Comment protéger votre entreprise contre une violation des données ?

Le nombre de violations de données augmentant d'année en année, les organisations prennent lentement conscience qu'aucune entreprise n'est à l'abri de cette menace croissante.

46 % de toutes les entreprises britanniques ont identifié une violation au cours des 12 derniers mois et l'IDC prévoit que d'ici 2020, plus de 1,5 milliard de personnes, soit environ 1/4 de la population mondiale, seront touchées par une violation de données.

Ces statistiques sont vraiment effrayantes et soulignent l'ampleur du problème auquel les organisations du monde entier sont désormais confrontées.

Les cybercriminels s'attaquent de plus en plus aux petites et moyennes entreprises, qui ont généralement moins d'argent et de ressources à investir dans la cybersécurité. 

Cela les rend particulièrement vulnérables aux attaques, et des études ont montré que 60 % de ces organisations ne sont pas en mesure de se remettre des effets dévastateurs d'une violation de données et sont donc obligées de fermer leurs portes.

Même si une entreprise parvient à résister à la tempête, les retombées de la violation peuvent avoir des conséquences considérables, notamment une baisse du cours de l'action, la perte de clients, des pénalités financières et une atteinte à la réputation.

Le flux constant d'histoires d'horreur de violation de données dans la presse a fait prendre conscience aux cadres supérieurs que s'ils veulent réduire leur risque d'être attaqués, ils doivent adopter une approche plus proactive de la sécurité des données et examiner les domaines de leur entreprise qui doivent être renforcés et protégés.

Comment se produit une violation de données ?

Violation de données ? Voyons ce qu’est une violation de données personnelles et quelles mesures les organisations doivent prendre pour minimiser les risques.

Une violation de données est un incident confirmé au cours duquel des informations ont été volées ou prises dans un système à l'insu ou sans l'autorisation de son propriétaire. Il existe une multitude de raisons pour lesquelles les pirates informatiques veulent mettre la main sur des données sensibles, mais le plus souvent, il s'agit d'argent. La cybercriminalité est une activité lucrative et nos données peuvent être utilisées pour commettre une usurpation d'identité ou être vendues pour une somme rondelette sur le dark web.

Une violation de données peut également survenir de manière accidentelle par la perte d'un ordinateur portable, la perte de documents ou l'envoi d'un courriel à la mauvaise personne, mais les attaques ciblées sont généralement menées de l'une des manières suivantes :

• Exploitation des vulnérabilités du système - Les pirates font souvent des recherches et effectuent une reconnaissance complète d'une entreprise avant de lancer une cyberattaque. Ils analysent méthodiquement un réseau à la recherche d'éventuelles faiblesses en matière de sécurité et, dès qu'ils repèrent une zone à exploiter, ils lancent une attaque ciblée pour infiltrer le réseau.
• Ingénierie sociale (social engineering) - Plutôt que de recourir aux attaques de piratage traditionnelles, les cybercriminels profitent de notre nature humaine confiante pour nous inciter à enfreindre les pratiques de sécurité normales. Ces types d'attaques sont de plus en plus fréquents et s'avèrent être un moyen très efficace pour les pirates d'obtenir un accès non autorisé aux réseaux informatiques et aux données sensibles.

Les méthodes les plus fréquemment utilisées sont les suivantes :

Hameçonnage (phishing) - L'hameçonnage reste l'attaque d'ingénierie sociale la plus populaire en raison de son taux de réussite élevé. 72 % des violations de données sont liées à la réception d'e-mails de phishing par des employés. Les attaquants se font généralement passer pour une entreprise légitime afin d'inciter un employé à divulguer des informations sensibles.

Logiciels malveillants, virus et logiciels espions - Les logiciels malveillants, les virus et les logiciels espions représentent 33 % de toutes les violations de données. Ils s'installent sur un ordinateur lorsqu'un utilisateur clique sur un lien, télécharge une pièce jointe malveillante ou ouvre un logiciel malveillant. Une fois installés, les attaquants peuvent utiliser les logiciels malveillants pour espionner les activités en ligne, voler des informations personnelles et financières ou utiliser l'appareil pour pirater d'autres systèmes.

Mots de passe - Les mots de passe faibles et non sécurisés constituent un moyen facile pour les pirates d'accéder à un réseau. Les pirates sophistiqués utilisent souvent des logiciels spécialisés qui leur permettent de tester des milliers de combinaisons possibles de noms d'utilisateur et de mots de passe.

Comment puis-je protéger mon entreprise contre une violation de données ?

Les organisations doivent élaborer une stratégie de sécurité informatique solide et complète qui protégera les données sensibles, réduira les menaces et veillera à ce que la réputation d'une organisation reste intacte.

Pour réduire le risque de violation des données, les organisations doivent prendre un certain nombre de mesures :

1. Mettre à jour les logiciels de sécurité - Les logiciels de sécurité doivent être régulièrement mis à jour pour empêcher les pirates d'accéder aux réseaux grâce aux vulnérabilités des systèmes plus anciens et obsolètes. C'est exactement de cette manière que les pirates ont pu accéder aux données de plus de 143 millions d'Américains lors de la tristement célèbre violation de données d'Equifax en 2017. Un correctif pour cette vulnérabilité avait été mis à disposition deux mois avant la brèche, mais l'entreprise n'avait pas mis à jour son logiciel.
2. Audits réguliers et évaluations des risques - Le GDPR précise que les organisations doivent effectuer des audits réguliers des activités de traitement des données personnelles et se conformer à un ensemble de principes de protection des données qui permettront de sauvegarder ces données. Cela permettra de s'assurer de la mise en place d'un cadre adapté qui permettra de sécuriser les informations personnelles identifiables des clients et d'atténuer tout risque. La mise en œuvre d'un système efficace de gestion des politiques permettra aux organisations de démontrer leur conformité aux exigences législatives et de cibler efficacement les domaines qui présentent le plus de risques pour la sécurité des données.
3. Utilisez des mots de passe forts - L'un des moyens les plus faciles pour les pirates d'accéder aux systèmes sensibles de l'entreprise est de deviner les mots de passe. 60 % des gens utilisent le même nom d'utilisateur et le même mot de passe pour tous leurs comptes, de sorte que si les pirates parviennent à accéder à un compte, ils ont le champ libre pour s'introduire dans tous les autres. Un mot de passe fort doit comporter entre 8 et 15 caractères, un mélange de lettres majuscules et minuscules et inclure des chiffres ou des symboles. Pour plus de sécurité, il est possible de créer une phrase de passe, c'est-à-dire un mot de passe composé d'une phrase ou d'une combinaison de mots. La première lettre de chaque mot constitue la base du mot de passe et les lettres peuvent être remplacées par des chiffres et des symboles pour ajouter une ligne de défense supplémentaire.
4. Formation du personnel - Une sécurité efficace n'est pas seulement une question de technologie. 88 % de toutes les violations de données peuvent être attribuées à une erreur humaine. Il est donc essentiel que les organisations investissent dans une formation de sensibilisation à la sécurité de haute qualité qui permettra au personnel de reconnaître le rôle important qu'il joue dans la protection des données sensibles de l'entreprise. Le personnel est au cœur de la capacité d'une organisation à fonctionner en toute sécurité. Il est donc essentiel que les employés disposent de toutes les informations et connaissances nécessaires pour assurer la sécurité du réseau et des systèmes d'information de l'entreprise.

Pour plus de conseils et d'orientations sur la façon d'améliorer la sécurité au sein de votre organisation, rejoignez-nous lors de notre webinaire le¹⁷ octobre à 15 heures, sur le thème "A Nightmare on Breach Street - Could a lack of staff education lead to an information security nightmare". Inscrivez-vous ici : go.metacompliance.com/halloween18