Bonnes pratiques

Nous vous proposons un memento, inspiré des recommandations de l’ANSSI et de Cybermalveillance, et augmenté de notre propre expérience, afin de vous aiguiller sur les bonnes pratiques à appliquer pour diminuer l’emprise des risques numériques. Les pratiques décrites ici restent générales : nous pouvons vous accompagner pour mettre en place ensemble un système adapté à votre cas précis.

I - Les gestes d'hygiène informatique

Cette première partie décrit les "gestes barrières" à appliquer au quotidien pour diminuer les risques numériques. Comme pour le Covid : rien ne protège à 100%, mais au plus on fait attention, au plus on se protège !

1 - Gestion de l’accès à vos données

L’on pense déjà aux mots de passe :

• Ils doivent être longs et complexes. L’on s’accorde sur le fait qu’un mot de passe « solide » prend la forme de minimum 12 signes mélangeant des majuscules, des minuscules, des chiffres et des caractères spéciaux, sans suite logique ;
• La règle doit être : à chaque compte utilisateur son propre mot de passe ;
• Les mots de passe attribués « par défaut » lors de la création d’un compte doivent être immédiatement remplacés ;
• Pour ne pas oublier cette multitude de mots de passe, il est conseillé d’utiliser un gestionnaire de mots de passe (par exemple KeePass) pour ne pas les noter dans le répertoire de son téléphone, sa messagerie, sur papier, ou les enregistrer sur le navigateur ;
• Il ne faut jamais donner son mot de passe à un tiers. Même dans le cas d’une maintenance, ou d’un dépannage informatique. Si votre mot de passe a été communiqué, il est impératif de le changer rapidement.

Un mot de passe n’est pas suffisant pour protéger l’accès à ses données. Ainsi, et dès que le service utilisé le permet, il est important de mettre en place un système de double authentification. Pour cela, nous conseillons d’utiliser une application de vérification de l’identité, telle que Microsoft Authenticator.

Afin que les mots de passe soient une protection efficace, il est important de penser à activer le verrouillage automatique de vos appareils (ordinateurs, smartphones, tablettes).

Ne prêtez pas votre ordinateur avec votre session ouverte : préférez la mise en place d’une session « invité ». De même, ne laissez pas votre téléphone à un enfant avec l’accès à toutes les applications ; il est préférable de mettre le téléphone en mode « kiosque » ou d’utiliser le contrôle parental.

Ne cliquez jamais sur un lien ou une pièce jointe qui vous semblent douteux de par sa présentation, sa grammaire, son contenu. En cas de suspicion, passez la souris sur le lien pour voir apparaître l'adresse vers laquelle il dirige et appréciez sa légitimité. Si le doute persiste, n’hésitez pas à contacter un professionnel.  

Ne répondez jamais à un mail suspect, même s’il provient d’une connaissance. Au moindre doute, contactez l'expéditeur par un autre canal.

Sur internet, réfléchissez au contenu que vous souhaitez partager, car il est fort probable qu’il dépasse la sphère de lecteurs visée initialement (partage d’idées ou d’informations qui doivent rester privées).

Installez toujours des logiciels et applications depuis les sites ou magasins officiels : n’utilisez pas de sites douteux, malgré les tarifs intéressants qu’ils peuvent présenter.

Il est important de s’assurer, quand on se débarrasse d’un appareil, que les données y ont été détruites, car celles-ci sont récupérables même si elles n’apparaissent plus - au premier abord - sur l’interface de l’appareil.

2 - En déplacement 

Nous recommandons également de placer sur vos appareils un filtre de confidentialité : c’est une protection qui se place directement sur l’écran et qui permet de limiter la vision des données affichées à la personne placée directement en face de l’écran seulement.

Il est préférable d’éviter l’utilisation d’ordinateurs publics. Si vous êtes contraints d’en utiliser un, évitez d’y manipuler des données sensibles (personnelles, professionnelles). Favorisez la navigation privée sur ces postes et n’oubliez pas de bien vous laver les mains après ! :)

Il est fortement déconseillé de se connecter à des réseaux publics ou inconnus : un réseau (WiFi ou filaire) mal protégé met en danger votre appareil. Ainsi, il est également conseillé de désactiver la fonction de connexion automatique aux réseaux WiFi, Bluetooth, NFC.

Ne vous servez pas de supports ou cordons USB (clés USB, câble pour la charge, périphériques de tout type) inconnus qui peuvent, une fois branchés, compromettre vos équipements.

Un accès VPN a principalement deux usages. Le premier permet de rendre illisibles les données qui transitent sur le réseau si celui-ci n’est pas maîtrisé (par exemple : accès à un réseau public dans un restaurant, un hôtel, une administration …). Le deuxième, lui, permet à un collaborateur d’accéder à des ressources disponibles sur le réseau de l’entreprise lorsque qu’il ne s’y trouve pas. Il permet une extension du périmètre du réseau pour la durée de la connexion. Cette pratique très courante n’est pourtant pas la panacée en termes de sécurité.

II - La mise en place d'un parc informatique bien pensé

Central dans la plupart des professions actuelles, l'outil informatique doit initialement soulager l'utilisateur et l'aider dans sa pratique : il doit être perçu comme un centre de profit, et non comme une charge ! Néanmoins, aujourd'hui, l'outil est très globalement perçu comme une boîte noire source de stress. C'est là que votre prestataire informatique peut et doit intervenir en mettant en place un système qui vous convient et vous soulage. Les prochaines recommandations sont alors des systèmes que votre prestataire peut mettre en place pour vous.

1 - Avoir un système résilient

Puisque votre appareil informatique se place comme outil dans le cadre de votre profession, il est important de réfléchir à sa capacité de surmonter des aléas informatiques pour conserver un fonctionnement optimal, afin que votre activité soit la moins impactée possible. En résumé : votre système informatique peut-il être rapidement fonctionnel après un incident / sinistre ? Il est donc crucial de se pencher sur cette question. 

Les chefs d’entreprise, dont la responsabilité est engagée légalement, doivent alors tout mettre en œuvre pour maîtriser la gestion des données de leur entreprise : ils peuvent décider de s’en occuper eux-mêmes, ou d’en déléguer la responsabilité à un Directeur des Systèmes d’Information ou à une entreprise tierce. Une bonne gestion des données doit assurer leur intégrité, leur sécurité et leur confidentialité. Si la sauvegarde des données n’est pas directement une obligation légale, une perte de données pouvant nuire au fonctionnement de l’entreprise, ou obérant sa capacité à répondre à un contrôle social ou fiscal, engage par contre la responsabilité du dirigeant. Entre autres, l’on peut penser aux données qui comportent une obligation d’archivage, ou des données de clientèle. Il est donc important de définir une méthode de sauvegarde adaptée à l’entreprise et permettant une continuité de son fonctionnement dans le cas d’une perte de données.

Pour ce faire, il faut mettre en place un plan de sauvegarde qui détaille les données à archiver et à protéger (en suivant notamment les obligations légales de conservation de ces données), la fréquence de sauvegarde, par quels moyens sont sauvegardées les données… Ce plan devra être régulièrement actualisé, et la qualité des sauvegardes doit être contrôlée (les données sont-elles utilisables ?).

Plus simplement, pour mettre en place une méthode de sauvegarde solide, il faut suivre le principe du 3-2-1 :

• Avoir au moins 3 copies de vos données,
• Sur 2 supports différents,
• Dont au moins 1 stocké hors ligne.

Entre autres, les sauvegardes se feront de préférence de manière automatique et régulière, sur des supports chiffrés.

Un plan de reprise ou de continuité d'activité peut être mis en place avec l'aide de votre prestataire informatique favori.

2 - Un environnement protecteur

Il est préférable de mettre en place un chiffrement des données sur tous vos appareils y compris les périphériques de stockage (carte SD, clé USB, disque externe …). Ceci permet de bloquer l’accès aux données contenues sur les supports physiques, qui est possible même sans mot de passe, notamment dans le cas d’une perte ou d’un vol de votre appareil.

Pour cette partie, il est conseillé de vous rapprocher d’un professionnel.

Pour protéger vos données, il est important de maintenir les systèmes et logiciels à jour : les mises à jour corrigent souvent des failles ou des dysfonctionnements. Nous suggérons de faire en sorte que les mises à jour se fassent automatiquement.

Si un équipement ne peut plus être mis à jour et qu’il doit tout de même être utilisé, il peut représenter un risque. Nous vous suggérons alors de contacter un professionnel pour mettre en place une solution vous permettant d’y accéder sans mettre en danger vos données et le reste de votre réseau informatique.

Il est impératif de mettre en place sur vos appareils une solution antivirus et de la garder à jour. Nous conseillons un antivirus ne demandant pas à l’utilisateur de faire des choix à sa place.

N’hésitez pas à contacter un professionnel pour être conseillé sur la pertinence de la mise en place d’un pare-feu sur l’appareil.

III - Bonus : smartphones et tablettes 

Il est important également de contrôler les accès donnés aux applications sur les appareils mobiles : votre nouveau Candy Crush ne doit pas avoir besoin d’accéder à vos photos !

Conservez le code IMEI de votre appareil mobile : Composé de 15 à 17 chiffres, le code IMEI est le numéro de série de votre appareil mobile. Il est généralement inscrit sur sa boîte d’emballage. En cas de perte ou de vol, ce code peut permettre de bloquer l’usage du téléphone sur tous les réseaux. Notez-le soigneusement et, si n'avez pas ce numéro, vous pouvez le récupérer (avant de perdre l'appareil !) en tapant *#06# sur votre clavier pour le téléphone.