GUIDE DE SENSIBILISATION :
LA SECURITE INFORMATIQUE.
Introduction :
Ce document a pour but de vous sensibiliser à la sécurité informatique, de vous transmettre les bonnes pratiques à adopter et de vous informer de celles
à ne pas adopter.
Définition de l’ANSSI :
L’ANSSI, l’Agence Nationale de la Sécurité des Systèmes d’Information est un service français chargé de la sécurité informatique, et a été créée par
Guillaume Poupard le 07 Juillet 2009.
Elle est l’autorité nationale en matière de sécurité des systèmes d’information et, à ce titre, en matière de défense des systèmes d’information.
Ses missions sont multiples, mais son rôle principal est qu’elle est chargée de détecter et d’alerter la présence d’attaques informatiques. Elle veille notamment à la protection de l’Etat concernant les données informatiques.
Elle est composée de 4 sous-directions : 2 concernant les affaires générales… :
- Le Centre Opérationnel de la SSI.
- La Sous-Direction d’Expertise.
…et 2 concernant la stratégie : - Le Système d’Information Sécurisé.
● Les bonnes pratiques à adopter lors de l’utilisation d’un terminal mobile (Ordiphone, tablette, ...) :
+ Changer son mot de passe régulièrement. (Il est recommandé de ne pas dépasser les 3 mois avec un même mot de passe).
+ Configurer le verrouillage automatique du terminal dans un court délai. (Il est recommandé de verrouiller automatiquement son terminal au bout de 5 minutes maximum).
+ Mettre un mot de passe “fort” (contenant divers caractères : majuscule, minuscule et chiffres) notamment sur les terminaux contenant des informations sensibles. Dans le cas contraire, l’utilisation d’un code PIN (Code à 4 chiffres) peut être
suffisant. (A noter : plus un terminal est doté d’un mot de passe compliqué, moins il est susceptible d’être source de vol ou d’intrusion).
+ Définir un nombre de tentatives de mots de passe entrés, configurer un temps de blocage de plus en plus long puis finalement configurer la réinitialisation totale des données du terminal en cas d’un nombre de tentatives erronées trop
important. (Cela aura pour conséquence de ne laisser que quelques tentatives au hacker pour accéder à votre terminal, sinon les données s’effacent et il ne pourra plus rien récupérer).
+ Ne pas laisser votre terminal sans surveillance, gardez-le constamment sur vous. (En effet, même si vous disposez d’un mot de passe “fort”, un terminal peut être compromis en peu de temps sans que vous en ayez conscience).
+ Ne branchez pas votre terminal à un poste de travail non maîtrisé. (Cela pourrait permettre une connexion directe et non contrôlée avec votre terminal).
+ N’installez pas d’application et n’utilisez pas les applications pouvant être préinstallées. N’utilisez que celles définies explicitement par votre entreprise. (Les applications définies par votre entreprise ont subi une analyse complète de sécurité préalable afin de les juger sur différents critères, contrairement aux applications non autorisées. N’hésitez pas à désinstaller les applications pouvant être préinstallées si celles-ci ne figurent pas sur la liste des applications autorisées).
+ Assurez-vous régulièrement de la mise à jour des applications.
(Une application qui n’est pas à jour peut présenter une faille et ainsi permettre la corruption de votre terminal).
+ Assurez-vous de désactiver vos interfaces sans fil (Bluetooth, WiFi ou encore NFC) lorsque celles-ci n’ont pas d’intérêt à être activées. (Si ces interfaces sans fil restent activées, cela a pour risque la connexion d’un périphérique extérieur pouvant corrompre votre
terminal).
+ Evitez le plus possible de vous connecter à des réseaux WiFi publics. (Qui dit réseau public dit réseau non digne de confiance et dit risque d’interception et de vol d’informations). Si vous remarquez que votre terminal se connecte automatiquement dès lors qu’un WiFi public est disponible, veuillez désactiver cette fonctionnalité.
+ Si vous échangez au sujet d’informations dites “sensibles”, ne le faites que par canal chiffré de manière à ce qu’aucune information puisse être volée, divulguée ou puisse profiter à une personne extérieure. (L’utilisation de VPN peut notamment permettre ces échanges en sécurité).
+ Tout comme les applications, le système d’exploitation, lui aussi, se doit d’être constamment à jour. Dès lors que vous êtes informés par votre terminal ou par le gestionnaire de votre flotte mobile qu’une mise à jour est disponible, veuillez l’installer le plus rapidement possible. (Tout comme les
applications, un système d’exploitation non mis à jour peut contenir une faille et ainsi corrompre votre terminal et les données).
● Les bonnes pratiques à adopter quant à l’utilisation d’un terminal mobile lors d’une mission à
l’étranger :
A l’étranger, ces bonnes pratiques se découpent en 4 phases distinctes :
- Avant la mission :
+ Évitez d'accéder à vos données sensibles dans des lieux publics, laissez toujours vos affaires personnelles dans un lieu sécurisé.
+ Relisez et respectez les règles de sécurité préconisées par votre organisme et prenez connaissance de la
législation du lieu de destination. (N’hésitez pas à contacter votre supérieur ou votre employeur afin qu’il vous informe des différents contrôles que vous êtes susceptible de subir).
+ Utilisez le matériel dédié pour votre mission : ce matériel ne doit en aucun cas contenir des informations autres que celles nécessaires pour votre mission.
+ Faites une sauvegarde de vos données et enregistrez-la en lieu sûr.
+ Utilisez un filtre de protection d’écran pour éviter que d’autres personnes puissent lire vos informations.
+ Marquez votre appareil (avec un signe distinctif) afin d’éviter de le confondre avec un autre.(Notamment si une personne venait à inter-changer vos affaires).
- Pendant la mission :
+ Gardez toujours vos appareils et vos fichiers avec vous.
+ Utilisez toujours des mots de passe “forts”. (Contenant : chiffres, minuscules, majuscules, caractère spéciaux, ...).
+ Ne communiquez pas d’informations confidentielles par voie non sécurisée.
+ Effacez votre historique d’appel et de navigation.
+ En cas de saisie ou d’inspection de vos périphériques par les autorités, informez directement votre organisme.
+ Informez votre organisme en cas de perte ou de vol d’un équipement ou d’informations.
+ N’utilisez pas les équipements qui vous sont offerts. (Ils peuvent contenir des logiciels malveillants).
+ Ne connectez pas vos équipements à des postes informatiques ou périphériques qui ne sont pas de confiance.
+ N’utilisez pas les bornes de rechargement libre-service.
- Avant votre retour de mission :
+ Transférez vos données (sur le réseau de votre
organisme en connexion sécurisée ou par mail en mode chiffrement).
+ Effacez votre historique de navigation et votre historique d’appel.
- Après la mission :
+ Changez tous les mots de passe utilisés pendant votre voyage.
+ Analysez ou faites analyser vos équipements.
● Les bonnes pratiques à adopter lors de l’utilisation d’un poste de travail :
+ Ne connectez pas de terminaux au réseau, que ce soit en WiFi ou en filaire, s’ils ne sont pas maîtrisés par la
société. (Cela peut avoir pour conséquence l’installation d’un virus sur le réseau qui était déjà présent sur un terminal personnel par exemple).
+ Privilégiez des mots de passes “forts” (contenant minuscule, majuscule, chiffres…) et n’utilisez pas un même mot de passe pour plusieurs applications ou sites différents.
+ Il est fortement recommandé d’utiliser une
“authentification à 2 facteurs” si vous pouvez la mettre en place. (Pour vous connecter, vous aurez besoin d’au moins 2 facteurs différents : quelque chose que vous savez (mot de passe, signature, tracé de verrouillage), quelque chose que vous possédez (carte à puce, jeton USB, carte magnétique, un
téléphone afin de recevoir un SMS, ...), ou quelque chose que vous êtes (empreinte digitale).
+ Evitez de brancher des périphériques non maîtrisés par la société à un poste de travail. (Clé USB, disque dur, ordiphone, tablette, ...). Si vous n’avez pas d’autre solution, faites
d’abord examiner le contenu du périphérique par votre antivirus.
+ Ne transmettez des données dites “sensibles” que par voie sécurisée. (Utilisez un VPN, chiffrement, ...).
+ Vérifiez toujours l’expéditeur d’un e-mail avant d’ouvrir une pièce jointe. (Connaissez-vous l’expéditeur ? Devait-il vous envoyer ce document ? Est-ce utile de l’ouvrir ?). En cas de doute, tentez de joindre par un autre moyen l’expéditeur afin de vous assurer qu’il ait envoyé cet e-mail lui-même.
+ Ne transférez pas vos mails professionnels à une boîte mail personnelle. (Cela ne fait qu’augmenter les risques de vol d’informations).
+ Si vous remarquez que votre machine réagit bizarrement, déconnectez-la le plus rapidement possible du réseau.
(Un virus peut prendre la main sur votre machine et ainsi infecter tout le réseau).
