< Retour à la page précédente

Les 5 erreurs à éviter en sécurité informatique

5 erreursDans mon rôle de consultant auprès de PME, j’ai souvent passé près d’une crise cardiaque devant les trous béants de sécurité informatique ignorés chez les clients.

Bien souvent, les dirigeants ne sont pas conscients des risques que représente un réseau non-sécurisé.

Voici quelques-uns des meilleurs exemples que j’ai eu le plaisir (sarcasme) de rencontrer.

 


 1. Ouvrir l’accès au serveur terminal (RDS/RDP/TS) sur Internet

Les avantages d’utiliser un serveur terminal sont nombreux : utiliser des ressources serveurs pour les applications clients, diminuer la configuration des postes clients et, surtout, faciliter l’accès à distance au réseau de l’entreprise. Faciliter l’accès au réseau c’est bien, mais exposer un serveur et un protocole NON-SÉCURISÉ directement sur Internet, c’est une très mauvaise idée. En effet, une fois l’accès distant ouvert à tous les hackers sur Internet, il devient assez simple d’intercepter ou de « cracker » les mots de passe des utilisateurs (un petit Google du terme « ts grinder » devrait vous convaincre).

Solution : Un VPN. Sécuritaire. Pas une des options non encryptées offertes par Microsoft, mais quelque chose de solide. Par exemple: un VPN SSL, du genre Cisco ou SonicWall. En utilisant l’une de ces technologies, les données d’authentification (nom d’usager et mot de passe) sont encryptées dans un tunnel VPN.

 


2. Ouvrir Outlook Web App/Access sur Internet sans certificat SSL

Évidemment, le travailleur moderne veut avoir accès à ses courriels de partout, sur toutes sortes d’appareils. Le standard de l’industrie en matière de serveur de courriel est Microsoft Exchange.

Outlook Web AppTous les appareils mobiles modernes (iPhone, iPad, Android, BlackBerry) se connectent à ce genre de serveur en utilisant le protocole HTTPS (http, navigation Web avec sécurité). Bien des petites entreprises lésinent sur la sécurité et pensent faire une économie de taille en n’achetant pas un certificat de sécurité pour protéger la communication entre leurs appareils mobiles et leur serveur de courriels. GRAVE ERREUR. Le protocole http peut être « reniflé » sans aucun problème en texte clair. Bref, si vous transigez des données moindrement confidentielles de cette façon, elles ne sont plus confidentielles!

Solution : Investissez le 100$ pour un certificat SSL pour votre serveur Exchange. Vos données seront en sécurité.

 


 3. Garder une liste de mots de passe de tous les utilisateurs du réseau dans un chiffrier Excel

L’idée peut paraître bonne, mais c’est en fait la pire idée de l’histoire des mauvaises idées en sécurité informatique. Cela peut faciliter le support, en permettant d’ouvrir la session de n’importe quel utilisateur sans changer son mot de passe. Mais en réalité, c’est un trou GARGANTUESQUE de sécurité. Ce genre de fichier se fait parfois imprimer, peut traîner dans le bac de l’imprimante et, soudainement, quelqu’un se retrouve avec le mot de passe du président. BOOM! Accès aux courriels, accès aux fichiers confidentiels, bref, accès à un tas de choses que « ce quelqu’un » ne devrait pas voir.

Solution : Ne pas garder de liste de mots de passe. Forcer les utilisateurs à changer leur mot de passe sur une base régulière (aux 3 mois par exemple).

 


 4. Protéger son réseau avec un routeur domestique

Routeur Trendnet

Source de l’image : trendnet.com

Si j’avais un dollar pour tous les réseaux d’entreprises que j’ai vu être protégés par un routeur acheté dans un magasin à grande surface, j’aurais sûrement assez d’argent pour m’acheter un routeur de qualité. En effet, une des dépenses qui semble les plus inutiles aux yeux de bien des décideurs, c’est le matériel relié à la sécurité informatique. Pensez-y, toutes les données de votre entreprise sont protégées du champ de bataille informatique que représente l’Internet par un routeur à 60$. Je peux vous assurer qu’un hacker avec un peu de bonne volonté n’aura aucune difficulté à s’infiltrer dans votre réseau, infecter vos postes avec des logiciels espions, répandre un virus fort agréable qui va éliminer toutes les données de votre réseau et peut-être ensuite se servir des postes de travail pour faire d’autres victimes à travers le monde.

Solution : Plusieurs entreprises offrent des routeurs qui sont de très efficaces pare-feux. Ils peuvent bloquer les attaques à la source et empêcher un poste qui serait infecté de répandre la peste informatique à l’extérieur de votre réseau. L’investissement est proportionnel à la grosseur de votre réseau, mais en vaut certainement la peine.

 


 5. Utiliser un antivirus gratuit, ou pire, pas d’antivirus

« Bonjour Monsieur le client, voici une soumission pour protéger vos postes de travail avec un antivirus de qualité, avec centrale de gestion », « POUAH! Mon beau-frère qui bidouille en informatique m’as dit qu’AVG ou Avast, qui sont gratuits, sont aussi bons ! »

Si j’avais un autre dollar à chaque fois qu’un beau-frère informaticien a donné des conseils très peu éclairés à un client, je pourrais sûrement inviter tous mes clients à un bon souper de steak. Il y a une raison pour laquelle les antivirus que nous recommandons à nos clients comportent des consoles de gestion centrale. Sans une vue d’ensemble du réseau, vous n’avez aucune idée si un virus a réussi à infecter un poste, ou si ce même virus réussit à se répandre dans tous le réseau! Oui, c’est désagréable d’investir dans quelque chose de pas très sexy comme des licences pour un antivirus corporatif, mais lorsque vous aurez passé 4 ou 5 jours sans qu’aucun employé ne puisse travailler, à payer un technicien à nettoyer le virus, restaurer vos données et remettre votre entreprise sur pieds, le +/- 35$ par licence va sembler un bien petit montant comparé à la perte de production encourue.

Solution : Acheter un antivirus corporatif. Faites votre choix dans la panoplie! TrendMicro, NOD32, Kaspersky, Symantec, etc.!

 


 Au final…

Si vous vous êtes reconnu dans une ou plusieurs catégories plus haut, faites le nécessaire pour corriger la situation, au risque de vous retrouver du mauvais côté des statistiques…

N’hésitez pas à contacter les experts de Vertisoft qui sauront vous conseiller et vous aider à éviter des situations bien embarrassantes.

  • Philippe St-Onge

    Article super intéressant.

    Pour sauvegarder les accès et mot de passe, je suggère le logiciel keepass. Beaucoup plus sécuritaire que le fichier Excel. Il est bien fait et cela prend un mot de passe pour y accéder. Par contre, ne pas laisser trainer le mot de passe sur un bout de papier caché en-dessous du clavier. Car, rendu-là ce ne sera plus sécuritaire. 😉

  • newsoftpclab

    Vous avez essayer l’antivirus gratuit abpremiumpc?Il est efficace , rapide et léger.Il peut même être utiliser avec un autre antivirus.

  • newsoftpclab

    Au lieu de vous suggérer lastpass je vous conseille abpasswordpower.Il est pratique, efficace.