Ce que doit couvrir le plan de cybersécurité de votre petite entreprise

Selon une étude menée par the Ponemon Institute, 66 % des petites et moyennes entreprises (PME) aux États-Unis, au Royaume-Uni et en Europe ont subi une attaque cybernétique malveillante au cours des 12 derniers mois. Ce chiffre monte à 76 % lorsqu'on considère uniquement les entreprises aux États-Unis.

De plus, il semble y avoir une augmentation constante des attaques plus sophistiquées qui provoquent des violations de données critiques des entreprises. 63 % des PME interrogées dans cette même étude de Ponemon ont signalé avoir subi une violation de données en 2019, ce qui représente une augmentation de près de 10 points de ces incidents depuis 2017.

Les cyberattaques et les violations de données ne sont pas seulement perturbatrices pour les petites entreprises, mais également coûteuses. Ponemon rapporte également qu'en 2019, les PME ont dépensé en moyenne 1,2 million de dollars pour réparer et restaurer leurs actifs et infrastructures informatiques après une attaque, tout en perdant en moyenne 1,9 million de dollars supplémentaires en raison des perturbations de leurs opérations régulières. Selon certaines estimations, environ 60 % des PME font faillite dans les six mois suivant une cyberattaque
.

Le phishing, l'ingénierie sociale et les attaques basées sur le web sont en tête de liste des menaces de cybersécurité ciblant spécifiquement les PME. Ces menaces sont largement facilitées par :

• Les appareils terminaux non surveillés et non sécurisés, en particulier les ordinateurs portables, les appareils mobiles et la technologie IoT dans un environnement de travail « apportez votre propre appareil »
• Mots de passe faibles pour les comptes d'utilisateurs
• Partager des informations avec des tiers sans un inventaire complet des données
• Comportement négligent des employés et des contractuels

Heureusement, vous pouvez atténuer les risques et les vulnérabilités pour votre entreprise en mettant en place un plan de sécurité solide pour l'infrastructure des petites entreprises.

Pour réaliser votre propre plan, commencez par identifier les principales menaces de cybersécurité auxquelles votre entreprise est actuellement confrontée. Ensuite, utilisez cet article pour déterminer les meilleures actions que vous pouvez entreprendre pour renforcer la sécurité du réseau, des données et des points de terminaison de votre entreprise.

1. Établir des politiques de sécurité

Les politiques de sécurité garantissent que tout le personnel de votre entreprise est sur la même longueur d'onde en ce qui concerne la manipulation, l'utilisation et le stockage des données critiques pour l'entreprise. Elles garantissent également que vos spécialistes en informatique suivent des protocoles appropriés et convenus pour protéger les données et atténuer les dommages à l'infrastructure en cas d'attaque cybernétique.

Vos politiques de sécurité doivent émaner du plus haut niveau de votre organisation informatique et être clairement communiquées à chacun de vos employés et prestataires. Une fois diffusées et adoptées avec succès, les politiques de sécurité devraient s'intégrer efficacement aux processus de votre organisation.

Politique de Data Security

Une politique de Data Security Posture Management protège à la fois les données de l'entreprise et celles des clients en garantissant que :

• Seules les données nécessaires sont collectées
• Les informations sensibles sont stockées en toute sécurité et accessibles uniquement aux personnes autorisées
• Les données sont détruites de manière sécurisée lorsqu'elles ne sont plus nécessaires

Il existe également un lien étroit entre votre politique de sécurité des données et la conformité à une politique de data privacy such as GDPR. En essence, la première fournit les moyens de garantir la seconde.

Votre politique de sécurité des données doit également énoncer clairement tous les détails et directives associés à la sécurité du réseau, au contrôle d'accès et à la réponse aux incidents, parmi d'autres préoccupations de sécurité des données.

Politique de mot de passe

Une politique de password policy définit les règles régissant la force de sécurité, l'utilisation et l'application des mots de passe pour les comptes utilisateurs. Cette politique peut inclure des exigences telles que :

• Les mots de passe doivent avoir une longueur minimale et inclure une combinaison de majuscules, de minuscules, de chiffres et de caractères spéciaux
• Les mots de passe ne peuvent pas être réutilisés et doivent être changés à des intervalles réguliers
• Le non-respect de la politique de mot de passe entraînera un refus d'accès au compte et d'autres pénalités imposées par votre service informatique

Politique de Data Classification

Une politique de Netwrix Data Classification constitue la pierre angulaire de la gestion du cycle de vie de l'information de votre entreprise, qui régit la rétention, l'utilisation et la destruction appropriées de vos données.

Tous les actifs de données doivent être inventoriés selon leur niveau de sensibilité, niveau d'accès, exigences de chiffrement ou autre catégorie orientée sécurité. De cette manière, votre Netwrix Data Classification peut fonctionner de concert avec votre politique de sécurité des données pour initier les protocoles d'accès appropriés et les enquêtes en cas de violation en fonction du type de données concerné.

2. Éduquez et formez vos employés

La formation des employés est essentielle pour protéger vos données. Par exemple, même si votre entreprise dispose d'une password policy officielle, cela ne contribuera pas à sécuriser vos informations si vos employés et contractuels ne sont pas entièrement conformes.

Étant donné la conclusion selon laquelle la négligence des employés est à la base de la plupart des violations de données subies par les PME, votre modèle de plan de cybersécurité pour petites entreprises devrait inclure un programme solide pour la formation interne et la sensibilisation à la sécurité. Rendez cette formation obligatoire pour vos employés et vos contractants, et assurez-vous de réviser et de mettre à jour votre matériel de formation annuellement pour rester au courant des derniers risques et menaces potentielles.

3. Surveillez étroitement les activités des utilisateurs dans votre environnement

Pour évaluer et appliquer les meilleures pratiques de sécurité dans votre entreprise, il est également important que vous surveilliez les activités des employés. Cela peut inclure des mesures telles que :

• Suivre des événements tels que la création de comptes et les connexions aux comptes, ce qui vous permet d'identifier des activités suspectes et de vous engager dans la détection proactive des intrusions
• Étendre vos procédures d'audit pour couvrir tous les dépôts de données sensibles dans votre réseau privé, y compris les serveurs de fichiers, SharePoint, les serveurs de bases de données SQL et similaires. Surveiller à la fois les tentatives d'accès et les activités qui se produisent autour des données sensibles
• Si vous utilisez des services cloud, tels que Office 365, la surveillance des connexions à ces services, ainsi que l'activité des utilisateurs sur ceux-ci

4. Aspirez vers Zero Trust

Zero Trust est un cadre de cybersécurité fonctionnant sur le principe que rien ni personne, que ce soit à l'extérieur ou à l'intérieur du réseau privé d'une entreprise, ne peut être considéré comme sûr.

Bien que peu de petites entreprises disposent du budget ou des ressources pour mettre en œuvre l'arsenal complet des techniques et stratégies de Zero Trust, les propriétaires de petites entreprises ont toujours accès à une gamme de meilleures pratiques éprouvées à leur disposition pour minimiser leur surface d'attaque informatique.

Quelle que soit la taille de votre entreprise, vous voudrez mettre en place ces contrôles techniques essentiels

Accès à privilèges minimaux

Adoptez et appliquez un modèle de least-privilege model, dans lequel chaque utilisateur dispose uniquement de l'accès nécessaire aux systèmes et ressources pour remplir ses fonctions.

Renforcez votre supervision et votre contrôle en attribuant des droits d'accès à des groupes d'utilisateurs qui partagent un certain niveau de privilège, plutôt qu'à des comptes individuels. En appliquant rigoureusement le modèle du moindre privilège, vous limiterez la portée d'un piratage dans un compte utilisateur et augmenterez également l'efficacité de vos mesures de contre-attaque.

Examens des droits d'accès

Surveillez de près toute anomalie ou modification de votre structure de permissions. Suivez et désactivez les comptes utilisateurs inactifs en temps opportun pour éliminer les points faibles susceptibles d'attirer les robots d'attaque.

Il est également important de revoir périodiquement votre structure de permissions et de renforcer toutes les vulnérabilités ou incohérences avec la structure actuelle de votre personnel. Surveillez tous les changements apportés aux politiques de mots de passe, aux paramètres de mots de passe et aux paramètres de compte, car un changement non autorisé peut indiquer la présence d'un attaquant.

Mots de passe forts et authentification

Près de la moitié des PME interrogées par Ponemon ont subi une violation de sécurité en raison de mots de passe d'employés faibles.

Les mots de passe faibles peuvent permettre à des acteurs malveillants d'obtenir l'accès et le contrôle de plusieurs comptes grâce à un effet domino d'un seul mot de passe. Cependant, comme discuté précédemment, une politique de mot de passe robuste élimine cette vulnérabilité clé.

Selon les exigences de sécurité de votre bureau et de sécurité internet, vous pourriez vouloir renforcer votre politique de mots de passe avec des politiques de cybersécurité telles que l'authentification multifacteur, qui renforce les mots de passe en exigeant une ou plusieurs formes supplémentaires d'authentification.

N'oubliez pas qu'une politique de mots de passe n'est aussi solide que votre capacité à l'appliquer. Voici quelques bonnes pratiques pour garantir que vos utilisateurs restent conformes aux normes imposées :

• Verrouillez automatiquement les comptes utilisateurs après plusieurs tentatives infructueuses de mot de passe
• Utilisez des group policy objects pour appliquer des politiques de mot de passe pour les domaines Active Directory domains
• Identifiez les comptes sans exigences de mot de passe (ou des mots de passe qui n'expirent jamais) et renforcez ces exigences d'authentification selon votre politique

Sécurité des courriels

La communication par courriel peut facilement devenir une surface d'attaque vulnérable pour les cybercriminels et les logiciels malveillants, car les utilisateurs négligents ou distraits sont souvent trompés en ouvrant des liens dangereux intégrés dans les messages.

La formation des employés sur le hameçonnage et les logiciels malveillants peut aider à renforcer la sécurité des canaux de messagerie de votre petite entreprise. D'autres mesures de protection comprennent le chiffrement des messages, ainsi que des filtres anti-spam et des logiciels antivirus qui filtrent les menaces potentielles avant qu'elles n'atteignent les utilisateurs non avertis.

Sécurité des systèmes et réseaux

Assurez-vous d'équiper vos systèmes informatiques des fonctionnalités de sécurité les plus récentes en installant régulièrement des correctifs et des mises à jour pour les logiciels et le matériel de votre organisation.

Surveillez toujours les modifications et les événements d'accès sur vos systèmes critiques, y compris les systèmes de partage de fichiers et les serveurs de bases de données. Renforcez le périmètre réseau de votre entreprise avec des pare-feu appropriés et configurez votre connexion Wi-Fi interne pour maximiser la sécurité mobile et la protection des points de terminaison. Mettez en place des tunnels VPN sécurisés pour permettre l'accès à distance aux actifs informatiques.

Sauvegarde du système et des données

Conservez des copies de sauvegarde redondantes de vos systèmes critiques et bases de données dans un emplacement sécurisé à l'extérieur de votre infrastructure informatique. Cette pratique vous permet de récupérer rapidement les actifs après une attaque et d'empêcher l'impact de l'incident de se propager à toutes les copies de vos données précieuses.

Par exemple, les sauvegardes externes peuvent aider votre organisation à atténuer les dommages causés par un cas de rançongiciel qui rend votre système inaccessible en chiffrant son contenu.

5. Sécurisez votre infrastructure avec les bons outils

Les solutions pour petites entreprises devraient comporter un portefeuille de technologies et d'outils efficaces axés sur la protection de votre infrastructure informatique contre les cybercriminels. Mettre en place et soutenir des outils de sécurité sophistiqués peut être une tâche nécessitant beaucoup de ressources. Cependant, la mise en œuvre des outils suivants couvrira suffisamment vos bases :

• Pare-feu : Les pare-feu constituent votre première ligne de défense et peuvent être des systèmes autonomes ou être inclus dans d'autres appareils, tels que des routeurs ou des serveurs. Ils sont également disponibles en tant que solutions pour le matériel et le logiciel.
• Logiciel anti-malware avec des fonctionnalités d'antivirus professionnel et d'anti-espion : Ce logiciel analyse, identifie et élimine les malwares, tels que les virus, les vers informatiques, les rançongiciels, les rootkits, les logiciels espions, les enregistreurs de frappe, etc., de vos systèmes et appareils. Il peut être déployé sur des PC, un serveur de passerelle ou sur un appareil réseau dédié.
• Solutions de chiffrement : Les solutions de chiffrement permettent aux utilisateurs de chiffrer des appareils, des e-mails et des données. Elles peuvent être basées sur des logiciels ou des matériels. Chiffrer des appareils garantit que les données stockées sur ces appareils sont protégées en cas de vol, de perte ou d'utilisation incorrecte. Chiffrer des e-mails assure que vos données restent sécurisées même si votre compte de messagerie ou vos informations de connexion tombent entre de mauvaises mains. Il en va de même pour les données ; chiffrer des données aide à garantir leur sécurité au cas où elles seraient accessibles à des acteurs non autorisés (à moins qu'ils aient une clé de déchiffrement).
• Logiciel de sauvegarde et de récupération : Une solution contre tout, depuis la suppression accidentelle de documents importants jusqu'aux attaques de rançongiciels, un logiciel de sauvegarde qui crée une copie de sauvegarde hors site vous aidera à assurer la continuité des activités, ainsi qu'à garantir que vous n'aurez jamais à payer des frais exorbitants aux attaquants.
• Solutions d'audit informatique : Suivre les modifications et les événements d'accès manuellement ou en utilisant les capacités natives de vos systèmes est fastidieux et prend beaucoup de temps, et le temps est une ressource précieuse dont les petites entreprises ne disposent pas suffisamment. Ainsi, il est crucial pour votre sécurité que vous disposiez d'une solution spécialisée qui accorde rapidement une visibilité sur les activités et les événements d'accès, vous maintient alerté sur les modèles de menaces et vous aide à comprendre l'état actuel de votre infrastructure.

Netwrix Auditor offre une plateforme centralisée pour surveiller votre infrastructure informatique à travers une variété de systèmes, y compris Active Directory, Office 365, SharePoint, des serveurs de bases de données et des network devices. Découvrez comment Netwrix Auditor peut vous aider à alléger la charge de suivi des différentes parties de l'infrastructure informatique de votre petite entreprise.