Les 3 piliers d’une stratégie de cybersécurité efficace
La cybersécurité ne se résume pas à un antivirus. Lorsqu’on parle de sécurité informatique, on pense souvent à un logiciel installé sur les ordinateurs pour bloquer les virus. Pourtant, protéger une entreprise demande d’aller bien plus loin.
Les utilisateurs, les accès aux données, les emails, les équipements, les sauvegardes ou encore la capacité à réagir après un incident font tous partie du sujet.
Une bonne stratégie de cybersécurité repose donc sur plusieurs mesures complémentaires. Dans cet article, nous avons choisi de les regrouper autour de trois grands piliers : la gouvernance, la protection et la détection, puis la remédiation.
Sans plus tarder rentrons dans le vif du sujet :
1. La gouvernance : prévenir avant qu’un problème n’arrive
La gouvernance constitue le socle de la cybersécurité. Elle permet de prévenir les risques, sensibiliser les utilisateurs et maîtriser les accès aux outils et aux données de l’entreprise.
Car un incident de sécurité ne commence pas toujours par un virus. Il peut aussi partir d'un utilisateur qui clique sur un lien frauduleux, d’un mot de passe compromis ou d’un accès qui n’a jamais été retiré.
Sensibiliser les utilisateurs
Les collaborateurs sont au quotidien au contact des emails, fichiers, liens et applications de l’entreprise. Ils sont donc directement concernés par les risques cyber.
Le phishing, par exemple, consiste à tromper un utilisateur pour l'inciter à communiquer une information, cliquer sur un lien ou effectuer une action. Et contrairement à une idée reçue, ces messages ne sont pas toujours faciles à repérer.
C’est pourquoi la sensibilisation ne devrait pas se limiter à rappeler de « faire attention aux emails ».
Former les utilisateurs et tester régulièrement leurs réflexes permet de développer de véritables habitudes de sécurité. Des simulations de phishing peuvent notamment permettre de mettre les collaborateurs en situation réelle, sans attendre qu’une véritable attaque se présente.
La CNIL recommande notamment d’impliquer et de former les utilisateurs aux enjeux de sécurité, tandis que les dispositifs publics de sensibilisation insistent également sur les bons réflexes face au phishing, aux mots de passe et aux autres menaces courantes.
Chez AGYTEK, cette approche peut notamment s’appuyer sur le Security Awareness Service de Hornetsecurity, qui associe formations en ligne et simulations de phishing.
Maîtriser les accès
Sensibiliser les utilisateurs ne suffit cependant pas. Il faut également savoir qui peut accéder à quoi.
Dans une entreprise, tous les collaborateurs n’ont pas besoin des mêmes droits. Un membre du service commercial n’a, par exemple, pas nécessairement besoin d’accéder aux dossiers des ressources humaines.
Le principe est simple : accorder à chaque utilisateur les accès nécessaires à son activité, et éviter les permissions inutiles.
La gestion des habilitations, la limitation des accès et l’authentification renforcée font partie des mesures de sécurité recommandées par la CNIL. La double authentification permet notamment de réduire le risque d’usurpation d’un compte lorsque le mot de passe a été compromis.
Dans les environnements Microsoft 365, cette maîtrise peut devenir plus complexe lorsque les données sont réparties entre SharePoint, OneDrive et Teams.
Chez AGYTEK, on propose des solutions comme 365 Tenant Manager qui permet de centraliser la gestion de plusieurs environnements Microsoft 365, mais aussi 365 Permission Manager, qui permet d’avoir une meilleure visibilité sur les permissions et les partages dans Microsoft 365.
Prenons un exemple : Julie partage un dossier SharePoint avec un prestataire externe pour travailler sur un projet. Le projet se termine, mais le dossier reste partagé… et l’accès aussi. Permission Manager permet d’identifier ce type de partage et de mieux contrôler les droits accordés.
Pour gérer les identités et les habilitations, Youzer permet de structurer les droits et de suivre les accès tout au long du parcours des collaborateurs. À l’arrivée d’un salarié, quels accès faut-il lui donner ? Et à son départ, a-t-on bien pensé à retirer tous ses accès ?
Prenons un exemple : Paul quitte l’entreprise vendredi. Son compte Microsoft 365 est désactivé, mais a-t-on aussi pensé à retirer ses accès au CRM, aux outils métier, aux dossiers SharePoint ou aux différentes applications ? C’est justement ce type de situation que la gouvernance des habilitations permet de mieux encadrer.
2. Protection & détection : bloquer les menaces et réagir rapidement
Même avec une bonne gouvernance, une entreprise reste exposée à des tentatives d’attaque.
Il faut donc mettre en place une deuxième couche : protéger les équipements et les communications, mais aussi détecter les comportements suspects lorsqu’une menace parvient à passer.
Un antivirus ne fait pas tout
Un antivirus reste un élément important de la protection d’un poste de travail. Mais les menaces actuelles peuvent être plus complexes qu’un simple fichier infecté.
La sécurité des endpoints s’appuie donc de plus en plus sur des mécanismes capables de détecter des comportements anormaux, corréler plusieurs événements et aider à répondre aux incidents.
C’est notamment le rôle des technologies EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response).
Un EDR surveille les postes et peut détecter des comportements suspects. Le XDR va plus loin en mettant en relation plusieurs sources d’informations afin d’obtenir une vision plus globale d’une attaque.
Avec le MDR (Managed Detection and Response), cette détection peut en plus être associée à une surveillance assurée par des équipes spécialisées, notamment au sein d’un SOC.
Chez AGYTEK, Bitdefender MDR / EDR / XDR permet ainsi d’associer protection des postes, surveillance, analyse des menaces et réponse aux incidents.
La messagerie : une autre porte d’entrée importante
Les emails constituent un autre point de vigilance majeur.
Un message malveillant peut contenir un lien frauduleux, une pièce jointe infectée ou chercher à tromper directement son destinataire.
La protection de la messagerie consiste donc à analyser les messages et leurs contenus afin de bloquer les spams, virus et tentatives de phishing, mais également à contrôler les liens et certaines pièces jointes.
Mais certaines attaques vont plus loin et sont conçues pour contourner les protections classiques.
Notre solution Spam & Malware Protection de Hornetsecurity intervient notamment sur cette couche de filtrage.
Aller plus loin avec l’Advanced Threat Protection
L’Advanced Threat Protection (ATP) ajoute une couche supplémentaire pour analyser les menaces plus ciblées ou sophistiquées.
Différents moteurs peuvent notamment être utilisés pour analyser les emails, les URL et les pièces jointes, avec des technologies comme la Sandbox, Secure Links, URL Scanning ou Targeted Fraud Forensics.
L’intérêt est de pouvoir approfondir l’analyse lorsqu’un message présente un risque particulier.
Certaines fonctionnalités permettent également de détecter une menace après la livraison d’un email et, dans certains environnements Microsoft 365, de contribuer à sa suppression a posteriori.
L’idée n’est donc pas seulement de demander à la messagerie de « laisser passer ou bloquer » un email : il s’agit aussi de pouvoir analyser, surveiller et réagir lorsqu’une menace évolue.
3. Remédiation : prévoir ce qui se passe après un incident
Même avec des mesures de sécurité solides, aucun système informatique ne peut être considéré comme totalement à l’abri d’un incident.
C’est là qu’intervient la remédiation.
Son rôle est de limiter les conséquences d’un incident, restaurer les systèmes et permettre à l’entreprise de reprendre son activité.
Pourquoi les sauvegardes sont essentielles ?
Imaginez qu’un serveur soit chiffré à la suite d’un ransomware.
Bloquer l’attaque est évidemment important. Mais si les données ont été rendues indisponibles, une autre question se pose immédiatement :
Comment les récupérer ?
C’est précisément le rôle des sauvegardes.
Une sauvegarde crée une copie des données et systèmes qui pourra être utilisée pour restaurer un environnement après une suppression accidentelle, une panne ou une cyberattaque.
Mais sauvegarder ne suffit pas. Les copies doivent être régulières, correctement protégées et surtout restaurables.
La CNIL recommande notamment d’effectuer des sauvegardes régulières, de conserver certaines copies sur des emplacements distincts et de tester régulièrement leur intégrité ainsi que la capacité à les restaurer. Elle recommande également de protéger les sauvegardes elles-mêmes, notamment contre les risques liés aux rançongiciels.
La règle dite 3-2-1 constitue notamment une bonne pratique couramment utilisée : disposer de plusieurs copies, sur différents supports, dont au moins une copie isolée du réseau.
Et après la sauvegarde ?
Il faut également savoir comment restaurer l’environnement informatique.
C’est ici qu’intervient le PRA, ou Plan de Reprise d’Activité.
Le PRA définit comment l’entreprise peut remettre en fonctionnement ses systèmes après un incident majeur. Il permet notamment de prévoir les moyens nécessaires à la restauration et les étapes à suivre pour reprendre l’activité.
Chez AGYTEK, les solutions basées sur Veeam Backup permettent de sauvegarder les données et les serveurs, avec une rétention d’un an. L’approche peut également intégrer un environnement de restauration, des tests PRA et un accompagnement lors du déclenchement du dispositif.
Les trois piliers fonctionnent ensemble
Gouvernance, protection et remédiation ne doivent pas être considérées comme trois sujets indépendants.
Prenons un exemple simple.
Un collaborateur reçoit un email de phishing.
La gouvernance permet de l’avoir sensibilisé aux techniques de phishing et de limiter ses accès.
La protection et la détection permettent ensuite de filtrer le message et, si celui-ci passe, de détecter certains comportements suspects.
La remédiation intervient si l’attaque provoque malgré tout un incident : les sauvegardes et le PRA permettent alors de restaurer l’environnement et de reprendre l’activité.
On obtient donc une logique en trois temps :
Prévenir → Protéger & détecter → Restaurer & reprendre
Ce fonctionnement rejoint d'ailleurs l'approche plus large de la CNIL, qui distingue notamment la sensibilisation des utilisateurs, la gestion des habilitations, la sécurisation des postes et réseaux, les sauvegardes, la continuité et la reprise d'activité ainsi que la gestion des incidents.
En conclusion
Un antivirus peut protéger un poste. Une solution de filtrage peut bloquer un email malveillant. Une sauvegarde peut permettre de récupérer des données.
Mais aucune de ces briques ne suffit, seule, à constituer une stratégie de cybersécurité complète.
Une approche cohérente consiste à :
Gouverner pour prévenir les risques et maîtriser les accès.
Protéger et détecter pour bloquer les menaces et réagir rapidement.
Remédier pour restaurer les systèmes et reprendre l’activité après un incident.
La cybersécurité n’est donc pas un bouton « ON/OFF ». C’est un ensemble de mesures qui doivent fonctionner ensemble et évoluer avec l’entreprise.