Alors que l'actualité mondiale bat son plein, on comprend aisément que vous ayez pu perdre de vue le Mois de la sensibilisation à la cybersécurité de l' ,.
Pas de souci, nous sommes là pour vous.
Cette année marque la 20e édition de la campagne menée conjointement par les pouvoirs publics et le secteur privé afin de sensibiliser davantage à la sécurité numérique et d'encourager chacun, des chefs d'entreprise aux simples citoyens, à protéger ses données contre les cybercriminels. L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) s'est vraiment investie cette année en produisant son tout premier message d'intérêt public « » (), destiné à être diffusé à la télévision et en ligne, et mettant en avant quatre aspects de la cybersécurité que la CISA souhaite mettre en avant.
« Les entreprises… ont un rôle à jouer pour assurer la sécurité de notre monde numérique », a expliqué Jen Easterly, directrice de la CISA, dans une vidéo en ligne présentant le lancement de la campagne. « La CISA demande aux entreprises du secteur des technologies et aux développeurs de logiciels de protéger nos entreprises et nos clients particuliers en veillant à ce que leurs produits soient sécurisés dès leur conception. » « De cette manière, la technologie est sécurisée dès sa sortie de l'emballage, et les Américains sont mieux protégés. »
Mais il n'y a pas que les grandes entreprises technologiques qui peuvent faire la différence. Les dirigeants d'entreprise et les responsables de la sécurité, au sein d'organisations de toutes tailles et de tous secteurs d'activité, peuvent renforcer considérablement leurs défenses en se familiarisant avec ces quatre principes fondamentaux de la cybersécurité.
«Les entreprises ont un rôle à jouer pour sécuriser notre monde numérique. »Jen Easterly, directrice de la CISA
Nous vous avons simplifié la tâche. Vous trouverez ci-dessous les quatre thèmes clés du Mois de la sensibilisation à la cybersécurité de cette année, ainsi qu’une remarque de M. Easterly (entre guillemets et en italique) expliquant pourquoi chacun d’entre eux est important, et un lien vers les dernières informations issues de notre couverture de ces sujets au cours de l’année écoulée.
1. Utilisez des mots de passe forts | « C'est-à-dire longs, aléatoires et uniques »
Les mots de passe restent l'un des maillons faibles du réseau informatique de toute entreprise. Le rapport « 2023 Weak Password Report » , publié par Specops, une société de logiciels de gestion des mots de passe basée à Stockholm, a analysé plus de 800 millions de mots de passe compromis – il s’agit donc d’un échantillon d’une taille assez impressionnante – en les évaluant selon cinq normes réglementaires, dont celle du NIST.
La mauvaise nouvelle ? Un nombre stupéfiant de mots de passe compromis – 83 % – répondaient aux exigences de ces normes en matière de longueur et de complexité.
La bonne nouvelle, c’est qu’il s’agissait de quelques faiblesses assez courantes et faciles à corriger, notamment la longueur (88 % des mots de passe piratés lors de cyberattaques comptaient 12 caractères ou moins – veillez donc à ce que le vôtre soit plus long), le style (évitez les minuscules) et le choix des mots : Les termes liés au football, notamment les noms de joueurs préférés tels que Lato, Pelé et Messi, sont extrêmement populaires, et (désolé, fans de la Coupe du monde) les pirates informatiques le savent ; et, oui, « mot de passe » reste l’un des mots de base les plus courants que l’on retrouve dans les mots de passe piratés, alors mettons-en un point final à cette histoire, d’accord ?
[À lire également : Tour d'horizon CTI – votre mot de passe est-il suffisamment sécurisé ?]
2. Activer l'authentification à plusieurs facteurs (MFA) | « Un mot de passe ne suffit pas pour vos comptes les plus importants »
Voici un point essentiel : bien que les mots de passe forts soient importants, les mots de passe à eux seuls (aussi forts soient-ils) ne suffisent pas. C'est pourquoi la CISA encourage également les organisations à investir dans l'authentification multifactorielle (MFA) de type « », qui nécessite un nom d'utilisateur et un mot de passe, ainsi qu'un code ou une clé temporaire envoyée sur l'appareil de l'utilisateur.
Des chiffres alarmants concernant les mots de passe : selon Verizon, les pirates lancent en moyenne 50 millions d'attaques par jour visant les mots de passe – soit 580 par seconde – et environ 60 % des fuites de données sont attribuées à des identifiants compromis.
Et les réinitialisations de mot de passe pèsent lourdement sur le budget : elles constituent l’une des principales raisons pour lesquelles les employés contactent les services d’assistance informatique, coûtant aux entreprises jusqu’à 70 dollars par appel, selon les estimations de Forrester, et plus d’un million de dollars chaque année aux grandes organisations, selon .
« Les entreprises ne vont pas abandonner les mots de passe du jour au lendemain » – d’où la règle n° 1 ci-dessus – « car cela s’avère complexe », a expliqué Frank Dickson, vice-président chargé des programmes au sein du pôle de recherche sur la cybersécurité et la confiance d’IDC, dans un article consacré aux tendances en matière d’authentification sans mot de passe publié sur que nous avons diffusé l’automne dernier. « Mais nombreux sont ceux qui ont emprunté cette voie », a-t-il déclaré.
Grâce à la confiance croissante accordée au modèle de cybersécurité « zero trust » , les entreprises adoptent de plus en plus des approches sans mot de passe, telles que l’authentification multifactorielle (MFA), la biométrie et les outils d’authentification unique (SSO).
Je ne veux pas vous faire un choc, mais il est également vrai que l'authentification multifactorielle (du moins certaines de ses formes) peut être contournée par des pirates informatiques. C'est toujours l'une des méthodes de vérification les plus efficaces qui existent, mais certaines formes plus récentes d'authentification multifactorielle (MFA) sont plus performantes que d'autres. Découvrez ci-dessous notre article publié au printemps dernier, qui examine comment les pirates informatiques tentent de contourner l'authentification multifactorielle (MFA) et présente trois stratégies pour neutraliser ces attaques.
3. Repérer et signaler les tentatives d'hameçonnage | « Réfléchissez avant de cliquer »
« Pour Alex, qui travaillait au service clientèle, ce vendredi avait commencé comme n’importe quel autre. » « Rien d’inhabituel… »
C'est ainsi que commence un récit audio de 18 minutes consacré à une cyberattaque fictive – mais très courante – recourant au phishing et à l' , ainsi qu'à l'intelligence artificielle générative (GenAI). Ce contenu, produit par Dell, est disponible sur son site web , aux côtés d'autres ressources et outils liés au Mois de la sensibilisation à la cybersécurité. (Pour l'écouter, cliquez ici sur « » , puis descendez jusqu'au lien intitulé « Audio story : A Modern Cyber Attack ».) Se déroulant à la manière d’une pièce radiophonique, ce récit met en lumière la manière dont l’IA générative rend les e-mails de hameçonnage de type « » et les SMS – ces messages dangereux envoyés aux employés pour tenter de les inciter à cliquer sur des liens et à divulguer des données sensibles – de plus en plus difficiles à repérer.
Il y a à peine un an encore, les messages de hameçonnage se distinguaient par des formulations maladroites et d'autres fautes de frappe qui trahissaient clairement qu'il s'agissait d'une tentative d'escroquerie. Mais grâce aux chatbots alimentés par l’IA générative, tels que ChatGPT, ces messages semblent de plus en plus authentiques et peuvent même imiter le style de communication d’un supérieur hiérarchique, jusque dans les nuances les plus subtiles, comme les expressions qu’il ou elle utilise fréquemment ou les mots qu’il ou elle a l’habitude d’abréger ou de mal orthographier, trompant ainsi les employés.
Et cela ne s'arrête pas là. Le « voice phishing », également appelé « vishing », qui consiste en des appels téléphoniques de la part d'escrocs, est lui aussi en hausse (avec une augmentation de 625 %, passant de 2021 à 2022, selon un rapport récent).
« L’hameçonnage vocal peut s’avérer plus efficace, car les gens ont tendance à baisser leur garde lorsqu’ils s’entretiennent avec quelqu’un », a expliqué Roger Grimes, évangéliste chez KnowBe4 Defense, dans un article publié l’automne dernier dans la rubrique « Focal Point » . Découvrez ci-dessous le récit de notre rédacteur, qui explique comment il a lui-même été la cible d'une tentative d'escroquerie par « vishing », et comment les dirigeants d'entreprise peuvent au mieux former leurs collaborateurs à la vigilance.
[À lire également : Pour vous protéger contre le « vishing », soyez vigilant]
4. Mettre à jour le logiciel | « Activer les mises à jour automatiques »
Trop souvent, les utilisateurs de technologies considèrent les mises à jour logicielles comme facultatives, comme une simple nouvelle version d'un produit ou d'un outil dotée de quelques nouvelles fonctionnalités superflues. Il convient de rappeler aux employés que les mises à jour logicielles ont également un aspect sécuritaire, puisqu'elles corrigent des failles qui doivent être comblées pour garantir une plus grande sécurité en ligne.
Activer les mises à jour automatiques dans les paramètres de sécurité d'un appareil ou d'une application est un moyen pratique de bénéficier des mises à jour et l'un des moyens les plus simples de renforcer vos cyberdéfenses. (Un conseil à l'attention des responsables : il pourrait être utile d'informer votre personnel de l'organisation d'un webinaire gratuit de la CISA consacré à la mise à jour des logiciels, qui aura lieu mardi 24 octobre, de 12 h à12:30 (heure de l'Est). Pour vous inscrire, cliquez ici sur « » :.)
Pour les dirigeants d'entreprise et les responsables de la sécurité, les avantages de l'automatisation de l' ne s'arrêtent pas là. L'automatisation de tâches clés en matière de sécurité, telles que la gestion des correctifs, la gestion des vulnérabilités et la gestion des incidents , peut apporter d'énormes avantages. Les flux d'informations sur les menaces et les alertes de sécurité peuvent déclencher automatiquement certains scénarios d'intervention en cas d' , en fonction de ce qui est détecté.
Dans la mesure où les organisations peuvent automatiser certains protocoles de sécurité essentiels, « elles peuvent réduire considérablement leur surface d'attaque », a déclaré Kenneth Swick, consultant senior en sécurité chez NCC Group, à la rubrique « Focal Point » du site . L'article ci-dessous met en lumière la manière dont les outils et les processus automatisés peuvent aider les équipes de sécurité, les chasseurs de menaces, ainsi que ceux qui mettent en place des centres d'opérations de sécurité.
[Read also: A security automation playbook for 2023]
TESTEZ VOS COMPÉTENCES EN CYBERSÉCURITÉ !
Répondez à ce questionnaire du Pew Research Center et voyez si vous êtes capable de déterminer quel mot de passe est le plus sûr, ainsi que de définir certains termes techniques (botnet ? rootkit ? (DDoS ?), et découvrir la vérité sur la « navigation privée » (qui n'est pas aussi privée que vous pourriez le croire).
