RSSI) ne prennent pas le temps de sensibiliser leurs collaborateurs, ils laissent une brèche importante dans le dispositif de cybersécurité de l’entreprise. La sensibilisation à la cybersécurité constitue la première ligne de défense contre les attaques sophistiquées qui exploitent les erreurs humaines ; elle doit donc toujours faire partie des formations obligatoires, tant pour les nouveaux collaborateurs que pour le personnel en poste.
La sensibilisation peut prendre différentes formes : formation en ligne, formation pratique et mise en place de politiques. Les employés ne sont pas des pirates informatiques ; les informations doivent donc être faciles à comprendre. Ils doivent comprendre les conséquences d’une attaque et disposer des informations nécessaires pour remettre en question la légitimité d’un e-mail, d’un appel téléphonique, d’un site web ou de toute autre forme de cyberattaque. Ils n’ont pas besoin de connaissances techniques approfondies, mais ils doivent disposer des informations pertinentes.
Les principales menaces qui pèsent sur une organisation sont le phishing et les ransomwares, mais la formation permet de réduire les risques liés à ces menaces. Des collaborateurs dotés des connaissances adéquates seront en mesure d’identifier une attaque, d’éviter d’en être victimes, d’alerter les personnes compétentes, et le RSSI verra ainsi son travail considérablement allégé. Sans sensibilisation à la cybersécurité, le RSSI continue de réagir de manière passive aux attaques susceptibles de nuire à sa réputation et à celle de l’entreprise.