Les 5 erreurs à éviter en sécurité informatique

En tant que partenaire technologique des PME, nous avons été à multiples reprises témoins des trous béants de sécurité informatique ignorés chez les clients.

Bien souvent, les dirigeants ne sont pas conscients des risques que représente un réseau non-sécurisé.

Voici quelques-uns des meilleurs exemples que nous avons rencontrés :

1. Ouvrir l’accès au serveur terminal (RDS/RDP/TS) sur Internet

Les avantages d’utiliser un serveur terminal sont nombreux : utiliser des ressources serveurs pour les applications clients, diminuer la configuration des postes clients et, surtout, faciliter l’accès à distance au réseau de l’entreprise. Faciliter l’accès au réseau c’est bien, mais exposer un serveur et un protocole NON-SÉCURISÉ directement sur Internet, c’est une très mauvaise idée. En effet, une fois l’accès distant ouvert à tous les hackers sur Internet, il devient assez simple d’intercepter ou de « cracker » les mots de passe des utilisateurs (un petit Google du terme « ts grinder » devrait vous convaincre).

Solution : Un VPN. Sécuritaire. Pas une des options non encryptées offertes par Microsoft, mais quelque chose de solide. Par exemple: un VPN SSL, du genre Cisco ou SonicWall. En utilisant l’une de ces technologies, les données d’authentification (nom d’usager et mot de passe) sont encryptées dans un tunnel VPN.

2. Ouvrir Outlook Web App/Access sur Internet sans certificat SSL

Évidemment, le travailleur moderne veut avoir accès à ses courriels de partout, sur toutes sortes d’appareils. Le standard de l’industrie en matière de serveur de courriel est Microsoft Exchange.

Tous les appareils mobiles modernes (iPhone, iPad, Android, BlackBerry) se connectent à ce genre de serveur en utilisant le protocole HTTPS (http, navigation Web avec sécurité). Bien des petites entreprises lésinent sur la sécurité et pensent faire une économie de taille en n’achetant pas un certificat de sécurité pour protéger la communication entre leurs appareils mobiles et leur serveur de courriels. GRAVE ERREUR. Le protocole http peut être « reniflé » sans aucun problème en texte clair. Bref, si vous transigez des données moindrement confidentielles de cette façon, elles ne sont plus confidentielles!

Solution : Investissez le 100$ pour un certificat SSL pour votre serveur Exchange. Vos données seront en sécurité.

3. Garder une liste de mots de passe de tous les utilisateurs du réseau dans un chiffrier Excel

L’idée peut paraître bonne, mais c’est en fait la pire idée de l’histoire des mauvaises idées en sécurité informatique. Cela peut faciliter le support, en permettant d’ouvrir la session de n’importe quel utilisateur sans changer son mot de passe. Mais en réalité, c’est un trou GARGANTUESQUE de sécurité. Ce genre de fichier se fait parfois imprimer, peut traîner dans le bac de l’imprimante et, soudainement, quelqu’un se retrouve avec le mot de passe du président. BOOM! Accès aux courriels, accès aux fichiers confidentiels, bref, accès à un tas de choses que « ce quelqu’un » ne devrait pas voir.

Solution : Ne pas garder de liste de mots de passe. Forcer les utilisateurs à changer leur mot de passe sur une base régulière (aux 3 mois par exemple).

4. Protéger son réseau avec un routeur domestique

Il est arrivé souvent de constater que plusieurs réseaux d’entreprises que soient protégés par un routeur acheté dans un magasin à grande surface. En effet, une des dépenses qui semble les plus inutiles aux yeux de bien des décideurs, c’est le matériel relié à la sécurité informatique. Pensez-y, toutes les données de votre entreprise sont protégées du champ de bataille informatique que représente l’Internet par un routeur à 60$. Un hacker avec un peu de bonne volonté n’aura aucune difficulté à s’infiltrer dans votre réseau, infecter vos postes avec des logiciels espions, répandre un virus fort agréable qui va éliminer toutes les données de votre réseau et peut-être ensuite se servir des postes de travail pour faire d’autres victimes à travers le monde.

Solution : Plusieurs entreprises offrent des routeurs qui sont de très efficaces pare-feux. Ils peuvent bloquer les attaques à la source et empêcher un poste qui serait infecté de répandre la peste informatique à l’extérieur de votre réseau. L’investissement est proportionnel à la grosseur de votre réseau, mais en vaut certainement la peine.

5. Utiliser un antivirus gratuit, ou pire, pas d’antivirus

« Bonjour Monsieur le client, voici une soumission pour protéger vos postes de travail avec un antivirus de qualité, avec centrale de gestion », « POUAH! Mon beau-frère qui bidouille en informatique m’as dit qu’AVG ou Avast, qui sont gratuits, sont aussi bons! »

Ces conseils qui sont donnés à un client semblent parfois peu éclairés. Il y a une raison pour laquelle les antivirus que nous recommandons à nos clients comportent des consoles de gestion centrale. Sans une vue d’ensemble du réseau, vous n’avez aucune idée si un virus a réussi à infecter un poste, ou si ce même virus réussit à se répandre dans tous le réseau! Oui, c’est désagréable d’investir dans quelque chose de pas très sexy comme des licences pour un antivirus corporatif, mais lorsque vous aurez passé 4 ou 5 jours sans qu’aucun employé ne puisse travailler, à payer un technicien à nettoyer le virus, restaurer vos données et remettre votre entreprise sur pieds, le +/- 35$ par licence va sembler un bien petit montant comparé à la perte de production encourue.

Solution : Acheter un antivirus corporatif. Faites votre choix dans la panoplie! TrendMicro, NOD32, Kaspersky, Symantec, etc.!

Au final…

Si vous vous êtes reconnu dans une ou plusieurs catégories plus haut, faites le nécessaire pour corriger la situation, au risque de vous retrouver du mauvais côté des statistiques…

N’hésitez pas à contacter les experts de Vertisoft qui sauront vous conseiller et vous aider à éviter des situations bien embarrassantes.