L’importance de la maîtrise des enjeux de sécurité informatique dans le contexte de l’épidémie

L’épidémie du COVID-19, qualifiée de pandémie par l’OMS, a amené le gouvernement a prendre plusieurs mesures de réglementation des déplacements impactant de manière conséquente les activités des entreprises. Afin de maintenir leurs activités, un certain nombre d’organisations ont rapidement déployé des systèmes de travail à distance, et ce, sans qu’un niveau suffisant de sécurité ne soit nécessairement garanti. Il s’agit là d’une aubaine pour les cybercriminels qui profitent de l’impréparation des salariés et des entreprises.

Le télétravail est une forme d’organisation du travail défini par l’Agence National de la Sécurité des Systèmes d’Information (ANSSI) comme « toute forme d’utilisation des technologies de l’information permettant à un utilisateur d’accéder au Système d’Information de son entité d’appartenance ou d’emploi, depuis des lieux distants, ces lieux n’étant pas maîtrisés par l’entité ». Cette absence de maîtrise par l’entreprise est créatrice de véritables cyber-risques (perte ou vol de données, accès illégitime, risque d’atteinte à la confidentialité ou à l’intégrité des données…).

Dans ce contexte, comment prévenir et limiter les risques en matière de cybersécurité du côté utilisateur ?

Penser à rappeler les précautions de sécurité issues de votre charte informatique et de votre politique de sécurité des systèmes d’information

Les risques peuvent tout d’abord être prévenus en constituant une documentation juridique et technique interne et propre à l’entreprise. La charte informatique de l’entreprise doit intégrer les règles d’usage en matière de télétravail et des notes internes détaillant les bonnes pratiques informatiques peuvent être rédigées et largement diffusées aux salariés. Dans l’idéal, cette charte informatique est opposable aux salariés et les manquements à celle-ci sont synonymes de mesures disciplinaires.

Eviter de recourir au « Bring Your Own Device » (BYOD) dans la mesure du possible

La rapidité avec laquelle les entreprises ont dû s’adapter à ce nouveau contexte les ont amenées à déployer des systèmes de travail à distance en s’appuyant sur le matériel personnel des salariés. Néanmoins, la mise à disposition par l’employeur de matériel professionnel permet de regagner en maîtrise sur le niveau de sécurité des équipements et doit par conséquent rester une solution privilégiée. Il faut donc ainsi limiter au maximum le recours à l’utilisation du matériel personnel des salariés en mettant à leur disposition le matériel informatique approprié.

Sensibiliser et alerter les salariés sur les risques

Dans le cas où le personnel salarié travaille avec son matériel personnel, il est important que celui-ci redouble de vigilance et soit sensibilisé aux différents pièges et pratiques malveillantes des pirates informatiques. L’entreprise doit dans ce cas, communiquer clairement des directives d’utilisation du matériel et de sécurisation de leur matériel personnel. 

Les salariés utilisant le télétravail peuvent notamment être sensibilisés à  :

• Ne pas laisser des tiers accéder a leur matériel informatique ;
• Séparer l’utilisation professionnelle de l’utilisation personnelle ;
• Appliquer les mesures de sécurité de l’entreprise ;
• Ne pas connecter de périphérique de stockage externe (clé usb, disque externe…) ;
• Ne pas se connecter sur des réseaux WIFI publics et sécuriser sa connexion WIFI ;
• Ne pas télécharger d’applications gratuites ;
• Se rendre uniquement sur des sites officiels ;

Effectuer les mises à jour et utiliser un anti-virus. Comment prévenir et limiter les risques en matière de cybersécurité du côté administrateur ?

Penser à la continuité de votre service de sécurité des systèmes d’information

Le Responsable de la Sécurité des Systèmes d’information (RSSI) et ses équipes occupent une place centrale dans la prévention, la détection et le traitement des failles de sécurité et des violations de données. Le blocage des noms de domaines frauduleux peut à ce titre être une solution de prévention. En effet, depuis janvier, plus de 16 000 noms de domaine liés au coronavirus ont été enregistrés, dont une grande partie ont été suspectés d’être malveillants ou douteux.

De même, malgré cette situation de crise, l’ANSSI et le Centre Gouvernemental de Veille, d’Alerte et de Réponses aux Attaques informatiques (CERT-FR) continuent de publier des alertes de sécurité, sur les menaces et incidents, les avis de sécurité, les indicateurs de compromission.

Par ailleurs, si certains départements de la Commission Nationale de l’informatique et des Libertés (CNIL) sont suspendus comme les permanences juridiques, les formulaires et services en ligne restent disponibles. Les notifications de violation de données à caractère personnel sont toujours à notifier auprès de l’autorité de contrôle compétente en cette période, et tout retard injustifié pourrait être sanctionné. Il est néanmoins primordial de rappeler que l’analyse juridique d’une telle violation sur les droits et libertés reste indispensable dans ce cadre afin de prendre la décision (ou non) de notifier une telle faille de sécurité.

Sauvegarder la réputation digitale de votre entreprise et conserver les preuves des infractions

Certaines attaques, telles que les attaques par déni de service, peuvent s’avérer critiques pour la réputation et l’image des entreprises. Si la meilleure solution pour faire face à ce type de situation reste évidemment la prévention, la détection informatique des comportements malveillants peut contribuer à instruire des requêtes juridiques. Des recours devant les juridictions sont possibles, tels que par le biais des infractions constituant des atteintes aux systèmes de traitement automatisé de données qui sont réprimés pénalement.

S’assurer en amont de la validité à titre de preuve des traces numériques laissées par les pirates informatiques est ainsi essentiel pour entrevoir une possible indemnisation.