Bases de la cybersécurité : les habitudes qui réduisent vraiment le risque

La plupart des problèmes de sécurité commencent par des choses ordinaires : un mot de passe réutilisé, un courriel convaincant, un portable qui n'a pas reçu ses mises à jour ou un compte sans deuxième facteur. Vous n'avez pas besoin de devenir spécialiste en cybersécurité pour réduire ces risques. Quelques habitudes couvrent déjà beaucoup de terrain.

Utilisez des mots de passe uniques et un gestionnaire

La réutilisation est un plus gros problème que l'absence d'une majuscule ou d'un symbole précis. Si un site est compromis et que vous avez repris le même mot de passe ailleurs, les attaquants peuvent essayer les mêmes identifiants sur votre courriel, votre banque, Microsoft 365 et d'autres services.

Utilisez un gestionnaire pour générer et conserver de longs mots de passe aléatoires pour chaque compte. Pour le gestionnaire lui-même, choisissez une longue phrase de passe facile à retenir et ne la réutilisez nulle part ailleurs.

• Utilisez un mot de passe différent pour chaque compte.
• Laissez le gestionnaire générer les mots de passe au lieu d'inventer vos propres modèles.
• Changez un mot de passe si le service annonce une fuite ou si votre gestionnaire indique qu'il a été exposé.

Activez l'authentification multifacteur

L'authentification multifacteur, ou MFA, ajoute une vérification après le mot de passe. C'est important parce que les mots de passe se volent. Commencez par votre compte de courriel, puisqu'un attaquant qui contrôle votre courriel peut souvent réinitialiser vos autres comptes.

Utilisez une clé d'accès ou une clé de sécurité physique quand le service le permet. Une application d'authentification est aussi un bon choix. Le SMS reste mieux que l'absence de MFA, mais il se prête davantage à l'hameçonnage ou au détournement que les méthodes résistantes à l'hameçonnage.

Méfiez-vous des demandes inhabituelles, pas seulement des courriels mal écrits

Les courriels d'hameçonnage peuvent maintenant être très propres. Les fautes d'orthographe et les tournures maladroites ne sont plus des indicateurs fiables. Regardez surtout qui envoie le message, ce qu'on vous demande et où mène réellement le lien.

• Vérifiez l'adresse et le domaine réels de l'expéditeur, pas seulement le nom affiché.
• Soyez prudent avec les demandes urgentes qui touchent les mots de passe, les paiements, les cartes-cadeaux, les changements bancaires ou les fichiers confidentiels.
• Vérifiez la destination d'un lien avant de l'ouvrir. Sur un téléphone, utilisez l'aperçu par pression prolongée lorsqu'il est disponible.
• Confirmez les demandes inhabituelles par un autre canal. Appelez la personne ou ouvrez directement le service au lieu de répondre dans le message douteux.

Une entreprise légitime ne devrait pas avoir besoin de votre mot de passe par courriel. Si un message annonce un problème avec un compte, ouvrez l'application de l'entreprise ou tapez vous-même son adresse Web connue.

Installez les mises à jour de sécurité

Les mises à jour corrigent souvent des failles connues. Une fois qu'une vulnérabilité devient publique, des attaquants peuvent réutiliser des outils qui visent les systèmes non corrigés. Reporter les mises à jour prolonge simplement la période pendant laquelle l'appareil ou l'application reste exposé.

• Activez les mises à jour automatiques pour Windows, macOS, iOS, Android et les autres systèmes encore pris en charge.
• Gardez les navigateurs et les applications courantes à jour.
• N'oubliez pas les routeurs, pare-feu et autres équipements réseau qui reçoivent encore des correctifs du fabricant.

Utilisez le Wi-Fi public avec les bonnes précautions

Un Wi-Fi public n'est pas automatiquement dangereux, et le HTTPS chiffre aujourd'hui la majorité du trafic Web. Les vrais problèmes sont plutôt de se connecter au mauvais réseau, d'ignorer un avertissement de certificat, de laisser des services de partage ouverts ou d'utiliser un réseau inconnu pour une tâche sensible alors qu'une meilleure option existe.

• Confirmez le nom du réseau avec l'établissement au lieu de choisir au hasard dans la liste.
• Utilisez le partage de connexion de votre téléphone pour la banque, l'administration ou d'autres tâches sensibles lorsque c'est pratique.
• Utilisez le VPN de l'entreprise lorsque votre politique l'exige ou pour accéder à des systèmes internes protégés.
• Désactivez le partage de fichiers et la découverte réseau sur les réseaux publics, et ne contournez jamais un avertissement de certificat du navigateur.

Une courte liste à faire aujourd'hui

1. Placez vos comptes importants dans un gestionnaire et remplacez les mots de passe réutilisés.
2. Activez la MFA sur le courriel d'abord, puis sur la banque, les services infonuagiques et les réseaux sociaux.
3. Activez les mises à jour automatiques et installez celles qui sont déjà en attente.
4. Vérifiez par un autre canal la prochaine demande inattendue de paiement, de mot de passe ou de partage de fichiers.
5. Assurez-vous que vos fichiers importants sont sauvegardés et que vous savez comment les restaurer.

Pour une entreprise, les bonnes habitudes ne sont qu'une couche

Ces habitudes sont importantes, mais une entreprise doit aussi protéger les identités des employés, les portables, Microsoft 365, le courriel, les applications infonuagiques, les fichiers partagés et les sauvegardes. Ces contrôles ne devraient pas dépendre de chaque employé qui se rappelle du bon réglage.

Un programme de sécurité géré devrait couvrir la MFA et les politiques d'accès, la protection des postes, les correctifs, la sécurité du courriel, les sauvegardes testées, la sensibilisation, la surveillance et une procédure claire d'intervention. Le but n'est pas d'empiler des outils. Il faut que les contrôles soient configurés, suivis et confiés à quelqu'un.

Ce que JC Logic peut gérer

Le Plan de cybersécurité géré de JC Logic regroupe ces contrôles dans un même processus opérationnel. Nous gérons la protection des postes, Microsoft 365 et le courriel, la sensibilisation, les correctifs, les sauvegardes, la surveillance et l'intervention lorsqu'un incident se produit.

Si vous ne savez pas exactement ce qui est déjà en place, commencez par évaluer les identités, les appareils, le courriel, Microsoft 365, les sauvegardes et les systèmes qui contiennent des données clients. Vous obtenez alors une liste concrète de ce qui est protégé et de ce qui reste à corriger.