{"id":527,"date":"2015-09-28T12:12:40","date_gmt":"2015-09-28T11:12:40","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog\/?p=527"},"modified":"2015-09-30T19:21:31","modified_gmt":"2015-09-30T18:21:31","slug":"pare-feu-humain","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/securite\/pare-feu-humain","title":{"rendered":"Pare-feu humain: votre meilleure protection"},"content":{"rendered":"

Suite \u00e0 un r\u00e9cent article publi\u00e9 sur ce\u00a0blog et intitul\u00e9 Cyber-s\u00e9curit\u00e9 \u2013 Ing\u00e9nierie sociale: un risque majeur<\/a><\/strong>, je voudrais maintenant prendre un peu de recul et tenter d’explorer ce qui pr\u00e9c\u00e8de g\u00e9n\u00e9ralement une cyber-attaque d’ing\u00e9nierie sociale r\u00e9ussie.<\/em><\/p>\n

\"maillon<\/a><\/p>\n

Dans le cadre d\u2019une discussion r\u00e9cente, un expert en ing\u00e9nierie sociale m\u2018affirmait avec force que l\u2019ing\u00e9nierie sociale est quasiment toujours li\u00e9e \u00e0 un besoin de reconnaissance qui peut \u00eatre satisfait gr\u00e2ce aux r\u00e9seaux sociaux.<\/p>\n

De nombreux articles portent sur les m\u00e9thodes d’attaque qui donnent finalement lieu \u00e0 une violation de donn\u00e9es, mais n\u00e9gligent de mentionner l’aspect le plus important de ces violations r\u00e9ussies: la reconnaissance.<\/p>\n

La qu\u00eate de reconnaissance comme motivation<\/strong><\/h2>\n

Gr\u00e2ce aux m\u00e9dias sociaux et aux progr\u00e8s technologiques r\u00e9alis\u00e9s ces derni\u00e8res ann\u00e9es dans les outils d’analyse de logiciels, il est maintenant facile\u00a0pour un pirate\u00a0de p\u00e9n\u00e9trer\u00a0en profondeur au c\u0153ur m\u00eame de votre organisation, sans jamais avoir \u00e0 franchir\u00a0l\u2019enceinte physique des murs de votre bureau.<\/p>\n

Nous connaissons tous le vieil adage Une cha\u00eene n\u2019a jamais que la solidit\u00e9 de son maillon le plus faible<\/em><\/strong><\/span>, qui, lorsqu\u2019on l\u2019applique \u00e0 la s\u00e9curit\u00e9 de l’information pourrait se terminer par c\u2019est \u00e0 dire le maillon humain<\/em><\/strong><\/span>.<\/p>\n

Cela n’a jamais \u00e9t\u00e9 plus vrai qu\u2019aujourd\u2019hui.<\/p>\n

\"prot\u00e9gez-vous<\/a>Une r\u00e9cente enqu\u00eate\u00a0sur la s\u00e9curit\u00e9 (r\u00e9alis\u00e9e par PwC entre Mars 2014 et Mai 2015) a r\u00e9v\u00e9l\u00e9 que 31% de l\u2019ensemble des incidents de s\u00e9curit\u00e9 de l’information \u00e9taient directement dus\u00a0au personnel des Entreprises. Cette statistique fait\u00a0bien s\u00fbr r\u00e9f\u00e9rence aux pr\u00e9dateurs, mais aussi aux\u00a0t\u00e9m\u00e9raires et aux\u00a0dupes. Peu importe, le fait est que les employ\u00e9s sont un vecteur d’attaque efficace\u00a0pour le cyber-ennemi, et, si la faiblesse a une origine humaine, elle peut rendre les contr\u00f4les techniques en place, aussi \u00e9volu\u00e9s soient-ils, totalement inefficaces.<\/p>\n

Les r\u00e9seaux\u00a0sociaux sont le vecteur essentiel\u00a0gr\u00e2ce auquel les criminels\u00a0peuvent profiter de cette faiblesse.<\/p>\n

Il existe maintenant des outils open-source permettant\u00a0de retrouver l\u2019ensemble des comptes connect\u00e9s \u00e0 un individu sur les r\u00e9seaux\u00a0sociaux, plus leurs relations avec les autres, tout cela compl\u00e9t\u00e9 par un ensemble\u00a0de donn\u00e9es personnelles int\u00e9ressantes, le tout pr\u00e9sent\u00e9 sous des formes faciles \u00e0 exploiter.<\/p>\n

Il existe m\u00eame un logiciel propri\u00e9taire qui reprendra tous les m\u00e9dias sociaux \u00e9manant d’un emplacement\u00a0donn\u00e9 gr\u00e2ce \u00e0 la g\u00e9o-localisation.<\/p>\n

Tout ceci n\u2019est qu\u2019une entr\u00e9e en mati\u00e8re avant m\u00eame que nous ne consid\u00e9rions l\u2019utilisation de sites tels que\u00a0LinkedIn, sur lesquels s\u00e9vissent de nombreux pirates avec de faux comptes, certains usurpant m\u00eame\u00a0des identit\u00e9s de professionnels de l’industrie de la s\u00e9curit\u00e9 – avec un certain succ\u00e8s, avouons-le – aid\u00e9s et l\u00e9gitim\u00e9s en cela par tous ceux qui, trop laxistes pour effectuer les v\u00e9rifications sur le travail qu’ils revendiquent dans leur profil fournissent\u00a0trop facilement des r\u00e9f\u00e9rences. Certains faux comptes peuvent ensuite, forts de leur cr\u00e9dibilit\u00e9, obtenir\u00a0des informations priv\u00e9es, des offres d’emploi, des donn\u00e9es critiques et m\u00eame des invitations \u00e0 dialoguer par t\u00e9l\u00e9phone.<\/p>\n

La collecte d’informations<\/strong><\/h2>\n

Mis \u00e0 part l’ing\u00e9nierie sociale s’appuyant\u00a0les r\u00e9seaux\u00a0sociaux, il y a\u00a0\u00e9galement d’autres moyens tr\u00e8s simples de collecter des informations. Je ne vais pas chercher \u00e0 obtenir de votre part des informations confidentielles\u00a0qui rel\u00e8vent de la protection des donn\u00e9es, mais des informations qui semblent tout \u00e0 fait innocentes et sont cependant tr\u00e8s utiles \u00e0 un pirate: qui est actuellement en vacances, quel d\u00e9partement est actuellement d\u00e9bord\u00e9 par manque de personnel, quel employ\u00e9 est m\u00e9content et pour quelle raison, et ainsi de suite\u2026<\/p>\n

Et n\u2019imaginez pas un seul instant que votre d\u00e9partement informatique\u00a0est \u00e0 l’abri.<\/p>\n

\"fuitesJ\u2019ai, personnellement, \u00e9t\u00e9 t\u00e9moin de cas\u00a0d\u2019administrateurs IT donnant publiquement, sur des forums de support, des informations techniques d\u00e9taill\u00e9es sur leur environnement IT sans savoir qui lisait r\u00e9ellement ces informations, tweetant sur les derni\u00e8res mises \u00e0 jour de leurs infrastructures ou de leurs applications, sur les correctifs d\u00e9ploy\u00e9s, les probl\u00e8mes internes, et m\u00eame sur des cyber-attaques en cours.<\/p>\n

Rien que des morceaux de choix\u00a0pour les cyber-criminels…<\/p>\n

Vous \u00eates sans doute en train de vous dire, \u00ab\u00a0qu’est-ce que cela a \u00e0 voir avec ma petite organisation? Aucun criminel ne va d\u00e9penser autant d’efforts pour nous cibler alors que nous n’avons aucune information de valeur\u00a0\u00bb<\/em>.<\/p>\n

D\u00e9trompez-vous.<\/p>\n

\u00cates-vous un sous-traitant, un consultant ou un fournisseur dans une relation d’affaires\u00a0avec une grande organisation? Alors, vous \u00eates une cible potentielle. Encore plus si cette relation business\u00a0se situe dans le domaine IT.<\/p>\n

La m\u00eame enqu\u00eate mentionn\u00e9e ci-dessus conclut:<\/p>\n

\u00ab\u00a0Un nombre croissant de personnes interrog\u00e9es\u00a0attribue les incidents de s\u00e9curit\u00e9 \u00e0 des partenaires business\u00a0ayant un acc\u00e8s \u00e0 leur r\u00e9seau et \u00e0 leurs donn\u00e9es\u00a0\u00bb.<\/strong><\/em><\/p>\n

Votre organisation pourrait bien \u00eatre le point d’entr\u00e9e parfait ouvrant la route vers de plus gros poissons. Vous pourriez \u00eatre le point de d\u00e9part id\u00e9al pour progresser, en utilisant des relations de confiance existantes, et remonter vers le sommet de la pyramide.<\/p>\n

Le pare-feu humain. Que faire?<\/strong><\/h2>\n

Nous pouvons prendre mod\u00e8le sur les proc\u00e9d\u00e9s appliqu\u00e9s par le renseignement et les militaires, et int\u00e9grer la s\u00e9curit\u00e9 op\u00e9rationnelle (OPSEC) \u00e0 notre activit\u00e9. Mais non, je ne me prends pas pour James Bond. Attendez un peu\u00a0!<\/p>\n

La page Wiki sur OPSEC n\u2019est pas particuli\u00e8rement instructive, mais elle a le m\u00e9rite d’en donner une d\u00e9finition:<\/p>\n

La s\u00e9curit\u00e9 op\u00e9rationnelle (OPSEC)\u00a0est le processus consistant \u00e0 prot\u00e9ger de\u00a0petits morceaux \u00a0de donn\u00e9es susceptibles d\u2019\u00eatre regroup\u00e9s pour donner une image plus g\u00e9n\u00e9rale<\/strong><\/em>.<\/p>\n

OPSEC ou S\u00e9curit\u00e9 op\u00e9rationnelle (en Fran\u00e7ais : le renseignement) est une m\u00e9thode pour se pr\u00e9munir des risques que peut courir une structure si des informations sensibles sont acquises par les\u00a0adversaires de cette structure. Elle fut formalis\u00e9e par une \u00e9quipe de l’arm\u00e9e am\u00e9ricaine pendant la guerre du Vi\u00eat Nam.<\/p>\n

Nous ne devons pas n\u00e9cessairement dupliquer\u00a0ce mod\u00e8le au sein des Entreprises, mais, au moins, un premier niveau de sensibilisation ne serait pas superflu. Nous devons inculquer cet\u00a0\u00e9tat d’esprit et la n\u00e9cessit\u00e9 de prudence au personnel de nos organisations. Ce mod\u00e8le\u00a0est utilis\u00e9\u00a0en dehors des limites des murs de l’Entreprise, et donne de bons r\u00e9sultats. L’ennemi auquel vous faites face n’est peut-\u00eatre pas un geek boutonneux dans sa chambre mais il s’agit peut-\u00eatre d’un \u00e9tat ou d’une multinationale.<\/p>\n

\"pare-feu\"Nous devons cr\u00e9er une focalisation sur la s\u00e9curit\u00e9 op\u00e9rationnelle qui restera en permanence dans le subconscient des employ\u00e9s, m\u00eame pendant leur temps libre, agissant sur eux en dehors de l\u2019organisation lorsqu\u2019ils se l\u00e2chent sur leur plate-forme de m\u00e9dias sociaux pr\u00e9f\u00e9r\u00e9s. Nous devons cr\u00e9er une sensibilisation forte sur le fait\u00a0que chaque \u00e9l\u00e9ment d’information interne de l’entreprise,\u00a0ou\u00a0priv\u00e9e, partag\u00e9e en ligne peut servir\u00a0\u00e0 un adversaire pour reconstituer \u00a0 notre environnement et, finalement, faciliter son travail de d\u00e9couverte des vecteurs d’attaque.<\/p>\n

Nous avons besoin d’avoir des employ\u00e9s fortement\u00a0sensibilis\u00e9s\u00a0\u00e0 la menace de l’environnement de telle sorte qu\u2019ils ressentent un v\u00e9ritable coup de pied au derri\u00e8re \u00e0 chaque fois qu’ils parlent de l’entreprise en ligne.<\/p>\n

Malheureusement, c\u2019est bien au-del\u00e0 de l\u2019ambition de ce court article d\u2019explorer la meilleure fa\u00e7on d’atteindre cet objectif, mais je vous laisse avec cette derni\u00e8re pens\u00e9e que j\u2019ai, de nouveau, tir\u00e9e de l’enqu\u00eate et qui r\u00e9sume bien la situation actuelle:<\/p>\n

\u00ab\u00a0Une autre constatation inqui\u00e9tante est la diminution constante des programmes de sensibilisation et de formation des employ\u00e9s.\u00a0\u00bb<\/strong><\/em><\/p>\n

Il est grand temps de\u00a0mettre \u00e0 jour votre\u00a0pare-feu humain. La technologie ne suffit pas !!<\/p>\n

Par contre, ne vous limitez pas \u00e0 votre personnel informatique, qui est bien s\u00fbr critique, mais pensez \u00e0 sensibiliser l’ensemble du personnel de votre organisation car chaque personne ayant un acc\u00e8s \u00e0 votre syst\u00e8me d’information vous fait courir un risque.<\/p>\n

Une bonne approche serait d’organiser des s\u00e9ances de sensibilisation pour les personnels non techniques et des s\u00e9ances plus compl\u00e8tes pour vos personnels informatique.<\/p>\n

Voici quelques exemples.<\/p>\n

Pour le personnel non technique (membres du Comit\u00e9 de Direction et du Conseil d’Administration inclus<\/span>):<\/strong><\/em><\/p>\n

Sensibilisation \u00e0 la s\u00e9curit\u00e9 du SI bas\u00e9e sur ISO 27001<\/a>: D\u00e9couverte, en une journ\u00e9e, des bonnes pratiques pour se prot\u00e9ger contre les menaces en mati\u00e8re de cyber-criminalit\u00e9.<\/p>\n

Sensibilisation \u00e0 la cyber-r\u00e9silience bas\u00e9e sur RESILIA<\/a>\u00a0: Introduction \u00e0 la cyber-r\u00e9silience, ou comment se prot\u00e9ger contre les menaces de s\u00e9curit\u00e9 de l’information et, surtout, comment survivre \u00e0 une cyber-attaque?<\/p>\n

COBIT\u00ae 5 pour le Board et les Ex\u00e9cutifs<\/a>\u00a0: une journ\u00e9e d\u00e9di\u00e9e aux risques en mati\u00e8re de s\u00e9curit\u00e9 auxquels font face les Entreprises et quel r\u00f4le doivent jouer les conseils d’administration et les comit\u00e9s de direction pour assurer la protection\u00a0des actifs de l’Entreprise.<\/p>\n

Pour le personnel technique du d\u00e9partement IT:<\/strong><\/em><\/p>\n

ISO 27002 Foundation<\/a>\u00a0: Formation de 3 jours conduisant \u00e0 la certification ISO 27002 Foundation de l’EXIN et couvrant l’ensemble des bonnes pratiques en mati\u00e8re de s\u00e9curit\u00e9 de l’information, bas\u00e9es sur ISO 27002.<\/p>\n

RESILIA Foundation<\/a>\u00a0:\u00a0cours intensif de trois jours, conduisant \u00e0 la certification RESILIA Foundation d’AXELOS\u00ae et couvrant\u00a0les m\u00e9thodes et l\u2018utilisation de contr\u00f4les pr\u00e9ventifs, d\u00e9tectifs et correctifs permettant ainsi d\u2018identifier les risques tout en garantissant un fonctionnement efficace dans un contexte business de plus en plus comp\u00e9titif. Cette formation est un excellent compl\u00e9ment \u00e0 la certification ITIL\u00ae Foundation<\/a>.<\/p>\n

ISO 27001 Foundation<\/a>\u00a0:\u00a0Ce cours intensif de 3 jours permet une bonne compr\u00e9hension du cadre de gestion de la S\u00e9curit\u00e9 de l\u2018Information d\u00e9fini par la norme ISO\/IEC 27001, des concepts de base, des avantages et des consid\u00e9rations en lien\u00a0avec l’impl\u00e9mentation d\u2018un Syst\u00e8me de Management de la S\u00e9curit\u00e9 de l\u2018Information (SMSI). Ce cours, conclu par le passage de le certification ISO 27001 Foundation de l’APMG, est tout particuli\u00e8rement destin\u00e9 aux personnels qui ont r\u00f4le \u00e0 jouer dans l’impl\u00e9mentation d’un SMSI au sein de leur organisation.<\/p>\n

COBIT\u00ae 5 pour la s\u00e9curit\u00e9 de l’information<\/a>\u00a0:\u00a0Cette session de deux jours offre une couverture globale et pratique de tous les aspects de COBIT\u00ae<\/span> 5 dans le cadre sp\u00e9cifique de la s\u00e9curit\u00e9 de l\u2018information, y compris ses composantes, les facilitateurs et les conseils de mise en \u0153uvre. Ce cours est tout sp\u00e9cialement destin\u00e9 aux managers.<\/p>\n

Pour les professionnels de la s\u00e9curit\u00e9 de votre Entreprise:<\/strong><\/em><\/p>\n

ISO 27001 Practitioner<\/a>\u00a0: Session pratique de deux jours durant laquelle les participants apprendront, sur la base de sc\u00e9narios, \u00e0 impl\u00e9menter, de fa\u00e7on op\u00e9rationnelle, un SMSI bas\u00e9 sur les exigences de la norme ISO 27001.<\/p>\n

RESILIA Practitioner<\/a>\u00a0: Session de deux jours, conclue par le passage de l’examen RESILIA Practitioner d’AXELOS\u00ae,\u00a0au cours de laquelle les participants\u00a0apprendront comment obtenir le meilleur \u00e9quilibre entre\u00a0risques, les co\u00fbts, les avantages et la flexibilit\u00e9 au sein d’une organisation en utilisant les bonnes pratiques de cyber-r\u00e9silience RESILIA.<\/p>\n

ISO 27002 Advanced<\/a>\u00a0:\u00a0S\u2018appuyant sur des \u00e9tudes de cas, ce cours intensif de 3 jours permet aux participants de ma\u00eetriser les aspects organisationnels et manag\u00e9riaux de la s\u00e9curit\u00e9 de l\u2018information avant de passer, en fin de session, l’examen ISO 27002 Advanced de l’EXIN.<\/p>\n

Implementing NIST based on COBIT\u00ae 5<\/p>\n

COBIT\u00ae 5 Security Assessor<\/p>\n

ISO 27005 Risk Manager<\/a>\u00a0:\u00a0Ce cours de trois jours permet aux participants de d\u00e9velopper la comp\u00e9tence li\u00e9e \u00e0 la ma\u00eetrise des \u00e9l\u00e9ments de gestion des risques de base associ\u00e9s \u00e0 tous les actifs pertinents pour la s\u00e9curit\u00e9 de l’information en utilisant ISO 27005 comme un cadre de r\u00e9f\u00e9rence. Il se conclut par le passage de l’examen de certification ISO 27005 Risk Manager de PECB.<\/p>\n

CISM<\/a>\u00a0:\u00a0Le programme CISM\u00ae<\/span> est orient\u00e9 vers la gouvernance et la gestion de la s\u00e9curit\u00e9 de l\u2018information. Il est reconnu comme un standard pour les professionnels qui con\u00e7oivent, cr\u00e9ent et mettent en \u0153uvre les programmes de s\u00e9curit\u00e9 de l\u2018information dans les entreprises. Cette formation de quatre jours vous permet de pr\u00e9parer efficacement les passage de l’examen CISM\u00ae de l’ISACA.<\/p>\n

CRISC<\/a>\u00a0:\u00a0Le programme CRISC\u2122 est orient\u00e9 vers la gouvernance et la gestion des risques SI. Il est reconnu comme un standard pour les professionnels qui con\u00e7oivent, cr\u00e9ent et mettent en \u0153uvre les contr\u00f4les des risques SI dans les entreprises. Cette formation de 3 jours vous permet de pr\u00e9parer de fa\u00e7on efficace le passage de l’examen CRISC\u00ae de l’ISACA.<\/p>\n

Pour obtenir plus d’informations, merci de remplir ce formulaire de contact:<\/strong><\/em><\/p>\n

\n
\n