Sécurité des données : comment l'assurer quand les équipes sont dispersées ?

Alors que les chiffres - hors période de crise - sont déjà élevés (80% des entreprises françaises déclaraient avoir été victimes de cyberattaques en 2018), les risques sont multipliés lorsque les équipes sont dispersées, et ce, sans préparation spécifique préalable. « Un accroissement des cyberattaques et des cyberescroqueries liées à la crise du CORONAVIRUS – COVID19 est prévisible » confirme le gouvernement dans un appel au renforcement des mesures de vigilance cybersécurité, publié ce 16 mars.

L’ENISA (European Union Agency for Cybersecurity) affirme avoir déjà remarqué une augmentation des cyber attaques liées au coronavirus. Les entreprises ayant pu mettre en place le télétravail sont en première ligne. Comment protéger les données confidentielles de l’entreprise quand les équipes sont dispersées ? Quelles directives faire passer à ses employé.e.s pour assurer leur cybersécurité, même en dehors du bureau ? Nous avons fait le point avec Olivier Arous, co-fondateur de l’entreprise Ogo Security, spécialiste des questions de cybersécurité.

Quels sont les potentiels impacts d’une ouverture massive du télétravail sur la cybersécurité ?

O.A. : L’ouverture du télétravail - comme en général de la mobilité - développe les communications et les échanges d’informations en dehors de l’entreprise, multiplie les portes d’accès vers l’entreprise, ainsi que vers ses données et ressources. Au sein de l’entreprise, les outils informatiques comme les pare-feux, les outils de surveillances, les anti-virus, sont des remparts aux attaques sans que l’employé ait à s’en soucier. Dès qu’on sort de l’entreprise, il faut s’assurer que l’employé.e ait à la fois les bons réflexes mais aussi les bons outils pour se protéger et pour protéger son entreprise. Avec le télétravail, l’entreprise s’expose à un risque accru de cyber attaque : vol de données sensibles, usurpation d’identité, accès aux services de l’entreprise par une personne malveillante, accès aux informations de l’ordinateur de l’employé par un hacker, jusqu’à la corruption des informations sensibles et vitales pour l’entreprise. C’est encore plus vrai lorsque le basculement en télétravail est soudain. Le télétravail présente indéniablement des avantages pour une entreprise et ses employés, que ce soit de manière habituelle ou bien exceptionnelle comme c’est le cas en ce moment. Toutefois, cette flexibilité entraîne une augmentation des cyber-risques qui doit être appréhendée et anticipée à l’aide d’outils, de règles internes clairement définies et d’une sensibilisation de l’ensemble du personnel afin de garantir un niveau de sécurité maximal.

Les événements bousculant l’actualité sont-ils toujours suivis d’une augmentation de cyberattaques ?

Chaque évènement un peu spécial ou unique est accompagné d’une recrudescence des cyberattaques. Il n’y a pas besoin de remonter loin dans le temps pour le voir : durant les jours qui précèdent la Saint-Valentin, « aubaine économique » pour les pirates, nous constatons une forte croissance des activités de phishing par email (faux services, arnaques, vol et chiffrement de données, etc). En 2019, lors de la Saint-Valentin, la société Kaspersky a bloqué plus de 4 millions de tentatives d’accès à des sites frauduleux. Ce chiffre est en augmentation d’année en année. Dans le cas actuel, c’est la peur de l’épidémie qui devient le vecteur des hackers pour profiter de la situation et mener des pratiques frauduleuses. Email frauduleux du ministère de la santé (avec pièce jointes) ou lien pour télécharger une application vous donnant l’évolution de l’épidémie, faux sites web de vente de masques (arnaque et vol de carte bancaires), email de la DRH ou de la direction informant les employé.e.s de la position de l’entreprise sur le Covid-19…. il faut reconnaitre une certaine créativité aux hackers. Ces attaques vont se poursuivre encore quelques mois avec des emails informant vos employé.e.s, par exemple, de la découverte d’un remède miracle, d’un vaccin, ou les invitant à faire un don pour sauver une petite fille à l’autre bout du monde.

Il est primordial que les entreprises aient une politique de sécurité et qu’elle soit diffusée aux employé.e.s pour être appliquée en télétravail.

Que cherchent les pirates informatiques dans ces contextes-ci ?

Les pirates ont des objectifs divers : espionnage industriel, lucratif, renommée personnelle, etc… Cependant, dans le cadre de notre épidémie, c’est surtout la recherche d’argent qui ressort. La plupart du temps il s’agit de faire payer une rançon à l’entreprise en chiffrant les informations vitales pour celle-ci (ransomware), ou tout simplement d’arnaquer un individu en lui faisant acheter des masques sur un faux site web (et récupérer ainsi ses coordonnées bancaires).

Peut-on vraiment assurer une cybersécurité lorsque les équipes sont dispersées ? Quels sont les points de vigilance ?

Chaque employé.e doit avoir les bons réflexes : lancer son VPN dès qu’on sort de l’entreprise afin de sécuriser sa communication internet, antivirus et logiciels à jour. Ne pas cliquer sur n’importe quel lien dans un email, ne pas cliquer sur les pièces jointes sans avoir validé l’expéditeur, vérifier les informations auprès des sites officiels… Dans le cas de l’usage d’un ordinateur personnel, il est impératif que les données sensibles de l’entreprise soient protégées, surtout si elles sont stockées sur l’ordinateur. Idéalement, il faudrait : une partition du disque chiffrée et réservée au travail pour l’entreprise, un VPN installé et lancé à chaque démarrage, chiffrer ses emails, etc… Maintenant, les outils n’étant pas disponibles pour tous, ma première préconisation serait simplement de conseiller aux équipes de faire preuve de « vigilance et bon sens » : vérifier les expéditeurs, et les destinataires de vos emails ; n’envoyez pas d’informations confidentielles sans un minimum de protection, et n’allez pas vous connecter à un wifi public. Ceux-ci sont très faciles à pirater, et sont surtout la cible idéale des hackers. Il est alors possible de se connecter à l’ordinateur, d’y déposer un logiciel espion, de lire les emails, et de récupérer toutes les informations sensibles comme les comptes bancaires, les mots de passe et toute information sur l’entreprise.

Conseils aux employeur.e.s pour assurer une bonne cybersécurité à leurs salarié.e.s dispersé.e.s :

• Fournir une « feuille de route » claire et mise à jour sur les étapes à suivre en cas de cyberattaques (qui contacter, heures de service, procédure d’urgence…)
• Envisager de restreindre l’accès aux systèmes sensibles lorsque cela est possible.
• Fournir un VPN à tous ses salarié.e.s.
• Envisager la mise en place d’une authentification à deux facteurs (comme pour les paiements en ligne) pour que les salarié.e.s puissent se connecter en toute sécurité.
• Demander à ses salarié.e.s de mettre à jour leur antivirus, éviter les connexions à un wifi public, d’être vigilant.e.s face aux mails « suspects » et de n’ouvrir aucune pièce jointe non habituelle, et quand cela est possible, d’utiliser des ordinateurs différents pour le loisir et le travail.