Comment être en cybersécurité avec un budget limité : conseils pratiques pour la cybersécurité à faible coût

Tout le monde sait que les cybermenaces se sont multipliées ces dernières années. Selon notre sondage sur la cybersécurité de 2023, 41 % des organisations ont indiqué avoir subi une cyberattaque au cours des 12 derniers mois. Le coût d’une cyberattaque réussie peut être astronomique : le coût d’une atteinte à la protection des données en 2023 d’IBM rapporte que le coût moyen d’une atteinte à la protection des données au Canada était de 5,13 millions de dollars américains (6,96 millions de dollars canadiens, en date de décembre 2023). Si les violations de données les plus importantes ont touché les secteurs de la santé, de la finance, de l’industrie pharmaceutique et de l’énergie, les PME sont de plus en plus dans la ligne de mire des cybercriminel·les.  

Dans le paysage numérique actuel, aucune organisation ni aucune personne n’est à l’abri des cyberattaques. Les cybercriminel·les se concentrent de plus en plus sur les petites et moyennes entreprises pour extorquer et exfiltrer des données et ne montrent aucun signe d’essoufflement.  

Que peut donc faire une petite organisation disposant de ressources limitées pour lutter contre les cybermenaces? Fort heureusement, il existe plusieurs mesures et bonnes pratiques rentables que votre organisation peut mettre en place pour réduire considérablement le profil de cyberrisque de votre organisation.  

1. Évaluez votre paysage numérique 

La première étape pour comprendre la manière de protéger votre organisation est de comprendre exactement ce que vous devez protéger. À l’aide d’un cadre de cybersécurité établi comme NIST CSF 2.0 ou ISO 27001, vous pouvez faire l’inventaire de tous vos appareils connectés à Internet et de toutes vos activités en ligne pour identifier les vulnérabilités potentielles. Lorsque vous avez déterminé les vulnérabilités potentielles de la pile technologique de votre organisation, vous pouvez classer les risques par ordre de priorité et mettre en place un plan pour y remédier. L’une des mesures immédiates à prendre est de mettre rapidement à jour votre matériel et vos logiciels afin de protéger vos systèmes et vos fichiers contre les menaces potentielles de personnes malveillantes. 

2. Formation en cybersécurité 

L’une des mesures les plus efficaces que vous pouvez mettre en place pour réduire les cybervulnérabilités de votre organisation est de mettre en place un programme de formation en cybersécurité efficace. Selon le rapport des enquêtes sur les atteintes à la protection des données de Verizon, 82 % des atteintes à la protection des données concernent des erreurs humaines, notamment des attaques d’hameçonnage réussies. En vous attaquant à la couche humaine de vos cyberdéfenses, vous pouvez réduire considérablement le nombre d’incidents d’hameçonnage et, par extension, de violations de données.  

Qu’est-ce qui fait qu’une plateforme de formation en cybersécurité a un impact? Les programmes les plus efficaces offriront une formation à intervalles réguliers pertinente pour vos utilisateur·rices et les font participer. Les simulations d’hameçonnage sont également un élément important du casse-tête. Apprendre à connaître les indices d’hameçonnage est une chose, mais mettre ces connaissances à l’épreuve et les simuler permet de transposer ces leçons dans le monde réel et d’aider votre équipe à signaler de vrais courriels suspects. 

En outre, le fait de donner aux employé·es de la transparence et de la visibilité sur leurs progrès au cours de la formation peut les aider à s’approprier davantage leur parcours en matière de cybersécurité. En leur donnant accès à leurs propres tableaux de bord de formation et à des bibliothèques de formation, on leur permet de prendre le contrôle de leurs risques personnels en matière de cybersécurité et on peut les aider à rester en sécurité à la maison et au travail.  

Reconnaissant l’importance de la formation des utilisateur·rices finaux·les, la CIRA offre une plateforme de formation en cybersécurité conçue pour aider les organisations canadiennes de toutes tailles à se protéger contre les attaques d’ingénierie humaine. Pour en savoir plus, visitez notre page de formation en cybersécurité.  

3. Pratiques de mot de passe sécurisé 

Les mots de passe servent de première ligne de défense contre l’accès non autorisé à des données sensibles. Une politique de mot de passe solide vous permet de protéger les données de votre organisation contre la compromission. En raison du nombre important de comptes numériques que nous utilisons au quotidien, tant au travail qu’à la maison, la réutilisation de mots de passe et l’utilisation de mots de passe peu robustes peuvent avoir un effet domino et compromettre plusieurs comptes. Si un·e employé·e utilise le même mot de passe pour une plateforme de diffusion en continu et son compte de travail, si le service de diffusion en continu est compromis, les criminels tenteront d’utiliser les identifiants volés sur diverses plateformes et pourraient avoir accès à des comptes de travail sensibles.  

Une mesure simple et rentable que votre organisation peut prendre pour améliorer sa position en matière de cybersécurité consiste à mettre en place une politique de mot de passe solide pour votre organisation. Voici quelques conseils pour aider votre organisation à protéger ses mots de passe : 

• Créez des mots de passe uniques pour chaque site Web et application que vous utilisez 
• Assurez-vous que les mots de passe sont complexes et comprennent des caractères spéciaux, des lettres majuscules et minuscules et des chiffres. Assurez-vous que le mot de passe n’est pas trop complexe. Si les exigences sont trop strictes, les employés réutiliseront ces mots de passe. 
• Utilisez un gestionnaire de mots de passe. Les gestionnaires de mots de passe sont un excellent moyen de générer et de stocker vos mots de passe complexes et uniques. Les gestionnaires de mots de passe offrent aussi souvent des fonctionnalités telles que le partage sécurisé des mots de passe et la mise à jour régulière des mots de passe, ce qui contribue à accroître davantage la cybersécurité. 
• Utilisez un site Web comme haveibeenpwned.com pour déterminer si vos identifiants ont été publiés sur le Web caché. Ces sites Web vérifient le Web caché pour obtenir des listes de données d’authentification compromises et peuvent vous aviser si vos comptes apparaissent. Si votre mot de passe a été compromis, assurez-vous de le changer rapidement.  

4. Filtrage DNS (CIRA DNS Firewall ou Bouclier canadien) 

Le filtrage DNS revient à disposer d’un pare-feu virtuel pour votre connexion Internet. Il vous permet de bloquer l’accès aux sites Web nuisibles, tels que ceux contenant des maliciels ou des escroqueries. Cela rend votre expérience en ligne plus sécuritaire en vous empêchant, vous et vos employé·es, de visiter des sites Web malveillants sans le savoir. Un filtre DNS ajoute une couche supplémentaire de protection à votre organisation, réduisant les chances de réussite d’une cyberattaque.  

CIRA offre deux niveaux de protection DNS : Bouclier canadien de CIRA et CIRA DNS Firewall. Bouclier canadien de CIRA est un service DNS public 100 % gratuit qui utilise des dizaines de flux de menaces et d’IA pour analyser des milliards de requêtes DNS à l’échelle mondiale chaque jour. Plus de 200 000 nouvelles menaces sont ajoutées à la liste quotidiennement, aidant les employé·es et leur famille à rester à la sécurité, même contre les menaces les plus récentes. Bouclier canadien bloque les sites Web malveillants avant qu’ils ne puissent se connecter à votre réseau. Et quand nous disons gratuit, nous le pensons vraiment. Non seulement nous ne facturons pas les utilisateur·rices, mais nous ne prenons pas non plus vos données personnelles pour les utiliser à des fins de publicité, de suivi ou de revente à d’autres parties. Bouclier canadien de CIRA peut être configuré sur vos routeurs, comme extension de navigateur, et dispose d’une application Android et IOS pour offrir une protection gratuite afin de protéger vos réseaux de bureau et domestiques. Pour obtenir des instructions sur la façon d’installer le Bouclier canadien de CIRA, visitez notre page de configuration.  

Pour les organisations qui recherchent un contrôle supplémentaire sur leur filtrage DNS, CIRA offre également un service DNS Firewall. En plus de la protection contre les maliciels et l’hameçonnage, le DNS Firewall fournit également plus de 60 catégories à filtrer, un panneau administratif, des rapports sur les activités menaçantes, la capacité de définir des politiques personnalisées, l’intégration API pour SIEM, PSA ou d’autres systèmes, un soutien en tout temps et un soutien IP dynamique. Bien que le DNS Firewall soit un service payant, il s’agit d’une couche de protection abordable, facile à gérer et efficace qui protège actuellement plus de 4 millions d’utilisateur·rices canadien·nes. En savoir plus sur CIRA DNS Firewall aujourd’hui.  

5. Maintenir le logiciel à jour 

La mise à jour régulière des logiciels est cruciale pour la cybersécurité, car les mises à jour comprennent souvent des correctifs qui corrigent les vulnérabilités et les faiblesses du système. Les cybercriminel·les exploitent activement ces vulnérabilités pour lancer des attaques, et les logiciels désuets deviennent une cible principale. Les mises à jour logicielles permettent non seulement d’améliorer les performances du système et d’ajouter de nouvelles fonctionnalités, mais surtout de combler les failles de sécurité susceptibles d’être exploitées par des maliciels, des pirates informatiques ou d’autres entités malveillantes. En maintenant les logiciels à jour, les utilisateurs et les organisations augmentent leurs défenses, réduisant ainsi le risque de violations, de vols de données et d’autres incidents liés à la cybersécurité. 

L’une des politiques les moins contraignantes que vous puissiez mettre en place consiste à autoriser les mises à jour automatiques des logiciels. Alors que les mises à jour manuelles nécessitent que l’utilisateur·rice ou l’administrateur·rice se rende sur le site Web du fournisseur et télécharge et installe les mises à jour et les correctifs du logiciel, les mises à jour automatiques ne nécessitent que le consentement de l’utilisateur ou de l’administrateur pour installer le logiciel. Une fois qu’un·e administrateur·rice y consent, les mises à jour logicielles sont automatiquement transmises à votre système. En s’assurant que les logiciels sont automatiquement mis à jour et corrigés, il est beaucoup plus difficile pour les personnes malveillantes d’exploiter les vulnérabilités connues et d’obtenir un accès non autorisé aux systèmes, ce qui améliore la sécurité globale du logiciel et de l’infrastructure numérique associée. 

6. Authentification à deux facteurs (2FA) 

L’activation de l’authentification à deux facteurs, également appelée 2 FA à deux facteurs ou authentification à facteurs multiples (AFM), est une autre mesure efficace que votre organisation peut mettre en place pour réduire la probabilité d’une cyberattaque réussie. L’authentification à deux facteurs demande aux utilisateur·rices de fournir deux formes d’identification pour accéder à un système ou à un compte, généralement quelque chose qu’ils connaissent (comme un mot de passe) et quelque chose qu’ils ont (comme un appareil mobile ou un jeton de sécurité). Lorsque Google a déployé la technologie 2FA pour plus de 150 millions de personnes, l’entreprise a constaté une diminution de 50 % de comptes compromis parmi ces utilisateurs. 

Lorsque cela est possible, assurez-vous d’activer la technologie 2FA sur les sites Web et les applications utilisés par votre organisation. Cette étape supplémentaire permet de réduire la probabilité d’accéder aux données sensibles de votre organisation en cas d’attaque par hameçonnage ou de fuite de mot de passe, car la personne malveillante aurait besoin du deuxième facteur pour obtenir l’accès. Aujourd’hui, il existe une variété d’options pour le 2FA, notamment la biométrie, les codes par message texte, les applications d’authentification ou les jetons matériels. Cette adaptabilité le rend polyvalent et adapté aux différentes préférences de l’utilisateur·rice et exigences de sécurité.  

7. Sauvegardez vos données 

En cas d’attaque par rançongiciel, l’une des premières choses que les pirates feront est de chiffrer vos données, empêchant votre organisation de mener ses activités quotidiennes. Les pirates demanderont un paiement pour que les données soient restaurées, mais comme le dit l’adage, il n’y a pas d’honneur chez les voleurs, et le paiement ne garantit en rien que vos données seront restaurées. Les attaques par rançongiciels peuvent empêcher votre organisation de réaliser ses tâches les plus élémentaires, du traitement de la paie à l’accès aux comptes de courriel ou même à l’utilisation de matériel essentiel au fonctionnement quotidien de l’organisation. L’année dernière, lorsqu’une grande chaîne d’épicerie a été victime d’une attaque, les employé·es ont reçu l’ordre de débrancher les balances numériques, de ne pas utiliser d’équipement de numérisation pour suivre les stocks et n’ont pas pu accéder à leurs systèmes informatiques, ce qui a mis un terme à leur activité.  

Avoir des sauvegardes de données récentes peut vous permettre de restaurer vos systèmes sans avoir à payer la rançon aux pirates informatiques. Vous pouvez remettre vos systèmes dans un état propre et non infecté, ce qui permet la reprise des activités commerciales quotidiennes. Les sauvegardes sont non seulement importantes pour protéger votre organisation contre les attaques de rançongiciels, mais elles constituent également un élément essentiel de tout plan de continuité des activités, protégeant contre la suppression accidentelle ou les erreurs humaines ainsi que les défaillances du système. N’oubliez pas de conserver au moins une sauvegarde hors site ou hors ligne afin que les pirates qui obtiennent un accès non autorisé à vos systèmes ne soient pas en mesure d’y accéder.  

8. Restez informé·e et engagez-vous auprès de la communauté de la cybersécurité 

Le domaine de la cybersécurité est en constante évolution et les personnes malveillantes utilisent des méthodes de plus en plus audacieuses et créatives. Avec les progrès rapides de la technologie de l’IA générative au cours de l’année écoulée, la barre a été abaissée pour les cybercriminel·les en puissance qui cherchent à lancer des attaques plus sophistiquées et plus dommageables, plus rapidement et avec moins d’efforts. Les organisations canadiennes prennent note que 68 % des organisations interrogées signalent être préoccupées par les cybermenaces potentielles de cette technologie.  

Les avancées technologiques dont les personnes malveillantes peuvent tirer parti continueront de se développer, tout comme nos défenses. La question n’est plus de savoir si nous serons attaqués par des cybercriminels, mais quand nous le serons. Chaque organisation, des plus grandes multinationales aux plus petites entreprises, doit être prête pour cette éventualité.  

Conclusion 

Même si votre organisation ne dispose que d’un petit budget à allouer à la cybersécurité, il existe encore de nombreuses mesures efficaces à mettre en place qui constitueraient une amélioration considérable par rapport à l’absence totale de protection. Les personnes malveillantes en ligne deviennent plus audacieuses et plus créatives, mais pour récapituler, certaines des mesures les plus économiques et les plus efficaces que votre organisation peut prendre sont les suivantes :  

• Évaluation de votre paysage numérique 
• Établissement de politiques de mot de passe sécurisé 
• Mise en œuvre d’un programme de formation en cybersécurité  
• Utilisation du filtrage DNS  
• Mise à jour et correction des logiciels et du matériel  
• Activation de l’authentification à deux facteurs  
• Sauvegarde de vos données  
• Rester informée et interagir avec la communauté de la cybersécurité  

CIRA est un organisme sans but lucratif qui se consacre à faire d’Internet un espace plus sûr et plus fiable pour la population canadienne. Pour en savoir plus sur la façon dont nous aidons les organisations canadiennes à rester en sécurité en ligne, consultez nos ressources en cybersécurité ou communiquez avec nous pour déterminer comment nos solutions de cybersécurité peuvent vous aider à vous protéger.  

Ressources supplémentaires en matière de cybersécurité :  

Centre canadien pour la cybersécurité

Chambre de commerce du Canada