Sensibilisation

Logiciel sécurisé

Infrastructure sécurisée

Votre personnel est-il sensibilisé à la sécurité?

Chaque collaborateur doit être conscient du fait qu’il ou elle peut être contacté(e) à tout moment par quelqu’un qui souhaite extorquer des informations. Le personnel doit être formé pour faire face aux situations suivantes : quelqu’un qui appelle en posant des questions apparemment innocentes, un homme à tout faire qui se promène, mais aussi l’utilisation correcte des mots de passe.

Comment améliorer la sensibilisation?

Malheureusement, il n’existe pas de règle d’or pour améliorer la sensibilisation. Il s’agit toujours d’une question spécifique à l’entreprise, qui doit s’inscrire dans la culture de l’entreprise. La sensibilisation peut passer par des séances de formation « one-to -many », par une formation sur ordinateur, mais aussi par une petite vidéo d’entreprise ou d’autres possibilités créatives. Nos consultants appliquent différentes stratégies depuis des années et peuvent parfaitement se concentrer sur votre culture.

Comment pouvez-vous la tester ?

Les tests peuvent s’effectuer de différentes manières. Les tests les plus connus avec lesquels nous aidons les entreprises se déroulent notamment comme ceci :

• Envoi d’e-mails de pishing (hameçonnage) de niveaux divers, allant du pishing flagrant (par exemple le Roi de Namibie) à des e-mails très ciblés où le travailleur est contacté par son prénom, dans un langage correct, avec un scénario crédible.
• USB drop-offs où des rapports sont dressés pour indiquer quel pourcentage des clés USB ont été connectées à un ordinateur, quel pourcentage de personnes ont ouvert de fichiers sur la clé, etc.
• Ingénierie sociale où des cibles spécifiques sont approchées pour vérifier si les polices d’entreprise relatives à la communication d’informations spécifiques sont respectées. Ce test peut être effectué soit par téléphone, soit en personne.

Pensez-y pendant un projet, pas après

Le développement d’un logiciel sécurisé commence dès le départ. Étant donné que la sécurité d’un logiciel est un domaine très spécifique, il est préférable de confier cette mission à un expert en temps voulu. Cet expert ne doit pas nécessairement être impliqué dans le projet en permanence, mais peut par exemple se réunir une fois par semaine avec les parties prenantes du projet pour aborder les questions spécifiques à la sécurité. Cet expert peut vous accompagner dans la prise de décisions et planifier les tests d’intrusion pour le logiciel de la meilleure manière, dans un souci de qualité et d’efficacité des coûts.

Les développeurs ? Formez-les !

La majorité des développeurs connaissent quelques risques de sécurité, mais y sont tellement peu confrontés qu’ils les oublient dans la pratique. Il est essentiel que les développeurs suivent une formation durant laquelle ils peuvent attaquer quelques exemples d’applications ou leurs propres applications. Ce faisant, ils prendront conscience du fait qu’un pirate ne rencontre pas toujours de difficultés et des risques qu’ils encourent. Ils seront alors plus vigilants par la suite et demanderont de l’aide en temps voulu.

Test d’intrusion sur les applications

Actuellement, il n’est plus raisonnable de publier des applications sur le réseau interne ou externe sans les avoir d’abord soumises à un test d’intrusion. Il ne faut pas en sous-estimer l’importance étant donné que les pirates nuiront toujours publiquement à une entreprise en faisant savoir par exemple qu’une base de données a été volée ou faisant du chantage et en demandant de l’argent pour ne pas publier les données capturées. Chaque année, il faut vérifier si on a connaissance de nouvelles failles susceptibles d’être exploitées pour attaquer l’application ou si aucun code contenant des erreurs n’a été ajouté, ce qui expose l’application à un risque élevé.

Prévention des fuites de données: controle de vos données

Que peut faire le destinataire de votre e-mail lorsqu’il le reçoit ? Que se passe-t-il si votre collaborateur enregistre toutes les données sur une clé USB, qu’il revend ? Voici les questions qui inquiètent tous les chefs d’entreprise. C’est pourquoi chaque entreprise doit développer des techniques de prévention des fuites de données qui empêchent par exemple de copier des données ou d’imprimer des e-mails, ou encore de les transférer. Il existe plusieurs solutions pour ce faire et nous pouvons vous aider à faire le bon choix et le bon déploiement.

Test d’intrusion interne: le pirate interne

Que se passe-t-il si un intrus se promène dans l’entreprise et connecte son ordinateur portable sur le réseau ? Peut-il causer des dégâts ? Peut-il voler des données ? Et ce travailleur contrarié, peut-il arrêter les serveurs ou propager des virus ? Vous devez connaître la réponse et ne pas en avoir peur. Par conséquent, il est très important de faire effectuer un contrôle régulier par un consultant adoptant la mentalité d’un hacker, qui vous expliquera quelles sont les actions à entreprendre pour améliorer le niveau de sécurité.

Active Directory security health check

L’Active Directory est généralement la base de données dans laquelle tous les utilisateurs sont définis, mais malheureusement, celle-ci n’est que rarement contrôlée en raison des années de migrations d’anciennes versions vers de nouvelles, ou tout simplement à cause d’un mauvais suivi quotidien. On oublie vite qu’un collaborateur peut quitter l’entreprise et conserve tous les droits de se connecter à distance. De même, il y a bien souvent plus d’utilisateurs qu’on le pense qui sont administrateurs. Il est essentiel d’effectuer un test pour prendre des actions ciblées en fonction du résultat et protéger l’environnement contre les abus.

Propagation d’un virus

Même si un anti-virus est installé sur chaque appareil, il arrive régulièrement qu’un virus se glisse entre les mailles du filet et se propage. Pensez aux propagations récentes de ransomwares qui rendaient les données illisibles et où un pirate demandait de l’argent pour tout remettre dans l’ordre. Mais ce procédé prend-il fin après le paiement d’une rançon ? Après la propagation d’un virus, il est extrêmement important de pouvoir faire appel aux bonnes personnes, qui garderont la tête froide et pourront prendre les bonnes décisions avec vous.

Certificats : comment les utiliser correctement

Les certificats sont utilisés pour de nombreuses applications : pour la sécurisation du site web (https:// connexions) ou la protection des données sensibles en interne. Malheureusement, leur installation a généralement été faite en quelques clics irréfléchis, ce qui provoque des problèmes ultérieurement. Une conception bien pensée est primordiale et nécessite une expérience en la matière.

Contrôle de la conception de votre réseau

Lors de la conception d’un nouveau réseau ou de la redéfinition d’un réseau existant, il est important de vérifier avec des experts que tous les écueils fréquents soient évités. En effet, une fois qu’un nouveau réseau est en place, il est beaucoup plus difficile d’y apporter des modifications radicales.

Test d’intrusion externe : qui peut entrer ?

À chaque minute, une adresse IP externe est attaquée par l’un des innombrables scanners automatiques qui existent. Cependant, en Belgique, il y a également de plus en plus d’attaques ciblées. En général, les pirates essaient de s’introduire par le biais de pare-feux faiblement protégés pour continuer leur chemin au sein de l’entreprise. Un contrôle externe est souvent plus limité en raison du faible nombre de portes ouvertes disponibles, mais le contrôle doit être d’autant plus strict pour réduire au minimum le risque d’attaque aboutie.

Exercices « Red team » : testez votre sécurité

De plus en plus de clients veulent savoir quels sont les risques dans un scénario d’attaque réaliste : est-il possible de s’emparer de la comptabilité ? Est-il possible de voler nos informations sur les clients ? Ils veulent avoir les réponses à ces questions en organisant un test où pratiquement aucune information n’est dévoilée et où la mission consiste à lancer une attaque sans que le personnel de l’entreprise n’en soit informé. Ce faisant, on peut connaître le niveau de difficulté d’intrusion et tester les réactions si le service IT interne constate que certaines choses se passent et qu’il perd progressivement le contrôle de la situation.