Qu'est-ce que la cyber-hygiène et pourquoi est-elle importante ?

La cyber-hygiène désigne un ensemble de pratiques courantes visant à garantir la gestion sécurisée des données critiques et à assurer la sécurité des réseaux. C'est comme l'hygiène personnelle : on met en place une routine composée de petites actions bien précises pour prévenir ou atténuer les problèmes de santé. Les pratiques de cyber-hygiène comprennent l'inventaire de tous les terminaux connectés à un réseau, la gestion des vulnérabilités et l'application des correctifs aux logiciels et applications.

Face à la multiplication des cyberattaques à l'échelle mondiale — qui perturbent les activités des entreprises et des administrations publiques, et entraînent souvent le versement de rançons colossales ainsi qu'une atteinte à la réputation des entreprises —, l'hygiène informatique est devenue un levier essentiel pour renforcer la résilience opérationnelle.

Considérez les perturbations causées par la pandémie de COVID-19, qui a ouvert la voie à des pirates informatiques par le biais d’ , d’hameçonnage par e-mail, d’attaques visant la chaîne d’approvisionnement, ainsi que d’attaques par mot de passe et par logiciel malveillant qui ont pris pour cible les appareils de millions de télétravailleurs. Dès le premier semestre de l'année 2021, les attaques mondiales par ransomware ont touché 304,7 millions de, dépassant ainsi le total de l'année dernière, qui s'élevait à 304,6 millions.

Évaluez votre niveau de risque informatique

En réponse, la Maison Blanche a exhorté les dirigeants gouvernementaux et les chefs d'entreprise d' à se protéger en mettant en œuvre les bonnes pratiques fondamentales en matière de cyberhygiène, soulignant qu'il leur incombe, à titre de responsabilité essentielle, de se prémunir contre les menaces en renforçant la résilience de notre nation face aux cyberattaques. En effet, l'hygiène informatique constitue l'un des moyens les plus sûrs d'améliorer le niveau global de sécurité de toute organisation et de se prémunir contre les menaces actuelles et futures.

Pourquoi la cyber-hygiène est-elle importante ?

La cyber-hygiène contribue à empêcher les cybercriminels de s'introduire dans le réseau d'une organisation — ou, à tout le moins, augmente le coût d'opportunité de cette intrusion, rendant la tâche si difficile que le criminel finit par abandonner et part à la recherche d'une autre victime. Il est vrai que bon nombre des attaques actuelles sont de plus en plus sophistiquées : elles s'appuient sur l'ingénierie sociale pour amener une victime à divulguer des informations sensibles, ciblent les « baleines » (cadres supérieurs) ou déploient des logiciels malveillants au sein d'une chaîne d'approvisionnement, susceptibles d'infecter ensuite des centaines d'autres personnes.

En réalité, la plupart des attaques réussies résultent de négligences courantes : ne pas savoir quels terminaux se connectent à votre réseau, ne pas surveiller et déployer de manière cohérente et rapide les mises à jour de correctifs , ne pas définir les configurations de sécurité appropriées , et ne pas identifier et résoudre rapidement les failles de sécurité avant qu’elles ne puissent nuire aux opérations essentielles de l’entreprise. Les cyberattaquants tirent parti de ces erreurs.

On ne peut pas en vouloir aux responsables informatiques, aux administrateurs et aux ingénieurs en sécurité qui font preuve de complaisance ou qui manquent d'informations. Ces défaillances sont plutôt le résultat de la complexité et du dynamisme des environnements informatiques modernes.

Un réseau d'entreprise type comprend un ensemble d'ordinateurs, de serveurs, de bases de données, de machines virtuelles, d'appareils mobiles, de systèmes d'exploitation, d'applications et d'outils, chacun d'entre eux constituant un vecteur d'attaque potentiel. Si ces éléments ne font pas l'objet d'une maintenance régulière et adéquate, cela peut entraîner la perte ou l'égarement de données, des logiciels non mis à jour, des droits d'accès obsolètes et d'autres problèmes. C'est ainsi qu'un environnement devient de plus en plus vulnérable au fil du temps et vous expose à de multiples risques.

La cyber-hygiène contribue à réduire ces vulnérabilités en identifiant les risques et en mettant en place des mécanismes et des stratégies visant à les atténuer ou à y remédier. En adoptant de bonnes pratiques de cybersécurité, les organisations renforcent leur niveau de sécurité et peuvent se défendre plus efficacement contre des violations aux conséquences dévastatrices.

Comment évaluez-vous votre cyber-hygiène ?

L'hygiène informatique est évaluée à l'aide d'une solution de surveillance des performances qui analyse votre environnement informatique afin de recenser vos différents actifs et d'identifier les vulnérabilités. Les résultats sont présentés sous la forme d'un tableau de bord qui évalue l'état de santé de votre parc informatique. Les vulnérabilités se voient attribuer un niveau de gravité « critique », « élevé », « moyen » ou « faible » selon le système commun de notation des vulnérabilités (CVSS), une norme industrielle ouverte permettant d'évaluer les vulnérabilités de sécurité d'un système informatique.

Ces vulnérabilités peuvent être classées en fonction de la criticité des actifs, ce qui vous permet d'identifier celles qui auront l'impact le plus important sur votre activité. Par exemple, une faille de sécurité non corrigée sur l'ordinateur portable du PDG mériterait une attention plus immédiate que celle qui se trouverait sur celui d'un stagiaire.

«La cyberhygiène permet d’éviter les intrusions dans un réseau — ou les rend si difficiles que le cybercriminel finit par abandonner et part à la recherche d’autres victimes. »

Les évaluations de l'hygiène informatique permettent de surmonter deux des principaux obstacles à une sécurité efficace : une visibilité insuffisante sur l'environnement informatique et des ressources insuffisantes pour faire face aux incidents.

L'évaluation des risques met en évidence les vulnérabilités les plus critiques et les classe par ordre de priorité. Cela permet aux équipes informatiques de consacrer leurs ressources à la résolution des failles de sécurité les plus critiques en priorité, avant de s'attaquer aux problèmes moins urgents.

Les évaluations de la cyberhygiène vous fournissent une feuille de route pour améliorer votre cyberhygiène et mieux gérer et protéger votre environnement informatique. Réalisées de manière continue, les évaluations de l'hygiène informatique vous aident à comprendre votre niveau d'exposition actuel en matière de sécurité et à déterminer si celui-ci s'améliore ou s'aggrave.

Quels sont les avantages de la cyber-hygiène ?

Une bonne hygiène informatique présente plusieurs avantages qui, au final, permettent à votre organisation d'être mieux armée pour se défendre contre les cyberattaques. Plus précisément, cela vous aide à :

Identifiez les actifs non gérés : Vous ne pouvez pas protéger ce que vous ne voyez pas. C'est pourquoi un inventaire précis de tous vos actifs constitue la base d'une cybersécurité solide. De bonnes pratiques de cyberhygiène vous permettent de tenir à jour un inventaire de vos actifs , d'identifier les vulnérabilités associées à chaque actif et de combler rapidement les failles de sécurité.
Protéger les données des clients : L'hygiène informatique s'appuie sur toute une série de pratiques de sécurité éprouvées, telles que la gestion des correctifs, le respect des règles en matière de mots de passe, l'attribution de droits d'administrateur adaptés et d'autres mesures visant à renforcer la protection des données.
Identifier les droits d'administrateur obsolètes : Il est facile de perdre la trace des droits d'administrateur lorsque des collaborateurs changent de poste ou de service, ou quittent l'entreprise. Cependant, les droits d'administration de haut niveau représentent un risque de sécurité important ; il est donc essentiel de vérifier régulièrement qui dispose de ces droits et à quelle fréquence ils sont utilisés. Les droits d'accès obsolètes ou tombés dans l'oubli depuis longtemps doivent être immédiatement mis à jour ou révoqués.
Identifier les logiciels non autorisés : Le télétravail a conduit de nombreux employés à installer des logiciels non autorisés sur les appareils et terminaux qu’ils utilisent pour se connecter à votre réseau. C'est un problème. Il y a de fortes chances que ce logiciel n'ait pas été correctement configuré, corrigé, mis à jour ou sécurisé, ce qui en fait une cible de choix pour les pirates. La « cyber-hygiène » permet aux administrateurs informatiques d'avoir une vue d'ensemble de tous les logiciels installés et utilisés sur leur réseau, afin de pouvoir les gérer ou les supprimer.
Respectez les exigences de conformité : En identifiant et en hiérarchisant les risques de sécurité, et en donnant aux équipes informatiques les moyens d’y remédier rapidement, la « cyber-hygiène » facilite le suivi et le reporting de l’état de sécurité de votre organisation et garantit qu’elle reste toujours conforme aux exigences réglementaires et de conformité.

Quels sont les risques liés à une mauvaise hygiène informatique ?

Les conséquences d'une mauvaise hygiène informatique peuvent se répercuter en cascade sur l'ensemble de votre environnement informatique, entraînant de multiples failles de sécurité et des vecteurs d'attaque potentiels. En voici quelques-uns :

Perte de données : Si les disques durs locaux et les espaces de stockage en ligne ne font pas l'objet de sauvegardes et d'une maintenance régulières, des données importantes peuvent être perdues à la suite d'une panne matérielle, d'une corruption des données, d'une mauvaise manipulation, d'une attaque par ransomware ou d'un vol. Ce dernier point a un coût particulièrement élevé : selon le dernier rapport de l'Institut Ponemon intitulé « : Cost of a Data Breach » ( : le coût d'une fuite de données), pour l'année 2020, le coût moyen global d'une attaque par ransomware s'élève à 4,44 millions de dollars. Et cela, avant même les piratages de grande ampleur dont ont été victimes SolarWinds, Colonial Pipeline et de nombreuses autres entreprises.
Données égarées : Les données qui ne sont pas organisées selon un système de fichiers approprié risquent d'être égarées, et ce problème s'aggrave de manière exponentielle à mesure que l'organisation se développe.
Vulnérabilités logicielles : Une mauvaise gestion des correctifs et l'utilisation de logiciels anciens ou obsolètes constituent une cause fréquente de violations de sécurité au sein des organisations de toutes tailles. Les éditeurs de logiciels publient régulièrement des correctifs et des mises à jour afin de corriger les failles de sécurité connues de leurs produits ; toutefois, si une organisation ne dispose pas d’un processus permettant de les appliquer en temps opportun, les pirates informatiques peuvent potentiellement exploiter ces applications pour accéder au réseau.
Logiciels malveillants : Plus de 350 000 nouveaux programmes malveillants sont recensés chaque jour. Si les antivirus et autres logiciels de sécurité ne sont pas régulièrement mis à jour pour s'adapter à ce contexte en constante évolution, les pirates informatiques peuvent utiliser toute une gamme de logiciels malveillants pour s'introduire dans le réseau de l'entreprise et mener des attaques plus ciblées.
Gestion insuffisante des risques liés aux fournisseurs : Dans les environnements informatiques hybrides actuels, il ne suffit pas de se concentrer uniquement sur votre propre niveau de sécurité. Vous devez tenir compte des risques potentiels en matière de sécurité que représentent les fournisseurs et prestataires de services tiers qui ont accès à votre réseau et traitent vos données sensibles. Si vous ne parvenez pas à comprendre et à gérer le niveau de risque que représentent vos fournisseurs, vous risquez d'être davantage exposé à des interruptions de service et à des violations de sécurité.
Manque de conformité : Les problèmes découlant d'une mauvaise hygiène informatique peuvent s'aggraver, entraînant des lacunes dans votre conformité aux normes PCI, DSS, HIPAA ou à d'autres cadres réglementaires.
Faille de sécurité : La conséquence la plus grave d'une mauvaise hygiène informatique est une cyberattaque réussie. Une gestion inadéquate des configurations, une gestion insuffisante des vulnérabilités, ainsi que des politiques de sécurité et des procédures de réponse aux menaces insuffisantes peuvent exposer votre organisation au vol de données, à des perturbations de l'activité et au paiement de rançons extrêmement coûteuses. Au final, cela peut entraîner des coûts financiers considérables, une atteinte à la réputation et une perte de fidélité de la clientèle.

Quelles sont les meilleures pratiques en matière d'hygiène informatique ?

Afin de protéger et d'entretenir vos systèmes et appareils informatiques, il est important de mettre en œuvre les meilleures pratiques en matière de cyberhygiène. La liste suivante n'est pas exhaustive, mais elle constitue une base solide sur laquelle s'appuyer.

Tenir à jour un inventaire des actifs informatiques : Lorsqu'un cybercriminel parvient à s'introduire dans votre réseau, il recherche les actifs les plus précieux de votre organisation, tout comme un cambrioleur recherche de l'argent liquide et des bijoux dans une maison. Il est donc essentiel de tenir à jour un inventaire de vos actifs sur afin de connaître la valeur de ce que vous possédez et de savoir ainsi ce qu’il convient de protéger. Pour la plupart des organisations, tout ce qui est considéré comme « essentiel à l'activité » est susceptible d'être considéré comme un actif. Selon l'entreprise, il peut s'agir notamment de données financières de l'entreprise, de données clients et d'informations relatives aux paiements, de brevets et de droits d'auteur, ainsi que de code source propriétaire. Identifiez et classez tous les actifs dont dispose votre organisation, qu'ils se trouvent sur site ou dans le cloud, précisez où ils sont stockés et qui y a accès.
Utilisez des mots de passe complexes : Les mots de passe complexes , changés régulièrement, constituent une première ligne de défense solide contre toute une série de menaces de sécurité. Les mots de passe des utilisateurs ordinaires doivent comporter au moins 10 caractères (lettres majuscules et minuscules, chiffres et caractères spéciaux), tandis que les mots de passe administratifs doivent comporter au moins 15 caractères et faire l'objet d'une vérification par rapport aux dictionnaires existants de mots de passe couramment utilisés. L'authentification multifactorielle, qui exige que l'utilisateur s'identifie à l'aide d'un deuxième moyen de vérification, tel qu'une empreinte digitale ou un code numérique, apporte un niveau de sécurité supplémentaire.
Mettez régulièrement à jour vos logiciels : Une mauvaise gestion des correctifs revient en effet à laisser la porte grande ouverte aux cybercriminels. Les correctifs du système d'exploitation et des applications doivent être installés régulièrement et sans délai afin de limiter le risque d'intrusion de logiciels malveillants dans votre réseau. Un système de gestion des correctifs performant constitue l'un des meilleurs moyens de défense contre les fuites de données et autres incidents de sécurité.
Contrôle des privilèges d'administrateur : Les privilèges d'administrateur de haut niveau constituant l'un des principaux risques de sécurité au sein de toute organisation, il est important de n'accorder l'accès de niveau administrateur aux programmes et aux systèmes qu'aux personnes qui en ont réellement besoin. Les utilisateurs standard devraient disposer de droits plus limités. Ils ne devraient pas être autorisés à installer des applications sur leurs ordinateurs ou leurs appareils mobiles sans l'autorisation de l'administrateur, par exemple.
Sauvegardez régulièrement vos données : Les procédures de sauvegarde doivent être effectuées selon un calendrier régulier et vérifiées afin de s'assurer de leur intégrité. Il est également important de tester régulièrement le processus de restauration afin de s'assurer qu'il fonctionne correctement.
Gérer les systèmes en fin de vie : Les systèmes en fin de vie désignent le matériel informatique et les logiciels qui ne bénéficient plus de correctifs de sécurité ni de mises à jour de la part de leurs fabricants ou développeurs. Celles-ci présentent un risque important pour l'organisation et doivent être immédiatement retirées de la circulation.
Mettre en place un plan d'intervention en cas d'incident : Les entreprises de toutes tailles devraient disposer d'un plan d'intervention en cas d'incident afin d'atténuer les dommages et de réduire au minimum les temps d'arrêt liés à une attaque. Un pirate peut compromettre un système et commencer à se déplacer latéralement au sein d'un réseau en quelques heures seulement ; il est donc essentiel de mettre en place un protocole d'intervention rapide permettant de réduire le temps de présence du pirate et de limiter au maximum l'exfiltration de données. Les équipes doivent tester l'efficacité du plan en réagissant périodiquement à des simulations d'incidents de violation de données et en évaluant dans quelle mesure elles atteignent leurs objectifs d'intervention avec efficacité et rapidité.

Quels sont les exemples de bonnes pratiques en matière de cybersécurité ?

Un exemple courant de bonnes pratiques en matière de cybersécurité consiste à faire preuve de vigilance lorsque vous envoyez ou recevez des e-mails. En raison de son utilisation généralisée dans toutes les organisations, le courrier électronique est devenu un moyen très prisé par les cybercriminels pour diffuser des logiciels malveillants auprès d'utilisateurs peu méfiants. Une tactique courante consiste à se faire passer pour une personne ou une entreprise que le destinataire connaît et à l'inciter à cliquer sur un lien malveillant qui lui permettra de dérober ses identifiants ou de télécharger un logiciel malveillant sur son ordinateur.

«Réalisées de manière continue, les évaluations de l’hygiène informatique vous aident à comprendre votre niveau d’exposition actuel et à déterminer s’il s’améliore ou s’il empire. »

Une organisation qui applique les bonnes pratiques en matière de cybersécurité analyserait tous les e-mails entrants à la recherche de virus et exigerait une authentification à deux facteurs pour chaque connexion, de sorte que tout identifiant volé serait inutilisable par le pirate. Elle aurait également sensibilisé l'ensemble de ses employés à la nécessité de se méfier des e-mails suspects contenant des liens et des pièces jointes, en leur apprenant à ne pas cliquer dessus et à signaler ces e-mails à un administrateur informatique.

La création de mots de passe pour les utilisateurs constitue une autre occasion de mettre en pratique les bonnes pratiques en matière de cybersécurité. Plutôt que d’utiliser un élément facile à deviner, comme la date de naissance d’un enfant, un employé créerait un mot de passe « sûr » en veillant à ce qu’il comporte entre 10 et 15 caractères, qu’il combine des lettres, des chiffres et des caractères spéciaux, et qu’il ne contienne pas le nom d’une personne, d’un personnage de fiction, d’un produit, ni un mot figurant dans un dictionnaire ou susceptible d’apparaître sur ses réseaux sociaux (comme « Yankees » ou « »).

En quoi la cyberhygiène des entreprises diffère-t-elle de celle des particuliers ?

L'hygiène informatique individuelle ou personnelle vise à protéger un particulier contre les menaces de sécurité, tandis que l'hygiène informatique d'entreprise permet de réduire les risques pour une organisation. Certaines pratiques sont communes aux deux, telles que l'utilisation de mots de passe complexes, l'exécution d'un logiciel antivirus, la vigilance lors de la réponse aux e-mails et la sauvegarde des données. La cyberhygiène d'entreprise, en revanche, s'applique à une échelle bien plus vaste et couvre un éventail plus large de préoccupations commerciales, telles que la sécurisation de l'infrastructure informatique, le respect des exigences réglementaires et la gestion des risques liés aux fournisseurs.

Malgré ces différences, l'objectif de la cyberhygiène, tant au niveau personnel que professionnel, est de protéger les systèmes informatiques et l'intégrité des données.

Comment élaborer une bonne politique de cyberhygiène ?

Chaque organisation dispose d'environnements informatiques et de besoins métier qui lui sont propres, mais une politique de base en matière de cyberhygiène devrait définir les responsabilités spécifiques de l'organisation et de chacun de ses collaborateurs. Au niveau organisationnel, des procédures standardisées doivent être mises en place pour régir des domaines tels que l'inventaire et la gestion des actifs informatiques, la sécurité physique et celle du réseau, la gestion des menaces et des vulnérabilités, la conformité réglementaire, la réponse aux incidents et la sensibilisation des utilisateurs.

L'organisation, quant à elle, doit veiller à ce que ses collaborateurs comprennent et respectent les bonnes pratiques en matière de cyberhygiène qu'elle a définies. Cela implique d'élaborer et de diffuser des politiques concernant les mises à jour logicielles, les sauvegardes de données, la sécurité des mots de passe, l'utilisation sécurisée du réseau et le traitement des données sensibles. Il est également important que l'organisation propose des formations et des actions de sensibilisation au hameçonnage afin de réduire le risque lié aux menaces d'ingénierie sociale.

À quoi ressemble une liste de contrôle idéale en matière d'hygiène informatique ?

Une liste de contrôle idéale en matière de cyberhygiène s'appuie sur les bonnes pratiques décrites précédemment et comprend les tâches suivantes :

Établir et tenir à jour un inventaire de l'ensemble du matériel et des logiciels présents sur le réseau de l'organisation.
Identifiez vos données « les plus précieuses », déterminez où elles se trouvent et qui y a accès.
Définissez et appliquez des règles strictes en matière de mots de passe.
Limitez les privilèges de niveau administratif aux personnes qui en ont besoin.
Réglementer la manière dont les utilisateurs finaux installent des logiciels, soit en limitant leur accès aux seuls programmes fiables, soit en exigeant l'accord du service informatique pour toute installation.
Veillez à maintenir à jour les systèmes d'exploitation et les logiciels, et appliquez les correctifs sans tarder.
Mettez en place un processus permettant d'effectuer, de vérifier et de tester régulièrement les sauvegardes de données. Conservez plusieurs copies et effectuez des sauvegardes à la fois sur site et dans le cloud.
Assurez le suivi des systèmes en fin de vie et mettez-les hors service.
Élaborez un plan de gestion des risques liés aux fournisseurs décrivant les comportements convenus, les droits d'accès et les niveaux de service.
Sensibilisez les collaborateurs aux bonnes pratiques en matière de cybersécurité, notamment la gestion des mots de passe, la vigilance vis-à-vis des e-mails et l'utilisation sécurisée du réseau de l'entreprise.

Quels sont les défis liés à la mise en œuvre d'une bonne hygiène informatique ?

L'un des principaux défis liés à la mise en œuvre d'une bonne hygiène informatique consiste tout simplement à savoir ce que vous devez protéger. Les environnements hybrides dynamiques d'aujourd'hui offrent souvent une visibilité limitée, et vous ne pouvez pas protéger ce dont vous n'avez pas connaissance.

Il est impératif de savoir quels équipements et logiciels composent votre réseau et où ils se trouvent, ainsi que l'emplacement de vos données les plus importantes et qui y a accès. Une évaluation de la cyberhygiène peut vous aider à cartographier chaque recoin de votre réseau et à identifier ses vulnérabilités les plus critiques afin que vous puissiez y remédier.

Un autre défi majeur consiste tout simplement à maintenir une bonne hygiène informatique sur le long terme. Les cyberattaques constituent une constante pour de nombreuses organisations ; il ne suffit donc plus de procéder à des analyses du réseau de temps à autre. La surveillance des performances doit être continue afin de détecter et de remédier aux menaces, ce qui nécessite des ressources dont de nombreuses entreprises ne disposent pas. Les solutions d'évaluation de la cyberhygiène permettent toutefois de surveiller en permanence les vulnérabilités présentes dans votre environnement, ce qui vous permet de connaître en temps réel votre niveau d'exposition aux risques de sécurité.

Quelles sont aujourd'hui les principales priorités en matière de mise en œuvre de l'hygiène informatique ?

Face à la recrudescence des attaques par ransomware, qui touchent tous les secteurs d'activité, la priorité absolue en matière de cyberhygiène consiste aujourd'hui à réduire les risques qu'une organisation soit victime de ce type d'attaque. En moyenne, une attaque par ransomware entraîne 23 jours d'indisponibilité, et on estime que les ransomwares coûteront aux entreprises 20 milliards de dollars en 2021. Une bonne hygiène informatique peut contribuer à renforcer la résilience de votre organisation face aux attaques par rançongiciel, à améliorer votre visibilité et votre maîtrise de votre environnement, et à accélérer la réponse aux incidents.

Plus de ressources

Ransomware 101: What Is It and How Do I Prevent an Attack?

Qu'est-ce que l'identification et l'inventaire des actifs ?

Qu'est-ce que la gestion de la confidentialité des données ?

Qu'est-ce que la surveillance des performances ?

La prolifération des outils menace la sécurité post-pandémique

Qu'est-ce que la gestion des configurations de sécurité ?