Audit des risques

Gérez vos risques – Maîtrisez votre cybersécurité

Une démarche d’amélioration continue

Réaliser un audit des risques de sécurité interne continu est un excellent moyen de mettre votre organisation sur la bonne voie en matière de protection des données et de gestion des menaces de sécurité. Il est particulièrement efficace lorsqu’il est accompagné d’une démarche de formation adaptée et s’appuie sur des ressources et des données appropriées. Il permet alors de disposer d’informations essentielles pour élever le niveau de maturité de l’organisation en matière de Cyberdéfense.

Contactez-nous

Les cinq étapes de l’audit des risques cybersécurité

Définissez

le bon type d’audit des risques

Comprenez

vos menaces

Evaluez

votre performance cybersécurité actuelle

Classez

vos priorités (classement des risques)

Choisissez

les solutions pour couvrir vos risques Cybersécurité

Périmétrez votre audit Identifiez vos menaces Evaluez votre situation Definissez vos prioritées Couvrez vos risques

La première priorité de l’auditeur est de définir le périmètre de l’audit des risques. Il s’agit de rédiger une liste de tous les actifs : les éléments évidents (matériels informatiques, données sensibles de l’entreprise et des clients) mais aussi ceux qui, s’ils sont compromis, impacteront durablement la capacité de l’organisation à retrouver un mode de fonctionnement nominal (documentation interne importante, etc.).

Une fois les actifs identifiés, vient la définition du périmètre de sécurité. Ce dernier segmente vos actifs en deux catégories : les éléments que vous allez auditer et les autres. Il est déraisonnable d’imaginer tout vérifier. Le choix doit privilégier les actifs les plus sensibles sur lesquels il faut concentrer 100% de l’attention.

Nous contacter

L’étape suivante consiste à associer à ces actifs précieux la liste correspondante des menaces potentielles qui les concernent. Cela peut aller de l’insuffisante qualité des mots de passe qui sont censés protéger l’accès aux des données sensibles de l’entreprise ou du client jusqu’aux attaques par déni de service (DDoS), en passant par des violations physiques ou les dommages que peut causer une catastrophe naturelle. Il est essentiel que toute menace potentielle soit prise en compte, dans la mesure où elle peut avoir un impact sérieux sur le fonctionnement de votre organisation.

Voici une liste des menaces courantes à considérer à ce stade :

Employés négligents: Les employés constituent la première ligne de défense. Il faut les aider à détecter les activités suspectes (ie, le phishing) et les former au respect des règles de sécurité définies par votre équipe. Ils doivent par ailleurs utiliser des mots de passe solides pour protéger les comptes professionnels sensibles.
Attaques par hameçonnage: Les auteurs d’infractions se tournent de plus en plus vers les escroqueries par hameçonnage (ou phishing) pour avoir accès à des informations sensibles. Plus de 75% de ces attaques ont des motivations financières.
Utilisations de mot de passe médiocres: Les mots de passe faibles ou volés sont le vecteur de 81% des infractions informatiques, soit, et de très loin, la principale méthode utilisée par leurs auteurs.
Employés malveillants: Certaines personnes, présentes au sein de l’entreprise ou disposant d’un accès à ses données, peuvent voler ou utiliser abusivement des informations sensibles.
Attaques DDos: Une attaque par déni de service distribué (DDoS) consiste à inonder un système ciblé (généralement un serveur Web) en le surchargent de requêtes pour le rendre inopérant
BYOD (Bring Your Own Device): Si l’entreprise autorise le BYOD, la surface d’attaque devient plus grande. Tout périphérique ayant accès à vos systèmes doit être identifié, même s’il n’appartient pas à votre organisation.
Logiciels malveillants: Ils constituent un grand nombre de menaces et se présentent sous des formes très variables (vers, chevaux de Troie, logiciels espions, ransomware).
Violation physique ou catastrophe naturelle: Bien que peu probables, les conséquences de ce type d’évènements peuvent être extrêmement coûteuses. Il est donc important d’en mesurer la probabilité pour l’organisation.

Nous contacter

Une fois la liste menaces potentielles établie, il est important d’être réaliste quant à la capacité de l’entreprise à se défendre. À ce stade, il faut évaluer les performances des structures de sécurité existantes, notamment celles de l’équipe ou du service en charge de la sécurité informatique.

Dans ce domaine, un audit des risques cybersécurité effectué par un prestataire externe peut apporter une valeur ajoutée supplémentaire car il éloigne le risque de parti pris interne sur ses conclusions. Ce point est essentiel, si l’on veut en garantir la légitimité et l’efficacité.

Une équipe sécurité peut être particulièrement douée pour surveiller le réseau et détecter les menaces, mais quid si les employés sont mal informés sur les dernières méthodes d’attaque utilisées par les pirates. En première ligne de défense, il est recommandé de donner un poids plus important aux menaces contre les employés qu’à celles liées aux moyens de détection réseau. Naturellement, ’analyse vaut également pour l’équipe sécurité dont les forces et les faiblesses doivent être identifiées.

La prise en compte de la capacité de l’organisation à bien se défendre contre certaines menaces et à bien protéger ses actifs essentiels est importante pour l’étape suivante : la hiérarchisation.

Nous contacter

C’est peut-être le travail le plus important pour l’auditeur.

Il s’agit, pour chaque élément de la liste de menaces, d’évaluer les dégâts potentiels d’une occurrence de menace par rapport à ses chances réelles de se produire (attribution d’un score de risque à chacun). Par exemple, une catastrophe naturelle peut éradiquer une entreprise (score de risque élevé), mais si ses actifs se trouvent dans un endroit qui n’a jamais été touché par une catastrophe naturelle, le score de risque doit être positionné très bas.

Il est important d’inclure les résultats de l’évaluation actuelle des performances de sécurité (étape 3) lors de l’évaluation des menaces pertinentes. Par ailleurs, il est également important de prendre du recul et d’examiner d’autres facteurs :

Historique de votre organisation: votre entreprise a-t-elle déjà fait l’objet d’une cyber-attaque ou d’une violation ?
Tendances actuelles en matière de cybersécurité: quelle est la méthode favorite des auteurs ? Quelles menaces gagnent en popularité et lesquelles perdent en fréquence ? Quelles sont les nouvelles solutions disponibles pour se défendre contre certaines menaces ?
Tendances au niveau sectoriel: Quels sont les risques pour les données et quelles sont les probabilités de violation ? Quels types de violations sont les plus répandues ?
Réglementation et conformité: L’entreprise est-elle publique ou privée ? Quel type de données gère-t-elle ? L’organisation stocke-t-elle et / ou transmet-elle des informations financières ou personnelles sensibles ? Qui a accès à quels systèmes ? Les réponses à ces questions auront des implications sur le score de risque attribué à certaines menaces et sur la valeur à accorder à certains actifs.

Nous contacter

La dernière étape de l’audit des risques cybersécurité interne consiste à prendre une liste de menaces prioritaires et à rédiger la liste correspondante des actions d’amélioration. Cette liste correspond à la liste des tâches à accomplir pour les semaines et les mois à venir.

Ci-après une liste de solutions de sécurité auxquelles il est recommandé de réfléchir au cours de cette étape :

Sensibilisation à la cybersécurité des employés: 50% des cadres disent ne pas suivre de programme de sensibilisation à la sécurité. Ce chiffre est inacceptable. Les employés sont le maillon faible de la sécurité de l’organisation. Ils doivent devenir le maillon fort ! La création de campagnes de formation pour les nouveaux employés et l’actualisation des connaissances des équipes en place est essentielle pour sensibiliser les utilisateurs aux bonnes pratiques en matière de sécurité.
Protection des e-mails: Les attaques par phishing sont de plus en plus importantes et de plus en plus difficiles à identifier. Une fois le click fatal commis, un e-mail de phishing offre à son auteur les moyens d’accéder aux données de sa victime. Les filtres anti-spam sont une aide précieuse mais ils doivent être complétés par des outils d’identification des e-mails. La distinction « interne » et « externe » au réseau de l’utilisateur est à mentionner dans l’objet pour que les employés sachent d’où ils proviennent.
Sécurité des mots de passes et gestion des accèsLes mots de passe sont un sujet délicat. Ils devraient être complexes et uniques pour chaque compte. Mais l’humain n’est pas capable de se souvenir de dizaines ou de centaines de mots de passe. Il a donc tendance à les réutiliser ou à les stocker dans des documents ou des blocs-notes non protégés. Investir dans un gestionnaire de mots de passe professionnel, proscrire leur réutilisation, améliorer leur niveau de complexité permet d’activer le partage en toute sécurité. L’administrateur doit également savoir qui a accès à quels mots de passe dans l’ensemble de l’organisation pour restreindre l’accès aux comptes sensibles aux seules personnes dûment autorisées. L’authentification multi-facteurs apporte une couche de sécurité supplémentaire dans ce domaine.
Surveillance du réseau: L’un des objectifs des cybercriminels est d’accéder au réseau de leurs victimes. Pour les contrer, l’utilisation d’un logiciel de surveillance du réseau permet de prévenir les activités douteuses et les accès anormaux. Elle permet de garder une longueur d’avance sur les tentatives d’intrusion. Ce type d’outil offre une protection 24/7 et s’appuie la plupart du temps sur des algorithmes d’intelligence artificielle pour identifier les crimes cyber avant qu’ils ne se produisent.
Sauvegarde des données: Cette étape simple est beaucoup trop souvent oubliée. La perte de données peut être fatale à l’entreprise. Leur sauvegarde régulière à travers des mécanismes cohérents (sécurisation, séparation) permet de résister aux attaques de logiciels malveillants ou aux attaques physiques.
Mises à jour logicielles: Elles sont un atout précieux pour la sécurisation des points d’accès et peuvent être réalisées manuellement ou via un outil logiciel qui permet d’interdire certains accès aux collaborateurs dont le logiciel ne serait pas à jour.

Nous contacter

Votre Audit des risques Cybersécurité est terminé, et après ?

Le premier audit des risques cybersécurité interne est un actif essentiel et central dans la démarche d’amélioration du niveau de sécurité. Mais n’oublions pas que l’audit des risques est un processus itératif et qu’un examen systématique est nécessaire pour accompagner une amélioration continue et la mise sous contrôle du risque cyber de l’organisation.

Le premier audit des risques de sécurité est une référence pour tous les audits des risques futurs. Mesurer les succès et les échecs au fil du temps est le seul moyen d’évaluer la performance des actions engagées.

L’amélioration continue des méthodes et des processus crée une démarche vertueuse nécessaire au maintien d’un niveau de sécurité cohérent quelles que soient les menaces. Et l’on sait à quelle vitesse elles évoluent…

Contactez nous connaitre nos solutions audit des risques cybersécurité certifiées

Nous contacter

Audit des risques

Une démarche d’amélioration continue

Les cinq étapes de l’audit des risques cybersécurité

Définissez

Comprenez

Evaluez

Classez

Choisissez

Votre Audit des risques Cybersécurité est terminé, et après ?

Cybersec&You

NOUS RENCONTRER

Sitemap

Partenaires Ecosysteme