# data[].attributes.attachment_link.readable_text
Après deux récompenses au concours MoocOfTheYear et plus de 55 000 apprenants inscrits, SecNumacadémie, le cours en ligne pour s'initier à la sécurité du numérique, livre à présent son 4e et dernier module pour découvrir et appréhender la thématique de la " Sécurité du poste de travail et nomadisme ".

# data[].attributes.attachment_link.description
Après deux récompenses au concours MoocOfTheYear et plus de 55 000 apprenants inscrits, SecNumacadémie, le cours en ligne pour s'initier à la sécurité du numérique, livre à présent son 4e et dernier module pour découvrir et appréhender la thématique de la " Sécurité du poste de travail et nomadisme ".

# data[].attributes.attachment_link.readable_text
Trop de données. Trop peu de contrôles... C'est la principale conclusion de la seconde étude récente menée par Iron Mountain⁽¹⁾ et PwC sur la gestion des risques de l'information dans les entreprises européennes. Bien qu'elles soient aujourd'hui plus sensibilisées aux menaces liées à l'information, les entreprises ne se donnent pas toujours les moyens de faire face à ces risques. " Notre indice de maturité de gestion des risques révèle un score moyen des entreprises européennes⁽²⁾ en augmentation par rapport à 2012, avec 56,8 contre 40,6 mais c'est encore faible par rapport à un résultat idéal de 100. Le score des entreprises françaises est de 53,9%, plaçant la France en 5ème position (41,7 en 2012, avec une 2nde position) ", indique Marc Delhaie, PDG d'Iron Mountain France.

Plus d'un salarié sur deux ne mesure pas l'importance de protéger l'information

Concrètement, les violations de données constatées par les entreprises ont augmenté de 50% en une année. " 93% des entreprises de plus de 250 employés ont été victimes d'une infraction ou d'un vol de données l'an passé. Cela a représenté dans les cas les plus graves des pertes comprises entre 600.000 et 1 million d'euros. Aujourd'hui, 68 % des sondés estiment qu'une approche responsable de la protection de l'information est essentielle pour la réussite de leur entreprise ", souligne Marc Delhaie.

Philippe Trouchaud, associé PwC, spécialiste de la sécurité informatique. - D.R.

Pour autant, moins de la moitié des entreprises (45%) ont mis en place une stratégie de gestion des risques pour l'information et contrôle son efficacité. " 38% ont un plan de gestion des risques, mais ne savent pas s'il est réellement efficace ", explique Philippe Trouchaud, associé chez PwC. La question de la protection des données ne figure pas au nombre des priorités du conseil d'administration dans 47% des entreprises, 43% des cas, les employés ne mesurent pas l'importance de protéger l'information. Surtout, 60% des entreprises donnent la priorité à la réduction des coûts sur celle des risques. " Le budget sécurité est malheureusement la première variable d'ajustement des dépenses informatiques ", estime Philippe Trouchaud.

Marc Delhaie, Président directeur général d'Iron Mountain France. - Droits réservés

En résumé ? " Les entreprises ont pris conscience des risques, mais ne font rien. C'est un comportement que l'on pourrait qualifier de schizophrène ", estime Philippe Trouchaud. Comment l'expliquer ? Entre résignation et fatalisme. " Certains sont résignés et pensent qu'il n'y a rien à faire : 54% des entreprises jugent que les risques pour l'information changent à un tel rythme qu'ils ne peuvent le suivre. Par ailleurs, 41% considèrent que la perte de données est une conséquence inévitable du commerce ", déplore Marc Delhaie. Pourtant, la " moins-value " dégagée par une mauvaise gestion des données peut être très importante. " Les entreprises aiment à parler d'intelligence économique. Mais il faut surtout éviter la " bêtise économique " qui consiste à laisser ses données accessibles à tout le monde... ", estime Philippe Trouchaud.

__________________
(1) PwC a interrogé les dirigeants et cadres supérieurs de 600 entreprises européennes, entre 250 et 2 500 employés, des secteurs des services financiers, des assurances, des cabinets juridiques, de la fabrication industrielle et de l'ingénierie et de l'industrie pharmaceutique pour établir " L'indice 2013 de maturité de gestion des risques en Europe " d'Iron Mountain.
(2) France, Allemagne, Hongrie, Pays-Bas, Espagne et Royaume-Uni.

L'urgence croissante de la gestion des données sur le marché européen des PME (résumé de l'étude PwC, Juin 2013)

# data[].attributes.attachment_link.title
93 % des entreprises françaises ont subi des pertes de données informatiques

# data[].attributes.attachment_link.description
Trop de données. Trop peu de contrôles... C'est la principale conclusion de la seconde étude récente menée par Iron Mountain(1) et PwC sur la gestion des risques de l'information dans les entreprises européennes. Bien qu'elles soient aujourd'hui plus sensibilisées aux menaces liées à l'information, les entreprises ne se donnent pas toujours les moyens de faire face à ces risques.

# data[].attributes.attachment_link.readable_text
Ses ennemis : les virus et les hackers (pirates informatiques). Sa hantise : une faille dans le réseau. Avec des informations de plus en plus nombreuses en ligne, les virus contaminent serveurs et messageries en quelques clics. L'expert en sécurité est là pour protéger les données et traquer les failles de sécurité des réseaux Internet et intranet. Il évalue d'abord le niveau de vulnérabilité des sites, traque d'éventuels virus et met en échec les tentatives d'intrusion de hackers. Ensuite, il met en place tout un système de protection : mots de passe, cryptologie, pare-feu, antivirus, etc. Les parades ne manquent pas pour réduire les risques.

Toujours au fait des dernières tendances et menaces sur le Net, cet expert est de plus en plus recherché par les entreprises. Ce métier demande de l'intégrité, de la disponibilité mais aussi un respect total de la confidentialité.

# data[].attributes.attachment_link.title
expert en sécurité informatique - experte en sécurité informatique

# data[].attributes.attachment_link.description
Ses ennemis : les virus et les hackers (pirates informatiques). Sa hantise : une faille dans le réseau. Avec des informations de plus en plus nombreuses en ligne, les virus contaminent serveurs et messageries en quelques clics. L'expert en sécurité est là pour protéger les données et traquer les failles de sécurité des réseaux Internet et intranet.

# data[].attributes.attachment_link.readable_text
Cybercriminalité : les chiffres

La cybercriminalité est un fait : souvent citée pour effrayer les responsables IT, directeurs et autres dirigeants dans le seul but de promouvoir la vente de services et la mise en place de protections, cette tendance est actuellement sur le point de se faire rattraper par la réalité. Partageons les chiffres du piratage informatique aujourd'hui* :

* 63 % des entreprises ont été infectées par au moins un botnet
* et 4 % ont fait face à un incident embarquant un risque de perte d'informations intellectuelles
* 75 % des collaborateurs ont visité un site contenant du code malicieux
* 36 % des entreprises bancaires ou financières ont envoyé des informations bancaires de leurs clients (carte de crédit) vers l'extérieur, soit en dehors de leur zone privée ; et 16 % des entreprises des secteurs médical et d'assurance ont envoyé des données de santé vers l'extérieur
* La France se classe au 16ème rang mondial des pays où la cybercriminalité est la plus active
* Le phishing s'impose comme la première menace dans l'Hexagone, puisque nous sommes le 7ème pays le plus touché et le 3ème en Europe, derrière l'Allemagne et le Royaume-Uni
* Les attaques ciblées contre les entreprises de moins de 250 salariés ont quasi doublé entre 2011 et 2013 : les PME étaient la cible de 31 % de ce type d'attaques en 2012, contre 18 % en 2011
* Bien qu'en baisse, le spam poursuit sa route : 1 mail sur 414 est un mail de phishing ; 1 sur 283 contient une attaque malware ; 69 % des mails envoyés au niveau mondial sont des spams
* les menaces persistantes avancées (APT : Advanced persistant threats), furtives, combinées, sont un nouveau type de fléau qui s'abat actuellement sur les entreprises et leurs ressources informationnelles, cherchant à n'éveiller aucun soupçon pour en exfiltrer des données ciblées.

Les PME ne sont pas à l'abri

Les PME s'estiment souvent à l'abri des attaques ciblées, mais les cybercriminels sont attirés par leurs coordonnées bancaires, leurs données commerciales et leur propriété intellectuelle. Les attaquants s'en prennent à celles dont l'infrastructure et les pratiques de sécurité sont inadéquates. En effet, par inconscience ou manque d'information, ces entreprises ne mesurent pas toujours pleinement la gravité de la situation ; et face au danger omniprésent de ce nouveau type d'agression, elles restent sur la croyance que leur patrimoine informationnel est protégé par les matériels et les solutions en place.

Les attaques Internet ont augmenté de 30 % en 2012, la plupart provenant de sites Web de PME compromis. Ces sites sont ensuite utilisés dans des cyberattaques à grande échelle. Pour ce type de menace, l'attaquant infecte un site Web, tel qu'un blog ou le site d'une PME, fréquemment visité par la victime ciblée. Lorsque la victime se connecte au site infecté, un dispositif d'attaque ciblée est installé à son insu sur son ordinateur. On trouve des cas où pas loin de 500 entreprises se retrouvent attaquées en une seule journée par ce biais. Dans ces scénarios, l'attaquant s'appuie sur la faiblesse d'une entreprise en matière de sécurité pour contourner la protection potentiellement plus développée d'une autre entreprise.

Notons que les dirigeants ne sont plus les premiers touchés. En 2012, les cibles les plus fréquentes étaient les employés ayant accès au système informationnel de l'entreprise (27 %), ainsi que les forces commerciales (24 %).

Des services de sécurité pour renforcer la productivité des utilisateurs et protéger les informations

Prenons l'exemple d'un ingénieur commercial en visite chez un client, voulant accéder à des données, documents et conseils pour son rendez-vous (son cas d'étude client, la cotation associée,...) et ce en toute simplicité et avec les différents appareils mobiles dont il dispose (sa tablette, son smartphone ou encore son ordinateur portable).
Tout ceci est aujourd'hui possible avec des solutions ergonomiques, faciles d'accès pour l'entreprise et ses commerciaux, sans pour autant rogner les niveaux de sécurité avancés et primordiaux pour protéger le savoir-faire de l'entreprise.

Pour la phase d'authentification de l'utilisateur, la phase d'adoption peut être ultra raccourcie si on ré-utilise son smartphone, par exemple, comme système d'authentification forte. Idem pour le chiffrement de ses communications ainsi que la traçabilité de ses accès, s'il se connecte à son intranet au moyen d'une appli mobile disponible depuis sa tablette.

Lorsque le commercial voudra échanger des données avec son client, les deux parties pourront travailler conjointement sur le document d'analyse du besoin, partager une présentation, jusqu'à finalement approuver le devis. Tout ceci à l'aide d'une solution de synchronisation et de stockage sécurisé de documents, là aussi directement disponible depuis un ordinateur portable, voire depuis une application web qu'ils pourront directement initier depuis le PC du client, sans avoir à attendre d'être de retour au bureau.

Ce niveau de productivité et cet avantage concurrentiel ne sont possibles que si la stratégie de mobilité professionnelle sécurisée de l'entreprise est pensée de manière globale au-delà des terminaux, et en y embarquant également les accès fixes et mobiles, les services applicatifs nécessaires aux collaborateurs et surtout en y adossant une politique de gestion et de sécurisation des moyens de communication et des terminaux nomades.

Des services de sécurité web pour protéger les ressources et le système informationnel des entreprises

Côté ressources de l'entreprise, on note deux besoins fréquemment rencontrés :
- la maîtrise des usages du web, et ce en toutes circonstances et avec tous les terminaux,
- la protection des applications et des sites web pour assurer une présence forte sur internet sans coupures de service.
Pour ce qui concerne le traitement des hébergements d'applications et de sites web, au delà des solutions de pare-feu, managées globalement ou parfois intégrées dans le réseau local de l'entreprise, il existe des solutions, proposées en première ligne de défense, qui visent à filtrer et éliminer le trafic de l'attaque, ceci en vue d'empêcher que tous types d'agressions malveillantes, pouvant facilement contourner les défenses traditionnelles, ne frappent le réseau.

Ce sont des solutions qui se configurent au plus près des usages réels des internautes, sur la base d'une phase initiale d'analyse comportementale du site et de ses modules (serveurs, bases de données, type d'architectures). Complémentaire des solutions des fournisseurs de services Internet, des fournisseurs de protection de cloud computing et des technologies de pare-feu traditionnels, ces solutions complètes peuvent être implémentées sur la base d'un service managé apportant une protection intelligente, en temps réel contre les cyber-attaques.

Garder la maîtrise des usages web

Pour ce qui concerne la protection et la maîtrise des usages web, distinguons plusieurs éléments.
Premièrement, on estime à plus de 70% l'utilisation d'Internet à des fins personnelles dans le monde du travail. Certaines des activités, comme consulter son compte en banque ou chercher un horaire de train, sont anodines. En revanche, d'autres impactent la vie de l'entreprise, voire la mettent en danger sur le plan économique, juridique ou informatique. Si dans une PME de dix personnes, un collaborateur lance le téléchargement d'un film, il ralentit voire bloque l'accès à Internet pour les neuf autres pendant plus d'une heure, sans que ces derniers en comprennent la raison.
Deuxièmement, l'entreprise doit anticiper les menaces externes liées aux risques d'infection malicieuses (virus) ou par extraction d'informations (documents confidentiels, bases de données).
Enfin, c'est maintenant devenu une réalité pour tous, on accède à internet en tous lieux, sur tous types d'accès (filaire, mobile, WiFi, en France, à l'étranger) et avec tous les différents équipements à notre disposition, qu'ils soient professionnels ou personnels. Les employés sont de plus en plus nomades et les outils qu'ils ont à leur disposition leur permettent de continuer de consulter et de travailler avec le web.

Tout ceci fait que l'administrateur ou le patron de PME doit être en mesure de différencier les sites à risques pour l'utilisateur et par conséquent pour l'entreprise, et veiller à empêcher les transferts de contenus illicites, car l'objectif des pirates est clair : inciter les utilisateurs à se connecter sur un site infecté via des liens corrompus ou des virus intégrés pour ensuite récupérer des informations monnayables (ou rançons) affaiblissant l'entreprise attaquée : c'est le rôle des proxy.

Le rôle des proxy dans la protection sur Internet

Ces 3 éléments sont effectivement pris en compte par des solutions de proxy, c'est à dire de protection et de filtrage du contenu web. Sachant que ces services restent disponibles en toute circonstance d'accès à internet, lorsqu'on optera pour une solution infogérée, managée depuis le Cloud. Dans ce cas, l'utilisateur bénéficie du même confort, de la même protection et des mêmes règles de ses usages web, qu'il soit connecté au bureau, sur sa box ADSL personnelle, en 3G/4G à l'étranger ou encore en WiFi. Les flux web sont redirigés vers la plateforme Proxy qui, en temps réel, analyse et filtre le contenu demandé pour n'afficher que le contenu désiré, dépollué et expurgé des menaces.

Conclusion : apprivoiser la cybercriminalité pour en faire une arme de compétitivité et se détacher de la concurrence

Si l'éducation se généralise, aidée par la sensibilisation et relayée par les médias qui relatent les exploits des pirates informatiques, le manque de compétences pointues est l'une des grandes faiblesses des entreprises, notamment de petite et moyenne taille.

Il faut donc repenser l'approche sécurité, arrêter de tenter de répondre soi-même à un type de risque informatique avec une nouvelle technologie, une nouvelle marque. La sécurité du système d'information s'industrialise, se standardise pour avoir une chance de continuer à être efficace et globale vis-à-vis d'attaques et de risques de plus en plus complexes, sans pour autant faire des investissements lourds et donc en préférant des solutions managées, infogérées par des partenaires fiables, de premier plan et qui vont suivre et s'ajuster aux différentes périodes d'activité de l'entreprise.

Il convient donc de faire appel à des entreprises expertes qui connaissent les solutions à mettre en place, qui proposent des solutions tout inclus (accès et sécurité) et qui en plus ont développé leurs propres outils de gestion et d'organisation face à ces nouvelles menaces (équipes, outils, procédures de gestion...). Cette démarche permet ainsi à l'entreprise de se focaliser à 100% sur son cœur d'activité business et de proposer à ses employés un large panel d'outils de travail en toutes circonstances (au bureau, en mobilité, en télétravail) et sans dégradation du niveau de sécurité selon le moyen d'accès aux ressources. Et, du coup, d'accroître grandement sa productivité, sa compétitivité et son image de marque.

* source : rapport ISTR 2013 Symantec

# data[].attributes.attachment_link.title
Securite informatique : la fin de l'amateurisme dans les pme

# data[].attributes.attachment_link.description
La cybercriminalité est un fait : souvent citée pour effrayer les responsables IT, directeurs et autres dirigeants dans le seul but de promouvoir la vente de services et la mise en place de protections, cette tendance est actuellement sur le point de se faire rattraper par la réalité.

# data[].attributes.body
Définition

# data[].attributes.attachment_link.readable_text
Définition

La sécurité informatique est l'ensemble des techniques qui assurent que les ressources du système d'information (matérielles ou logicielles) d'une organisation sont utilisées uniquement dans le cadre où il est prévu qu'elles le soient.

Description

Les techniques de la sécurité informatique se divisent comme suit :
- analyse de risques ;
- politique de sécurité ;
- techniques de sécurisation.

Analyse de risques
Plus aucune entreprise ne peut se passer de l'outil informatique, d'où la nécessité d'en assurer la sécurité, et de la protéger contre les risques liés à l'informatique. Or, comme on ne se protège efficacement que contre les risques qu'on connaît, il importe de mesurer ces risques, en fonction de la probabilité ou de la fréquence de leur apparition et de leurs effets possibles. Chaque organisation a intérêt à évaluer, même grossièrement, les risques qu'elle court et les protections raisonnables à mettre en oeuvre. Les risques et les techniques de sécurisation seront évalués en fonction de leurs coûts respectifs.

Politique de sécurité
À la lumière des résultats de l'analyse de risques, la politique de sécurité :
- Définit le cadre d'utilisation des ressources du système d'information ;
- Identifie les techniques de sécurisation à mettre en oeuvre dans les différents services de l'organisation ;
- Sensibilise les utilisateurs à la sécurité informatique.

Techniques de sécurisation
Elles assurent la disponibilité (les services et les informations doivent être accessibles aux personnes autorisées quand elles en ont besoin et dans les délais requis), l'intégrité (les services et les informations ne peuvent être modifiés que par les personnes autorisées), et la confidentialité (l'information est accessible uniquement à ceux qui y ont droit). Les techniques de sécurisation d'un système incluent :
- Audit de vulnérabilités, essais de pénétration ;
- Sécurité des données: chiffrement, authentification, contrôle d'accès ;
- Sécurité du réseau: pare-feu, IDS ;
- Surveillance des informations de sécurité ;
- Éducation des utilisateurs ;
- Plan de reprise des activités.

Si vous avez des questions ou des commentaires à apporter à cette définition, utilisez ce formulaire, merci d'avance !

Partagez cette définition sur Google+ en cliquant sur ce bouton :

N'oubliez pas de suivre notre compte Twitter et de rejoindre les autres fans de Dicodunet sur Facebook

Auteur

Michel Hoffmann : FAQ sécurité informatique

Autres sites sur le sujet

Voici un autre site sur le sujet :
Sécurité Informatique

Commentaires

2 commentaires :

Ajoutez votre commentaire

# data[].attributes.attachment_link.description
La sécurité informatique est l'ensemble des techniques qui assurent que les ressources du système d'information (matérielles ou logicielles) d'une organisation sont utilisées uniquement dans le cadre où il est prévu qu'elles le soient. Les techniques de la sécurité informatique se divisent comme suit : - analyse de risques ; - politique de sécurité ; - techniques de sécurisation.

# data[].attributes.attachment_link.readable_text
Le CeBIT, salon du high-tech, a été inauguré dimanche par Angela Merkel et David Cameron.

Pas moins de deux chefs d'État pour inaugurer le CeBIT, le grand salon consacré au high-tech, avec 200.000 visiteurs attendus: Angela Merkel et David Cameron se sont ainsi retrouvés dimanche soir à Hanovre pour donner le coup d'envoi de cette rencontre sur laquelle plane l'ombre de l'affaire de la NSA.

Dans le cadre de ce salon, désormais réservé exclusivement aux professionnels, les débats devraient réserver une large place à la sécurité informatique.

Il faut dire que la fréquence des cyber-attaques aurait doublé l'an dernier, selon l'entreprise de sécurité informatique américaine FireEye: leur rythme serait passé de une toutes les trois secondes en 2012 à une toutes les 1,5 seconde en 2013.

73 % des directions informatiques mondiales interrogées par le cabinet britannique Vanson Bourne pour Dell affirment ainsi avoir déjà été l'objet d'une faille de sécurité depuis un an. 17 % en moyenne du budget d'une direction informatique est dédié à la sécurité et 74 % d'entre elles prévoient d'augmenter celles-ci au cours des deux ou trois années à venir.

Les PME sont les plus vulnérables

Mais à en croire une étude de la SSII Steria sur la sécurité en Europe, 60 % des décideurs informatiques considèrent que le vol de données est le risque le plus important encouru, tandis que 37 % d'entre eux redoutent l'espionnage. "Les APT (advanced persistent threat), la menace en trois lettres qui devrait faire trembler les responsables sécurité, ne sont en revanche pas identifiés parmi les risques majeurs", souligne l'étude.

" La tendance aujourd'hui est au cloud hybride, qui profite de la puissance de stockage des données externalisées et conserve en interne uniquement les données les plus sensibles "

Marc Montiel, vice-président de la région Europe du Sud de NettApp

Par ailleurs, seuls 46 % des directeurs informatiques interrogés déclarent utiliser des dispositifs de sécurité dans le cloud, alors que 73 % hébergent leurs données dans le nuage. "Après l'apparition du cloud public, sous-traité à un prestataire extérieur, les entreprises ont préféré réintégrer leurs données dans des clouds privés gérés en interne. La tendance aujourd'hui est au cloud hybride, qui profite de la puissance de stockage des données externalisées et conserve en interne uniquement les données les plus sensibles", explique Marc Montiel, vice-président de la région Europe du Sud de NettApp. En revanche, les clouds souverains - Numergy et Cloudwatt en France - qui hébergent les données sur le territoire national précisément pour des raisons de sécurité, ont du mal à décoller, Cloudwatt démarrant seulement la commercialisation de ses offres.

À noter qu'il existe de grandes disparités: "En Grande-Bretagne, la culture de l'externalisation est très développée, alors qu'en France on externalise la sécurité avant tout pour réduire ses coûts", fait remarquer Florent Skrabacz, directeur des activités sécurité de Steria.

Paradoxe: les entreprises les moins prêtes à investir pour se protéger sont les PME, précisément les plus vulnérables. Car les cyberpirates savent que la plupart d'entre elles sont la clé d'entrée vers les grandes sociétés dont elles sont les sous-traitants. Le marché reste donc porteur.

SERVICE:

" La solution E-Protect proposée par CPLUSSUR.com garantit une assurance numérique complète et idéale.

# data[].attributes.attachment_link.title
Les entreprises face au défi de la sécurité informatique

# data[].attributes.attachment_link.description
Le CeBIT, salon du high-tech, a été inauguré dimanche par Angela Merkel et David Cameron. Pas moins de deux chefs d'État pour inaugurer le CeBIT, le grand salon consacré au high-tech, avec 200.000 visiteurs attendus: Angela Merkel et David Cameron se sont ainsi retrouvés dimanche soir à Hanovre pour donner le coup d'envoi de cette rencontre sur laquelle plane l'ombre de l'affaire de la NSA.