Protéger son SI permet d'éviter les conséquences ravageuses d'une cyberattaque. Pour cela il faut utiliser une règle générale : utiliser une défense en profondeur.

La défense en profondeur est un terme emprunter à une technique militaire destinée à retarder l'ennemi. La défense en profondeur des SI fonctionne sur le même principe qu'une forteresse, c'est a dire en multipliant et juxtaposant les mécanismes de protection pour éviter que l'ennemi pénètre dans l'enceinte. Elle consiste a exploiter plusieurs techniques de sécurité afin de réduire les risque lorsqu'un composant en particulier est compromis ou défaillant.

L principe de défense en profondeur revient donc à sécuriser chaque sous-ensemble du SI. Ainsi chaque composant d'une infrastructure ou d'un SI et sécurisé de manière indépendante sans reposer sur la sécurité de celui avec lequel il interagit. Chaque composant effectue lui-même toutes les validations nécessaires pour garantir sa sécurité.

Plusieurs facteurs peuvent influencer les systèmes de défenses mis en place dans l'entreprise:

1. L'évolution technologique : la découverte de nouvelles techniques ou encore l'ampleur des attaques on un impact sur les systèmes de défense mis en place. En matière de sécurité informatique, il existera toujours de nouvelles formes d'attaques puisque le cyberespace évolue vite et il est souvent difficile d'anticiper toutes les menaces.
2. Le renseignement : Tout comme les actions militaires, la veille technologiques sur les nouveaux produits, les attaques ou les menaces va permettre d'anticiper les malveillances en confirmant ou infirmant les hypothèses et ainsi éviter l'effet de surprise.
3. interaction entre les mesures de sécurité : organisationnelles, techniques ou humaines. Chaque composant doit être sécurisé mais il est important de souligner que cette sécurité doit également être considérée dans un ensemble cohérent permettant de faire face aux menaces.

Pour résumer, pour qu'il y ait une défense en profondeur, il faut au minimum plusieurs lignes de défenses indépendantes dans le sens ou chacune est capable de se défendre seule contre des attaques.

Ensuite il est nécessaire que ces lignes de défense coopèrent entre elles. En effet, aucune solution n'est totalement fiable.

C'est pourquoi il est nécessaire de prévenir via sensibilisant les utilisateurs par exemple, puis de bloquer les menaces via des anti-virus ou des pare-feu et le cas échéant, de réparer ou de pouvoir remettre en état le poste infecté par des virus ou autres malveillances qui n'auraient pas été détectées.

Il est important de noter qu'en matière de sécurité dans le domaine des SI comme ailleurs, le plus dangereux est bien souvent de se reposer (consciemment ou non) sur une fausse assurance. Une démarche saine consiste à gérer l'incertitude, a maintenir une inquiétude raisonnée et entretenir une véritable vigilance.

Faire reposer la sécurité sur une seule personne est une erreur appréciation souvent rencontrée.

De même il est illusoire de penser qu'utiliser un logiciel de sécurité (Antivirus, pare-feu, logiciel de chiffrement) est le remède universel contre les attaques.

Afin de se protéger contre la plupart des attaques informatiques, il est nécessaire de respecter plusieurs règles. Pour cela, l'ANSSI à édité un guide pour aider les entreprises et les particuliers à élever leur niveau de sécurité.

Même si certaines règles énoncées s'appliquent plutôt aux responsables de systèmes informatiques d'entreprise, selon le principe de la défense en profondeur, la majorité des règles s'appliquent à tout un chacun, autant à titre personnel, qu'au sein d'une entreprise.

Ces grands principes permettront de comprendre les contraintes de sécurité qui nous sont imposées par exemple sur le choix du mot de passe. Gardons en tête que la sécurité est l'affaire de tous.

Ces règles, non exhaustives, permettent de limiter grandement les risques liés aux scénarios d'attaques présentés dans cette unité.

Nous l’avons vu en introduction de ce module, protéger le cyberespace permet d’éviter les conséquences ravageuses d’une cyberattaque.

Pour cela, il faut respecter une règle générale : utiliser une défense en profondeur sans jamais perdre de vue que la cybersécurité est l’affaire de tous.

De même, penser qu’utiliser un logiciel de sécurité (anti-virus, pare-feu, logiciel de chiffrement, etc.) est le remède universel contre les attaquants est illusoire car les outils seuls ne suffisent pas.

Pour mieux comprendre comment sécuriser son SI, nous vous proposons d'étudier les 12 règles éditées par l’ANSSI et présentées aux entreprises.

Ces règles vous permettront de comprendre certaines contraintes imposées par les personnes responsables de l'informatique dans votre entreprise.

Bien entendu, elles peuvent souvent être adaptées et avoir un intérêt pour vos équipements personnels à la maison.

La première règle de ce guide et de loin la plus évidente consiste à choisir ses mots de passe avec soin.

L’exemple présenté dans le guide illustre bien le risque pour l’utilisateur dans ses activités personnelles et par extension pour son entreprise, s’il utilise un mot de passe faible.

En effet, la majorité des tentatives de cyberattaques parvient à compromettre un système à cause d’un mot de passe trop faible, voire jamais changé.

Ainsi, il est courant de retrouver des mots de passe par défaut sur les objets qui se connectent à Internet comme « 0000 » ou « admin ».

Les attaquants n’ont alors qu’à tester ces possibilités pour parvenir à leurs fins.

De plus, notez qu’il est nécessaire d’avoir un mot de passe différent pour chaque usage avec une robustesse différente selon la criticité du service et sans lien avec le service utilisé.

En effet, votre mot de passe de messagerie ou votre code de connexion à votre banque doit avoir une robustesse supérieure à celle de votre de mot de passe de compte de réseaux sociaux par exemple.

Pour définir un mot de passe de qualité, définir une formule connue de vous seul, c’est-à-dire un mot de passe difficile à retrouver à l’aide d’outils automatisés et à deviner par une tierce personne. Pour le construire, utilisez par exemple une phrase de passe (plusieurs mots juxtaposés sans sémantique) composée de 12 caractères dont au moins 1 majuscule, 1 minuscule, 1 chiffre, 1 caractère spécial.

Bien sûr, il faut éviter que cette phrase soit évidente.

Pour conserver vos différents mots de passe, il existe des coffres-forts de mots de passe.

Enfin, notons que le mot de passe de l’ordinateur permet d’accéder aux données qu’il contient. ,Il est donc important de le protéger et de ne pas le communiquer.

N’écrivez aucun mot de passe sur des documents, ne les sauvegardez pas sur votre navigateur et ne les affichez pas sur des post-it!

Un mot de passe trivial sur une messagerie peut exposer l'utilisateur à de nombreux désagréments si un pirate le devine:

• Récupération des informations personnelles;
• Usurpation d'identité;
• Porter atteinte à l'image ou à la réputation;
• Essayer de piéger mes contacts à leur tour.

Le mot de passe de votre messagerie est l’élément de sécurité très important. Il permet notamment d’accéder à vos contacts et à toutes vos correspondances.

La deuxième règle consiste à mettre à jour régulièrement son matériel et ses logiciels (système d’exploitation, navigateur, base virale de l'antivirus, pare-feu personnel, etc.).

Les éditeurs de vos logiciels mettent des correctifs à votre disposition pour vous protéger davantage.

Ne pas faire les mises à jour revient, en revanche, à vous exposer davantage comme vous pouvez le voir sur la situation présentée.

En effet, les mises à jour de logiciels n’apportent pas uniquement des nouvelles fonctionnalités puisqu’elles permettent souvent de corriger des failles de sécurité découvertes depuis la dernière mise à jour.

De nombreuses attaques tentent d’utiliser les failles d’un ordinateur (failles du système d’exploitation ou des logiciels). Ainsi, si un attaquant arrive à déceler la version d’un logiciel couramment utilisé et que ce logiciel n’est pas à jour, alors l’attaquant connaîtra exactement le chemin à prendre et les vulnérabilités à utiliser pour compromettre votre système.

C’est pourquoi il est fondamental de mettre à jour tous ses logiciels afin de corriger ces failles.

Ces mises à jour doivent concerner l’ensemble des objets numériques connectés : ordinateur, télévision, smartphone, etc.

La troisième règle de ce guide explique qu’il est nécessaire de bien connaître/reconnaître ses utilisateurs et ses prestataires.

En effet, comme nous pouvons le constater sur l’exemple, des liens piégés peuvent vous attirer sur des pages web infectées.

Pour éviter l’infection de votre poste, vous devez être vigilant avant d’accéder à une adresse internet (URL), d’installer un logiciel ou d’accéder à toute autre ressource disponible sur un support externe (clé USB, disque dur).

Pour éviter de répandre une contamination, il est judicieux de définir deux rôles : administrateur et utilisateur.

Le compte administrateur permet de configurer son poste, installer des logiciels, modifier des paramètres de sécurité ou encore accéder à des fichiers systèmes.

Le compte utilisateur quant à lui, permet d’exploiter des fonctionnalités et logiciels de l’ordinateur (préalablement installés par l’administrateur), d’envoyer des messages et d’accéder à internet.

Pour des raisons de sécurité, il est important de ne pas utiliser le compte administrateur pour naviguer sur internet afin de limiter les impacts du virus.

Le virus n’aura alors pas les pouvoirs nécessaires pour installer et supprimer d’autres logiciels.

Rappelez-vous d’être vigilant avec les prestataires externes qui demandent des droits sur vos machines.

En effet, une fois leur programme installé, il est déjà trop tard pour stopper l’infection d’un logiciel malveillant.

Notez que pour certaines activités liées aux systèmes d’information, l’ ANSSI a listé un ensemble de prestataires de confiance. Vous pourrez trouver cette liste sur le site internet.

En limitant les droits du rôle utilisateur, on limite aussi les risques d'infection ou de compromission de l'ordinateur.

Pour éviter le téléchargement ou l’installation de logiciels malveillants, il est nécessaire de :

• Sensibiliser les utilisateurs (sur les impacts) ;
• Utiliser des outils de détection de malwares (antivirus…) ;
• Séparer les droits d’administrateur de ceux des utilisateurs ;
• Télécharger les logiciels sur les sites de leur éditeur ;
• Utiliser des supports amovibles sains.