Les cyberattaques, qui touchent une entreprise sur trois chaque année, ont des conséquences souvent graves d’un point de vue financier, organisationnel et humain. Si la cybermenace est constante, les vacances d’été sont une période particulièrement sensible en matière de cybersécurité. Après avoir expliqué pourquoi les entreprises sont plus vulnérables aux attaques informatiques pendant l’été, nous vous proposons une checklist cybersécurité pour les vacances de votre entreprise pour aborder cette période en toute sérénité.
Pourquoi est-il essentiel de penser à votre cybersécurité avant les congés ?
Des risques accrus pendant les périodes creuses
La complexité des systèmes d’information, bâtis sur des environnements hybrides auxquels se connecte un parc hétérogène de terminaux physiques (ordinateurs, tablettes, smartphones, périphériques et autres objets connectés), offre de nombreuses opportunités d’attaque aux cybercriminels.
Il faut aussi garder à l’esprit que les cybermalveillants ne relâchent jamais la pression pendant la période estivale. Bien au contraire, ils en profitent pour multiplier les cyberattaques ciblées.
Pourquoi les vacances d’été constituent-elles une période plus sensible en matière de cybersécurité ? Les raisons sont multiples :
- Effectifs réduits, notamment en informatique et en sécurité numérique
- Baisse de vigilance des collaborateurs et relâchement des pratiques de sécurité
- Recours à des intérimaires ou stagiaires peu au fait des règles de sécurité à appliquer
- Connexions à distance peu ou pas sécurisées (via des réseaux publics), favorisant l’interception de données et les attaques de type man-in-the-middle
- Connexion de collaborateurs en vacances depuis des équipements personnels
- Risque plus important pour ces collaborateurs moins attentifs de cliquer sur un mail de phishing ou de smishing lors de la consultation d’emails professionnels
À cela il faut ajouter une exploitation accrue des failles de sécurité par les pirates. Ils profitent des temps de réaction plus longs aux incidents, et des mises à jour et corrections différées.
L’importance de l’anticipation pour éviter les mauvaises surprises
Ces menaces qui peuvent survenir lorsque votre entreprise est la plus vulnérable peuvent engendrer :
- Le vol de données confidentielles
- Des pertes financières
- Une interruption d’activité
- Une atteinte à l’image et à la réputation, entraînant une perte de confiance des partenaires et clients
- Des répercussions psychologiques sur les équipes…
Ces dommages démontrent l’importance d’anticiper de manière spécifique la cybersécurité pour les vacances de votre entreprise.
La stratégie à adopter en matière de cybersécurité pour les vacances de votre entreprise concerne aussi bien les infrastructures de votre système d’information (SI) qu’un rappel aux différentes équipes les erreurs courantes en cybersécurité à éviter.
Checklist cybersécurité pour les vacances de votre entreprise en 10 étapes clés
1. Vérifiez vos sauvegardes : automatiques, testées et externalisées
La disponibilité de sauvegardes récentes et sécurisées est une composante essentielle d’une stratégie efficiente de cybersécurité pour les vacances de votre entreprise. Les sauvegardes permettent de restaurer rapidement l’ensemble des systèmes, fichiers et données corrompus lors d’une cyberattaque (notamment un ransomware) et de rétablir le bon fonctionnement de votre système d’information.
Avant la période de congés, vous devez donc :
- Vérifier la qualité de vos sauvegardes et les procédures de restauration
- Mettre en place une stratégie de sauvegarde automatisée sur différents supports (fréquence, modalité, localisation)
- Sécuriser les accès aux sauvegardes en chiffrant les données et en stockant les supports amovibles dans des espaces protégés
2. Mettez à jour tous vos logiciels : systèmes, antivirus, outils métiers
Avec toutes les équipes, vous devez planifier la mise à jour de votre système d’information. Cette opération est indispensable pour corriger les failles de sécurité. Elle concerne prioritairement les mises à jour de sécurité et l’application de correctifs hardware et software sur :
- Les endpoints, infrastructures serveurs et terminaux physiques connectés (ordinateurs de bureau, machines virtuelles, postes mobiles, tablettes, smartphones, appareils IoT, périphériques…)
- Les instances Cloud privées et publiques
- Les systèmes d’exploitation (OS)
- Les applications de sécurité (antivirus, VPN, firewall…), bureautiques, et les solutions métiers
- Les équipements réseaux
Cette étape nécessite préalablement un inventaire complet et à jour de votre parc matériel et logiciel.
3. Faites le ménage dans les comptes utilisateurs : désactivation des comptes inactifs, gestion des accès
Les comptes inactifs avec des identifiants d’accès non sécurisés constituent une vulnérabilité exploitable par les cybercriminels. Les actions de cybersécurité pour les vacances de votre entreprise consistent aussi à répertorier de façon exhaustive vos comptes utilisateurs, comptes de messagerie, afin de désactiver les comptes inactifs et d’actualiser les droits d’accès suivant les profils.
4. Activez la double authentification (2FA) : sécurisation des accès sensibles
L’adaptation du dispositif de cybersécurité pour les vacances de votre entreprise en été est aussi l’occasion de déployer un mécanisme de double authentification sur les systèmes critiques de votre organisation et les accès distants. Cette fonctionnalité renforce la sécurité des comptes utilisateurs en exigeant, en plus des identifiants de connexion (nom/mot de passe), un code provisoire envoyé par SMS ou email.
5. Assurez une surveillance active : supervision, alertes, référents en veille
Même si les équipes informatiques sont réduites pendant les vacances, un responsable SI et sécurité doit assurer la surveillance sur toute la période. Cet expert va superviser le système d’information et déclencher les procédures adéquates en cas d’alerte et de détection d’une cybermalveillance.
6. Préparez un plan de réponse aux incidents : procédures, rôles, contacts d’urgence
Votre dispositif de cybersécurité pour les vacances dans votre entreprise doit aussi nécessairement comprendre un plan de réponse aux cyberattaques. Celui-ci mobilise :
- Des intervenants (internes ou externes dans le cadre d’un contrat d’infogérance), identifiés et formés pour agir en fonction des cyberattaques
- Des moyens techniques adaptés
- Des moyens pédagogiques pour expliquer comment sensibiliser vos collaborateurs à la cybersécurité
Ce plan de réponse aux incidents doit détailler :
- La procédure à enclencher selon les remontées d’alerte (niveau et seuil d’escalade)
- Les ressources humaines à mobiliser
- Les procédures d’identification de l’attaque
- Les ressources techniques à rassembler pour circonscrire l’attaque et éradiquer la menace
- La procédure de sauvegarde et de restauration des données
Le plan de réponse aux incidents intègre une phase de documentation pour analyser les causes, évaluer l’efficacité de la réponse, et assurer la traçabilité et la conformité des actions entreprises. Cette documentation sert de référentiel pour faire évoluer la stratégie de cybersécurité pour les vacances dans votre entreprise et améliorer la résilience de votre SI face à des attaques toujours plus sophistiquées.
7. Sécurisez les accès en mobilité et télétravail : VPN, interdiction des réseaux publics, authentification renforcée
Avec des collaborateurs qui se connectent à distance pour télétravailler pendant l’été, votre dispositif de cybersécurité pour les vacances dans votre entreprise doit aussi penser à sécuriser vos accès à distance. Cela consiste à vérifier que tous les terminaux mobiles et ordinateurs portables sont à jour et bien équipés de systèmes de sécurité : VPN, firewall, antivirus, anti-phishing, protection des attaques réseaux, protection serveur de messagerie… conformes aux standards de votre entreprise. Vous devez aussi vous assurer que les bonnes pratiques de sécurité informatique sont bien respectées.
8. Protégez le matériel et les documents sensibles : chiffrement, verrouillage, gestion des supports physiques
Pour prévenir les fuites ou le vol de données, le plan de cybersécurité pour les vacances dans votre entreprise doit prévoir le chiffrement systématique des données sensibles sur les postes, en local et à distance.
Il doit aussi inclure la sécurité et la protection physique des différents équipements et supports mobiles. Il s’agit de s’assurer du verrouillage des sessions et des postes, et de l’ancrage physique des équipements (antivol, cadenas…). Le contrôle repose sur l’inventaire de votre parc actualisé, permettant d’identifier les équipements, leur localisation et les utilisateurs.
9. Organisez la communication interne : désignation des remplaçants, brief cybersécurité
Pour garantir l’efficacité de la cybersécurité pour les vacances dans votre entreprise, l’implication de tous les collaborateurs est essentielle. Cet engagement passe par une communication interne claire sur les règles à appliquer pour une utilisation sécurisée de l’informatique et le comportement à avoir en cas de cyberattaque. Le nom du responsable du système d’information et de la cybersécurité pendant la période estivale doit être indiqué, ainsi que les moyens de le joindre ou de lui remonter une alerte le cas échéant.
10. Faites valider votre dispositif par un expert : audit flash, revue d’accès, validation finale
Dernier point de cette checklist en phase avec les bonnes pratiques de l’ANSSI pour les congés, faire valider votre dispositif par un expert en cybersécurité interne, voire externe (si des ressources externes complètent vos équipes informatiques en période estivale). L’intégralité de votre dispositif de cybersécurité pour les vacances dans votre entreprise sera passée en revue, et vous bénéficierez d’un audit cybersécurité personnalisé.
Bonus : l’audit cybersécurité SaycurIT pour partir l’esprit léger
Pour vous accompagner lors de la préparation et la mise en place de votre plan cybersécurité pour les vacances dans votre entreprise, l’agence SaycurIT réalise un audit 360° en cybersécurité. Cet audit couvre l’ensemble des composants de votre système d’information :
- Infrastructures hardware (serveurs et terminaux connectés) et software
- Infrastructures réseaux (LAN, MAN, WAN)
- Infrastructures sécurité
- Gestion des données, règles de sécurité et conformité
- Gestion des identités et des accès
- Administration du SI, optimisation
- Dispositifs de surveillance et de détection des cyberattaques…
Réalisé selon une méthodologie rigoureuse, cet audit permet :
- D’identifier vos vulnérabilités et les écarts par rapport aux bonnes pratiques de cybersécurité (normes ISO, bonnes pratiques ANSSI, NIST…)
- De prioriser les actions pour renforcer durablement la sécurité de votre SI, en prenant en compte vos enjeux stratégiques, vos contraintes réglementaires et votre environnement technique
