Pourquoi une sensibilisation ?
La sécurité de l’information est l’affaire de tous. Dans un monde de plus en plus connecté, la protection du patrimoine informationnel de l’entreprise devient un enjeu majeur. Qu’elles soient internes ou externes, il existe de nombreuses solutions techniques et organisationnelles mais la majorité des défaillances de sécurité reste humaine. C’est pourquoi mettre en place un plan de sensibilisation auprès des utilisateurs s’avère efficace dans la diminution du risque.
L’objectif d’une démarche de sensibilisation consiste à développer une culture de sécurité de l’information auprès de tous ses collaborateurs, mais aussi de faire connaitre et d’adopter les bons comportements dans l’entreprise.
PIDAXY peut vous accompagner dans la mise en place d’une politique de sécurité de l’information et de sensibilisation et vous partage quelques risques pouvant être rapidement identifiés dans votre entreprise et des solutions de premier niveau à mettre en place.
Si vous souhaitez nous rencontrez pour échanger sur ses sujets :
Qu'est ce que la sécurité de l'information ?
La sécurité de l’information se caractérise par la protection de la confidentialité, de l’intégrité et de la disponibilité de l’information. Il s’agit d’un processus visant à protéger des données, c’est à dire être dans une situation où nous ne sommes pas exposés.
L’information manipulée dans une entreprise est toujours sensible car elle est un élément clé pour elle, mais aussi pour ses clients. Elle peut être caractérisée de trois manières :
- Les informations commerciales qui représentent une vulnérabilité en termes économiques (propositions commerciale, tarifs, rentabilité…)
Les informations techniques qui représentent une vulnérabilité en terme de savoir faire
Métier, secret de fabrication, savoir des équipes…
Les informations personnelles qui nous concernent directement mais également celles de nos clients
Données nominatives des collaborateurs de l’entreprise
Données clients ainsi que toutes les parties prenantes
Connaitre les risques
Les vulnérabilités peuvent être regroupées en trois types :
- Physiques : fragilité de l’information sensible sous forme physique simple (exemple : support papier, badge…) lors des phases d’élaboration, de conservation, d’expédition, d’archivage ou de destruction.
- Informatiques, numériques : fragilité de l’information sensible sous forme numérisée lors des phases d’élaboration, de conservation, d’expédition, d’archivage ou de destruction.
- Humaines : fragilité de l’information sensible du fait de l’intervention humaine : malveillance, contrainte, imprudence, négligence.
Pour chacun de ces types, voici quelques exemples que vous pourrez peut être identifier au sein de votre entreprise.
- Physiques : le feu, l’inondation, les intempéries, les pannes d’énergie, la pollution ou les dangers liés à des causes externes.
- Informatiques, numériques : les pannes de systèmes centraux, les pannes de réseau et de communication, les bogues applicatifs, les logiciels « malins » (virus, cheval de Troie, racket numérique…), la corruption ou la perte de données (accidentelle ou délibérée, attention à l’usage des supports amovibles type clé USB), le déni de service (rendre un service délibérément inactif en utilisant des moyens techniques, soumis à la loi Godfrain (code pénal)…).
- Humaines : les vulnérabilités humaines sont le premier vecteur de compromission :
- La malveillance : vol de PC ou de médias externes contenant des informations sensibles.
- La contrainte : la détection d’éventuelle contrainte est très présente dans les enquêtes préliminaires aux ‘’habilitations Défense’’.
- L’imprudence : ne pas prévoir les conséquences des actes ou ne pas prendre les dispositions nécessaires pour éviter ces conséquences. ‘’Non intentionnelle’’ donc involontaire en droit français mais engage la responsabilité de son auteur.
- La négligence : l’attitude de faire les choses avec moins de soin et d’intérêt que normalement attendu.
Solutions à mettre en place et bonnes pratiques à connaitre
Vous l’aurez compris, la sécurité de l’information au sein de votre entreprise peut être impactée selon plusieurs facteurs. Le facteur humain étant le plus souvent concerné, il existe des plans de sensibilisation qui peuvent être mis en place afin d’inculquer les bonnes pratiques pour diminuer et maitriser au mieux ce risque.
PIDAXY propose une solution s’appuyant sur 3 axes
- Sensibilité : importance du sujet pour le collaborateur et prise de conscience des enjeux ;
- Connaissances : apprentissage des notions et des comportements attendus ;
- Comportements : adoption des comportements attendus.
et vous dévoile quelques solutions simples pouvant d’ores et déjà être mise en place au sein de votre entreprise.
Exemple sur la sécurité physique des locaux :
- Mise en place d’un badge avec photo.
- Les visiteurs doivent être accompagnés lors de leurs déplacements dans les locaux.
- Les livraisons sont gérées et contrôlées par l’accueil du site.
- L’accès à certaines salles peut être réglementé par badge ou code.
Exemple sur la sécurité des équipements informatiques :
- Les PC portables doivent être attachés.
- Lors d’un voyage privé, il est recommandé de ne pas emporter votre PC portable professionnel.
- Lors d’un voyage professionnel, veillez à ne pas transporter de données sensibles ou les chiffrer à l’aide d’outils (Bitlocker…).
- Ne branchez pas de périphériques dont vous n’êtes pas sûr, sur vos serveurs ou PC.
Exemple sur la sécurité des accès aux équipements informatiques :
- Bloquez votre poste de travail dès que vous vous en éloignez => Windows+L.
- Ne désactivez pas, ne bloquez pas et ne modifiez pas les sécurités installées par votre informaticien.
- Durcissez votre mot de passe ! et changez le régulièrement (manuellement ou via un système automatique).
- Personnellement j’utilise le logiciel Dashlane et je vous le conseille fortement (voici un lien de parrainage pour bénéficier de 6 mois offert cliquez ici
Ne partagez pas les comptes utilisateur et les mots de passe.
Exemple sur la sécurité liée aux logiciels et licences :
- N’installez aucun logiciel externe sur votre ordinateur professionnel sans en avoir vérifié la légalité et l’innocuité et bien sûr avoir reçu l’autorisation de votre informaticien.
Protégez votre propriété intellectuelle.
Exemple sur la sécurité dans vos communications :
- Dans les lieux publics, les moyens de transports ou les ascenseurs, on se doit de respecter les engagements de confidentialité de l’entreprise.
Ne stockez pas et ne publiez pas d’informations professionnelles sur les réseaux sociaux et dans le « Cloud ».
Exemple sur la sécurité dans l'utilisation des services de messagerie :
Les services d’email sont des outils de travail
N’ouvrez jamais une pièce jointe dont vous ne connaissez pas la provenance et dont vous n’êtes pas sûr de son innocuité.
L’usage privé doit être réglementé par une Charte Informatique.
Si vous avez accès à vos messages professionnels via smartphone ou tablette, pensez à sécuriser ces matériels par mot de passe ou en effaçant toutes les données en cas d’échec répété.
Thibaut TROUFA
Expert SI & Digital
Consultant Associé – PIDAXY
Retrouvez moi sur Linkedin pour échanger :
Nous restons disponible pour échanger sur ce sujet et vous proposer d’autres solutions plus personnalisées.