Lorsqu’il s’agit de protéger leurs actifs, les entreprises savent à quel point la sécurité physique est importante. Le hic, c’est qu’elles ont souvent tendance à oublier la sécurité numérique. Or, en interne, les négligences de certaines personnes – peu conscientes des risques et des répercussions de leurs actes – comptent massivement dans les pertes de données. Utilisation de mots de passe faibles, clics sur des liens malveillants ou pertes d’appareils, les menaces internes sont plus fréquentes que bien des employeurs ne le pensent.
Les sous-traitants sont particulièrement exposés à ces menaces. Ils reçoivent en permanence des informations de leurs clients — données de nature sensible et confidentielle pour la plupart. Or, en l’absence de systèmes de cybersécurité appropriés, les conséquences peuvent être dévastatrices du côté des clients comme des prestataires.
Principales menaces auxquelles les prestataires sont exposés
Pour ce qui est de la menace cyber, les prestataires sont exposés à plusieurs facteurs de risque. En voici une liste, non exhaustive :
- Logiciels non fiables
Le manque de fiabilité de certains logiciels et l’incapacité de certains programmes antivirus à bloquer toutes les menaces représentent les premiers facteurs de risques. Les problèmes de compatibilité engendrés par certains produits de sécurité peuvent également rendre des appareils vulnérables.
- BYOD
Les politiques de BYOD (Bring Your Own Device), qui désignent le fait pour les employés d’apporter et d’utiliser leurs équipements personnels de communication dans le cadre professionnel, peuvent également poser problème lorsque ces équipements sont intégrés aux réseaux d’entreprise après avoir été infectés, et vice versa. Le nombre de logiciels malveillants visant les appareils mobiles a explosé ces dernières années, tout comme le smishing. Cette forme d’hameçonnage par SMS concerne particulièrement les prestataires ou sous-traitants qui interviennent chez le client.
- Accès au code source
Un hacker qui accèderait sans entraves aux répertoires de code source pourrait analyser le code afin d’y rechercher des vulnérabilités. Pour les prestataires, cela constituerait un réel danger lié à l’intensification de leurs interactions avec les pipelines de développement et les infrastructures réseau [de leurs clients].
- Ingénierie sociale
Les prestataires doivent également se méfier des attaques par ingénierie sociale, vecteur privilégié des pirates qui cherchent à piéger travailleurs indépendants et entreprises. Le but de ces attaques : inciter les collaborateurs internes et externes à fournir des informations confidentielles. Pour cela, les pirates ont recours à toutes sortes de techniques comme l’exploitation de cookies de sites, l’envoi d’e-mails ou la création de faux téléchargements.
Bien souvent, les prestataires travaillent en parallèle sur plusieurs missions pour plusieurs clients. La gestion de données clients confidentielles peut alors être problématique, car la moindre erreur peut compromettre des données sensibles ou conduire à rendre certaines informations visibles par des personnes non autorisées.
Prévention de la cybercriminalité dans les entreprises
Comme vu précédemment, la cybercriminalité est omniprésente dans les entreprises en ligne et touche particulièrement celles et ceux qui travaillent au quotidien sur des sites web, comme les équipes de développement et les professions indépendantes du numérique. Il existe toutefois des moyens pour réduire le risque de vol de données et de cyberattaques, en protégeant à la fois les entrepreneurs et les clients.
- Faire appel à des professionnels qualifiés
Les entreprises doivent se renseigner pour faire appel à des développeurs professionnels, expérimentés et surtout fiables ; ces développeurs doivent en effet comprendre les nuances et les subtilités du langage de programmation dans lequel ils sont spécialisés.
Pour une protection totale des données et des systèmes numériques, la sécurité doit être intégrée dès la conception des systèmes ou des applications. Pour cela, mieux vaut faire appel à un développeur compétent qui connaît le langage [demandé] et ses possibilités sur le bout des doigts. Les développeurs Jira peuvent, par exemple, personnaliser les permissions, renforcer les mesures de sécurité et chiffrer les données en transit. Les développeurs Python profitent d’autres avantages de leur langage : simplicité de débogage du code, automatisation des tâches et utilisation de multiples bibliothèques permettant de prévenir les menaces de cybersécurité.
- Sécuriser les systèmes de contrôle des versions
Pour sécuriser le répertoire de dépôt utilisé pour la gestion des versions (ce qui est recommandé), on appliquera une démarche « Zero Trust » et le principe du moindre privilège afin de limiter l’accès au code source et aux systèmes. L’implémentation d’autorisations strictes pour les utilisateurs limite le nombre de personnes habilitées à consulter et modifier le code et les données. En procédant ainsi, on limite le nombre de personnes susceptibles de présenter un risque pour la sécurité.
La PKI renforce la sécurité Zero Trust
- Formation
La formation et l’information des prestataires sur les points de vigilance sont cruciales pour limiter les risques d’attaques par ingénierie sociale à leur encontre. Dans le cadre de leurs relations avec leurs clients, les freelances doivent être sensibilisés aux menaces auxquelles ils sont exposés. Ils doivent se former sur les risques pour les informations et les données privées. Autre point, ils doivent être capables de faire la différence entre les attaques extérieures et les messages ordinaires, et savoir comment réagir à des demandes ou à des courriels suspects.
- Authentification à deux facteurs
Il existe un autre moyen pour les prestataires extérieurs de protéger leur travail et leur réputation contre la menace cyber : l’authentification à deux facteurs. Cette double authentification permet de lutter plus facilement contre les accès non autorisés en préservant la sécurité des systèmes de gestion de contenu, des outils de gestion de projet et des fournisseurs d’hébergement web. Plusieurs applications tierces permettent de sécuriser ses comptes et de collaborer en toute sécurité.
- Partage de mots de passe plus avisé
Le partage intelligent des mots de passe fait partie d’un plan de cybersécurité efficace. Le vol d’un mot de passe peut, par effet domino, être dévastateur et entraîner la prise de contrôle totale d’un écosystème numérique. Les voleurs peuvent ensuite exploiter cet accès pour lancer des attaques par rançongiciel. Si les prestataires doivent pouvoir accéder aux données et aux systèmes de leurs clients pour exécuter efficacement leurs missions, le partage des mots de passe doit s’effectuer de façon plus avisée (ce qui devrait être une pratique standard à tous les échelons).
Au lieu d’envoyer les mots de passe par e-mail ou dans le fil d’un chat, où ils risquent de tomber entre de mauvaises mains, utilisez des gestionnaires de mots de passe tels que LastPass. [Certaines options permettent de partager vos accès en masquant les mots de passe] pour que vos sous-traitants disposent des informations de connexion nécessaires, sans avoir besoin de connaître les mots de passe. La solution est doublement avantageuse : d’un côté, vos prestataires n’ont pas à se préoccuper de la protection de leurs identifiants de connexion, et pour les donneurs d’ordre, c’est une garantie de sécurité et un gage de sérénité.
Garder une longueur d’avance sur les cybercriminels
L’augmentation continue du nombre de travailleurs à domicile, d’indépendants et de prestataires contribue à en faire des cibles de plus en plus convoitées par les cybercriminels. Le phénomène fait d’ailleurs apparaître de nouveaux défis pour ces travailleurs externalisés, et les entreprises qui les emploient. Cependant, avec une planification minutieuse, l’utilisation de logiciels appropriés et la recherche sérieuse de professionnels qualifiés et d’entreprises sensibilisées à l’importance de la sécurité numérique, les prestataires peuvent réduire le risque d’attaques.
