Quel est le plus important problème de sécurité lié aux technologies de l’information des entreprises canadiennes?
Si vous pensez aux pirates informatiques, détrompez-vous. Les membres du personnel de l’entreprise constituent le maillon le plus faible de la sécurité des entreprises. La bonne nouvelle, toutefois, c’est que leurs actes ne sont généralement pas délibérés.
La plupart des atteintes à la sécurité se produisent par accident – lorsque, par exemple, un employé transmet par courriel des renseignements confidentiels sur un client à un destinataire externe, qu’un caissier laisse l’information de la carte de crédit d’un client affichée sur un ordinateur à la vue de tous ou qu’un directeur supprime par inadvertance des fichiers importants.
Parmi les bris de sécurité les plus courants, mentionnons le téléchargement accidentel de logiciles malveillants, ces pernicieux virus et chevaux de Troie qui peuvent causer d’immenses dommages dans le réseau informatique.
«Il arrive souvent, dit Robert Hyde, conseiller de BDC à Toronto, spécialisé en technologies de l’information et des communications, que les employés téléchargent n’importe quoi et propagent toutes sortes d’infections sans même s’en rendre compte. De plus, ils ne vérifient pas régulièrement la présence de logiciels malveillants dans leur ordinateur.»
Selon une étude de l’industrie, l’année dernière, quatre PME canadiennes sur cinq ont connu un problème de sécurité des technologies de l’information et des communications (TIC) causé par un employé. Or, la plupart des entreprises ne réagissent que lorsqu’il est trop tard.
«On parle abondamment de la sécurité des TIC, sans toutefois y investir, dit M. Hyde, car tant qu’on n’a pas été échaudé, on n’en voit pas la nécessité.»
Les entreprises délaissent la question jusqu’au jour où un ordinateur essentiel plante ou qu’une attaque par un maliciel supprime des données vitales. «Il n’y généralement pas d’approche concertée, poursuit-il. La sauvegarde régulière est l’affaire d’une personne, et la détection des logiciels malveillants, de quelqu’un d’autre. Les mesures de protection sont sporadiques ou décousues.»
Avec la prolifération des appareils mobiles, de l’informatique sans fil et des télétravailleurs, la sécurité des TIC devient un souci grandissant pour les PME.
M. Hyde conseille aux sociétés d’évaluer la sécurité de leurs TIC dans le cadre d’un examen plus vaste de l’ensemble de leurs systèmes, afin d’éviter un décalage entre ces technologies et la stratégie de l’entreprise – autre enjeu que les PME canadiennes négligent souvent. Les investissements en TIC ont un impact direct sur l’innovation et la productivité des entreprises.
«On note un grave sous-investissement dans les TIC au Canda, ce qui cause un écart de productivité par rapport aux États-Unis.»
Voici la liste de contrôle de la sécurité des TIC que M. Hyde propose aux PME :
- Stratégie et politiques des Ressources humaines
- L’entreprise possède-t-elle une politique claire en matière de sécurité des TIC, que le personnel connaît?
- A-t-elle établi une politique sur l’utilisation acceptable des TIC, des directives concernant les mots de passe et des pratiques de sécurité?
- Existe-t-il des accords de confidentialité avec les entrepreneurs et les fournisseurs?
- L’entreprise dispose-t-elle d’une politique sur la protection de la vie privée?
- Sauvegarde des données
- Les données essentielles (c’est-à-dire nécessaires aux activités quotidiennes, y compris les renseignements sur les clients) sont-elles centralisées sur un serveur et sauvegardées chaque jour à un emplacement éloigné?
- Les données importantes (c’est-à-dire vitales pour l’entreprise, mais qui ne changent pas souvent) sont-elles centralisées sur un serveur et sauvegardées hors lieux à intervalles réguliers?
- Sécurité des ordinateurs
- Les ordinateurs sont-ils tous dotés d’un logiciel antivirus?
- Existe-t-il une politique de sécurité concernant le téléchargement et l’installation de nouveaux logiciels?
- Les mots de passe comptent-ils au moins huit caractères alphanumériques et doivent-ils être changés tous les 90 jours?
- Les mises à niveau logicielles et les rustines de sécurité sont-ils appliqués sur tous les ordinateurs?
- Sécurité d’Internet et du réseau
- Un pare-feu et une fonction de détection des intrusions protègent-ils toutes les connexions Web?
- L’accès à distance aux systèmes de l’entreprise se fait-il au moyen d’un réseau privé virtuel?
- Les connexions par modem et les accès sans fil sont-ils tous connus et sécurisés?
- Protection des renseignements personnels et de l’information sensible
- Les renseignements financiers des clients sont-ils chiffrés et accessibles uniquement aux personnes qui doivent les connaître?
- Conserve-t-on les documents papier dans des classeurs verrouillés et d’accès contrôlé?
- Vérification
- L’entreprise procède-t-elle à une vérification périodique (au minimum chaque semestre) de la liste de contrôle de la sécurité des TIC?