Cybersécurité dans l’après COVID-19 : 10 façons de protéger votre entreprise et de vous concentrer sur la résilience

Au lendemain de la pandémie de COVID-19 et de la mise en œuvre des directives de distanciation sociale, du changement des processus d’affaires et des nouvelles réalités économiques en découlant, les entreprises doivent revoir leur infrastructure technologique et leurs mesures de cybersécurité.

Les changements rapides apportés par la COVID-19, y compris le passage d’une grande partie de la main-d’œuvre au télétravail et l’expansion de l’empreinte du commerce électronique, ont amené de nombreuses entreprises à mettre en œuvre de nouvelles capacités informatiques ponctuelles. Certaines solutions provisoires ont contourné les processus normaux d’élaboration, d’approbation et de déploiement, outrepassant ou enfreignant souvent les politiques de cybersécurité existantes tandis que l’activité de personnes mal intentionnées augmentait à l’échelle mondiale.

Préparation au monde post-pandémique

Alors que les mesures de distanciation sociale se relâchent – et que l’on redoute une deuxième vague possible de cas de coronavirus – les organisations devront atténuer les risques qui les menacent et adapter leurs activités à une « nouvelle normalité ». Cela nécessitera tout d’abord une évaluation approfondie des changements informatiques et de cybersécurité causés par la pandémie, dont certains ont été rapidement mis en place durant la phase de réaction à celle-ci, et ensuite des ajustements stratégiques des architectures d’entreprise, des contrôles de cybersécurité et des processus d’affaires basés sur des stratégies d’exploitation à long terme.

Même en temps dit « normal », les politiques accusent souvent du retard par rapport à la réalité des entreprises informatiques d’aujourd’hui. Au cours de la période de reconstruction post-pandémique, il faudra rattraper ce retard sur le plan des politiques et de la documentation. Certains changements apportés pour contrer la pandémie pourraient devoir être institutionnalisés; d’autres pourraient devoir être remplacés par des solutions permanentes plus sûres. Tous les changements doivent être examinés à la lumière d’un objectif de résilience qui assurera aux entreprises un avenir sous le signe d’une plus grande souplesse et d’une sécurité accrue.

À mesure que les sociétés se relèvent de leurs efforts de lutte contre la pandémie, nous pouvons prévoir certaines caractéristiques du monde des affaires dans l’après-COVID-19, notamment :

• Télétravail accru et institutionnalisé.
• Migration accélérée vers les infrastructures et les applications infonuagiques.
• Croissance de la fonctionnalité et de l’utilisation des outils de collaboration en ligne.
• Intensification du commerce électronique.
• Élargissement des surfaces de cyberattaque en raison de l’augmentation du télétravail.
• Plus grande attention portée à la résilience des entreprises.

Dans le monde de l’après-COVID-19, les 10 secteurs ci-dessous nécessiteront une attention particulière.

1. Solutions de télétravail

En prévision d’une augmentation permanente du télétravail, les entreprises devraient envisager les mesures suivantes :

• Fournir sur demande une bande passante suffisante pour la transmission de contenu, en particulier de vidéoconférences, entre des emplacements géographiquement éloignés.
• Établir un réseau privé virtuel (RPV) par le déploiement de clients RPV fondés sur le protocole de sécurité IP (Ipsec) ou d’autres solutions de connectivité sécurisée pour les postes de travail des employés.
• Gérer des processus d’identification et d’accès pour les employés à distance qui sont à la fois faciles à utiliser et conformes aux exigences de sécurité de l’entreprise.
• Mettre en œuvre des solutions de gestion des appareils mobiles en ce qui a trait à l’utilisation des appareils mobiles personnels fournis et approuvés par l’entreprise à des fins professionnelles. Envisager, de façon coordonnée, la mise en œuvre de politiques AVEC (« apportez votre équipement personnel de communication ») appropriées, comme celles décrites ci-dessous.
• Analyser de près l’utilisation par l’entreprise du protocole de bureau à distance (RDP), qui permet l’accès à distance aux systèmes et aux serveurs Windows et qui constitue une cible attrayante pour les pirates informatiques. Si l’utilisation de ce protocole est justifiée, les entreprises devraient envisager d’autoriser le recours à celui-ci uniquement avec l’authentification du point d’extrémité au niveau du réseau et d’y apporter des correctifs rigoureux, notamment pour corriger la faille BlueKeep sur tous les ordinateurs Windows.

2. Protection du périmètre externe

La multiplication des connexions à distance peut augmenter la surface de cyberattaque d’une entreprise. Les organisations pourraient protéger leurs périmètres externes en prenant les mesures suivantes :

• Mettre en œuvre le contrôle d’accès réseau (CAR) pour authentifier et valider les appareils et appliquer les politiques de sécurité avant de leur permettre de se connecter au réseau interne ou au réseau à distance de l’entreprise.
• Verrouiller les postes de travail des utilisateurs et les ordinateurs portables fournis par l’entreprise au moyen d’une configuration de sécurité définie, gérer la configuration de façon centralisée et éviter d’attribuer des privilèges d’administrateur aux utilisateurs finaux.
• Mettre en œuvre des capacités d’isolement des points d’extrémité distants et des capacités judiciaires qui répondent aux exigences de la chaîne de possession judiciaire.
• Mettre en œuvre des capacités facilitant la collecte et l’analyse de données de point d’extrémité distant pour détecter les activités non autorisées.

3. Services infonuagiques

Les services infonuagiques peuvent offrir des avantages considérables en matière de coûts, d’efficacité, de résilience et de sécurité par rapport aux solutions de stockage de données et d’hébergement d’applications. Toutefois, ces avantages requièrent que les services infonuagiques soient adoptés et gérés de façon délibérée et stratégique. Les entreprises devraient envisager les mesures suivantes :

• Adopter des stratégies officielles pour l’utilisation des services infonuagiques.
• Élaborer un inventaire complet de l’utilisation actuelle de l’infonuagique dans l’entreprise et rationaliser l’utilisation des services multiples;
• Définir des politiques de stockage de données décrivant les conditions requises pour l’utilisation des services infonuagiques, du stockage dans les centres de données et du stockage local, en particulier pour les renseignements sensibles.

Un courtier en sécurité de l’accès infonuagique est un logiciel sur place ou en nuage qui surveille les activités infonuagiques et applique les politiques de sécurité. Il aide à détecter et à surveiller l’utilisation des services infonuagiques au sein de l’entreprise, à appliquer les politiques de cybersécurité connexes, à signaler aux administrateurs les flux de données anormaux et à protéger les systèmes contre les logiciels malveillants.

4. Outils de collaboration sécurisés

Bien que les outils de courriel, de productivité au bureau et de vidéoconférence aient été essentiels pendant la pandémie, les entreprises peuvent choisir d’innover en adoptant et en utilisant des outils de collaboration sécuritaires supplémentaires. Les organisations devraient explorer les nouvelles technologies, comme la réalité augmentée ou virtuelle ou les services de robot conversationnel pour la livraison de contenu, autant de solutions qui pourraient améliorer leurs activités.

5. Politique sur la cybersécurité

Il faut actualiser les politiques sur la cybersécurité pour qu’elles abordent les capacités, l’architecture et les processus informatiques déclenchés par la pandémie.  Les organisations devraient penser à évaluer les risques et à déterminer des mécanismes d’exécution, comme l’authentification multifactorielle, l’authentification unique et la fermeture automatique de session sur les appareils sans surveillance.

6. Politique AVEC

De nombreuses entreprises ont choisi de permettre aux employés d’utiliser leurs appareils personnels, notamment des ordinateurs portables, des téléphones cellulaires et des tablettes, pour les activités de l’entreprise pendant la pandémie, même si certaines avaient mis en place des interdictions avant l’état d’urgence. Des appels téléphoniques professionnels ont été acheminés vers des téléphones cellulaires personnels, des courriels ont été accessibles sur des appareils personnels et des employés ont été autorisés à accéder à des applications infonuagiques à partir de leurs propres appareils. Les organisations doivent établir une politique, l’examiner ou la modifier au besoin et documenter adéquatement toutes les mesures mises en œuvre pendant la pandémie.

7. Plan d’intervention en cas de cyberincident et de brèche de sécurité (ICBS)

Les entreprises qui ont des plans ICBS solides et à jour devraient envisager d’y intégrer les leçons tirées des activités d’urgence menées pendant la pandémie. Si elles n’avaient aucun plan ICBS, la nécessité de s’en doter devrait être évidente. Les entreprises peuvent prendre les mesures suivantes :

• Actualiser leurs plans ICBS et leurs plans de reprise après sinistre en fonction de leur contexte opérationnel actuel.
• Coordonner et comparer leurs plans ICBS avec leurs plans de reprise après sinistre, leurs plans de continuité des activités et leurs plans de gestion de crise afin de créer des ensembles complets de documents de planification en cas de crise. Conserver ces documents en tant que plans évolutifs à mettre à jour régulièrement.

8. Chaîne d’approvisionnement et gestion des tiers

Les partenaires de la chaîne d’approvisionnement de votre entreprise ainsi que d’autres tiers ont peut-être transformé leur modèle d’affaires en raison de la pandémie. Les entreprises devraient envisager les mesures suivantes :

• Passer en revue les ententes avec des tiers, y compris les ententes sur les niveaux de service avec les fournisseurs informatiques, pour s’assurer qu’elles répondent aux exigences actuelles et qu’elles comportent des dispositions acceptables en matière de responsabilité civile.
• Effectuer des vérifications de cybersécurité et établir des exigences de vérification continue pour tous les tiers ayant un accès autorisé aux réseaux, aux systèmes ou aux données de l’entreprise.

9. Protection financière et reprise en cas de cyberattaque

Les changements apportés à votre infrastructure informatique, de l’ajout d’actifs matériels à l’application de mesures de cybersécurité, doivent être pris en compte dans votre profil de cyberrisques, et des modifications doivent être apportées aux couvertures d’assurance au besoin. Étant donné que les cyberrisques ne concernent pas uniquement l’exploitation ou la technologie, il est essentiel que l’entreprise gère à la fois les risques menaçant son infrastructure informatique et ses risques financiers à l’échelle organisationnelle. Elle devrait envisager de souscrire une cyberassurance, qui peut offrir à coût intéressant une protection financière essentielle en cas de cyberattaque pendant une pandémie ou toute autre crise socio-économique importante. Les entreprises devraient prendre les mesures suivantes :

• Passer en revue leur couverture d’assurance actuelle, y compris pour y repérer les lacunes potentielles.
• Examiner comment les nouveaux défis en matière de cybersécurité s’intègrent à leur stratégie de transfert des cyberrisques.
• Être à l’affût des changements potentiels dans leurs modalités de protection au moment du renouvellement de leur police, car les assureurs évaluent les pertes et l’évolution des tendances en matière de réclamation après une pandémie.

10. Cyberactivités

L’environnement d’exploitation post-pandémique sera différent. Les entreprises devraient envisager les mesures suivantes :

• Surveiller la collecte et l’analyse centralisées des alertes de cybersécurité et les journaux de vérification pour détecter les activités suspectes ou malveillantes et réagir en conséquence.
• Vérifier et actualiser les profils du RPV et les règles du pare-feu pour que les employés bénéficient des privilèges appropriés en fonction de leur rôle.
• Mettre en œuvre des processus pour l’obtention des approbations auprès des responsables des données ou des systèmes en vue de l’autorisation ou du retrait de l’accès à distance au RPV de l’entreprise et à d’autres comptes associés à des applications commerciales essentielles.
• Désactiver la fonction de tunnellisation partagée pour les profils du RPV afin d’empêcher les employés à distance d’accéder simultanément à Internet et aux systèmes informatiques de l’entreprise à partir de leur ordinateur portable personnel.
• Créer un mécanisme simple pour signaler et transmettre les courriels suspects aux fins d’analyse technique.
• Fournir des solutions d’accès sécurisé avec une capacité suffisante pour le nombre accru d’utilisateurs à distance et un mécanisme de sécurité aux points d’extrémité.
• Imposer la mise à jour des logiciels dans les appareils informatiques fournis par l’entreprise aux employés travaillant à distance.
• Mettre en place l’authentification multifactorielle pour l’accès au RPV et aux systèmes informatiques essentiels.
• Augmenter la capacité du service de soutien informatique et prolonger ses heures d’ouverture pour gérer l’augmentation des demandes de services des employés travaillant à distance.

Résilience : la nouvelle priorité

Les capacités informatiques et de réseautage actuelles ont favorisé des stratégies qui ont permis à de nombreuses entreprises de se maintenir à flot pendant la pandémie. Toutefois, la crise actuelle a souligné la nécessité de se préparer à une grave perturbation des activités. Un récent sondage a révélé que plus d’un cinquième des organisations ont cherché de nouvelles solutions ou de nouveaux services de sécurité pour répondre à leur nouvelle réalité.

Les entreprises devraient songer à combiner leurs nouveaux investissements en cybersécurité à une cyberassurance bonifiée afin de réduire les risques non couverts, d’optimiser les dépenses en matière de protection et de conserver les ressources.

La pandémie a mis de l’avant de façon concrète et convaincante la nécessité pour les entreprises de faire preuve de résilience. La période de reprise et de préparation post-pandémique constitue pour les organisations l’occasion de se reconstruire selon une nouvelle normalité, avec la résilience de l’entreprise comme objectif omniprésent.