BYOD
À cause de l’épidémie de Covid-19, de nombreuses entreprises demandent à leurs employés de travailler depuis chez eux, y compris celles qui n’avaient jamais envisagé cette possibilité auparavant. Cela signifie qu’elles ne disposent pas de politique de télétravail et qu’il est fort probable qu’elles ne prennent pas bien en compte les risques qui apparaissent avec le télétravail. Nous allons essayer de combler ces lacunes et vous expliquer comment minimiser les risques.
Au premier abord, le seul changement pour le personnel de bureau est qu’il ne va pas être en contact avec ses collègues. Les choses vont beaucoup plus loin. Pensez, par exemple, aux canaux de communication, aux routines mises en place, aux outils de collaboration, au matériel et à l’accès à cet équipement.
Canaux de communication
Lorsque vos employés utilisent le réseau local pour travailler au sein de vos installations, vos solutions de sécurité gèrent tous les processus d’échange de données. Lorsqu’ils travaillent depuis chez eux, vous ajoutez une variable supplémentaire à l’équation, sous la forme de FAI. Vous ne savez rien à ce sujet et il vous est impossible de contrôler leurs mesures de sécurité. Dans certains cas, vos employés, mais aussi n’importe quel cybercriminel potentiel, peuvent avoir accès à leur connexion Internet domestique. En résumé, il vaut mieux ne pas partager de secrets industriels lorsque vous utilisez ces canaux de communication.
Solution : Si vos employés doivent se connecter aux ressources de l’entreprise à distance, assurez-vous qu’ils utilisent une VPN de confiance pour établir un canal sécurisé entre leur poste de travail et votre infrastructure. Cela protège aussi les données de votre entreprise des interférences externes. D’autre part, interdisez les connexions aux ressources professionnelles à partir de réseaux externes qui ne disposent pas de VPN.
Routines mises en place
Lorsqu’un employé travaille à distance. il ne peut pas se lever pour parler d’un problème avec son collègue. Vous pouvez donc vous attendre à une hausse des échanges de messages et à l’apparition de nouveaux participants (des personnes avec lesquelles la communication est seulement verbale en temps normal). En d’autres termes, la routine de vos employés est modifiée comme ils ne sont pas tous sur place. En théorie, cela laisse un peu plus de marge de manœuvre aux cybercriminels, surtout lorsqu’il s’agit de perpétrer des attaques BEC. Il serait difficile de détecter un petit bateau d’hameçonnage, pour ainsi dire, qui voguerait sur les eaux agitées des échanges de messages au sein d’une entreprise. En d’autres termes, un faux message exigeant certaines données ne semblerait pas étrange ou suspect, contrairement à d’habitude. De plus, l’ambiance reposante du milieu familial pourrait leur faire baisser la garde.
Solution : Tout d’abord, même s’ils travaillent depuis chez eux, tous les employés doivent uniquement utiliser leur adresse e-mail professionnelle. Il devrait alors être plus facile de détecter un cybercriminel qui essaie de se faire passer pour un de vos employés, surtout si l’escroc utilise une autre adresse e-mail. Ensuite, vérifiez que vos serveurs e-mail sont protégés par des technologies qui peuvent détecter les tentatives de piratage qui cherchent à modifier l’expéditeur. Nos solutions disponibles pour les serveurs e-mail et Microsoft Office disposent de ce genre de technologies. Enfin, avant d’envoyer vos employés chez eux, donnez-leur un cours accéléré sur les cybermenaces.
Outils de collaboration
N’ayant plus un contact direct, il est fort probable que vos employés aient recours à d’autres méthodes de collaboration, et certaines pourraient ne pas être fiables. De plus, elles doivent être correctement mises en place. Par exemple, un document Google Docs, dont les autorisations d’accès sont mal configurées, pourrait être indexé par un moteur de recherche et provoquer une fuite de données. Il pourrait se passer la même chose avec les informations conservées dans le Cloud. Un environnement de collaboration, comme Slack, peut aussi être la source de fuites et en ajoutant un inconnu ce dernier pourrait avoir accès à l’historique complet des fichiers et des messages.
Solution : Évidemment, il est dans votre intérêt de choisir un environnement de collaboration adéquat en termes de sécurité et de fonctions. Dans l’idéal, l’inscription devrait exiger l’utilisation d’une adresse e-mail professionnelle. De plus, il est recommandé d’avoir recours à un administrateur qui se consacre à l’attribution et au retrait des droits, selon la situation. Avant d’autoriser vos employés à travailler depuis chez eux, il est d’autant plus important d’organiser un cours de sensibilisation (à distance si vous le souhaitez) et d’insister sur le fait qu’ils ne peuvent utiliser que le système de collaboration que votre entreprise a mis en place (ou que vous avez approuvé). Cela vous permet de souligner à nouveau que la protection de secrets industriels relève de leur responsabilité.
Matériel
En général, l’entreprise ne fournit pas un ordinateur portable à tous ses employés. Les téléphones portables ne sont pas recommandés pour certaines tâches. Par conséquent, les employés vont certainement utiliser leur ordinateur personnel. Cela pourrait être une menace de taille pour les entreprises qui n’ont pas de politique BYOD.
Solution : Tout d’abord, si vos employés doivent travailler depuis chez eux, fournissez-leur, dans la mesure du possible, un ordinateur et un téléphone portable professionnels. Il est évident que ces dispositifs doivent être bien protégés par des solutions de sécurité appropriées. De plus, ces solutions devraient pouvoir vous permettre d’effacer à distance les données relatives à l’entreprise, de ne pas mélanger les informations personnelles et professionnelles, et de limiter l’installation d’applications. Configurez les dispositifs pour qu’ils recherchent automatiquement les dernières mises à jour des logiciels importants et du système d’exploitation.
Si, pour une quelconque raison, un employé doit utiliser des dispositifs personnels, alors c’est le moment parfait pour mettre en place une politique BYOD et ainsi gérer les données professionnelles conservées sur ces appareils. Par exemple, vous pouvez utiliser deux partitions différentes pour les données professionnelles et personnelles. Insistez également sur le fait que vos employés doivent installer un antivirus, même s’il s’agit d’un logiciel gratuit. Dans l’idéal, ces dispositifs ne pourraient se connecter au réseau de l’entreprise qu’après que vous ayez vérifié qu’ils disposent d’une solution de sécurité et que le système d’exploitation est à jour.
Accès à l’équipement
Vous ne pouvez jamais savoir avec exactitude où et avec qui vos employés vivent. Vous ne savez pas, par exemple, qui pourrait voir l’écran de l’ordinateur lorsque votre employé se lève pour se préparer une tasse de thé. Les choses changent considérablement suivant la situation ; si la personne travaille seule depuis chez elle ou si elle décide de travailler depuis un café, ou un espace de coworking, puisque les risques de fuite ou d’aléas sont beaucoup plus importants.
Solution : Vous pouvez résoudre la plupart de ces problèmes en adoptant des politiques de sécurité, qui doivent stipuler que l’utilisation d’un mot de passe et le verrouillage de l’écran sont obligatoires. Quant aux autres problèmes de cybersécurité spécifiques au télétravail, une formation devrait vous permettre d’avoir un personnel vigilant.
Webinar
Nos experts envisagent d’organiser un webinar le 18 mars pour vous expliquer comment télétravailler en toute sécurité. Nous vous invitons à assister à cette formation et à vous inscrire sur BrightTalk.
Conseils