Cette année marque le 20e anniversaire du Mois de la sensibilisation à la cybersécurité. En reconnaissance de cette désignation fédérale, nous examinons de plus près les recommandations en matière de cybersécurité de l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) et nous y ajoutons quelques-unes de nos propres recommandations.
Que peuvent faire les organisations pour mieux protéger ce qu'elles possèdent ?
Recommandations de la CISA
Le mois de la sensibilisation à la cybersécurité vise à faire prendre conscience de l'importance de la cybersécurité dans les secteurs public et privé. Cette année, la CISA a annoncé un nouveau programme, Secure Our World, axé sur les mesures proactives que chacun peut prendre au quotidien pour se protéger des cybermenaces. Vous pouvez consulter l'aperçu du programme de la CISA ici.
Outre les recommandations destinées aux particuliers, la CISA a communiqué les mesures de base que les entreprises peuvent prendre pour se protéger contre les menaces en ligne. Ces mesures devraient vous sembler familières. Si vous en avez oublié quelques-unes, ou si cela fait une minute que vous n'avez pas réfléchi à la manière dont ces mesures sont appliquées, c'est le bon moment pour y revenir.
1. Apprendre aux employés à éviter le phishing
Bien qu'il s'agisse de l'une des plus anciennes méthodes de piratage, l'hameçonnage n'a pas disparu pour une raison bien précise : il continue de fonctionner. C'est pourquoi il est essentiel d'informer les employés sur ce qu'est le phishing et sur les moyens de l'éviter. La CISA recommande aux entreprises de former leurs employés à la détection des signes fondamentaux du phishing, de mettre l'accent sur les risques d'une attaque réussie et de réitérer souvent ce message. Pour faire bonne mesure, les organisations peuvent également renforcer la formation des employés par des campagnes de test de phishing.
Consultez le blog de la CISA sur les conseils pour éviter le phishing.
2. Exiger des mots de passe forts
C'est vrai, nous parlons encore de la nécessité d'utiliser des mots de passe forts en 2023. Mais comme pour le phishing, c'est pour une bonne raison. Les pirates continuent de réussir lorsque des mots de passe faibles sont le seul obstacle à l'accès au système. Les mots de passe exigés par votre organisation répondent-ils aux normes de la CISA ? Selon la CISA, les mots de passe doivent être :
- Au moins 16 caractères ou plus
- Aléatoire (lettres mélangées, symboles et chiffres)
- Unique ; utilisé pour un seul compte
Les gestionnaires de mots de passe devraient également être utilisés pour stocker et protéger les mots de passe, en particulier lorsque plusieurs employés ont besoin d'accéder au même mot de passe pour un outil partagé. Les gestionnaires de mots de passe permettent de partager en toute sécurité les informations relatives aux mots de passe au sein de l'organisation. L'époque des feuilles de calcul partagées intitulées "Mots de passe" est révolue.
3. Appliquer l'authentification multifactorielle
Des mots de passe forts sont importants, mais la CISA recommande aux organisations d'utiliser également l'authentification multifactorielle (MFA) pour vérifier l'identité de l'utilisateur. Les outils d'AFM envoient généralement des alertes push ou des messages texte avec des codes uniques que les employés doivent ensuite valider avant de pouvoir se connecter. La CISA conseille d'utiliser l'AMF dans l'ensemble de l'organisation aussi largement que possible, en mettant l'accent sur les systèmes qui sont des cibles fréquentes d'attaques, comme le courrier électronique, le stockage de fichiers et les réseaux privés virtuels (VPN). Les organisations peuvent aller plus loin en se protégeant avec l'AMF résistante au phishing, qui implique l'utilisation d'une clé de sécurité externe pour prouver l'identité. Pour en savoir plus sur le MFA résistant à l'hameçonnage, cliquez ici.
4. Mise à jour du logiciel d'entreprise
La mise à jour des logiciels d'entreprise est une autre pratique d'hygiène de sécurité de base qui peut être négligée lorsque les employés ne reçoivent pas une formation adéquate et que les équipes de sécurité ne font pas de suivi. Les équipes devraient activer les mises à jour automatiques dans la mesure du possible et sensibiliser régulièrement les employés à l'importance des mises à jour logicielles, en particulier s'ils travaillent à distance.
La CISA recommande également aux entreprises de dresser un inventaire du matériel et des logiciels autorisés afin d'identifier et de supprimer tout actif non pris en charge et non autorisé. Ce qui nous amène à quelques conseils...
Autres considérations à prendre en compte
5. Savoir ce que l'on possède
On ne peut pas protéger ce que l'on ne voit pas ! Les équipes de sécurité qui n'ont pas de visibilité sur l'ensemble de leur surface d'attaque sont désavantagées par rapport aux acteurs de la menace. Les études montrent que près de 7 entreprises sur 10 ont subi au moins une attaque sur des actifs inconnus ou non gérés. Les solutions de gestion de la surface d'attaque externe peuvent fournir la visibilité automatisée et continue de l'ensemble de la surface d'attaque (y compris les actifs inconnus) dont les équipes ont besoin pour surveiller et gérer avec succès ce qu'elles possèdent.
6. Rappelez-vous : les "bonnes données" ne sont pas suffisantes
L'efficacité de vos outils de sécurité dépend de l'intelligence Internet qui les alimente. De nombreuses équipes de sécurité négligent les risques et les menaces parce qu'elles s'appuient sur des flux de données disparates et imprécis qui leur font perdre un temps précieux en raison de la mauvaise qualité des données et des faux positifs. Si votre équipe de sécurité passe souvent du temps à passer au crible les faux positifs ou n'a pas une vision complète de son paysage de menaces, demandez-vous si votre intelligence Internet est vraiment supérieure.
L'intelligence internet supérieure est :
1.) Complète (c'est-à-dire que les données sont basées sur une analyse multi-perspective avec une couverture mondiale)
2.) Précision (les faux positifs et négatifs sont réduits au minimum)
3.) Contextualisées (les données sont étiquetées et faciles à filtrer)
Consultez cet article de blog pour en savoir plus sur la manière d'évaluer vos données.
Pour en savoir plus sur le Mois de la sensibilisation à la cybersécurité, consultez le site de la CISA.
Vous souhaitez savoir comment Censys peut vous aider à soutenir votre stratégie de cybersécurité ? Contactez nous !
Connectons-nous
