Beaucoup de cadres d’entreprises, en particulier des dirigeants, sont des voyageurs réguliers à travers le monde dans le cadre de leur emploi. Les pirates et les cybercriminels le savent parfaitement, ce qui constitue un facteur de risque que les entreprises ne devraient pas ignorer, d’autant que ces voyageurs disposent souvent d’accès privilégiés aux informations sensibles de leur Organisation.
Les adversaires sous la forme d’entreprises concurrentes, de gouvernements ou simplement de criminels ciblent tout spécialement les cadres supérieurs en déplacement d’affaires pour deux raisons essentielles : la personne et ce qu’elle représente, et l’information à laquelle elle a accès au sein de son Entreprise.
Alors même que les risques physiques évoluent peu, les risques liés à l’information ont progressé de façon importante durant ces dernières années. Il y a quelques années, le risque relatif à l’information se limitait aux documents papier que le cadre transportait avec lui. Maintenant, non seulement le voyageur d’affaire transporte une beaucoup plus grande quantité de données sensibles sur une collection d’appareils numériques (smartphone, tablette, ordinateur portable), mais de plus, ces données peuvent être copiées rapidement, silencieusement et sans en déssaisir la victime qui, souvent, ne s’en rendra même pas compte.
Pire encore, les terminaux numériques offrent un accès immédiat et éventuellement à plus long terme sur les actifs de l’organisation au travers du réseau d’Entreprise. Les pirates ont la capacité d’extraire les données non cryptées ou faiblement cryptées à partir de tout appareil, y compris les communications à destination et en provenance de ces dispositifs, qu’ils peuvent même modifier physiquement pour contrecarrer les meilleures mesures de sécurité et de cryptage.
Quelques règles de sécurité à l’usage des voyageurs
Dans le cadre du mois de la cyber-sécurité, AB Consulting vous présente un résumé des premières mesures de sécurité, les plus simples, que devraient prendre tous les voyageurs business afin de préserver la confidentialité et l’intégrité des données de l’Entreprise.
Faire preuve d’une extrême prudence avec les appareils mobiles
Cela peut sembler une évidence, mais l’un des plus grands risques de sécurité impliquant des cadres en déplacement est la perte ou le vol de leurs appareils mobiles ainsi que des données qu’ils contiennent.
Quelques facteurs font de cette menace un défi de taille. Le premier est que les gens ne savent plus se passer de leurs appareils, et ont tendance à vouloir les prendre avec eux où qu’ils aillent. Le second, c’est que, souvent, ils ne transportent pas seulement un appareil, mais plusieurs: smartphones, tablettes, ordinateurs portables, objets connectés (montre, …), etc.
Certains experts, comme Michael McCann, ancien chef de la sécurité des Nations Unies et maintenant président du fournisseur de services de sécurité McCann Services, recommandent que les dirigeants laissent systématiquement leurs appareils à la maison. Ceci est particulièrement vrai s’ils voyagent dans des pays à risques tels que la Chine par exemple. « Deuxième Conseil, assurez-vous que votre appareil est attaché à vous; ne le laissez jamais nulle part « , dit-il.
Tous les appareils mobiles doivent être équipés de technologies telles que la protection par mot de passe, le cryptage, la sauvegarde des données et l’effacement à distance des données stockées, dans le cas où le terminal viendrait à disparaître.
Lorsque vous quittez votre chambre d’hôtel, une précaution élémentaire consiste à enfermer votre appareil mobile dans le coffre-fort de la chambre.
A l’extérieur du bureau, gardez toujours un œil sur votre ordinateur portable et prenez toujours soin de le verrouiller quand vous n’êtes pas en train de l’utiliser.. A l’aéroport ne le faites pas passer au scanner à rayons X si vous n’êtes pas prêt à passer vous-même le contrôle. Ne laissez pas votre ordinateur ou votre tablette sur votre table dans un café ou un restaurant si vous vous levez pour commander un café. Cela ne prend que quelques secondes pour dérober un appareil et disparaître.
Assurez-vous que les connexions à distance sur le réseau d’Entreprise sont sécurisées
Les cadres en déplacement se connectent de façon régulière avec le siège afin de vérifier leurs e-mails ou pour accéder à l’information de l’Entreprise, ce qui constitue un maillon faible potentiel. Une bonne idée consiste à utiliser un canal de communication sécurisé ou un réseau privé virtuel d’entreprise (VPN) sécurisé pour toutes les connexions réseau à distance.
Une autre bonne pratique consiste à utiliser l’authentification multi-facteur avec l’utilisation de jetons à usage unique pour accéder aux applications et services lors de déplacements professionnels. Par exemple, l’accès aux applications critiques de l’Entreprise pourraient être sécurisé grâce à une authentification à deux facteurs tels que la combinaison nom d’utilisateur / mot de passe et un jeton à usage unique.
En utilisant les connexions distantes cryptées et une authentification renforcée sur des réseaux identifiés, les dirigeants peuvent accéder avec un risque minimum aux données dont ils ont besoin pendant leur déplacement.
Soyez conscient de votre environnement
Les cadres en déplacement doivent en permanence avoir une bonne idée du moment où ils sont en danger potentiel du point de vue de la sécurité de l’information.
Lors de vos déplacements professionnels, il est important pour vous d’avoir conscience de la situation : à qui parlez-vous et avec qui partagez-vous de l’information? Qui sait où vous allez? Partager ces information avec les mauvaises personnes peut faire de vous une cible facile.
Des mesures de sécurité efficaces nécessitent, non seulement une prise de conscience de l’environnement, mais de faire preuve de prudence, de jugement et de bon sens. C’est particulièrement vrai quand un dirigeant d’entreprise doit, dans le même temps, s’acclimater à des cultures, des coutumes et des lois différentes.
Dans certains cas, les cadres voyageant à l’étranger pour le compte de leur entreprise doivent être conscients qu’ils peuvent être la cible de cyber-criminels, d’agences de renseignement, de terroristes ou même de concurrents de leur Organisation s’ils sont en possession ou simplement bien informés sur des informations confidentielles.
Cela signifie qu’il faut absolument éviter tout bavardage indiscret qui pourrait mettre le cadre ou son entreprise en difficulté par des personnes malveillantes. Grâce à des technologies de pointe, quelqu’un pourrait être à l’écoute des conversations sans que les parties ne s’en aperçoivent.
L’affichage d’informations confidentielles sur votre écran dans une zone publique sans utiliser un filtre de protection d’écran peut entraîner des fuites de données. Quelqu’un peut même vous observer et déterminer votre mot de passe ou lire des informations confidentielles permettant l’accès au réseau d’Entreprise.
Informez toujours le département sécurité ou l’IT de vos plans de voyage
Faites-leur toujours savoir que vous êtes en visite au Nigéria, à New York ou n’importe où vous allez.
La plupart des Organisations ont mis en place des politiques de sécurité qui déterminent le degré d’accès et l’approche que l’organisation juge appropriée, en relation avec son appétit du risque, pour chaque personne concernée. L’accès au données sensibles sera un facteur déterminant dans l’identification des mesures que vos responsables de la sécurité exigeront que vous preniez.
Si possible fournissez vos plans de voyage. Si vous avez un système de monitoring de la sécurité sur votre réseau, cela peut être utile pour les personnes de votre centre d’opérations de savoir où vous voyagez. Une tentative d’accès au réseau depuis Sydney, que vous avez quitté il y a juste deux jours, ne déclenchera la sonnette d’alarme que si les personnes de l’équipe sécurité sont informées que vous avez quitté la ville il y a deux jours, et que vous êtes maintenant à Singapour.
Appuyez-vous sur le renseignement en matière de menaces
Les cadres qui prévoient de voyager devraient utiliser les bulletins d’information sur les menaces, similaires aux bulletins de mise en garde disponibles sur les menaces physiques publiés par le ministère des affaires étrangères. Un tel réseau de renseignement pourrait être créé en utilisant des capacités d’analyse avancée pour intégrer les cyber-menaces et les informations géospatiales incluant les hôtels, les centres d’affaires, les réseaux et les endroits où des entités malveillantes et hostiles sont connues pour opérer.
Les voyageurs d’affaires ne devraient seulement se connecter au Wi-Fi ou à des points d’accès à large bande que lorsque des authentifications et les détails de ces points d’accès sont pré-chargées sur leurs terminaux mobiles. Au retour du voyageur à son bureau, les appareils doivent être analysés afin de déterminer si, quand et comment ils ont été attaqués. Cette information peut ensuite être traitée par un moteur d’analyse et ajoutée aux futurs bulletins de renseignement sur les menaces.
N’oubliez pas la formation
Un programme de sensibilisation sur les risques de sécurité destiné aux cadres, et particulièrement aux dirigeants d’entreprise se déplaçant pour des raisons professionnelles est absolument indispensable. La sensibilisation à la sécurité doit être un processus de formation continue et non un événement ponctuel.
Une combinaison de formation en ligne de sensibilisation à la sécurité, de formation en présentiel ciblée et une communication électronique fréquente permettent d’accroître la sensibilisation des personnels et notamment des cadres et dirigeants de l’Organisation.
AB Consulting, seul Organisme de Formation Accrédité en Afrique par ISACA, APMG, EXIN et AXELOS sur les référentiels de Gouvernance du SI, de sécurité et de cyber-résilience vous propose des sessions de sensibilisation spécialement conçues pour les membres du conseil d’administration et du comité de direction, animées par un expert du domaine :
Sensibilisation à RESILIA pour les dirigeants (2 formats : 4 heures ou 1 journée)
COBIT 5 pour le Board et les Exécutifs (2 formats : 4 heures ou 1 journée)
Sensibilisation à ISO 27001 / ISO 27002 pour les dirigeants (1 journée)
Pour plus d’information ou pour vous abonner à notre newsletter, merci de compléter le formulaire de contact :