La prise de conscience comme fondement
Chez Tanium, la connaissance est au cœur de notre action : avoir une vision globale de votre réseau et de ce qui s'y passe constitue la première étape pour élaborer une stratégie de sécurité informatique adaptée au contexte actuel des menaces. On pourrait dire que la sensibilisation est le premier élément d’une bonne hygiène informatique : une fois que vous savez ce qui se trouve sur votre réseau, vous pouvez commencer à vous assurer que tous les terminaux sont configurés conformément aux meilleures pratiques du secteur, à recenser le nombre de versions logicielles autorisées et non autorisées installées, ainsi qu’à déterminer qui dispose d’un accès administratif à quoi.
Pourtant, la sensibilisation revêt de nombreuses facettes dans le domaine de la cybersécurité, et c'est en abordant les concepts à l'interface entre la technologie, l'information et les personnes que nous sommes les plus efficaces. La sécurité d'un réseau dépend de son maillon le plus faible — et la plupart du temps, ce maillon n'est pas un logiciel, mais une personne. C'est pourquoi nous sommes ravis d'être l'un des ambassadeurs officiels du Mois national de la sensibilisation à la cybersécurité.
Contexte du phishing
Alors que les tentatives d'hameçonnage de type « » ne cessent d'augmenter — de 250 % entre octobre 2015 et mars 2016 —, certaines des méthodes les plus efficaces pour renforcer votre sécurité sont également les plus élémentaires. L'Alliance nationale pour la cybersécurité (National Cyber Security Alliance) met en avant quelques-unes de ces mesures à l'intention des employés : sécurisez vos identifiants de connexion à l'aide des outils d'authentification les plus performants, faites preuve de prudence lorsque vous cliquez sur des liens ou ouvrez des e-mails, vérifiez vos paramètres de sécurité sur vos comptes de réseaux sociaux et veillez à ce que tous vos appareils connectés à Internet soient à jour. Cela peut sembler évident, mais bien souvent, ce sont précisément ces petites erreurs qui mettent en danger l'ensemble des données d'une entreprise. Le rapport DBIR de Verizon a révélé cette année que seulement 3 % des personnes ciblées par une tentative d'hameçonnage au sein d'une entreprise en informent la direction. Notre collègue André McGregor a écrit à ce sujet en début d'année, affirmant que « les dirigeants devraient veiller à ce que des budgets et des ressources adéquats soient alloués à la formation de sensibilisation à la cybersécurité pour l'ensemble des employés » — et pas seulement pour les « techniciens ».
Dans le même temps, de nombreux PDG et membres de conseils d'administration sont encore en train de s'adapter au risque considérable que représentent les cyberattaques. Yahoo n'est que la dernière d'une longue série de grandes entreprises à avoir été victimes d'une violation de données, exposant ainsi les informations personnelles de millions de clients. Au début de cette année, nous nous sommes associés au NASDAQ afin de faire la lumière sur la compréhension de la cybersécurité par les dirigeants d’entreprise. Les résultats se sont révélés alarmants : 91 % des membres des conseils d’administration des entreprises les plus vulnérables ne savent pas comment interpréter un rapport sur la cybersécurité, et seuls 50 % d’entre eux ont suivi une formation en matière de cybersécurité. La cybersécurité commence au plus haut niveau : les PDG et les membres du conseil d'administration doivent assumer la responsabilité d'instaurer une culture de la responsabilité au sein de l'ensemble de leur organisation.
Les responsables gouvernementaux au Congrès et au sein de l'administration doivent également continuer à favoriser la collaboration avec le secteur privé, tout en reconnaissant que la réglementation n'est pas toujours la solution. Heureusement, au cours des dernières années, le gouvernement a pris des mesures positives dans ce sens : élaboration du cadre de cybersécurité du NIST ( ) et du cadre de cybersécurité du NIST, adoption de la loi sur le partage d'informations en matière de cybersécurité (Cybersecurity Information Sharing Act), mise en œuvre du plan d'action national pour la cybersécurité et nomination du premier responsable fédéral de la sécurité de l'information. Cependant, comme l'indiquent les récents rapports du Government Accountability Office ( ) , il est possible d'aller plus loin, notamment en ce qui concerne les agences fédérales, qui doivent améliorer leur connaissance de leurs propres actifs et de leurs vulnérabilités.
Conclusion
Même si la cybersécurité fait désormais quotidiennement la une des médias, il s'agit toujours d'un domaine dans lequel une meilleure sensibilisation — ainsi qu'une véritable compréhension de ce qui fonctionne et de ce qui ne fonctionne pas — peut faire une grande différence. C'est précisément pour cette raison que nous attendons avec impatience le mois à venir : il nous offre à tous l'occasion d'approfondir nos connaissances et de mieux nous sensibiliser à ce sujet, ce qui nous permettra à tous d'être mieux protégés. And for those who want to delve deep into cybersecurity best practices, consider attending Tanium’s CONVERGE conference on October 24-27, where you can network with your peers and learn from Tanium technical experts through hands-on sessions.
À propos de l'auteur : Erik Kristiansen est directeur principal du marketing produit chez Tanium. Erik est chargé de la mise sur le marché de nouveaux produits ainsi que de nombreux aspects liés à la stratégie de commercialisation et à sa mise en œuvre. Avant de rejoindre Tanium, Erik a travaillé chez IBM, où il a occupé divers postes dans les domaines de la gestion de produits, du marketing, du développement commercial et de la stratégie. Avant de rejoindre IBM, Erik a travaillé comme développeur de logiciels et consultant en informatique. Erik est titulaire d'un MBA de l'université de Caroline du Nord.
