La sécurité informatique à tout prix

Pourquoi faire de la sécurité informatique ?

Quels sont les risques encourus si je ne fait pas attention à mon matériel et mes logiciels ? Car oui, la sécurité informatique c'est un tout, et ça commence déjà par l'accès au matériel. Donc les locaux jouent déjà un rôle dans tout ça.

Les devices contiennent souvent des code d'accès que vous sauvegardez dans vos navigateurs pour éviter d'avoir à les entrer à chaque fois. Pour beaucoup de gens, l'accès à leur machine, signifie immédiatement, l'accès à leur données sensibles.

L'accès aux informations des particuliers

Tout d'abord en tant que particulier, faire attention à l'accès à nos devices, ça signifie mettre une barrière entre nos données et d'autres personnes mal intentionnées. Beaucoup de gens pourraient dire, oui mais je n'ai rien à cacher... Si si, je vous assure que si ! Votre carte bancaire par exemple, vous aurez tout intérêt à le cacher ! Votre adresse, vos itinéraires quotidiens, vos numéros de téléphone, tout peut servir et jouer contre vous.

Il a été plusieurs fois prouvé que l'accès à des données vraisemblablement anodines ont causés énormément de tord à plusieurs personnes. Votre numéro de téléphone peut être utilisé pour vous spammer de SMS, d'appels surtaxés etc... Votre adresse peut servir pour vous prospecter, ou encore à savoir où venir régler des comptes si vous vous mettez à dos les mauvaises personnes. Votre profession peut servir à faire du démarchage ciblé, parfois même ce que l'on appelle le social engineering (une forme de hacking, basé sur l'humain). Bruno Gaccio, qui travaillait aux guignols de l'info parlait d'une tentative d'assassinat sur sa personne basée sur son itinéraire personnel quotidien.

Parfois, l'accès aux données des particuliers permettent aux hackers de remonter leur hack jusqu'au lieu de profession de ces derniers. Une faille d'un particulier devient alors un problème d'entreprise, donc il faut rester vigilant et se former à chaque instant !

L'accès aux données des pro

De nombreuses fois, le fait de savoir qu'une personne était la secrétaire de direction d'une entreprise a permis à des hackers d'utiliser ses accès pour lui faire exécuter des ordres de virement. La personne a reçu un email de la part de son patron, enfin, en apparence, mais son manque de connaissance en informatique et de clairvoyance au moment où c'est arrivé ne lui a pas permis de voir la nuance dans le nom de domaine de l'entreprise, enregistré ailleurs que sur le traditionnel ".fr".

Sur des serveurs, l'accès aux données peut compromettre énormément de gens. Le hack d'un site e-commerce peut diffuser à grande échelle des code de carte bancaire, nom et prénom, de tous les clients. Ceci est déjà arrivé ! Et les professionnels doivent prendre encore plus de mesure pour stocker ce genre d'informations compromettantes. Une certification est demandée pour être habilité à le faire, dans le cas contraire il faut passer par des services qui possèdent cette certification. La CNIL (organisme en charge des bonnes pratiques concernant les données informatiques) veille à ce que des règles soient respectées par les acteurs du web.

De même, sur des serveurs, il peut arriver que si vous stocker vos machines dans des datacenter. Les failles logiciels provenant de vos machines peuvent vous coûter cher. Etant donnée que vous êtes responsable du maintient et de la mise à jour des machines en matière de faille logicielle, si jamais vos machines donnent l'accès au datacenter à cause d'une faille, en tant qu'entreprise vous êtes passible de poursuites.

Il y a tellement à perdre dans ce genre de situation, que désormais les grands groupes etc accordent un budget dédié à la sécurité. De même pour ne prendre aucun risque sur les projets, je recommande souvent aux développeurs de partir de librairies créés from scratch par les équipes pour éviter les failles dans les paquets téléchargés.

En outre, une entreprise si elle s'est faite hackée ou si elle a la moindre suspicion d'un hack sur ses serveurs, a l'obligation de le déclarer. C'est une loi qui date de plusieurs années maintenant, pourtant on apprend parfois que les sociétés font l'autruche et se taisent pendant des années. En 2012, on apprenait que Coca Cola s'est fait hacké par les chinois, lors de sa tentative d’acquisition de China Huiyuan Juice Group, et ce hack remontait à 2009...

Comment mieux se protéger

En tant que particulier, il faut prendre le temps d'apprendre, de comprendre ce que l'on fait pour éviter tout problème. De plus, pour éviter le hack, il faut souvent éviter d'avoir un comportement qui nous fait prendre des risques. Les gens qui cherchent absolument à pirater du contenu sont les premiers touchés par ce genre de problème. En voulant absolument télécharger la dernière série à la mode, ils se font eux même contaminer leur machines.

Par ailleurs, le hack arrive aussi dans des cas de téléphone ou ordinateur prêté aux enfants. Très souvent, il s'agit d'une porte d'entrée pour des gens mal intentionnées. Les enfants qui voient "nouveau jeu gratuit, clique ici"... C'est arrivé plus d'une fois et dans quasiment toutes les familles. Parfois on oublie que dans ces appareils, il y a un accès vers nos compte en banque, nos documents d'identité... Je ne dis pas qu'il ne faut plus prêter d'appareils aux enfants, mais surtout qu'il faut prendre le temps de surveiller ce qu'ils en font, et de leur inculquer les bons réflexes.

En tant qu'entreprise, je vous conseille un budget dédié à la sécurité informatique, tant les événements des dernières années ont changé la dimension du numérique. L'apparition des crypto locker et autres ransomware qui servent à mettre les boîtes à la merci des pirates ont démontré que très peu de sociétés prenaient cette menace au sérieux.

Parfois la menace vient de l'intérieur

Dans de nombreuses sociétés, on a pu trouver des éléments qui montre que les failles venaient de l'intérieur. Et que parfois ces failles étaient volontairement ouvertes ! De même, on a pu trouver énormément de cas où, des employés ont essayé de tirer profit de leur entreprise. En exploitant des machines pour miner de la crypto, en prenant des documents et demandant des rançons, etc...

Je pense qu'il faut revoir les stratégie d'habilitations et d'accès aux fichiers dans une entreprise pour ne pas permettre à n'importe qui de faire n'importe quoi.

Parfois même la menace vient d'une organisation corrompue

Dans certains pays où règne la corruption, il arrive même que des gens glissent des documents corrompus dans vos affaires pour vous faire porter le chapeau et vous mettre en prison. Le but n'est pas de vous emprisonner pour rien, si vous êtes quelqu'un d'influent, un politicien etc, vous risquez de vous retrouver hors course, car enfermé...

01net a écrit sur le sujet et montre à quel point des organismes officiels peuvent cacher des pirates.

Conclusion

Il y a quelques temps, on apprenait que les failles peuvent aussi venir des appareils eux même. Certains fabriquant laissent volontairement ce que l'on appelle une backdoor (c'est ce que D. Trump reprochait à Huawei), d'autres le font involontairement (enfin c'est ce qu'ils disent). Intel et AMD ont connu ce genre de problèmes sur leur CPU et ont du mettre en place des mises à jour pour combler ces failles.

La meilleure arme contre le piratage, c'est d'être informé, des méthodes car même si elles évoluent toujours, il est plus probable que vous ne soyez pas le premier visé lorsque cela arrive. De même, il faut comprendre ce qui permet le hack, et ce qu'il y a à pirater pour prendre des mesures. Pour les société, il faut investir pour sa sécurité. Cela parait fou de devoir faire ça, mais c'est surtout beaucoup de bon sens.