Mois de la sensibilisation à la cybersécurité 2023

20 ans de Mois de la sensibilisation à la cybersécurité

Octobre 2023 marque les 20 ans du Mois de la sensibilisation à la cybersécurité, un mois consacré à la sensibilisation à la sécurité numérique et à l'autonomisation de chacun pour protéger ses données personnelles contre les formes numériques de criminalité.

Cette année, les responsables gouvernementaux et les dirigeants du secteur examinent le chemin parcouru au cours des 20 dernières années et la voie à suivre pour sécuriser notre avenir numérique.

Lisez notre blog : Facteurs clés d'un partenariat réussi sur 20 ans : Exclusive Networks et Fortinet partagent leur secret

En tant que spécialiste mondial de la cybersécurité pour les infrastructures numériques, Exclusive Networks s'engage à accélérer la transition vers un monde numérique totalement fiable. Nous continuons à collaborer avec nos fournisseurs et nos partenaires pour sécuriser la technologie, protéger les infrastructures critiques et combler le fossé des carrières en cybersécurité grâce à des solutions, des services et des formations de pointe, afin de doter notre monde des cybergardiens de demain, dont nous avons un besoin crucial. Cela inclut notre initiative Exclusive Academy, un programme de formation spécialisé visant à attirer de jeunes talents et à leur donner une expérience pratique sur le terrain ainsi qu'une formation théorique dispensée par les experts d'Exclusive Networks.

Nous sommes heureux d'être officiellement les champions du Mois de la sensibilisation à la cybersécurité 2023.

Cette année, le Mois de la sensibilisation à la cybersécurité promeut les quatre comportements clés suivants en matière de cybersécurité, conçus pour être simples et applicables à la fois par les particuliers et les entreprises :

1. Créer des mots de passe forts et utiliser un gestionnaire de mots de passe
2. Activez l'authentification multifactorielle
3. Mettez à jour vos logiciels.
4. Reconnaître et signaler les tentatives d'hameçonnage

Bien que nous aidions nos partenaires et leurs clients à protéger leurs données de nombreuses façons, suivre ces quelques étapes simples peut faire une grande différence pour aider tout le monde à rester en sécurité en ligne.

Créer des mots de passe forts et utiliser un gestionnaire de mots de passe

Les mots de passe faibles ou volés sont responsables de 81 % des violations de données. Croiriez-vous que les mots de passe les plus utilisés en 2023 seront encore "123456789" et "password" ? Les cybercriminels peuvent déchiffrer un mot de passe faible, ou facilement devinable, en quelques heures. En revanche, les mots de passe plus complexes, dits "forts", peuvent prendre plus d'une vie à déchiffrer.

Microsoft définit un mot de passe fort comme suit

• Au moins 12 caractères, mais 14 ou plus, c'est mieux.
• une combinaison de lettres majuscules, de lettres minuscules, de chiffres et de symboles
• Il ne s'agit pas d'un mot que l'on peut trouver dans un dictionnaire ou du nom d'une personne, d'un personnage, d'un produit ou d'une organisation.
• Une différence significative par rapport à vos mots de passe précédents - les mots de passe volés sont souvent partagés en ligne pour être utilisés par d'autres cybercriminels.
• Facile à retenir pour vous mais difficile à deviner pour les autres, par exemple une phrase mémorable comme "6MonkeysRLooking^".

Pour garantir la sécurité de vos comptes et de vos appareils, ne communiquez jamais vos noms d'utilisateur ou vos mots de passe à qui que ce soit et évitez de les écrire. Sachant qu'un utilisateur moyen possède 27 applications professionnelles différentes nécessitant une vérification, un gestionnaire de mots de passe peut s'avérer très utile si vous avez de nombreux comptes et que vous avez du mal à mémoriser plusieurs mots de passe. De nombreux gestionnaires de mots de passe mettent automatiquement à jour les mots de passe stockés, les gardent cryptés et exigent une authentification multifactorielle pour l'accès.

En raison des risques posés par une mauvaise hygiène des mots de passe, de nombreuses entreprises se tournent désormais vers l'authentification sans mot de passe.

En savoir plus sur les dispositifs sans mot de passe Thales FIDO2

En savoir plus

Activer l'authentification multi-facteurs

L'authentification multifactorielle (MFA) fournit une couche de sécurité supplémentaire en plus des mots de passe, afin d'empêcher les utilisateurs non autorisés d'accéder aux comptes et aux appareils, même lorsque le mot de passe a été deviné ou volé. Elle exige plus d'un type de justificatif pour l'ouverture d'une session. L'AMF se présente sous plusieurs formes, qui garantissent toutes que vous êtes la seule personne à pouvoir accéder à votre compte.

Les méthodes d'AMF sont les suivantes

• Quelque chose que vous connaissez : Mots de passe, codes PIN et questions de sécurité
• Quelque chose que vous avez : Jetons matériels ou logiciels, certificats, courriels, SMS et appels téléphoniques
• Ce que vous êtes : Empreintes digitales, reconnaissance faciale, balayage de l'iris et balayage des empreintes de main
• Votre emplacement : Plages d'adresses IP source et géolocalisation

L'utilisation accrue de l'informatique en nuage, des appareils mobiles et des chaînes d'approvisionnement étendues incite les entreprises à rechercher des solutions d'AMF solides. Les méthodes susmentionnées reposent sur diverses technologies, en particulier les mots de passe à usage unique (OTP) et l'infrastructure à clé publique (PKI). Voici comment ces technologies fonctionnent, selon Thales.

Les OTP sont une forme d'authentification "symétrique", dans laquelle un mot de passe à usage unique est généré simultanément à deux endroits : sur le serveur d'authentification et sur le jeton matériel ou logiciel que vous avez en votre possession. Si l'OTP généré par votre token correspond à l'OTP généré par le serveur d'authentification, l'authentification est réussie et l'accès vous est accordé.

L'authentification PKI est une forme d'authentification "asymétrique" car elle repose sur une paire de clés de cryptage différentes, à savoir une clé de cryptage privée et une clé de cryptage publique. Les jetons matériels basés sur des certificats PKI, tels que les cartes à puce et les jetons USB, sont conçus pour stocker votre clé de cryptage privée secrète en toute sécurité. Lorsque vous vous authentifiez auprès du serveur du réseau de votre organisation, par exemple, le serveur émet un "défi" numérique. Ce défi est signé à l'aide de votre clé de cryptage privée. S'il existe une corrélation mathématique, ou "correspondance", entre le défi signé et votre clé de cryptage publique (connue du serveur du réseau), l'authentification est réussie et l'accès au réseau vous est accordé.

Regardez The Science of Secrecy avec Simon Singh pour en savoir plus sur la cryptographie à clé publique.

Regarder ici

Mettez votre logiciel à jour

De nombreux utilisateurs pensent que les mises à jour de logiciels sont publiées pour introduire de nouvelles fonctionnalités, mais elles comprennent également d'importants correctifs destinés à remédier aux failles de sécurité informatique et aux bogues. Il en va de même pour les systèmes d'exploitation des appareils. Disposer de logiciels à jour est un moyen essentiel de garder une longueur d'avance sur les acteurs de la menace qui exploitent les vulnérabilités des logiciels.

La plupart des équipes informatiques diffusent des mises à jour logicielles automatiques pour les applications d'entreprise et le système d'exploitation de l'appareil. C'est ce qui provoque généralement le redémarrage de votre appareil. Lorsque vous mettez à jour un logiciel vous-même, vérifiez toujours que vous le téléchargez à partir d'une source officielle, car les logiciels non officiels contiennent souvent des logiciels malveillants. De nombreux appareils et applications disposent d'une option de mise à jour automatique, ce qui signifie que vous n'avez pas à vous soucier des versions obsolètes ou de l'absence de correctifs de sécurité importants.

Recherchez les vulnérabilités au sein de votre organisation avec Tenable Nessus

en savoir plus

Reconnaître et signaler les tentatives de phishing

Le phishing est une escroquerie conçue pour voler des informations sensibles ou des mots de passe, compromettre des appareils ou envoyer de l'argent à des cybercriminels. Il se présente généralement sous forme de courrier électronique, mais peut également prendre la forme de messages texte trompeurs (connus sous le nom de smishing, une combinaison de SMS et de phishing), de messages sociaux, de fenêtres contextuelles sur le web, d'appels téléphoniques (connus sous le nom de vishing - ou phishing vocal), et même d'outils de collaboration comme Microsoft Teams - une nouvelle race de risque.

En savoir plus sur Bloquer les virus, les logiciels malveillants et le phishing avec Mimecast Protection pour Microsoft Teams

en savoir plus

Dans le cas du phishing, les cybercriminels utilisent l'ingénierie sociale pour vous inciter à partager des données privées et confidentielles, telles que des numéros de compte bancaire ou des informations de connexion. Ils peuvent vous demander votre nom, des informations sur votre compte, votre date de naissance, vos mots de passe et d'autres informations sensibles ou secrètes. Ils vous incitent souvent à ouvrir un lien ou un fichier dans un message d'apparence légitime. Veillez à toujours survoler un lien pour vérifier qu'il semble légitime et, en cas de doute, ne cliquez pas dessus, signalez-le. Faites attention :

Dans le cas du phishing, les cybercriminels utilisent l'ingénierie sociale pour vous inciter à partager des données privées et confidentielles, telles que des numéros de compte bancaire ou des informations de connexion. Ils peuvent vous demander votre nom, des informations sur votre compte, votre date de naissance, vos mots de passe et d'autres informations sensibles ou secrètes. Ils vous incitent souvent à ouvrir un lien ou un fichier dans un message d'apparence légitime. Veillez à toujours survoler un lien pour vérifier qu'il semble légitime et, en cas de doute, ne cliquez pas dessus, signalez-le. Méfiez-vous :

• Un expéditeur non spécifique, quelqu'un que vous ne connaissez pas ou qui ne correspond pas à l'adresse "de".
• Des salutations peu familières, inhabituelles ou génériques.
• Des fautes d'orthographe et de grammaire
• un lien suspect qui ne correspond pas à l'URL de la page web dans le courriel
• un lien vers des photos ou des vidéos de personnes que vous ne connaissez pas
• un lien ou une pièce jointe permettant de visualiser quelque chose d'inattendu, par exemple pour suivre un colis inconnu
• des pièces jointes dont le nom de fichier est incorrect ou suspect, ou dont l'extension est suspecte (.bin, .com, .exe, .html, .pif, .vbs, .zip, .zzx)
• Images à faible résolution

Pour suivre et crypter les courriels professionnels contenant des données sensibles que vous envoyez, pensez à RPost.

En savoir plus

Le phishing générique et quotidien n'est généralement pas ciblé et est plus facile à repérer. Les autres types d'hameçonnage sont les suivants

• Spear phishing : il cible une personne spécifique et l'étudie pour pouvoir rédiger un message plus convaincant, d'apparence légitime, afin de l'inciter à baisser sa garde et à partager des informations sensibles.
• Whaling : cible spécifiquement les PDG et les membres de l'équipe de direction.
• L'hameçonnage de documents partagés : imite un courriel provenant de sites de partage de fichiers tels que Dropbox, Google Drive ou OneDrive pour dire qu'un document a été partagé avec vous, mais le lien renvoie à une fausse page de connexion qui vole vos identifiants de compte.

Pour lutter contre le phishing, de nombreuses organisations investissent considérablement dans la formation formelle de leurs employés à la cybersécurité et en font leur ligne de défense la plus précieuse contre les cyberattaques.

En savoir plus sur la plateforme de formation à la sensibilisation à la sécurité et de simulation de phishing de Proofpoint.

en savoir plus

La cybersécurité n'a pas besoin d'être compliquée ou accablante. Le simple fait de pratiquer ces 4 étapes de base aide à développer des habitudes de sécurité qui peuvent être facilement incorporées dans la vie quotidienne. Lorsque chaque personne et chaque organisation joue son rôle, nous réduisons collectivement les cyber-risques et gardons notre mode de vie numérique protégé et fiable.

En savoir plus

En savoir plus sur la manière dont les organisations peuvent soutenir l'acquisition de compétences en cybersécurité :

• Cours de formation d'Exclusive Networks
• Former la prochaine génération de professionnels de la cybersécurité - le modèle "Exclusive Academy" (en anglais)
• À propos du mois de la sensibilisation à la cybersécurité