Les hackers sont constamment à la recherche de leur prochaine charge utile. Leur cible de prédilection ? Une entreprise dont le système de sécurité du cloud est précaire, voire inexistant.
Autrefois, la plupart des entreprises et organisations n’envisageaient la sécurité du cloud qu’a posteriori alors qu’aujourd’hui, le sujet constitue clairement l’un des aspects les plus importants dans les entreprises de toute taille. Entre les réseaux privés virtuels, les antivirus et systèmes de détection des intrusions, pour n’en citer que quelques-unes, les entreprises disposent de nombreuses possibilités pour renforcer la sécurité de leurs systèmes et se protéger des cybercriminels. Mais l’un des aspects les plus critiques, et pourtant l'un des plus négligés, n’est pas lié à la technologie.
À vrai dire, l’erreur humaine est la cause dans 95 % des violations de cybersécurité. Et pour compliquer la donne, contrairement à l’opinion de nombreux chefs d'entreprise, la plupart des cyberattaques ciblent en fait de petites structures qui n’ont pas les moyens de mettre plusieurs millions sur la table pour financer les équipes de sécurité identiques à celles des grands groupes.
Pour ces petites entreprises qui cherchent à renforcer leur sécurité dans le cloud, il est parfois difficile d’identifier où les fuites sont susceptibles de se produire. Dans cet article, nous identifierons trois menaces spécifiques pour la sécurité et les mesures à prendre pour éviter que votre entreprise ne paie le prix fort.
Sensibilisez votre personnel aux attaques par ingénierie sociale
En 2019, environ 98 % des intrusions résultaient directement d'attaques par ingénierie sociale ou d'escroqueries motivées par la volonté d’accéder à des informations privées en exploitant les ressorts émotionnels.
Même si dans toute chaîne de sécurité, le maillon le plus faible est bien souvent le facteur humain, la majorité de vos collaborateurs feront cependant de leur mieux pour préserver les informations de votre société, mus par le besoin de se montrer fiables et dignes de confiance.
La démarche est louable, mais à vrai dire, les cybercriminels ont bien cerné les mécanismes en jeu et exploitent ce désir de bien faire pour le retourner contre vos collaborateurs (et par extension, contre toute l’entreprise). C’est là le principe des attaques par ingénierie sociale. Les criminels procèdent de la façon suivante : ils contactent un collaborateur via un réseau social et engagent la discussion afin de gagner sa confiance. Ils espèrent ainsi profiter de cette confiance pour accéder aux informations de l'entreprise ou aux données clients.
Or, après une attaque par ingénierie sociale, certains collaborateurs pensant s’être montrés suffisamment prudents ne réaliseront pas qu’ils ont en fait livré des informations sensibles à un cybercriminel. Et même s’il existe certaines mesures de protection dans l’entreprise, le personnel n’est, bien souvent, pas formé aux mesures de cybersécurité appropriées.
C’est donc aux entreprises de former — et de recertifier — leurs employés aux techniques permettant d’identifier de potentielles attaques par ingénierie sociale et de savoir comment réagir en cas d’attaque de ce type, avec le détail de ce qu’il faut faire et ne pas faire. Mais avec le temps, on peut facilement oublier ce que l’on a appris en formation et reprendre nos vieilles habitudes. Et c’est précisément ce qu’attendent les cybercriminels.
Les piratages de Target (2013), Sony Pictures (2014) et du parti démocrate américain (2016) sont des exemples d’attaques par ingénierie sociale. On retrouve ce mode opératoire dans 98 % des intrusions à l’origine d’incidents de cybersécurité. Par conséquent, on n’insistera jamais assez sur l'importance pour les entreprises d'investir dans la formation et la re-certification de leurs employés.
Sécurisez davantage vos connexions virtuelles
Les entreprises l’ont appris en accéléré : elles ont besoin de solutions pour communiquer avec leurs salariés lorsque ceux-ci sont en dehors de leurs murs physiques. Qu’il s’agisse de mettre à disposition de leurs collaborateurs des moyens de télécommunications utilisables pendant leurs déplacements ou de maintenir leur activité pendant une pandémie, les entreprises ont impérativement besoin de connexions virtuelles : il en va de leur pérennité.
Pendant la première phase de confinement liée au Covid-19, de nombreuses entreprises ont commencé à se réunir en visioconférence avec Zoom. Mais plusieurs intrusions en réunions visant à en perturber le déroulement se sont produites — un phénomène baptisé « zoom bombing ».
Pour éviter ce genre de désagrément et offrir à vos collaborateurs un cadre de télétravail sécurisé, vous pouvez leur rappeler ces quelques règles :
- Utiliser les dernières versions des applications sur leurs appareils
- Créer un identifiant et un mot de passe uniques pour les appels en visio
- Utiliser la fonction de salle d'attente
- Désactiver le partage d'écran pour les autres utilisateurs
- Verrouiller les réunions une fois qu'elles ont commencé
- Organiser des réunions uniquement accessibles sur invitation
Or, la plupart des utilisateurs utilisaient des applications sans avoir effectué les dernières mises à jour, avec pour conséquence une sécurité compromise. Plus grave encore, ils travaillaient très probablement avec une connexion internet non sécurisée à partir d'un wifi public, sans chiffrer leur trafic. Impossible dans ces conditions qu’ils soient protégés des attaques par interception (attaques dites de « l’homme du milieu ») et d’autres attaques courantes sur les points d'accès wifi public.
On voit bien qu’un renforcement des canaux de communication virtuels est absolument vital pour les entreprises qui cherchent à apporter à leurs employés et clients une aide aux télécommunications. Si les entreprises font confiance à leurs fournisseurs de services pour leurs besoins de réunions à distance, il serait dangereux pour elles de se croire en sécurité en situation de confinement.
Recherchez des solutions de stockage et de collaboration cloud qui sont sécurisées
Dernier point, les entreprises dont les équipes sont géographiquement dispersées ou en télétravail ont besoin de solutions de stockage et de collaboration à la fois fiables et sûres. Les solutions de signature de documents d’entreprise basées dans le cloud peuvent ainsi faciliter la tâche de vos collaborateurs qui peuvent conserver les mêmes workflows en dehors du bureau.
Quant aux solutions de stockage, Google Drive, DropBox et OneDrive figurent en tête des solutions auxquelles les entreprises du monde entier font le plus confiance. Leurs éditeurs ont en effet massivement investi dans la création d’interfaces web permettant aux entreprises et à leurs collaborateurs de travailler en tout lieu avec n’importe quel équipement — en conservant l’accès à tous leurs documents et autres fichiers importants.
Ces services vont au-delà des simples solutions de stockage et fournissent des solutions de travail collaboratif complètes. Plus besoin de télécharger un fichier et d'attendre les corrections de vos collaborateurs, qui vous renvoient ensuite le document à modifier, avant le cycle de modifications suivant…
Pour autant, ces services ne sont pas totalement invulnérables aux attaques. Dropbox a déjà fait les frais de nombreux piratages — une attaque s’étant soldée par l’exposition des données personnelles de plus de 68 millions de personnes. Fort heureusement, les problèmes de sécurité de l’époque ont depuis été corrigés, et aujourd’hui Dropbox constitue l'une des solutions de stockage les plus sûres qui soient.
Si les solutions cloud conviennent à la plupart des entreprises, de nombreuses informations sensibles voyagent encore sans protection via des connexions non chiffrées… Sans parler des disparités qui existent entre les niveaux de sécurité d’une solution cloud à l’autre. Assurez-vous par conséquent que la solution choisie par votre entreprise utilise les tout derniers protocoles de sécurité, et accorde une attention particulière aux connexions sécurisées et au chiffrement des fichiers — l’objectif étant de prévenir les attaques malveillantes susceptibles de compromettre ses clients ou toute l’entreprise en cas de violation.
Conclusion
On compte une tentative de piratage toutes les 39 secondes. Clairement, les entreprises ne peuvent plus se permettre de faire l'impasse sur les protocoles de sécurité et leur mise en œuvre dans le cloud.
Ainsi, pour se protéger contre les violations de données et les conséquences d'une publicité négative pour leur image de marque, les entreprises doivent améliorer et intensifier leurs actions de sensibilisation aux mesures de sécurité adaptées en direction de leurs équipes en télétravail, en les incitant notamment à utiliser des connexions virtuelles sécurisées et à chiffrer les fichiers des documents partagés dans le cloud.
