BIGNON BTS SIO Romain Spécialité SISR

MANUEL DES BONNES PRATIQUES EN

ENTREPRISE

2015-2016

1

Table des matières

Partie 1 : S'informer et prévenir les menaces

I/Pourquoi sécuriser ses données ?.................................... Page 3

II/Les différents types de menaces.................................... Page 41. Psychologiques...................... 2. Physiques............................... 3. Immatérielles.........................

III/ Prévention................................................................... Page 9

Partie 2 : En cas d'incident

Les bons comportements à avoir....................................... Page 15

---------------------------------------------------------------------

Glossaire.................................................................................. Page 16

Crédits Images....................................................................... Page 18

2

Partie 1 : S'informer et prévenir les menaces

I/ Pourquoi sécuriser ses données ?

Nous sommes aujourd'hui dans un monde où l’industrie file à toute allure, rempli de concurrence, de course à l'innovation, et inexorablement d'espionnage industriel, de piratage et de cybercriminalité.C'est pourquoi la sécurité des données est très importante pour l'équilibre d'une entreprise.Les nouvelles technologies, souvent louangées peuvent pourtant se révéler très dangereuses pour celui qui ne saura les exploiter convenablement : imaginez que vos données les plus sensibles, les plus confidentielles soient dérobées, comment réagiriez vous ?Attaques informatiques, vol de matériel, attaques psychologiques, peuvent être la stratégie adoptée par les personnes mal intentionnées pour vous faire du tort.

Ces incidents sont très souvent accompagnés de répercussions à tous les étages d'une entreprise : perte de la sécurité, pertes économiques mais surtout la perte de la confiance de la clientèle.C'est pourquoi il est essentiel de sécuriser de la bonne façon ses données, parfois de la façon la plus simple qu'il soit afin d'éviter des erreurs humaines qui pourraient amener à la chute de l'entreprise.

Ce manuel se résume en une et simple phrase :

Pour contrer des menaces, il faut d'abord les connaître.

3

II/ Les différentes types de menaces

1. Psychologiques

2. Physiques

3. Immatérielles

4

1. Psychologique

« On est jamais mieux servi que par soi même. » C'est la plupart du temps vrai mais l'humain à des points faibles que des personnes malveillantes peuvent facilement exploiter.

C'est le cas du pirate dit « psychologique ». Il va se faire passer pour un responsable de l'entreprise via un appel téléphonique et va prendre contact avec un employé pour lui demander des informations personnelles tels que son identifiant et son mot de passe par exemple. Cela à cause d'un problème urgent nécessitant ces informations.Ce problème est bien entendu faux et a pour but de vous faire « lâcher » des informations confidentielles qui pourrait fortement vous nuire et nuire à l'entreprise.

Autre cas de menace, le « phishing », autrement appelé « hameçonnage ».Un employé va recevoir un mail provenant soi-disant de son supérieur hiérarchique (ou d'un membre de l'entreprise) lui demandant de saisir ou de vérifier ses identifiants et mot de passe ( un peu à la manière du pirate psychologique ) via le lien envoyé. Ce lien mènera à un site internet très similaire au véritable site de l'entreprise, seule différence, les informations saisies parviendront aux malfaiteurs et auront donc toutes les informations des salariés.Ces techniques sont quasiment identiques, l'une « forcera » le salarié par appel vocal tant dis que l'autre sera sur un site internet.

Dans les deux cas, il ne faut surtout pas répondre car personne ne vous demandera un jour de donner vos informations personnelles par mail ou par un appel téléphonique.

5

Si vous êtes face à une de ces attaques, contactez le plus rapidement possible

votre responsable ou une personne référent de vive voix.

2. Physiques

Il peut aussi exister des attaques physiques sur la machine que vous utilisez.

De nos jours, de nombreux virus et attaques se transmettent par périphériques externes comme les clé USB ou les disques dur externe.Ceux-ci peuvent contenir des virus et des logiciels malveillants mais aussi des programmes capables de « tuer physiquement » la machine.Les CD ou DVD-ROM peuvent aussi contenir des programmes malveillants, bien que moins utilisés de nos jours.

Pour exemple, l'USB Killer est une clé USB déchargeant une telle forte intensité de courant que la machine va s’arrêter définitivement.

C'est pourquoi il ne faut se servir que de matériel de confiance dont on connaît la contenance.

6

Si vous ne connaissez pas le contenu d'un périphérique externe,

ne l'ouvrez pas.

3.Immatérielles

Les attaques les plus connues du grand public sont néanmoins les virus.Il existe tout de même bien plus de subtilités dans le monde des attaques en entreprise, là où peuvent circuler des données confidentielles.Il existe en effet 3 grands « types » d'attaques : Les Virus, les Vers et les Cheval de Troie.

Les Virus sont des programmes qui vont se répandent en modifiant tous les autres programmes du système afin de provoquer un manque de mémoire système et la mort de l'appareil.Il en existe plusieurs sortes comme les virus de scripting, les macro virus ou encore les virus de boot.

Les Vers ( appelés « Worms » ) sont des programmes similaires aux virus à la seule différence qu'ils ne sont pas reliés à un programme existant.Leurs buts :

-Espionner votre ordinateur-Ouvrir des « portes » de sécurité-Causer des dégâts importants sur les données de la station de travail

Le cheval de Troie (« Trojan Horse »)

est un programme plus « passe partout » grâce à son nom qui ne fait pas penser au premier abord à une menace. Le rôle du cheval de Troie est de faire entrer un programme nocif sur l'ordinateur et de l'y installer. Il n'est donc pas un « virus » à lui tout seul comme la plupart des gens ont tendance à penser.

7

Point Histoire :Pour les plus néophytes, il s'agit en fait exactement du même

procédé que celui qu' Ulysse à mené contre les Troyens : Amener un piège dans quelque chose dont ne peut plus normal, d'où ce nom.

Les espiologiciels, dis « logiciels espion » sont des logiciels malveillants s'installant sur l'ordinateur afin de collecter et de transférer des informations à l'insu de la personne contaminée.

8

III/ Prévention

Plusieurs points sont essentiels afin de contrecarrer les attaques informatiques.En voici la liste :

Mot De Passe

Chaque utilisateur de Station de Travail doit s'assurer de trouver un mot de passe fort, c'est à dire en respectant des contraintes comme par exemple : Inclure

-Des Majuscules-Des Minuscules-Des Caractères Spéciaux-Des Chiffres

Un mot de passe doit contenir au minimum 8 caractères, quels qu'ils soient.

En mélangeant toutes les contraintes, on va obtenir un mot de passe quasiment inviolable et donc une sécurité en ce qui concerne l’accès au poste.

9

La Station de travail doit être impérativement verrouillée à chaque absence à l'aide de la combinaison de touches « ctrl+alt+suppr »

Bring Your On Device

Littéralement « apportez vos appareils personnels », cette pratique est relativement courante mais elle peut s'avérer très dangereuse.En effet, celle-ci a pour but d'apporter ses propres équipements sur son lieu de travail : ordinateur portable, clé USB, disque dur externe.Comme dis précédemment, ce procédé peut s’avérer très dangereux dans le cas où certains programmes malveillants seraient installés sur le périphérique.

Faire des Mises A Jour des logiciels régulières

Un logiciel non mis à jour peut contenir des failles de sécurité en raison de son non suivi des nouvelles techniques de piratage ou de son obsolescence.Afin de n'en pas oublier, il est possible de mettre en place une automatisation des mises à jour.Néanmoins, si cette automatisation n'est pas disponible, l'humain devra intervenir afin de les faire manuellement.

10

Quels que soient les mises à jour où les logiciels téléchargés, assurez-vous de bien être sur le SITE OFFICIEL de

l'éditeur du logiciel

Les Antivirus

Les Antivirus sont essentiels au bon fonctionnement des machines car ils permettent d'assurer une sécurité continu de l'appareil.En effet, ces logiciels sont conçus pour détecter puis éliminer les logiciels malveillants présent sur la machine.Néanmoins, certains sont plus complets que d'autre, avec une plus large protection comme par exemple la protection contre les périphériques USB, fonctionnalité encore peu répandue malgré les attaques.

Il est plus qu'important de maintenir ses antivirus à jour sans quoi les nouveaux virus ne seront pas détectes par le logiciel.

11

Les Pare-Feu (Fire Wall)

Dès qu'une connexion internet est établie, le pare-feu( autrement appelé FireWall ) rentre en action. Il va en effet pouvoir sécuriser les données du réseau auquel il est affecté en filtrant les « mauvaises connexion ». Par ailleurs, il peut aussi contrôler les sites rencontrés afin que l'utilisateur ne soit pas exposé à une menace potentielle.

Sécuriser InternetÊtre protéger sur le web est certes important mais dans une entreprise, son usage est bien souvent très restreint : consultation des mails, du site de l'entreprise et de ceux de ses collaborateurs...C'est pourquoi la mise en place d'un service intranet est plus que recommandable afin d'éviter à avoir à gérer des situations que les Antivirus et les Pare Feu ne pourraient prendre en compte.

Voici un schéma très simplifié d'un intranet. Il garantie la sécurité du réseau d'entreprise.

12

Gérer ses mails

Les mails sont une des clés du piratage informatique, souvent lié à la non méfiance des utilisateurs. Ils peuvent pourtant s'avérer très dangereux. Devant une telle masse de courriels, difficile de faire la part de vrai et de faux. N'ouvrez pas les pièces jointes si elles vous ont inconnues et lancez une analyse antivirus du mail si possible afin de vérifier sa non dangerosité.Filtrer les SPAM peut aussi être profitable afin d'éviter une surcharge de courriels.

13

Vérifiez toujours la cohérence entre l’expéditeur, l'objet du mail, les pièces jointes et vérifiez si nécessaire l'identité de l'expéditeur AVANT

d'ouvrir le mail.

Effectuez des sauvegardes régulières

Si un problème critique venait à avoir lieu, perdre toutes les données saisies et travaillées serait catastrophique. C'est pourquoi il faut effectuer des sauvegardes régulières du système ( hebdomadaire ou même quotidienne) afin d'anticiper un éventuel problème.Néanmoins, il existe 2 types de sauvegarde, les sauvegarde « physiques », sur disque dur externe ou DVD par exemple, ou sur le Cloud.

Avant d’effectuer ses sauvegardes, il faut bien prendre connaissances des conditions dans lesquels vont être exposés vos données dans le Cloud, univers infini mais potentiellement dangereux à qui ne sait pas l'utiliser.

Le cryptage des données

Suivant les données contenues dans les fichiers des utilisateurs, il peut être astucieux de les crypter.Plusieurs logiciels en sont capables et permettent ainsi un couverture de plus à mettre sur les données, parfois secret défense.

14

Partie 2 : En cas d'incident

Les bons comportements à avoir

Si vous subissez une attaque informatique

15

Ne paniquez pas

Déconnectez votre machine du réseau ( surtout pas du secteur )

Prévenez vos collègues et votre hiérarchie de vive voix

Faites une sauvegarde physique du disque dur si possible

Prévenez les autorités en charge de la sécurité informatique

Glossaire

• Antivirus : Logiciel conçu pour identifier, neutraliser et effacer des logiciels malveillants

• BYOD : Abréviation de Bring Your On Device, « apportez vos appareils personnels » en français.

• Cheval De Troie : Programme invasif contenant un logiciel nocif au système.

• Cryptage : Procédé par lequel l'employé va crypet les données sensibles de son travail via un logiciel.

• Ctrl+alt+suppr : Combinaison de touches clavier permettant de verrouiller sa session et de lancer le gestionnaire de tâches.

• Espiologiciel : Autrement appelé « Spyware » ou « logiciel espion », il a pour but, comme son nom l'indique d'espionner les moindres faits et gestes de l'utilisateur.

• Fire wall : « Pare Feu » en français. Logiciel permettant de protéger les données au sein d'un réseau informatique en filtrant et contrôlant les « aller et venues » des demandes.

• Intranet : Réseau informatique exclusivement utilisé pour une entreprise ou autre organisation afin de disposer d'un accès Internet sécurisé ayant peu de contact extérieur.

• Phishing : « Hameçonnage » en français. Technique consistant à faire croire à un employé qu'il est sur un site sécurisé en lui soutirant des informations à son insu.

• SPAM : Courriels envoyés en masse sur une boite mail.

16

• USB Killer : Exemple d'attaque physique sur la machine en déchargeant une intense quantité d'énergie.

• Ver : Infecte les programmes de la machines dits « exécutables ». Contamine et se reproduit dans toute la machine.

• Virus : Programme nécessitant son activation pour se dupliquer et se reproduire à l'infini. Il en existe 3 catégories :

◦ Scripting : Infecte les pages WEB.

◦ Boot : Infecte les disques dur, clés USB...

◦ Macrovirus : Infecte les documents.

17

Crédits Images

www.overblog.comwww.futura-sciences.com

www.thefusejoplin.comwww.wikimedia.org

www.marketing-professionnel.frwww.hubspot.net

www.habrastorage.orgwww.meilleur-antivirus.org

www.teknyka.com

18