Fondations techniques
Les fondations de sécurité TI que toute PME devrait avoir
Six mesures qui écartent la majorité des scénarios réalistes, et pourquoi la plupart des organisations en possèdent déjà une partie sans le savoir.
L'essentiel
- Six mesures couvrent l'essentiel des scénarios réalistes auxquels une PME est exposée.
- Elles se traitent dans un ordre : les accès d'abord, parce qu'un défaut à ce niveau annule le reste.
- Une part significative est souvent déjà incluse dans les licences en cours, sans avoir été activée.
- Aucune ne nécessite une équipe interne ; toutes nécessitent que quelqu'un en soit responsable.
Pourquoi six mesures, et pas trente ?
Parce que les scénarios qui touchent réellement les PME sont peu nombreux et se répètent : un accès détourné, une pièce jointe ouverte, une sauvegarde inutilisable, un composant non mis à jour. Les mesures qui écartent ces scénarios sont donc elles aussi peu nombreuses. Le reste relève d'un niveau d'exigence supérieur, utile plus tard.
Cette économie de moyens n'est pas une simplification commerciale : c'est ce que recommandent les autorités publiques, qui publient des listes de contrôles de base délibérément courtes à destination des petites organisations.
L'erreur symétrique existe aussi. Une organisation qui déploie trente mesures sans avoir traité les six premières obtient une posture sophistiquée et fragile : beaucoup d'outillage, et une porte d'entrée toujours ouverte.
L'ordre compte donc autant que la liste. Nous commençons systématiquement par les accès, parce qu'un défaut à ce niveau rend inopérant tout ce qui a été fait ailleurs.
Quelles sont ces six fondations ?
Authentification à plusieurs facteurs, sauvegardes 3-2-1 testées, gestion des mises à jour, moindre privilège, cloisonnement des accès distants, et protection de la messagerie. Elles se recoupent largement avec ce qu'exigent aujourd'hui les assureurs et les donneurs d'ordre : les traiter sert donc plusieurs fins à la fois.
- Authentification à plusieurs facteurs. Sur la messagerie, les accès distants et les comptes d'administration. C'est la mesure au meilleur rapport entre effort et risque écarté, et celle qui souffre le plus d'exceptions accordées par confort.
- Sauvegardes 3-2-1, testées. Trois copies, deux supports, une hors site, et surtout une restauration réellement effectuée à date connue. Une sauvegarde jamais restaurée reste une hypothèse.
- Mises à jour et correctifs. Un processus, même simple, qui couvre les postes, les serveurs et les équipements réseau. L'absence de processus se voit : ce sont toujours les mêmes machines qui sont oubliées.
- Moindre privilège. Des comptes d'administration séparés des comptes courants, et une revue périodique de qui dispose de quoi. Les droits s'accumulent silencieusement au fil des années.
- Cloisonnement des accès distants. Limiter ce qu'un accès distant permet d'atteindre, plutôt que d'ouvrir l'ensemble du réseau à quiconque se connecte.
- Protection de la messagerie. Authentification du domaine, filtrage, et surveillance des règles de redirection automatique : un vecteur discret et fréquemment utilisé.
Ce que vous payez déjà sans l'utiliser
Une part significative de ces fondations est fréquemment incluse dans des licences déjà souscrites (les suites bureautiques d'entreprise notamment)sans avoir jamais été activée. Le constat change la nature du travail : il s'agit de configurer et de documenter, pas d'acquérir.
Cette situation n'a rien d'anormal. Ces fonctions sont rarement actives par défaut, leur activation demande des décisions qui engagent les utilisateurs, et personne n'a le temps de faire l'inventaire de ce qu'une licence contient.
Elle a une conséquence pratique. Avant toute recommandation d'achat, nous vérifions ce que couvre l'existant. C'est aussi ce qui rend nos recommandations vérifiables : nous ne revendons aucune licence, donc conclure « vous avez déjà l'outil » ne nous coûte rien.
Lorsqu'un achat reste nécessaire, vous le faites directement auprès de l'éditeur ou de votre revendeur habituel.
Et l'impact sur les utilisateurs ?
Il est réel et il se prépare. L'authentification à plusieurs facteurs ajoute un geste quotidien ; le moindre privilège retire des droits que certaines personnes utilisaient. Traiter ces mesures comme un déploiement purement technique est la meilleure façon de les voir contournées.
La séquence qui fonctionne est toujours la même : annoncer, expliquer le motif, déployer par groupes, et traiter les cas particuliers avant qu'ils ne deviennent des exceptions permanentes.
Les exceptions, justement, méritent une attention particulière. Elles sont presque toujours demandées par les personnes dont les accès sont les plus sensibles (direction, finance, administration)c'est-à-dire exactement celles qu'un attaquant vise en priorité.
Une exception peut se justifier. Elle doit alors être écrite, limitée dans le temps, et revue. Une exception orale et permanente est un trou documenté nulle part.
Questions fréquentes
Moins que ce qu'on anticipe, à condition de choisir la bonne méthode et de ne pas la demander à chaque action. Sur un poste habituel dans un lieu habituel, la vérification est rare. Ce qui crée le rejet, ce n'est pas la mesure, c'est son déploiement sans explication ni accompagnement, et c'est précisément la partie que l'on traite avec vous.
La seule façon de le savoir est de restaurer. Une sauvegarde qui s'exécute sans erreur n'est pas une sauvegarde vérifiée : il faut avoir récupéré un fichier, une base, un serveur entier, et mesuré le temps que cela prend. Beaucoup d'organisations découvrent à cette occasion que la restauration est possible mais prendrait plusieurs jours : ce qui change complètement leur plan de continuité.
Pas nécessairement, et nous commençons toujours par vérifier ce que l'existant couvre. Dans beaucoup de situations, les fonctions nécessaires sont présentes dans les licences en cours mais désactivées. Nous ne recommandons un changement que lorsque l'écart est réel et documenté, et comme nous ne revendons aucune licence, cette recommandation ne nous rapporte rien.
C'est possible mais rarement souhaitable. Déployer six mesures simultanément multiplie les points de friction et rend impossible d'identifier ce qui pose problème. Nous procédons par étapes, en commençant par les accès, avec une vérification à chaque palier. Le rythme s'adapte à votre capacité d'absorption, pas l'inverse.
Quelqu'un de nommé, en interne ou chez un prestataire, avec un point de contrôle périodique. Ce n'est pas une charge lourde, mais elle ne peut pas être implicite : sans responsable désigné, ces mesures se dégradent silencieusement. C'est l'une des raisons d'être d'un accompagnement continu.
Sources
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Centre canadien pour la cybersécurité : sauvegarder et récupérer vos données · recommandations sur la règle 3-2-1
- Commission d'accès à l'information du Québec · exigence de mesures de sécurité proportionnées à la sensibilité des renseignements
Votre infrastructure est-elle prête pour la prochaine menace ?
Un diagnostic initial, sans engagement, pour évaluer votre posture de sécurité.