Sécurité des systèmes et logiciels - Principes clés

Vos systèmes sont votre première ligne de défense

Les logiciels que vous utilisez, les appareils sur lesquels vous travaillez et le réseau auquel vous êtes connecté - ensemble, ils forment le fondement de la sécurité de vos données. Si ce fondement est fragile, les politiques écrites ne serviront pas à grand-chose.

Le RGPD exige des “mesures techniques appropriées”. Les principes suivants couvrent ce que vous devez appliquer à vos systèmes et logiciels.

Principe 1 : Tout maintenir à jour

La majorité des cyberattaques réussies exploitent des vulnérabilités connues pour lesquelles un correctif était déjà disponible. Installer les mises à jour est la mesure de sécurité la plus efficace que vous puissiez prendre.

• Système d’exploitation - activez les mises à jour automatiques sur tous les postes de travail et serveurs
• Navigateurs - utilisez toujours la dernière version
• Logiciels métier - planifiez des mises à jour régulières pour votre CRM, comptabilité et autres outils
• Firmware - n’oubliez pas votre routeur, imprimante et autres équipements réseau
• Plugins et extensions - des plugins WordPress ou extensions de navigateur obsolètes sont un vecteur d’attaque fréquent

Principe 2 : Moindre privilège

Donnez aux utilisateurs uniquement l’accès nécessaire à leur travail, rien de plus. Cela limite les dégâts si un compte est compromis.

• Tout le monde n’a pas besoin d’être administrateur
• Créez des comptes séparés pour l’utilisation quotidienne et l’administration
• Supprimez les droits dès qu’ils ne sont plus nécessaires
• Utilisez des groupes ou des rôles pour attribuer les droits de manière cohérente

Principe 3 : Segmenter votre réseau

Séparez les différents types de trafic :

• Réseau invité séparé du réseau de l’entreprise - les visiteurs et clients n’ont pas besoin d’accéder à vos systèmes internes
• Appareils IoT sur un réseau séparé - les objets connectés sont souvent mal sécurisés
• Systèmes sensibles derrière une protection supplémentaire - votre système RH ou votre comptabilité n’a pas besoin d’être accessible depuis chaque appareil

Principe 4 : Chiffrement

Chiffrez les données au repos comme en transit :

• En transit - utilisez HTTPS pour votre site web, un VPN pour le télétravail, TLS pour les emails
• Au repos - activez le chiffrement de disque sur les ordinateurs portables et supports de stockage externes (BitLocker sur Windows, FileVault sur macOS)
• Sauvegardes - chiffrez également vos sauvegardes, surtout si elles sont stockées hors site

Principe 5 : Journalisation et surveillance

Quand un problème survient, vous devez pouvoir retracer ce qui s’est passé :

• Activez les journaux sur vos systèmes les plus importants
• Conservez les journaux suffisamment longtemps pour enquêter sur les incidents (minimum 3 mois)
• Vérifiez périodiquement les activités inhabituelles
• Assurez-vous que les journaux ne puissent pas être supprimés par un attaquant

Principe 6 : Sauvegarde et restauration

Une sauvegarde que vous ne pouvez pas restaurer n’est pas une sauvegarde :

• Effectuez des sauvegardes quotidiennes des données critiques
• Conservez au moins une sauvegarde hors ligne ou dans un autre emplacement
• Testez régulièrement si vos sauvegardes peuvent réellement être restaurées
• Documentez votre procédure de restauration pour ne pas improviser en situation de crise

Appliquez ce qui convient à votre situation

Chaque entreprise n’a pas les mêmes besoins en matière de sécurité. Une boutique en ligne avec des données clients a des priorités différentes d’un cabinet de conseil. Mais les principes ci-dessus s’appliquent universellement. Commencez par les bases et progressez à partir de là.