L’analyse de la sécurité informatique existante est la première étape lorsqu’une entreprise souhaite améliorer sa sécurité. Mais comment une PME peut-elle savoir si elle est bien protégée? Ces auto-tests et évaluations vous montrent la première étape.
Un simple clic est parfois décisif. Le collaborateur a peut-être ouvert la pièce jointe et a ainsi permis l’infiltration du ransomware. Espérons que non, et l’entreprise sera épargnée pour cette fois. La sécurité informatique repose ici sur le principe de l’espoir, une approche clairement insuffisante pour une PME. Les mesures dans lesquelles le firewall intercepte les malwares avant qu’ils n’atteignent la boîte de réception, afin d’éviter que les collaborateurs ne se fassent piéger par des e-mails de phishing, sont nettement plus sûres.
Une sécurité informatique efficace repose sur le contrôle grâce à des mesures de protection ciblées. Mais comment une entreprise peut-elle savoir si son informatique est bien protégée actuellement et de quelle protection supplémentaire elle a besoin? Et ce, sans que le responsable ne doive se transformer en expert de la sécurité? Et surtout, par où commencer? La réponse est beaucoup plus facile à trouver qu’on ne l’imagine.
Le premier pas: Security Checks «sur papier»
Les listes de contrôle sont un moyen facile de vérifier la sécurité de votre infrastructure informatique. Elles montrent quelles mesures devraient être prises et quel est l’état réel. Il en résulte une liste de mesures organisationnelles et techniques qui permettent à une PME d’améliorer sa protection.
Les listes de contrôle et les tests en ligne peuvent être réalisés en peu de temps et constituent donc une première étape idéale afin d’analyser l’état de la sécurité informatique. De tels auto-tests, ou Self Assessments en anglais, ne donnent toutefois aucune information sur l’état réel des menaces et sur une éventuelle attaque préalable de l’entreprise.
Deux Security Checks pour les PME suisses:
- Quick Check pour les PME de digitalswitzerland
- Security Check de Swisscom
Le deuxième pas: sensibiliser les collaborateurs
Mais les mesures de sécurité informatique sont uniquement efficaces si elles sont respectées dans la pratique. Des collaborateurs attentifs et sensibilisés aux dangers contribuent de manière significative à la protection. Les entreprises trouveront ici des conseils de base sur la gestion des mots de passe, des e-mails suspects et autres:
- Règles de conduite de la Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI) du Conseil fédéral.
- «Ne laissez aucune chance aux hackers»: E-Learning condensé de Swisscom sur la sensibilisation des collaborateurs.
Stratégies et «Best Practices» en sécurité informatique
Les aide-mémoires et directives pour l’introduction et l’exploitation d’une informatique sécurisée s’adressent davantage aux PME moyennes à grandes. La norme ISO 27001 définit des directives de sécurité jusqu’à l’exploitation d’un système de gestion de la sécurité informatique. Vérifier dans quelle mesure une entreprise se conforme à ces directives de sécurité donne des informations sur l’état d’avancement des mesures de protection. Un outil en ligne pour une telle analyse des écarts est par exemple fourni par la 27001Academy.
Le troisième pas: contrôler sa propre infrastructure
Les listes de contrôle et les directives donnent une orientation sur les mesures appliquées et les omissions. Mais elles ne disent rien au sujet de la protection effective et des menaces actuelles qui pèsent sur une entreprise. Un audit de sécurité est nécessaire afin de clarifier la situation individuelle et de définir les mesures de sécurité. Dans le cadre d’une telle enquête, des spécialistes de la sécurité informatique passent l’entreprise au crible, analysent les mesures prises et recherchent les points faibles et les failles.
Plus un tel audit est complet, plus il prend du temps et coûte cher. Mais les coûts entraînés par une infection de malware peuvent être beaucoup plus élevés.
Il existe différents niveaux d’audit, plus ou moins approfondis et donc plus ou moins faciles à appliquer:
- Avec un «Quick Check», les spécialistes de la sécurité examinent uniquement les éléments préalablement définis de l’informatique d’entreprise. Il s’agit raisonnablement des systèmes et des applications qui sont au cœur des opérations de l’entreprise, tels que l’ERP et le CRM.
- Un Vulnerability Assessment analyse automatiquement les systèmes en recherche de failles de sécurité. Cette approche trouve principalement des vulnérabilités connues, comme l’absence d’une mise à jour de sécurité importante.
- Lors d’un Penetration Testing, les spécialistes de la sécurité se glissent dans la peau d’un hacker et attaquent l’infrastructure de l’entreprise, naturellement après concertation et sur la base d’un accord écrit. Cette procédure manuelle complexe combine différentes méthodes d’attaque et permet ainsi de trouver des failles de sécurité indétectables lors de tests automatisés.
La société de services informatiques ou un fournisseur informatique sont également les points de contact pour les audits de sécurité. Ils vous soutiennent dans le choix d’une société de sécurité informatique adaptée et dans la définition des mesures.
Test de sécurité pour votre entreprise
La numérisation implique une mise en réseau particulièrement dense où humains, machines, technologies et économie sont intimement liés. Les processus étant dématérialisés et de nombreux systèmes devenant accessibles en tous lieux via Internet, la cybersécurité est indispensable face à des menaces en perpétuelle évolution.
Découvrez comment améliorer encore votre protection avec notre test de sécurité.
Pas à pas vers une sécurité accrue
La sécurité informatique suit le principe de Pareto, la règle des 80-20. Un premier auto-test sur «papier» permet de déceler et de corriger les failles les plus importantes, éventuellement en collaboration avec la société de services informatiques. Cela prend moins de temps et de ressources que des tests complets.
L’inaction est quant à elle totalement exclue. Car l’état des menaces change constamment. Les mesures de sécurité doivent donc être adaptées en permanence, la sécurité est à ce prix.
