RAPPEL DE REGLES DE SECURITE ELEMENTAIRES

RAPPEL DE REGLES DE SECURITE ELEMENTAIRES

Suite à des soucis rencontrés ces derniers temps chez nos clients, voici quelques petits rappels de sécurité élémentaires.

Utilisation prudente d’Internet (téléchargements, utilisation de services en ligne)

Lorsque le poste professionnel est utilisé à des fins personnelles le périmètre de la navigation s’étend et l’on peut rapidement se retrouver sur un site malveillant.
Certains sites malveillants profitent des failles des navigateurs pour récupérer les données présentes sur le poste de travail. D’autres sites mettent à disposition des logiciels qui, sous une apparence anodine, peuvent prendre le contrôle de l’ordinateur et transmettre son contenu au pirate à l’insu de son propriétaire.
Il est très pratique d’utiliser les services disponibles sur Internet, parfois même ces services sont gratuits ce qui rend leur utilisation encore plus alléchante.
Il est important de bien comprendre que ces services ne donnent en fait aucune garantie sur l’utilisation qui sera faite des données stockées, parfois même certains sites indiquent – certes en petits caractères – que les données pourront être transmises à des tiers pour des raisons techniques ou légales et que l’on en cède quasiment tous les droits. Ainsi le Patriot Act permet aux services américains d’accéder aux informations stockées aux USA ou dont l’hébergeur est une société américaine. De même le contenu des informations est analysé afin de le revendre à des annonceurs pour de la publicité ciblée et peut-être à d’autres dans les cas extrêmes (l’intelligence économique).

Les bonnes pratiques :

• Il est prudent d’éviter de se connecter à des sites suspects
• Il est prudent d’éviter de télécharger des logiciels dont l’innocuité n’est pas garantie (pérennité du logiciel, nature de l’éditeur, mode de téléchargement, etc.). Une mise à jour d’un programme tel qu’Adobe Reader par exemple ne se fait qu’avec une source provenant de cet éditeur. Il faut absolument éviter de télécharger des programmes sur des sites genre 01.net ou clubic qui sont des nids de spywares et autres programmes malveillants.
• Les sauvegardes de données, les partages d’information, les échanges collaboratifs, ne doivent se faire que sur des sites de confiance, mis à disposition par l’établissement et dont la sécurité a été vérifiée par l’établissement (via par exemple un audit de sécurité).
• Dans le cas où des données doivent impérativement être stockées sur des sites tiers ou transmises via des messageries non sécurisées, il conviendra alors de les chiffrer.

Attitude prudente vis à vis des messages reçus

Nous sommes toujours tentés de savoir qui nous écrit, cependant de nombreux escrocs et pirates utilisent notre curiosité et notre crédulité pour tenter de voler nos données.
Dans certains cas le message frauduleux demande le changement du mot de passe d’un compte et redirige l’utilisateur vers un site pirate qui va voler ce mot de passe (c’est le « phishing ») pour utiliser le compte de l’utilisateur à son insu et ainsi pénétrer dans sa messagerie, son compte bancaire, etc. Dans d’autres cas le message contient une pièce jointe piégée qui va installer un logiciel espion sur le poste de travail.

Les bonnes pratiques :

• Il convient de supprimer les messages suspects, y compris s’ils proviennent d’une personne connue (son adresse a pu être « volée » sur une autre machine) si possible sans les ouvrir Lorsqu’un message suspect a été ouvert, il convient de ne pas répondre à l’expéditeur, ne pas cliquer sur les liens présents dans le texte, ne pas ouvrir les pièces jointes

NOTA : par ailleurs, les messages suspects identifiés comme indésirables par le système de messagerie seront automatiquement supprimés par le client de messagerie, il convient bien entendu de ne pas les ouvrir.

Attitude prudente vis-à-vis des supports de données amovibles (clés USB, etc.)

Les clés USB sont un vecteur de plus en plus utilisé pour le piratage des postes de travail. Une clé peut s’infecter lors d’une utilisation sur un matériel infecté (une machine commune destinée aux présentations par exemple). Une clé USB d’origine inconnue peut contenir des virus qui tenteront de s’installer sur le poste de travail, elle peut également être configurée pour « aspirer » le contenu du poste de travail à l’insu de son propriétaire. De la même façon, la connexion de disques externes non maîtrisés expose au même danger dans la mesure où ces médias peuvent contenir un code malveillant susceptible de s’exécuter automatiquement, sans contrôle, sur le poste de travail.

Les bonnes pratiques :

• Il est préférable d’apporter sa propre clé USB pour un échange de données, plutôt que d’utiliser une clé inconnue
• Il est utile de séparer les usages entre les supports utilisés à des fins personnelles (clés USB et/ou disques externes) et les supports utilisés à des fins professionnelles.

Alerte des responsables techniques et sécurité en cas d’évènement anormal

Lorsqu’un évènement suspect se produit, il est indispensable d’alerter le support informatique le plus rapidement possible et d’arrêter de travailler sur la machine concernée.
Il est important de noter que le signalement rapide d’un incident permet de s’assurer que les actions nécessaires sont bien entreprises en limitant au maximum les risques d’extension du problème.