Une bonne sécurité ne nécessite pas un budget de grand groupe. La plupart des intrusions passent par quelques failles élémentaires, et toute organisation peut les combler. Voici la liste de contrôle que nous parcourons avec nos nouveaux clients.
1. Mots de passe et connexion
Utilisez des mots de passe robustes et uniques, avec un gestionnaire de mots de passe
La réutilisation des mots de passe est la porte d'entrée la plus facile. Équipez chaque membre du personnel d'un gestionnaire de mots de passe pour que chaque compte ait un mot de passe long et unique que personne n'a besoin de retenir. Cela coûte peu et ferme la porte à toute une catégorie d'attaques.
Activez l'authentification multifacteur (MFA) partout
La MFA bloque la plupart des tentatives de prise de contrôle de compte, même après la fuite d'un mot de passe. Activez-la pour la messagerie, Microsoft 365 ou Google Workspace, la banque en ligne et tous les outils d'accès à distance. Si vous ne devez faire qu'une seule chose de cette liste, faites celle-ci.
2. Protégez vos données
Sauvegardez, puis testez la restauration
Appliquez la règle 3-2-1 : trois copies des données importantes, sur deux types de supports, dont une copie hors site ou dans le cloud. Tant que vous n'avez pas restauré à partir d'une sauvegarde, vous ne savez pas si elle fonctionne. Testez une vraie restauration au moins une fois par trimestre.
Maintenez les logiciels à jour
Les attaquants recherchent les vulnérabilités connues qui n'ont pas été corrigées. Activez les mises à jour automatiques des systèmes d'exploitation, des navigateurs et des applications. Remplacez le matériel et les logiciels qui ne reçoivent plus de mises à jour de sécurité.
3. Sécurisez le réseau et les appareils
- Pare-feu et Wi-Fi sécurisé : utilisez un véritable pare-feu professionnel, séparez le Wi-Fi invité de votre réseau interne et changez les mots de passe par défaut des équipements.
- Protection des postes : installez un anti-malware reconnu, géré de façon centralisée, sur chaque ordinateur portable et chaque serveur.
- Moindre privilège : ne donnez au personnel que les accès nécessaires à sa fonction, et fermez les comptes le jour même du départ d'une personne.
4. Formez votre personnel
Les outils bloquent beaucoup de choses, mais l'hameçonnage (phishing) vise les personnes. Une formation courte et régulière pour repérer un e-mail suspect, une fausse facture ou un « PDG » qui réclame un virement urgent est rentabilisée dès la première erreur évitée. Faites en sorte que le personnel puisse signaler un mauvais clic sans être blâmé. Plus vite vous êtes informé, moins les dégâts sont importants.
5. Préparez-vous à un incident
Décidez dès maintenant de ce que vous ferez en cas de problème. Un court plan de réponse aux incidents, rédigé par écrit, doit indiquer qui appeler en premier, comment isoler un système touché, qui communique avec le personnel et les clients, et comment restaurer à partir des sauvegardes. Faites-en un exercice une fois. Cela apprend davantage qu'un épais classeur que personne n'ouvre.
6. Connaissez vos obligations
Des règles de protection des données s'appliquent dans la région, et elles varient d'un pays à l'autre. Vérifiez celles qui concernent votre organisation :
- CEDEAO : l'Acte additionnel A/SA.1/01/10 relatif à la protection des données à caractère personnel (2010) fixe un cadre régional que les États membres sont censés appliquer.
- Côte d'Ivoire : la loi n° 2013-450 relative à la protection des données à caractère personnel s'applique aux organisations qui y traitent des données personnelles.
- Liberia : vérifiez les exigences nationales en vigueur et les éventuelles directives de votre régulateur sectoriel, par exemple la Central Bank of Liberia pour les établissements financiers.
Quelles que soient les règles applicables, publiez une politique de confidentialité en langage clair, ne collectez que les données personnelles dont vous avez besoin, et soyez prêt à expliquer où elles sont stockées et comment elles sont protégées. En cas de doute, consultez un juriste.
← Retour aux actualités et analyses