Regardez la vidéo directement sur Dailymotion en cliquant ici.
Lorsque vous avez attrapé une grippe ou un rhume vous évitez d'embrasser vos proches afin de les protéger. De même vous appréciez quand l'un(e) de vos collègues refuse de vous serrer la main ou de vous claquer la bise car il/elle est en fin de gastro bien carabinée…
Si vous n’avez pas d’antivirus sur votre machine à la maison alors vous risquez fort de refiler la « petite vérole informatique » (comprendre un vers, virus, logiciels espions) à tout membre de votre famille ou amis qui oseront mettre leur clef USB dans l’un des ports de votre PC… pas top !
sécuriser ses systèmes c’est se protéger mais aussi protéger les autres
En sécurité informatique c'est la même chose : sécuriser ses systèmes c'est se protéger mais c'est aussi protéger ses collègues, ses partenaires et ses clients.
Prenons le cas d’un site web Internet insuffisamment sécurisé. Très rapidement celui-ci sera pris d’assaut par les cybercriminels qui s’en serviront comme moyen pour lancer des attaques de « drive-by-download » ou encore pour des attaques en « watering hole ». Dans les deux cas, toute personne consultant votre site Web sera automatiquement infectée à son insu.
Et je ne parle pas des dégâts directs : site Web défiguré et/ou fermé le temps de la réinstallation, copie de la base de données d’informations clients qui est revendue ou diffusée publiquement sur Internet (par exemple sur un site comme pastebin comme c’est la « coutume » - la version numérique du pilori).
votre responsabilité pourrait être engagée
C’est une chose que l’un de vos serveurs ou systèmes soit utilisé par des cybercriminels pour lancer des attaques. Mais si quelqu’un porte plainte et arrive à montrer que vous n’avez pas pris les précautions élémentaires alors il se peut que vous ayez des dommages et intérêts à verser, que cela soit une cause de rupture de contrat sans indemnités, etc.
Il serait effectivement rageant (voire carrément désastreux) que l’un de vos plus grands clients dénonce votre contrat de télémaintenance suite à une intrusion ayant comme source vos systèmes.
fermeture des écoutilles et rebouchage des failles
Sécuriser un système contre les attaques informatiques peut être particulièrement complexe. Après, ce n’est pas parce que c’est compliqué qu’il ne faut rien faire. Au contraire, mettre l’accent sur les choses simples comme réduire la surface d’attaque en prenant soin de
- fermer tous les services réseaux non-utilisés
- vérifier que les systèmes sont exempts de vulnérabilités connues
la détection de vulnérabilités comme juge de paix
Pour savoir où agir et quels services il faut fermer ou mettre à jour, l’outil de base s’appelle un logiciel de « détection de vulnérabilités ». En utilisant ce genre d’outil ou de service et en conservant précieusement les rapports générés vous pourrez montrer que vous étiez attentif et preniez les précautions d’usage.
Evidemment, la détection de vulnérabilités ne protège pas de tout et notamment pas contre les mots de passe triviaux, les personnes un peu trop crédules devant des mails de phishing ou les plateformes ne respectant pas les règles de base en terme d’architecture, etc.
Aller, je vous souhaite de bon scans de détection de vulnérabilités et à très bientôt pour un prochain épisode des 5 minutes du professeur Audenard !
Jean-François Audenard (aka Jeff)
Au sein de la direction sécurité du Groupe Orange, je suis en charge de la veille sécurité et de la sensibilisation à la sécurité. Franchise, optimisme et bonne-humeur sont mes moteurs quotidiens