Accueil / Guide de sécurité

Guide pratique

La sécurité de base pour les petits organismes.

Les mesures qui protègent le mieux un petit organisme, à peu près dans l’ordre où les appliquer, par les gens qui assurent la sécurité de banques, d’hôpitaux et d’organismes publics. Vous pouvez l’imprimer et l’adapter librement.

Moraph Global Resilience OperationsTraduction du guide anglais

Activez d’abord l’authentification multifacteur pour les courriels

Le courriel est la clé maîtresse : presque tous les autres mots de passe peuvent être réinitialisés par son entremise.

  • Activez l’authentification multifacteur (une deuxième étape après le mot de passe) pour tous les comptes de courriel, en commençant par les personnes qui gèrent l’argent et celles qui administrent vos systèmes.
  • Privilégiez une application d’authentification ou une clé de sécurité physique plutôt que les messages texte, qui peuvent être interceptés ou détournés.
  • Faites ensuite de même pour les services bancaires, la paie, les bases de données de donateurs ou de clientèle, et votre registraire de nom de domaine.

Gardez les comptes d’administrateur séparés

Un attaquant qui piège un administrateur obtient tout ce que cet administrateur peut toucher.

  • Les personnes qui gèrent les systèmes devraient avoir un compte courant pour le courriel et la navigation, et un compte distinct réservé à l’administration.
  • Limitez le plus possible le nombre d’administrateurs et notez qui ils sont.

Gardez une sauvegarde hors de portée des rançongiciels

Les rançongiciels cherchent d’abord les sauvegardes. Une sauvegarde sur un disque toujours branché n’est pas une sauvegarde.

  • Conservez au moins une copie des données importantes hors ligne, ou dans un service qui en empêche la suppression pendant une période définie.
  • Restaurez-en quelque chose régulièrement. Une sauvegarde que vous n’avez jamais restaurée est un espoir, pas un plan.
  • Assurez-vous qu’elle contient ce dont vous auriez vraiment besoin pour reprendre vos activités : les fichiers, les registres financiers et la configuration des systèmes essentiels.

Sachez ce que vous avez

On ne peut ni protéger, ni mettre à jour, ni récupérer ce dont on a oublié l’existence.

  • Tenez une liste d’une page des appareils, des comptes et services en ligne, de qui a un accès administrateur à chacun et de l’endroit où se trouvent les dossiers sensibles.
  • Incluez les services auxquels des bénévoles ou d’anciens employés se sont inscrits au nom de l’organisme.

Laissez les mises à jour s’installer toutes seules

La plupart des attaques contre les petits organismes exploitent des failles corrigées depuis des mois, voire des années.

  • Activez les mises à jour automatiques des systèmes d’exploitation, des navigateurs et des logiciels de bureautique.
  • Remplacez les appareils et les logiciels qui ne reçoivent plus de mises à jour de sécurité, même s’ils fonctionnent encore.

Retirez les accès le jour même du départ

Les vieux comptes sont une porte que personne ne surveille.

  • Quand un employé ou un bénévole part, fermez ou transférez ses comptes le jour même, et changez les mots de passe partagés qu’il connaissait.
  • Vérifiez quelques fois par année qui a accès à quoi. C’est toujours plus de monde que prévu.

Exigez deux personnes et deux canaux pour tout changement de paiement

Les faux courriels « nous avons changé nos coordonnées bancaires » coûtent plus cher aux organismes que la plupart des rançongiciels.

  • Ne modifiez jamais les coordonnées bancaires d’un fournisseur ou d’un employé sur la seule foi d’un courriel.
  • Rappelez à un numéro que vous aviez déjà, pas à celui du message, et faites approuver le changement par une deuxième personne.

Utilisez les protections que vous avez déjà

Bien des plateformes de courriel et de productivité offrent des fonctions de sécurité désactivées par défaut.

  • Vérifiez que les paramètres de sécurité recommandés par la plateforme sont activés, y compris la protection contre les pièces jointes et les liens malveillants, et les alertes de connexion suspecte.
  • Bien des fournisseurs de technologie ont des programmes pour les organismes à but non lucratif. Demandez au vôtre ce qui est inclus avant d’acheter quoi que ce soit de plus.

Posez les questions difficiles à vos fournisseurs

Vos données ne sont pas plus en sécurité que l’entreprise la plus faible qui les détient.

  • Avant de signer, demandez où vos données sont stockées, qui chez le fournisseur peut les voir, dans quel délai il vous avisera d’une atteinte et comment récupérer vos données si vous partez.
  • Obtenez les réponses par écrit. Un fournisseur sérieux ne s’en formalisera pas.

Lisez votre police d’assurance contre les cyberrisques avant d’en avoir besoin

Certaines polices exigent d’appeler l’assureur avant d’engager qui que ce soit pour vous aider.

  • Si vous avez une assurance contre les cyberrisques, vérifiez dès maintenant ce qu’elle couvre, ce que vous devez faire en premier et le numéro à composer. Inscrivez ce numéro dans votre plan pour la première heure.

Mettez la première heure par écrit

Lors d’un incident, les systèmes qui contiennent votre plan sont peut-être justement ceux qui sont en panne.

  • Rédigez un plan d’une page : qui décide, qui appeler, quoi débrancher, où sont les sauvegardes et comment joindre le personnel sans courriel.
  • Imprimez-le. Gardez-en une copie ailleurs que sur le réseau du bureau.

Si cela arrive

La première heure d’un incident.

Imprimez cette page et gardez-la ailleurs que sur votre réseau.

  1. Débranchez, n’éteignez pas.Débranchez du réseau les appareils touchés ou désactivez le Wi-Fi. Laissez-les allumés : les éteindre peut détruire des preuves de ce qui s’est passé.

  2. Passez à un canal sûr.Partez du principe que le courriel et la messagerie peuvent être compromis. Coordonnez-vous par téléphone ou avec des appareils personnels.

  3. Appelez votre assureur, puis l’agence nationale.Si vous avez une assurance contre les cyberrisques, appelez d’abord l’assureur : bien des polices l’exigent. Signalez ensuite l’incident à votre agence nationale de cybersécurité.

  4. Notez tout.Tenez une chronologie : ce que vous avez remarqué, quand, et ce que vous avez fait. Les intervenants, les assureurs et les organismes de réglementation vous la demanderont.

  5. Ne payez pas, n’effacez rien et ne négociez pas seuls.Payer une rançon ne garantit pas la récupération et peut être illégal dans certains cas. Demandez conseil d’abord.

  6. Pensez à qui vous devez aviser.Si des renseignements personnels, médicaux ou financiers sont en cause, vous pourriez avoir l’obligation légale d’aviser les personnes touchées ou un organisme de réglementation, souvent dans un délai précis. Obtenez des conseils tôt.

Agences nationales qui reçoivent les signalements d’incidents :

Ailleurs, communiquez avec l’équipe nationale d’intervention en cas d’incident informatique (CERT) ou avec la police.

Vous voulez que quelqu’un examine votre configuration?

Shield offre aux organismes admissibles un examen de sécurité par les gens des opérations de sécurité de Moraph, et de l’aide pour apporter les correctifs.

Demander Shield