Principes de base

Pourquoi se protéger ?

• Fuites de données : Si vous avez des informations privées ou de la propriété intellectuelle confidentielle, il est évident que subir une fuite de données est la dernière chose que votre entreprise souhaite.

• Ransomwares : Les attaques les plus efficaces contre les entreprises sont souvent des ransomeware. Les attaquants paralysent votre système informatique et demandent de l'argent. Le risque est alors d'empêcher vos employés de travailler et de mettre en péril le bon fonctionnement de l'entreprise.

• Pertes financières : Une intrusion d'un attaquant peut engendrer des pertes financières pour n'importe quelle raison, le ransomware n'est pas la seule. Une perte de données, un sabotage de la configuration serveur, un déni de service quelconque, n'importe quel impact provoqué par une attaque ciblée ou non ciblée est à prendre au sérieux financièrement parlant.

• Implications légales : Même si une attaque telle une fuite de données n'implique aucune perte financière ni aucune perte de productivité, elle peut induire de sérieux problèmes légaux. Beaucoup de données privées sur les employés mais aussi sur de potentiels clients sont gardées par une entreprise et une fuite de données, surtout si elle est facilité par un sérieux manque de sécurité informatique peut mettre en péril l'activité de l'entreprise.

Aspects juridiques

Les entreprises sont dans l'obligation d'obéir aux régulations en place dans leur propre juridiction. En France, toute entreprise ayant une infrastructure informatique doit connaître la RGPD et s'y plier.

L'élection d'un DPO (Délégué de la protection des données) et la prise de conscience de la chaîne de responsabilité en cas d'incident informatique est essentielle. D'ailleurs, cette conscience doit être acquise avant même la configuration de l'infrastructure. En effet, cette dernière va grandement dépendre des contraintes légales de l'entreprise.

Bonnes pratiques

Les bonnes pratiques concernent les choix de configuration des différents services et du réseau, ainsi que la bonne gestion des accès pour les différents utilisateurs. Il existe beaucoup de services différents et plusieurs organismes proposent des guides de bonnes pratiques et de hardening, aussi bien généralistes que spécifiques à certains systèmes/services :

• Guide de l'hygiène informatique : Proposé par l'ANSSI, c'est un livre essentiel pour rester à jour des bonnes pratiques. C'est un guide très généraliste dont les conseils s'appliquent à toutes les infrastructures informatiques.

• CIS Benchmarks : Ce sont des documents de bonnes pratique avec beaucoup de conseils de hardening pour de nombreux services différents, allant des Windows Servers à Nginx en passant par des guides de hardening plus généralistes comme sur le réseau et des logiciels plus spécifiques.

• NIST : L'équivalent de l'ANSSI, mais américain. C'est un organisme de référence en cybersécurité.