10 conseils pour optimiser la sécurité IT de votre entreprise

Combien d’utilisateurs votre entreprise compte-t-elle dans Microsoft Active Directory, par exemple ? Tous les ex-collaborateurs ont-ils été désactivés ou supprimés ? Prévoyez une procédure pour désactiver les comptes des ex-collaborateurs et changez les mots de passe. Prévoyez également un nettoyage tous les six mois, puis supprimez définitivement les anciens comptes. Faites-le à la fois au niveau de Windows et pour vos applications professionnelles.

Tous les appareils de votre entreprise sont-ils équipés d’une solution anti-malware ? Et sont-ils tous à jour ? Nous remarquons souvent que tous les appareils ne sont pas visibles dans la console antimalware. Une gestion adéquate de tous les appareils est pourtant indispensable.

Il vous reste de vieux appareils XP ou des serveurs Windows 2003 ? Ce matériel n’est plus pris en charge. Les paramètres de sécurité de ces anciens appareils ne répondent généralement pas non plus aux nouvelles exigences. C’est pourquoi les fournisseurs de matériel et de logiciels fournissent régulièrement des mises à jour (de sécurité). Remplacez vos anciens appareils et établissez un plan de mise à jour concret pour vos différents composants (serveurs, ordinateurs de bureau, applications, pare-feu, hyperviseurs, etc.)

Un serveur web est souvent hébergé en externe. Une bonne sécurité reste néanmoins importante, tout comme l’utilisation du protocole https avec des certificats officiels. Si votre serveur web public est toujours situé en interne sur votre propre matériel, il doit absolument se trouver dans une zone sécurisée (DMZ). Prévoyez une protection pare-feu solide et des règles strictes.

Votre pare-feu est-il configuré correctement ? Et quand un spécialiste externe l’a-t-il vérifié pour la dernière fois ? Nous y relevons souvent des règles qui ne sont plus utilisées ou qui ne respectent pas le principe de la « sécurité la plus stricte ». Pensez à la possibilité d’envoyer un e-mail à partir de tous les appareils. Ou de tout autoriser vers Internet depuis le réseau interne.

Mettez en place une politique de mot de passe où les mots de passe ont au moins dix caractères et sont complexes. Veillez aussi à les changer au moins tous les six mois. Personne ne devrait recevoir un mot de passe qui n’expire jamais.

Presque toutes les entreprises disposent d’un environnement Windows. Un hacker préférera naturellement s’emparer du compte administrateur. Renommez donc ce domain account par n’importe quel autre nom. L’idéal pour rendre beaucoup plus difficile la tâche des pirates.

Votre collaborateur IT se connecte tous les jours avec un compte personnel doté de droits d’administrateur ? Changez ça ! Donnez aux utilisateurs qui ont parfois besoin de droits supplémentaires un compte système distinct. Ils ne l’utiliseront que lorsqu’ils auront besoin de droits supplémentaires, et pas pendant leurs activités quotidiennes. Certaines tâches, comme les sauvegardes, s’effectuent toujours sous votre compte administrateur ? Changez aussi les règles et utilisez des comptes de service spécifiques, comme SVC-Backup.

Nous voyons de plus en plus de sauvegarde sur disque (NAS/Serveur de sauvegarde). Dans l’optique de la reprise après sinistre et des cryptolockers, nous recommandons également une sauvegarde vraiment externe (air-gapped). Aujourd’hui, les bonnes vieilles bandes magnétiques peuvent parfaitement être remplacées par des solutions cloud bien protégées, telles que Veeam Cloud Connect.

Le cryptage est une mesure importante couverte par le RGPD :

• Si les appareils mobiles (ordinateurs portables) contiennent des données de l’entreprise, utilisez le cryptage (comme Microsoft BitLocker) pour les protéger.
• Un collaborateur des RH a besoin d’une sécurité supplémentaire ? Vous pouvez facilement lui fournir pour les dossiers et les fichiers avec des produits tels que SafeHouse.
• Vous avez une sauvegarde sur le cloud ? Assurez-vous que cet espace externe est crypté.

Ces dix mesures constituent une bonne base pour renforcer votre sécurité et votre conformité au RGPD. Vous les avez toutes mises en oeuvre ? Documentez-les pour pouvoir le prouver.