Dans l’univers des menaces internes (4e partie) : Conclusions

Par Norman Girard, Vice Président et directeur général Europe de Varonis

Nous avons abordé bien des domaines dans cette série d’articles sur les menaces internes. Pour résumer, les pirates de l’intérieur qui commettent des actes de sabotage informatique ou de vol d’informations sensibles sont essentiellement des employés techniciens avec une prédisposition aux comportements destructifs. Toutefois, il existe généralement un événement déclencheur associé à une déception professionnelle qui fait basculer ces collaborateurs en état de mécontentement.

Est-il possible de prendre des mesures pour prévenir un incident interne ou minimiser les risques de voir un employé se transformer en rebelle ?

L’équipe de chercheurs du CERT de la CMU dont j’ai mentionné les statistiques et les modèles offre également un conseil très pratique pour contrôler les menaces internes. J’ai déjà indiqué la surveillance précoce et même les interventions directes en tant que manière de signaler à un pirate interne potentiel que la société prend les questions de sécurité au sérieux. Dans la même veine, des campagnes de formation et de sensibilisation à la sécurité et à la confidentialité des données menées à l’échelle de l’entreprise permettent d’éviter le piège de la confiance.

Pour conclure cette série d’articles, j’ai parcouru les meilleures pratiques recommandées par le CERT en matière de menaces internes et j’en ai extrait ces cinq conseils essentiels :

• Mettez en place des stratégies de mot de passe rigoureuses. Bien évidemment, vous devez toujours imposer des mots de passe forts et interdire l’utilisation des mots de passe courants. Mais cet aspect devient encore plus important quand des pirates internes sont en question. Si ceux-ci sont des administrateurs système, ils ont probablement accès aux valeurs de hachage des mots de passe. Et comme nous le savons grâce à notre concours Smarter Than a Hacker (plus intelligent qu’un hacker), les mots de passe faibles produisent des valeurs de hachage susceptibles d’être décryptées au moyen d’outils disponibles dans le commerce. Ne facilitez pas la vie aux pirates : restez intransigeant sur tous les mots de passe.
• Imposez des accès de moindre privilège et la séparation des tâches. Les lecteurs de The Metadata Era connaissent bien notre prosélytisme en ce qui concerne les droits d’accès minimaux : soyez avare de droits d’accès aux fichiers et aux dossiers. Bien sûr, il vous faudra mettre en place une surveillance des accès des utilisateurs et un système de traitement des nouvelles demandes d’accès. La séparation des tâches devient critique à ce niveau. Les employés qui demandent de nouveaux accès doivent être différents de ceux qui les accordent. Ce principe doit aussi concerner les logiciels : l’équipe qui teste une nouvelle application ne doit pas être celle qui la développe. C’est le meilleur moyen de prévenir les bombes logiques.
• Restez sur vos gardes pendant la période qui précède immédiatement le départ ou la rétrogradation d’un collaborateur. Nous revenons ici aux déclencheurs qui poussent une personne dans la zone des menaces internes. Selon le CERT, le licenciement constitue généralement l’événement final qui pousse un employé prédisposé à entreprendre des actions techniques malveillantes. Un service informatique sur ses gardes doit connaître tous les chemins d’accès du collaborateur sur le départ et les fermer avant l’apparition de mauvaises nouvelles. Et si un employé mécontent part de sa propre initiative, le service informatique doit avoir remarqué tout événement précurseur et avoir déjà entrepris de surveiller son activité.
• N’oubliez pas les tiers et les prestataires. Il est facile d’oublier que l’intranet d’une entreprise est ouvert à d’autres que ses seuls employés. Très probablement, des clients, des fournisseurs et des prestataires externes ont reçu des informations de connexion. Ils comptent donc eux aussi comme des pirates internes ! Même si vous ne pouvez probablement pas observer leurs événements précurseurs de manière directe, vous devez surveiller soigneusement l’activité de ces acteurs externes. Le paramétrage par défaut en ce qui concerne les tiers doit permettre de journaliser et d’auditer l’activité du réseau et des fichiers.
• Effectuez toujours vos sauvegardes. Étant donné que le sabotage informatique prend très fréquemment la forme de suppression massive de données, les entreprises doivent impérativement planifier la récupération de leur système de fichiers. Bien entendu, cela exige une sauvegarde plus fréquente des données essentielles ainsi que celle d’autres données moins critiques, mais importantes. Il vous faut voir les choses sous l’angle d’un jeu de stratégie et envisager divers scénarios catastrophes. Par exemple : « si un employé effaçait ou désactivait notre serveur principal, que ferions-nous ? »

The post Dans l’univers des menaces internes (4e partie) : Conclusions appeared first on Varonis Français.