1. #1
    Chroniqueur Actualités
    Avatar de Michael Guilloux
    Homme Profil pro
    Consultant
    Inscrit en
    juillet 2013
    Messages
    2 006
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 27
    Localisation : Côte d'Ivoire

    Informations professionnelles :
    Activité : Consultant
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : juillet 2013
    Messages : 2 006
    Points : 64 172
    Points
    64 172
    Billets dans le blog
    2

    Par défaut Les 12 failles humaines de la sécurité IT en 2018, par Christophe da Fonseca

    Les 12 failles humaines de la sécurité IT en 2018, par Christophe da Fonseca
    Sales Development Manager France chez Paessler AG

    D'après Christophe da Fonseca, Sales Development Manager France chez Paessler AG, un éditeur de logiciels de surveillance de systèmes informatiques et réseaux, à chaque seconde dans le monde, une entreprise subit une cyberattaque. Mais ce sont généralement les erreurs de leurs collaborateurs qui en sont à l’origine, qu’il s’agisse d’espionnage industriel, de vol de données ou de sabotage.

    Cela confirmerait donc l'idée selon laquelle les humains représentent le maillon faible dans la chaîne de sécurité IT. Cette affirmation a beau avoir été rabâchée depuis des années, elle est toujours bien d’actualité en 2018, selon Christophe da Fonseca, et les responsables IT doivent encore faire face chaque jour au facteur humain.


    Christophe da Fonseca, Sales Development Manager France chez Paessler AG

    Pour pouvoir prendre des mesures appropriées, il estime donc qu'il est nécessaire de connaître les pièges les plus classiques dans lesquels tombent les collaborateurs et savoir repérer parmi ces derniers ceux qui ont des intentions malveillantes. C'est dans cette optique qu'il a dressé une liste des 12 failles humaines de la sécurité IT en 2018, que nous rapportons telles qu'il les a expliquées, à savoir :

    1. La connexion d’une clé USB inconnue

    La curiosité pousse certaines personnes à connecter à leur ordinateur des clés USB trouvées par hasard, sans en connaître l’origine. Un cybercriminel dispose pourtant de multiples opportunités avec une simple clé USB. Il peut par exemple utiliser un fichier infecté pour accéder à des données et des mots de passe (ingénierie sociale) ou exploiter une faille sans correctif connu et en faire profiter son réseau. Il peut même configurer une clé USB pour que celle-ci se fasse passer auprès de l’ordinateur pour un clavier qui exécute des commandes via des entrées de touches simulées. On appelle ça le HID Spoofing.

    2. La revente des données de l’entreprise

    Toute personne qui a déjà travaillé dans un département R&D sait à quel point les données de l’entreprise ont de la valeur. Vendre des plans, des recettes, des schémas de développement ou autres secrets business à des concurrents peut représenter une affaire en or pour les employés. Un collaborateur mécontent, une impulsion criminelle et une opportunité de transfert de données, des ingrédients suffisants pour entraîner une entreprise dans une situation de crise.

    3. Le vol de données clients lors d’un changement d’employeur

    Dans certains secteurs, c’est une pratique courante de prendre des données clients sensibles d’un employeur pour les emmener vers un autre. L’exemple classique est un responsable des ventes embauché chez un concurrent et qui revient peu de temps après vers ses anciens clients pour refaire des affaires. Cela peut paraître anodin, mais il s’agit pourtant bien d’un vol de données, pas moins grave que si l’employé conservait un ordinateur portable et la voiture de l’entreprise à la fin de son contrat de travail.

    4. Le fait que le confort l’emporte sur la sécurité

    L’inconvénient d’installer des mises à jour Windows ou Mac, c’est qu’il faut redémarrer l’ordinateur. Quant aux scans antivirus, ils ont tendance à ralentir la machine. Certains collaborateurs préfèrent donc se passer totalement de tels processus. S’il est possible pour eux de désactiver les mises à jour ou les antivirus, ils n’hésiteront pas à le faire et la sécurité IT en souffrira grandement !

    5. La fraude au président

    Cette arnaque consiste généralement pour un escroc à se faire passer pour le patron d’une entreprise par téléphone ou email et faire en sorte qu’un employé transfère une grosse somme d’argent vers un pays étranger. Le collaborateur embrouillé par l’autorité de son interlocuteur approuve ainsi la transaction. Cette escroquerie peut causer des dommages de plusieurs millions d’euros avec des conséquences parfois lourdes pour les entreprises touchées et les employés dupés.

    6. Les téléchargements et streaming non protégés

    La plupart des employés ont un accès direct à Internet sur leur lieu de travail. Et malgré l’amélioration constante des systèmes de sécurité IT et des filtres web, certains collaborateurs, pourtant expérimentés et avec une bonne connaissance IT, trouvent tout de même le moyen d’accéder à des contenus à risque. Certains d’entre eux n’hésitent pas à streamer des films récents le soir sans surveillance ou à télécharger une masse de fichiers douteux, potentiellement malveillants.

    7. Les incidents de sécurité dissimulés

    Dans 40 % des entreprises dans le monde, des collaborateurs ont déjà caché sous le tapis des incidents liés à la sécurité IT (sondage Kaspersky/B2B International auprès de 5000 entreprises). Ces incidents de sécurité peuvent être des escroqueries ou des attaques de malware, ayant entraîné des transferts de programmes malveillants sur l’ordinateur du collaborateur. Si un employé concerné garde le silence à propos de cet incident, le code malveillant peut se propager sur le réseau de l’entreprise.

    8. Le BYOD (Bring Your Own Device Devil !)

    Quand les collaborateurs apportent leurs propres appareils mobiles dans l’entreprise, c’est le diable qui entre ! Les données sensibles de l’entreprise transitent ainsi sur des smartphones privés, sans pour autant que ceux-ci soient sécurisés. Un smartphone sur lequel des chiffres de ventes récents sont transférés dans l’après-midi peut ainsi être pris en main dans un bar le soir même pour une séance photo des dernières vacances. Et la perte possible d’un appareil mobile peut être problématique : d’après une étude, plus de la moitié de tous les incidents de sécurité dans les entreprises seraient causés par la perte de tels appareils.

    9. L’abus de confiance

    Beaucoup de cybercriminels savent abuser de la confiance des gens. En entreprise, il est fréquent qu’un administrateur IT appelle l’un de ses collègues au téléphone et lui demande son mot de passe. Soit parce que cela facilite la télémaintenance, soit pour gagner du temps, voire pour éviter de se déplacer. Et généralement, ce collègue lui indique son mot de passe sans sourciller. Et si ce soi-disant administrateur IT avait été un cybercriminel inconnu ? Cet exemple est déclinable de multiples façons.

    10. La négligence

    Les collaborateurs qui ne se sentent pas concernés sont des poisons pour toutes les entreprises. Non seulement ils sont rarement productifs, mais ils représentent également une vulnérabilité potentielle en termes de sécurité IT. Leur attitude « je-m’en-foutiste » peut se refléter dans tout ce qui concerne la sécurité. Qu’il s’agisse de la gestion laxiste des mots de passe, de la divulgation d’informations sensibles à n’importe qui ou encore la distribution trop large de droits d’accès lors de partages de fichiers avec des partenaires externes, la sécurité est constamment compromise avec ce type de collaborateurs.

    11. Le spam et le phishing

    La faille la plus classique de la sécurité IT est toujours très populaire ! Il est donc toujours fortement déconseillé d’ouvrir par curiosité les pièces jointes d’emails provenant d’expéditeurs inconnus ou encore d’entrer des informations sensibles dans des champs de saisie suspects. Car ces erreurs continuent de causer des pertes annuelles qui se comptent en milliards pour les entreprises.

    12. Le fait de ne pas garder un oeil sur le patron

    Non, le PDG ou chef d’entreprise n’est pas meilleur que les autres en matière de sécurité. Celui ou celle qui dirige l’entreprise doit également figurer dans la liste des éléments à surveiller de près. De nombreux patrons ont en effet le sentiment d’être au-dessus de ce type d’erreurs et rejettent ainsi les logiciels de sécurité en pensant que de telles choses ne peuvent pas leur arriver. Pourtant, tout ce qui a été présenté précédemment s’applique tout autant à eux, et peut se résumer en 5 catégories :
    • faible sécurité du mot de passe
    • manipulation imprudente des données
    • sécurité logicielle inadaptée
    • gestion inefficace de l’accès aux données
    • faible sensibilisation à la sécurité

    Les failles humaines sont donc nombreuses, mais cela ne doit pas décourager de tendre vers un environnement IT sécurisé, car bon nombre de ces vulnérabilités peuvent être corrigées et la compréhension des collaborateurs en matière de données et d’IT peut toujours être améliorée.

    Source : Communiqué de presse

    Et vous ?

    Que pensez-vous de l’avis exprimé ici par Christophe da Fonseca ?
    Quelles sont les failles les plus dangereuses selon vous ? Et comment s’en prémunir en tant qu’entreprise ou en tant qu’individu ?

    Voir aussi :

    70 % des exécutables malveillants au 1S18 étaient inconnus des services de réputation comme VirusTotal, selon un rapport
    De nombreux systèmes de sécurité n'arrivent pas à détecter des liens malveillants dans les e-mails, selon une étude récente de Mimecast
    Une société de spyware a exposé des « téraoctets » de données personnelles, y compris des selfies, des messages texte et des données de localisation
    73 % des brèches de sécurité dans les réseaux d'entreprises sont dues aux applications web, selon Kaspersky Lab
    Plus de 10 000 vulnérabilités ont déjà été découvertes durant le premier semestre 2018, d'après un rapport qui s'attend à la même tendance au 2S18
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre habitué
    Homme Profil pro
    Développeur informatique
    Inscrit en
    octobre 2006
    Messages
    99
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Développeur informatique

    Informations forums :
    Inscription : octobre 2006
    Messages : 99
    Points : 171
    Points
    171

    Par défaut

    Pour moi, rien que l'utilisation de Windows est une faille de sécurité, les téléphones portable une autre, étant donné que ce qui est installé dessus n'est pas contrôlé, le micro et la caméra sont des failles.

  3. #3
    Membre régulier
    Homme Profil pro
    Responsable de service informatique
    Inscrit en
    mai 2011
    Messages
    38
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Yvelines (Île de France)

    Informations professionnelles :
    Activité : Responsable de service informatique
    Secteur : Industrie

    Informations forums :
    Inscription : mai 2011
    Messages : 38
    Points : 79
    Points
    79

    Par défaut

    Tout système connecté au réseau interne et le Web est un risque, et l'utilisateur est le principal danger, même inconsciemment.

    Le monde SharePoint est une nouvelle menace aussi, plus besoin d'être en entreprise pour injecter des fichiers douteux ...

  4. #4
    Membre habitué
    Homme Profil pro
    Consultant informatique
    Inscrit en
    octobre 2012
    Messages
    62
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 42
    Localisation : Suisse

    Informations professionnelles :
    Activité : Consultant informatique
    Secteur : Finance

    Informations forums :
    Inscription : octobre 2012
    Messages : 62
    Points : 180
    Points
    180

    Par défaut

    Citation Envoyé par survivals Voir le message
    Pour moi, rien que l'utilisation de Windows est une faille de sécurité, les téléphones portable une autre, étant donné que ce qui est installé dessus n'est pas contrôlé, le micro et la caméra sont des failles.
    Roh le troll sur Windows
    Soyons professionnel, vous pouvez étayer un peu ces propos ?
    Parce qu'au final l'article met bien en avant que le problème est les utilisateurs, pas l'OS.
    Le micro et la caméra utilisé malgé l'utilisateur c'est en effet un problème, d'autant plus qu'on sait déjà qu'on peut se passer d'un OS pour envoyer des données récoltées sur les périphériques. Eh oui, un firmware de chipset audio ça se pirate aussi et ça depuis des années.
    Rien ne garanti même que les fabricants n'y incluent pas des backdoors, de nos jours plus rien ne nous étonne.

  5. #5
    Membre averti
    Inscrit en
    mai 2007
    Messages
    281
    Détails du profil
    Informations forums :
    Inscription : mai 2007
    Messages : 281
    Points : 374
    Points
    374

    Par défaut

    Citation Envoyé par squizer Voir le message
    Roh le troll sur Windows
    Soyons professionnel, vous pouvez étayer un peu ces propos ?
    Parce qu'au final l'article met bien en avant que le problème est les utilisateurs, pas l'OS.
    Le micro et la caméra utilisé malgé l'utilisateur c'est en effet un problème, d'autant plus qu'on sait déjà qu'on peut se passer d'un OS pour envoyer des données récoltées sur les périphériques. Eh oui, un firmware de chipset audio ça se pirate aussi et ça depuis des années.
    Rien ne garanti même que les fabricants n'y incluent pas des backdoors, de nos jours plus rien ne nous étonne.
    Oui c'est un troll (drôle), mais avec un fond de vérité, les besoins en logiciels de sécurité ne sont pas les même sous Linux que sous Windows, et surtout on a tendance à penser au "tout windows" :
    Je ne suis pas du tout anti-Windows et on peut faire du bon développement sous Windows (C#), mais une partie des développeurs seraient beaucoup plus au point sous Linux en terme d'outillage (docker, ssh bash, environnement serveur cible dpkg ou rpm). Ce qui est dommage c'est que l'administration réseau a tendance à être orientée utilisateur classique donc plutot Windows, et donc à proscrire totalement linux, ce qui limiterai "la casse" car une bonne partie des virus proviens des install de produit, et sous linux, on installe en général depuis un dépot, voire via une image docker (windows aussi mais bon) et dans ce cas la -- pas besoin d'antivirus effectivement.

    Edit: ceci pour parler du cas particulier des développeurs, qui ont souvent besoin d'installer des outils custom, source d'infection s'ils proviennent de sources peu fiable.

Discussions similaires

  1. Réponses: 73
    Dernier message: 03/12/2013, 10h51
  2. Réponses: 6
    Dernier message: 03/12/2009, 10h11
  3. Prevx [les dessous d'un logiciel de sécurité]
    Par maxim_um dans le forum Sécurité
    Réponses: 1
    Dernier message: 04/05/2009, 12h15
  4. les différentes failles Sql
    Par Info2008 dans le forum Langage SQL
    Réponses: 7
    Dernier message: 03/03/2008, 23h05

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo