SlideShare une entreprise Scribd logo
GUIDE DES BONNES PRATIQUES
DE L’INFORMATIQUE
12 règles essentielles pour sécuriser 
vos équipements numériques
Guide cgpme annsi bonnes pratiques
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 1
La cybersécurité est un facteur de productivité, de com-
pétitivité et donc de croissance pour les entreprises.
Quelle que soit sa taille, une PME doit prendre
conscience qu’elle peut être à tout moment confron-
tée à la cybercriminalité. Qu’il s’agisse, par exemple,
de malveillances visant à la destruction de données
ou d’espionnage économique et industriel, les consé-
quences des attaques informatiques pour les entre-
prises, et plus particulièrement les TPE, sont générale-
ment désastreuses et peuvent impacter leur pérennité.
Pour la CGPME, chaque entreprise doit aujourd’hui se doter d’une politique de sécurisa-
tion des systèmes d’information inhérente à l’usage des nouvelles technologies.
Si les contraintes financières des petites structures restent un frein à la construction
d’une cybersécurité optimale, il existe des bonnes pratiques peu coûteuses et faciles à
mettre en œuvre permettant de limiter une grande partie des risques liés à l’usage de
l’informatique.
Pour recenser ces usages, la Confédération, par le biais de sa Commission Economie
Numérique, s’est rapprochée de l’ANSSI.
Fruit d’un partenariat constructif, un guide des bonnes pratiques informatiques a été
élaboré afin de sensibiliser les PME sur cette problématique tout en leur apportant les
moyens opérationnels de préserver leurs systèmes d’information.
A vous désormais, chefs d‘entreprises, de devenir les acteurs de votre propre sécurité !
François Asselin
Président CGPME
Guide cgpme annsi bonnes pratiques
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 3
Qu’il s’agisse de la numérisation des dossiers de la pa-
tientèle d’un cabinet médical, des nouvelles possibilités
de paiement en ligne, de la multiplication des échanges
par courriel, l’usage de l’informatique s’est généralisé
dans les TPE/PME. Corollaire de cette formidable évo-
lution, de nouveaux risques ont émergé : vol de don-
nées, escroqueries financières, sabotage de sites d’e-
commerce. Leurs conséquences peuvent être lourdes :
indisponibilités, coût, atteinte à l’image de l’entreprise
et perte de clientèle.
La complexité des menaces, le coût, le manque de personnel et de temps sont souvent
autant d’arguments pour justifier un moindre intérêt porté à la sécurité informatique
au sein des petites structures. Ces questions sont pourtant essentielles et relèvent
souvent de réflexes simples. Il ne faut pas oublier que devoir remédier à un incident
dans l’urgence peut s’avérer bien plus coûteux que leur prévention. Les mesures acces-
sibles aux non-spécialistes décrites dans ce guide concourent à une protection globale
de l’entreprise, qu’il s’agisse de ses brevets, de sa clientèle, de sa réputation et de sa
compétitivité.
La sensibilisation aux enjeux de sécurité informatique de chaque acteur, notamment
dans le domaine économique, est au cœur des préoccupations de l’Agence nationale
de la sécurité des systèmes d’information. C’est donc tout naturellement que l’ANSSI a
souhaité s’associer avec la CGPME (Confédération générale du patronat des petites et
moyennes entreprises) pour apporter une expertise qui coïncide avec la réalité rencon-
trée par les petites structures, dont je n’oublie pas qu’elles constituent 90 % des entre-
prises françaises. Ce partenariat fructueux nous permet de vous présenter aujourd’hui
ce « Guide des bonnes pratiques informatiques » à destination des PME.
Les douze recommandations pratiques qu’il présente sont issues de l’observation di-
recte d’attaques réussies et de leurs causes. Dirigeants et entrepreneurs, n’hésitez pas à
vous les approprier pour les mettre en œuvre au sein de vos structures.
Vous souhaitant bonne lecture,
Guillaume Poupard
Directeur général – Agence nationale de la sécurité des systèmes d’information
Guide cgpme annsi bonnes pratiques
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 5
TABLE DES MATIERES
Pourquoi sécuriser son informatique ? ..... (7)
1 / Choisir avec soin ses mots de passe ..... (8)
2 / Mettre à jour régulièrement vos logiciels ..... (10)
3 / Bien connaître ses utilisateurs et ses prestataires ..... (12)
4 / Effectuer des sauvegardes régulières ..... (14)
5 / Sécuriser l’accès Wi-Fi de votre entreprise ..... (16)
6 / Être aussi prudent avec son ordiphone (smartphone)
ou sa tablette qu’avec son ordinateur ..... (20)
7 / Protéger ses données lors de ses déplacements ..... (22)
8 / Être prudent lors de l’utilisation de sa messagerie ..... (26)
9 / Télécharger ses programmes sur les sites officiels des éditeurs ..... (28)
10 / Être vigilant lors d’un paiement sur Internet ..... (30)
11 / Séparer les usages personnels des usages professionnels ..... (32)
12 / Prendre soin de ses informations personnelles, professionnelles
et de son identité numérique ..... (34)
En résumé ..... (36)
Pour aller plus loin ..... (36)
En cas d’incident ..... (37)
Glossaire ..... (38)
Guide cgpme annsi bonnes pratiques
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 7
Pourquoi sécuriser
son informatique ?
Alors que le numérique fait désormais partie intégrante de nos vies personnelles et
professionnelles, la sécurité est trop rarement prise en compte dans nos usages. Les
nouvelles technologies, omniprésentes, sont pourtant porteuses de nouveaux risques
pesant lourdement sur les entreprises. Par exemple, les données les plus sensibles
(fichiers clients, contrats, projets en cours...) peuvent être dérobées par des attaquants
informatiques ou récupérées en cas de perte ou vol d’un ordiphone (smartphone),
d’une tablette, d’un ordinateur portable. La sécurité informatique est aussi une prio-
rité pour la bonne marche des systèmes industriels (création et fourniture d’électricité,
distribution d’eau…). Une attaque informatique sur un système de commande industriel
peut causer la perte de contrôle, l’arrêt ou la dégradation des installations.
Ces incidents s’accompagnent souvent de sévères répercussions en termes de sécurité,
de pertes économiques et financières et de dégradation de l’image de l’entreprise. Ces
dangers peuvent néanmoins être fortement réduits par un ensemble de bonnes pra-
tiques, peu coûteuses, voire gratuites, et faciles à mettre en œuvre dans l’entreprise. à
cet effet, la sensibilisation des collaborateurs de l’entreprise aux règles d’hygiène infor-
matique est fondamentale et surtout très efficace pour limiter une grande partie des
risques.
Réalisé par le biais d’un partenariat entre l’Agence Nationale de Sécurité des Systèmes
d’Information (ANSSI) et la CGPME, ce guide a pour objectif de vous informer sur les
risques et les moyens de vous en prémunir en acquérant des réflexes simples pour sécu-
riser votre usage de l’informatique. Chaque règle ou « bonne pratique » est accompa-
gnée d’un exemple inspiré de faits réels auxquels l’ANSSI a été confrontée.
Les mots en italique marqués d’un * sont expliqués dans le glossaire situé à la fin de ce guide.
8 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
1
Choisir avec soin ses mots de passe
Dans le cadre de ses fonctions de comptable, Julien
va régulièrement consulter l’état des comptes de son
entreprise sur le site Internet mis à disposition par
l’établissement bancaire. Par simplicité, il a choisi un
mot de passe faible : 123456. Ce mot de passe a très
facilement été reconstitué lors d’une attaque utilisant
un outil automatisé : l’entreprise s’est fait
voler 10 000 euros.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 9
Le mot de passe est un outil d’authentification utilisé notamment pour accéder à
un équipement numérique et à ses données. Pour bien protéger vos informations,
choisissez des mots de passe difficiles à retrouver à l’aide d’outils automatisés ou à
deviner par une tierce personne.
Choisissez des mots de passe composés si possible de 12 caractères de type différent
(majuscules, minuscules, chiffres, caractères spéciaux) n’ayant aucun lien avec vous
(nom, date de naissance…) et ne figurant pas dans le dictionnaire.
Deux méthodes simples peuvent vous aider à définir vos mots de passe :
•• La méthode phonétique : « J’ai acheté 5 CDs pour cent euros cet après-midi » :
ght5CDs%E7am ;
•• La méthode des premières lettres : « Allons enfants de la patrie, le jour de gloire est
arrivé » : aE2lP,lJ2Géa!
Définissez un mot de passe unique pour chaque service sensible. Les mots de passe
protégeant des contenus sensibles (banque, messagerie professionnelle…) ne doivent
jamais être réutilisés pour d’autres services.
Il est préférable de ne pas recourir aux outils de stockage de mots de passe. A défaut,
il faut s’en tenir à une solution ayant reçu une certification de premier niveau (CSPN)
En entreprise :
•• déterminez des règles de choix et de dimensionnement (longueur) des mots de
passe et faites les respecter ;
•• modifiez toujours les éléments d’authentification (identifiants, mots de passe) défi-
nis par défaut sur les équipements (imprimantes, serveurs, box…) ;
•• rappelez aux collaborateurs de ne pas conserver les mots de passe dans des fichiers
ou sur des post-it ;
•• sensibilisez les collaborateurs au fait qu’ils ne doivent pas préenregistrer leurs mots
de passe dans les navigateurs, notamment lors de l’utilisation ou la connexion à un
ordinateur public ou partagé (salons, déplacements…).
10 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
2
Mettre à jour régulièrement
vos logiciels
Carole, administrateur* du système d’information
d’une PME, ne met pas toujours à jour ses logiciels.
Elle a ouvert par mégarde une pièce jointe piégée.
Suite à cette erreur, des attaquants ont pu utiliser une
vulnérabilité logicielle et ont pénétré son ordinateur
pour espionner les activités de l’entreprise.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 11
Dans chaque système d’exploitation* (Android, IOS, MacOS, Linux, Windows,…),
logiciel ou application, des vulnérabilités existent. Une fois découvertes, elles sont
corrigées par les éditeurs qui proposent alors aux utilisateurs* des mises à jour*
de sécurité. Sachant que bon nombre d’utilisateurs ne procèdent pas à ces mises à
jour, les attaquants exploitent ces vulnérabilités pour mener à bien leurs opérations
encore longtemps après leur découverte et leur correction.
Il convient donc, au sein de l’entreprise, de mettre en place certaines règles :
•• définissez et faites appliquer une politique de mises à jour régulières :
»» S’il existe un service informatique au sein de l’entreprise, il est chargé de la mise
à jour du système d’exploitation et des logiciels ;
»» S’il n’en existe pas, il appartient aux utilisateurs de faire cette démarche, sous
l’autorité du chef d’entreprise.
•• configurez vos logiciels pour que les mises à jour de sécurité s’installent automa-
tiquement chaque fois que cela est possible. Sinon, téléchargez les correctifs de
sécurité disponibles ;
•• utilisez exclusivement les sites Internet officiels des éditeurs.
12 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
3
Bien connaître ses utilisateurs
et ses prestataires
Noémie naviguait sur Internet depuis un compte
administrateur* de son entreprise. Elle a cliqué par
inadvertance sur un lien conçu spécifiquement pour
l’attirer vers une page web infectée. Un programme
malveillant s’est alors installé automatiquement sur
sa machine. L’attaquant a pu désactiver l’antivirus de
l’ordinateur et avoir accès à l’ensemble des données
de son service, y compris à la base de données
de sa clientèle.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 13
Lorsquevousaccédezàvotreordinateur,vousbénéficiezdedroitsd’utilisationplusou
moins élevés sur celui-ci. On distingue généralement les droits dits « d’utilisateur »*
et les droits dits « d’administrateur »*.
•• Dans l’utilisation quotidienne de votre ordinateur (naviguer sur Internet, lire ses
courriels, utiliser des logiciels de bureautique, de jeu,…), prenez un compte utilisa-
teur. Il répondra parfaitement à vos besoins.
•• Le compte administrateur n’est à utiliser que pour intervenir sur le fonctionnement
global de l’ordinateur (gérer des comptes utilisateurs, modifier la politique de sécu-
rité, installer ou mettre à jour des logiciels,…).
Les systèmes d’exploitation récents vous permettent d’intervenir facilement sur le fonc-
tionnement global de votre machine sans changer de compte : si vous utilisez un compte
utilisateur, le mot de passe administrateur est demandé pour effectuer les manipula-
tions désirées. Le compte administrateur permet d’effectuer d’importantes modifica-
tions sur votre ordinateur.
Au sein de l’entreprise :
•• réservez l’utilisation au service informatique, si celui-ci existe ;
•• dans le cas contraire, protégez-en l’accès, n’ouvrez pour les employés que des
comptes utilisateur, n’utilisez pas le compte administrateur pour de la navigation
sur Internet ;
•• identifiez précisément les différents utilisateurs du système et les privilèges qui leur
sont accordés. Tous ne peuvent pas bénéficier de droits d’administrateur ;
•• supprimez les comptes anonymes et génériques (stagiaire, contact, presse, etc.).
Chaque utilisateur doit être identifié nommément afin de pouvoir relier une action
sur le système à un utilisateur ;
•• encadrez par des procédures déterminées les arrivées et les départs de personnel
pour vous assurer que les droits octroyés sur les systèmes d’information sont appli-
qués au plus juste et surtout qu’ils sont révoqués lors du départ de la personne.
14 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
4
Effectuer des sauvegardes
régulières
Patrick, commerçant, a perdu la totalité de son fichier
client suite à une panne d’ordinateur. Il n’avait pas
effectué de copie de sauvegarde.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 15
Pour veiller à la sécurité de vos données, il est vivement conseillé d’effectuer des
sauvegardes régulières (quotidiennes ou hebdomadaires par exemple). Vous pour-
rez alors en disposer suite à un dysfonctionnement de votre système d’exploitation
ou à une attaque.
Pour sauvegarder vos données, vous pouvez utiliser des supports externes tels qu’un
disque dur externe réservé exclusivement à cet usage, ou, à défaut, un CD ou un DVD
enregistrable que vous rangerez ensuite dans un lieu éloigné de votre ordinateur, de
préférence à l’extérieur de l’entreprise pour éviter que la destruction des données d’ori-
gine ne s’accompagne de la destruction de la copie de sauvegarde en cas d’incendie ou
d’inondation ou que la copie de sauvegarde ne soit volée en même temps que l’ordi-
nateur contenant les données d’origine. Néanmoins, il est nécessaire d’accorder une
attention particulière à la durée de vie de ces supports.
Avant d’effectuer des sauvegardes sur des plateformes sur Internet (souvent appelées
« cloud » ou « informatique en nuage »), soyez conscient que ces sites de stockage
peuvent être la cible d’attaques informatiques et que ces solutions impliquent des
risques spécifiques :
»» risques pour la confidentialité des données,
»» risques juridiques liés à l’incertitude sur la localisation des données,
»» risques pour la disponibilité et l’intégrité des données,
»» risques liés à l’irréversibilité des contrats.
•• soyez vigilant en prenant connaissance des conditions générales d’utilisation de ces
services. Les contrats proposés dans le cadre des offres génériques ne couvrent
généralement pas ces risques ;
•• autant que possible, n’hésitez pas à recourir à des spécialistes techniques et juri-
diques pour la rédaction des contrats personnalisés et appropriés aux enjeux de
votre entreprise ;
•• veillez à la confidentialité des données en rendant leur lecture impossible à des per-
sonnes non autorisées en les chiffrant à l’aide d’un logiciel de chiffrement* avant de
les copier dans le « cloud ».
Pour en savoir plus, consultez le guide sur l’externalisation et la sécurité des systèmes
d’information réalisé par l’ANSSI.
16 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
5
Sécuriser l’accès Wi-Fi
de votre entreprise
La borne d’accès à Internet (box) de la boutique de
Julie est configurée pour utiliser le chiffrement* WEP.
Sans que Julie ne s’en aperçoive, un voisin a réussi
en moins de deux minutes, à l’aide d’un logiciel, à
déchiffrer la clé de connexion. Il a utilisé ce point
d’accès Wi-Fi pour participer à une attaque contre
un site Internet gouvernemental. Désormais, Julie
est mise en cause dans l’enquête de police.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 17
L’utilisation du Wi-Fi est une pratique attractive. Il ne faut cependant pas oublier
qu’un Wi-Fi mal sécurisé peut permettre à des personnes d’intercepter vos données
et d’utiliser la connexion Wi-Fi à votre insu pour réaliser des opérations malveil-
lantes malintentionnées. Pour cette raison l’accès à Internet par un point d’accès
Wi-Fi est à éviter dans le cadre de l’entreprise : une installation filaire reste plus
sécurisée et plus performante.
Le Wi-Fi peut parfois être le seul moyen possible d’accéder à Internet, il convient dans
ce cas de sécuriser l’accès en configurant votre borne d’accès à Internet. Pour ce faire :
•• n’hésitez pas à contacter l’assistance technique de votre fournisseur d’accès*.Les
fournisseurs d’accès à Internet vous guident dans cette configuration en vous pro-
posant différentes étapes, durant lesquelles vous appliquerez ces recommandations
de sécurité:
»» au moment de la première connexion de votre ordinateur en Wi-Fi, ouvrez votre
navigateur Internet pour configurer votre borne d’accès. L’interface de confi-
guration s’affiche dès l’ouverture du navigateur. Dans cette interface, modifiez
l’identifiant de connexion et le mot de passe par défaut qui vous ont été donnés
par votre fournisseur d’accès;
»» dans cette même interface de configuration, que vous pouvez retrouver en ta-
pant l’adresse indiquée par votre fournisseur d’accès, vérifiez que votre borne
dispose du protocole de chiffrement WPA2 et activez-le. Sinon, utilisez la version
WPA-AES (ne jamais utiliser le chiffrement WEP cassable en quelques minutes) ;
»» modifiez la clé de connexion par défaut (qui est souvent affichée sur l’étiquette
de votre borne d’accès à Internet) par une clé (mot de passe) de plus de 12
caractères de types différents (cf. : 1-Choisissez des mots de passe robustes) ;
»» ne divulguez votre clé de connexion qu’à des tiers de confiance et changez la
régulièrement ;
»» activez la fonction pare-feu de votre box ;
»» désactivez votre borne d’accès lorsqu’elle n’est pas utilisée.
18 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
•• n’utilisez pas les Wi-Fi « publics » (réseaux offerts dans les gares, les aéroports ou les
hôtels) pour des raisons de sécurité et de confidentialité ;
•• assurez-vous que votre ordinateur est bien protégé par un antivirus et un pare-feu.
(Voir aussi Fiche 7 : Protéger ses données lors d’un déplacement). Si le recours à
un service de ce type est la seule solution disponible (lors d’un déplacement, par
exemple), il faut s’abstenir d’y faire transiter toute donnée personnelle ou confiden-
tielle (en particulier messages, transactions financières). Enfin, il n’est pas recom-
mandé de laisser vos clients, fournisseurs ou autres tiers se connecter sur votre
réseau (Wi-Fi ou filaire).
•• préférez avoir recours à une borne d’accès dédiée si vous devez absolument fournir
un accès tiers. Ne partagez pas votre connexion.
Guide cgpme annsi bonnes pratiques
20 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
6
Être aussi prudent avec son
ordiphone (smartphone) ou sa
tablette qu’avec son ordinateur
Arthur possède un ordiphone qu’il utilise à titre
personnel comme professionnel. Lors de l’installation
d’une application, il n’a pas désactivé l’accès de
l’application à ses données personnelles. Désormais,
l’éditeur de l’application peut accéder à tous les SMS
présents sur son téléphone.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 21
Bien que proposant des services innovants, les ordiphones (smartphones) sont au-
jourd’hui très peu sécurisés. Il est donc indispensable d’appliquer certaines règles
élémentaires de sécurité informatique :
•• n’installez que les applications nécessaires et vérifiez à quelles données elles
peuvent avoir accès avant de les télécharger (informations géographiques, contacts,
appels téléphoniques…). Certaines applications demandent l’accès à des données
qui ne sont pas nécessaires à leur fonctionnement, il faut éviter de les installer ;
•• en plus du code PIN qui protège votre carte téléphonique, utilisez un schéma ou un
mot de passe pour sécuriser l’accès à votre terminal et le configurer pour qu’il se
verrouille automatiquement ;
•• effectuez des sauvegardes régulières de vos contenus sur un support externe pour
pouvoir les conserver en cas de restauration de votre appareil dans son état initial ;
•• ne préenregistrez pas vos mots de passe (plus d’informations en fiche 1).
22 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
7
Protéger ses données lors
de ses déplacements
Dans un aéroport, Charles sympathise avec un
voyageur prétendant avoir des connaissances en
commun. Lorsque celui-ci lui demande s’il peut utiliser
son ordinateur pour recharger son ordiphone, Charles
ne se méfie pas. L’inconnu en a profité pour exfiltrer
les données concernant la mission professionnelle
très confidentielle de Charles.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 23
L’emploi d’ordinateurs portables, d’ordiphones (smartphones) ou de tablettes faci-
lite les déplacements professionnels ainsi que le transport et l’échange de données.
Voyager avec ces appareils nomades fait cependant peser des menaces sur des infor-
mations sensibles dont le vol ou la perte auraient des conséquences importantes sur
les activités de l’organisation. Il convient de se référer au passeport de conseils aux
voyageurs édité par l’ANSSI.
Avant de partir en mission
•• n’utilisez que du matériel (ordinateur, supports amovibles, téléphone) dédié à la mis-
sion, et ne contenant que les données nécessaires ;
•• sauvegardez ces données, pour les retrouver en cas de perte ;
•• si vous comptez profiter des trajets pour travailler, emportez un filtre de protection
écran pour votre ordinateur ;
•• apposez un signe distinctif (comme une pastille de couleur) sur vos appareils pour
vous assurer qu’il n’y a pas eu d’échange pendant le transport ;
•• vérifiez que vos mots de passe ne sont pas préenregistrés.
Pendant la mission
•• gardez vos appareils, supports et fichiers avec vous, pendant votre voyage comme
pendant votre séjour (ne les laissez pas dans un bureau ou un coffre d’hôtel) ;
•• désactivez les fonctions Wi-Fi et Bluetooth de vos appareils ;
•• retirez la carte SIM et la batterie si vous êtes contraint de vous séparer de votre
téléphone ;
24 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
•• informez votre entreprise en cas d’inspection ou de saisie de votre matériel par des
autorités étrangères ;
•• n’utilisez pas les équipements que l’on vous offre si vous ne pouvez pas les faire
vérifier par un service de sécurité de confiance ;
•• évitez de connecter vos équipements à des postes qui ne sont pas de confiance.
Par exemple, si vous avez besoin d’échanger des documents lors d’une présenta-
tion commerciale, utilisez une clé USB destinée uniquement à cet usage et effacez
ensuite les données avec un logiciel d’effacement sécurisé ;
•• refusez la connexion d’équipements appartenant à des tiers à vos propres équipe-
ments (ordiphone, clé USB, baladeur…)
Après la mission
•• effacez l’historique des appels et de navigation ;
•• changez les mots de passe que vous avez utilisés pendant le voyage ;
•• faites analyser vos équipements après la mission, si vous le pouvez.
•• n’utilisez jamais les clés USB qui peuvent vous avoir été offertes lors de vos déplace-
ments (salons, réunions, voyages…) : très prisées des attaquants, elles sont suscep-
tibles de contenir des programmes malveillants.
Guide cgpme annsi bonnes pratiques
26 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
8
Être prudent lors de l’utilisation
de sa messagerie
Suite à la réception d’un courriel semblant provenir
d’un de ses collègues, Jean-Louis a cliqué sur un lien
présent dans le message. Ce lien était piégé. Sans
que Jean-Louis le sache, son ordinateur est désormais
utilisé pour envoyer des courriels malveillants diffusant
des images pédopornographiques.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 27
Les courriels et leurs pièces jointes jouent souvent un rôle central dans la réalisation
des attaques informatiques (courriels frauduleux, pièces jointes piégées,etc.).
Lorsque vous recevez des courriels, prenez les précautions suivantes :
•• l’identité d’un expéditeur n’étant en rien garantie : vérifiez la cohérence entre l’ex-
péditeur présumé et le contenu du message et vérifier son identité. En cas de doute,
ne pas hésiter à contacter directement l’émetteur du mail;
•• n’ouvrez pas les pièces jointes provenant de destinataires inconnus ou dont le titre
ou le format paraissent incohérents avec les fichiers que vous envoient habituelle-
ment vos contacts;
•• si des liens figurent dans un courriel, passez votre souris dessus avant de cliquer.
L’adresse complète du site s’affichera dans la barre d’état du navigateur située en
bas à gauche de la fenêtre (à condition de l’avoir préalablement activée). Vous pour-
rez ainsi en vérifier la cohérence;
•• ne répondez jamais par courriel à une demande d’informations personnelles ou
confidentielles (ex : code confidentiel et numéro de votre carte bancaire). En effet,
des courriels circulent aux couleurs d’institutions comme les Impôts pour récupérer
vos données. Il s’agit d’attaques par hameçonnage ou « phishing »* ;
•• n’ouvrez pas et ne relayez pas de messages de types chaînes de lettre, appels à la
solidarité, alertes virales, etc. ;
•• désactivez l’ouverture automatique des documents téléchargés et lancez une ana-
lyse antivirus* avant de les ouvrir afin de vérifier qu’ils ne contiennent aucune
charge virale connue.
28 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
9
Télécharger ses programmes
sur les sites officiels des éditeurs
Emma, voulant se protéger des logiciels espions
(spyware), a téléchargé un logiciel spécialisé proposé
par son moteur de recherche. Sans le savoir, elle a
installé un cheval de Troie*.
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 29
Si vous téléchargez du contenu numérique sur des sites Internet dont la confiance
n’est pas assurée, vous prenez le risque d’enregistrer sur votre ordinateur des pro-
grammes ne pouvant être mis à jour, qui, le plus souvent, contiennent des virus
ou des chevaux de Troie*. Cela peut permettre à des personnes malveillantes de
prendre le contrôle à distance de votre machine pour espionner les actions réalisées
sur votre ordinateur, voler vos données personnelles, lancer des attaques, etc.
Dans ce contexte, afin de veiller à la sécurité de votre machine et de vos données :
•• téléchargez vos programmes sur les sites de leurs éditeurs ou d’autres sites de
confiance ;
•• pensez à décocher ou désactiver toutes les cases proposant d’installer des logiciels
complémentaires ;
•• restez vigilants concernant les liens sponsorisés et réfléchir avant de cliquer sur des
liens ;
•• désactivez l’ouverture automatique des documents téléchargés et lancez une ana-
lyse antivirus* avant de les ouvrir afin de vérifier qu’ils ne contiennent aucune
charge virale connue.
30 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
Être vigilant lors d’un paiement
sur Internet
Céline a acheté sur Internet des fournitures de bureau
pour son entreprise sans vérifier l’état de sécurité
du site de commerce en ligne. Ce dernier n’était pas
sécurisé. Des attaquants ont intercepté le numéro
de carte bancaire de l’entreprise et ont
soutiré 1 000 euros.
10
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 31
Lorsque vous réalisez des achats sur Internet, via votre ordinateur ou votre ordi-
phone (smartphone), vos coordonnées bancaires sont susceptibles d’être intercep-
tées par des attaquants directement sur votre ordinateur ou dans les fichiers clients
du site marchand. Ainsi, avant d’effectuer un paiement en ligne, il est nécessaire de
procéder à des vérifications sur le site Internet :
•• contrôlez la présence d’un cadenas dans la barre d’adresse ou en bas à droite de
la fenêtre de votre navigateur Internet (remarque : ce cadenas n’est pas visible sur
tous les navigateurs) ;
•• assurez-vous que la mention « https:// » apparait au début de l’adresse du site
Internet ;
•• vérifiez l’exactitude de l’adresse du site Internet en prenant garde aux fautes d’or-
thographe par exemple.
Si possible, lors d’un achat en ligne :
•• privilégiez la méthode impliquant l’envoi d’un code de confirmation de la commande
par SMS ;
•• De manière générale, ne transmettez jamais le code confidentiel de votre carte
bancaire ;
•• n’hésitez pas à vous rapprocher votre banque pour connaître et utiliser les moyens
sécurisés qu’elle propose.
32 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
Séparer les usages personnels
des usages professionnels
Paul rapporte souvent du travail chez lui le soir.
Sans qu’il s’en aperçoive son ordinateur personnel a
été attaqué. Grâce aux informations qu’il contenait,
l’attaquant a pu pénétrer le réseau interne de
l’entreprise de Paul. Des informations sensibles
ont été volées puis revendues à la concurrence.
11
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 33
Les usages et les mesures de sécurité sont différents sur les équipements de commu-
nication (ordinateur, ordiphone, etc.) personnels et professionnels.
Le AVEC (Apportez Votre Equipement personnel de Communication) ou BYOD (Bring
Your Own Device) est une pratique qui consiste, pour les collaborateurs, à utiliser leurs
équipements personnels (ordinateur, ordiphone, tablette, etc.) dans un contexte profes-
sionnel. Si cette solution est de plus en plus utilisée aujourd’hui, elle pose des problèmes
en matière de sécurité des données (vol ou perte des appareils, intrusions, manque de
contrôle sur l’utilisation des appareils par les collaborateurs, fuite de données lors du
départ du collaborateur).
Dans ce contexte, il est recommandé de séparer vos usages personnels de vos usages
professionnels :
•• ne faites pas suivre vos messages électroniques professionnels sur des services de
messagerie utilisés à des fins personnelles ;
•• n’hébergez pas de données professionnelles sur vos équipements personnels (clé
USB, téléphone, etc.) ou sur des moyens personnels de stockage en ligne ;
•• de la même façon, évitez de connecter des supports amovibles personnels (clés
USB, disques durs externes, etc.) aux ordinateurs de l’entreprise.
Si vous n’appliquez pas ces bonnes pratiques, vous prenez le risque que des per-
sonnes malveillantes volent des informations sensibles de votre entreprise après
avoir réussi à prendre le contrôle de votre machine personnelle.
34 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
Prendre soin de ses informations
personnelles, professionnelles
et de son identité numérique
Alain reçoit un courriel lui proposant de participer à
un concours pour gagner un ordinateur portable. Pour
ce faire, il doit transmettre son adresse électronique.
Finalement, Alain n’a pas gagné mais reçoit désormais
de nombreux courriels non désirés.
12
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 35
Les données que vous laissez sur Internet vous échappent instantanément.
Des personnes malveillantes pratiquent l’ingénierie sociale, c’est-à-dire récoltent vos
informations personnelles, le plus souvent frauduleusement et à votre insu, afin de dé-
duire vos mots de passe, d’accéder à votre système informatique, voire d’usurper votre
identité ou de conduire des activités d’espionnage industriel.
Dans ce contexte, une grande prudence est conseillée dans la diffusion de vos infor-
mations personnelles sur Internet :
•• soyez vigilant vis-à-vis des formulaires que vous êtes amenés à remplir :
»» ne transmettez que les informations strictement nécessaires ;
»» pensez à décocher les cases qui autoriseraient le site à conserver ou à partager
vos données ;
•• ne donnez accès qu’à un minimum d’informations personnelles et professionnelles
sur les réseaux sociaux, et soyez vigilant lors de vos interactions avec les autres
utilisateurs ;
•• pensez à régulièrement vérifier vos paramètres de sécurité et de confidentialité (Cf.
Guide de la CNIL sur la sécurité des données personnelles) ;
•• enfin, utilisez plusieurs adresses électroniques dédiées à vos différentes activités sur
Internet : une adresse réservée aux activités dites sérieuses (banques, recherches
d’emploi, activité professionnelle…) et une adresse destinée aux autres services en
ligne (forums, jeux concours…).
36 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
En résumé …
Afin de renforcer efficacement la sécurité de vos équipements communicants et de
vos données, vous pouvez compléter les douze bonnes pratiques de ce guide par les
mesures suivantes :
•• désignez un correspondant/référent pour la sécurité informatique dans les entre-
prises ;
•• rédigez une charte informatique ;
•• chiffrez vos données et vos échanges d’information à l’aide de logiciels de chiffre-
ment* ;
•• durcissez la configuration de votre poste et utilisez des solutions de sécurité éprou-
vées (pare-feux*, antivirus*) ;
•• avant d’enregistrer des fichiers provenant de supports USB sur votre ordinateur,
faites-les analyser par un antivirus ;
•• désactivez l’exécution automatique des supports amovibles depuis votre ordinateur ;
•• éteignez votre ordinateur pendant les périodes d’inactivité prolongée (nuit, week-
end, vacances,...) ;
•• surveillez et monitorez votre système, notamment en utilisant les journaux d’évé-
nements, pour réagir aux événements suspects (connexion d’un utilisateur hors de
ses horaires habituels, transfert massif de données vers l’extérieur de l’entreprise,
tentatives de connexion sur un compte non actif,…).
Pour aller plus loin
•• ANSSI : http://www.ssi.gouv.fr
•• CNIL : http://www.cnil.fr
•• Délégation à l’intelligence économique (D2IE) :
http://www.intelligence-economique.gouv.fr
•• Office central de lutte contre la criminalité liée aux technologies de l’information
et de la communication (Police nationale) :
http://www.internet-signalement.fr
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 37
En cas d’incident
Vous n’avez pas eu le temps de mettre en œuvre les règles décrites dans ce guide
ou les attaquants ont réussi à les contourner. Ne cédez pas à la panique, et ayez les
bons réflexes.
•• en cas de comportement inhabituel de votre ordinateur, vous pouvez soupçonner
une intrusion (impossibilité de se connecter, activité importante, connexions ou
activités inhabituelles, services ouverts non autorisés, fichiers créés, modifiés ou
supprimés sans autorisation,…) ;
•• déconnectez la machine du réseau, pour stopper l’attaque. En revanche, maintenez-
là sous tension et ne la redémarrez pas, pour ne pas perdre d’informations utiles
pour l’analyse de l’attaque ;
•• prévenez votre hiérarchie, ainsi que le responsable de la sécurité, au téléphone ou
de vive voix, car l’intrus peut-être capable de lire les courriels. Prenez également
contact avec un prestataire informatique qui vous aidera dans la restauration de
votre système ainsi que dans l’analyse de l’attaque ;
•• faites faire une copie physique du disque ;
•• faites rechercher les traces disponibles liées à la compromission. Un équipement
n’étant jamais isolé dans un système d’information, des traces de sa compromission
doivent exister dans d’autres équipements sur le réseau (pare-feu, routeurs, outils
de détection d’intrusion, etc.) ;
•• déposez une plainte auprès de la brigade de gendarmerie ou du service de police
judiciaire compétent pour le siège de la société, de la Brigade d’enquêtes sur les
fraudes aux technologies de l’information (Paris et petite couronne), ou de la Direc-
tion générale de la sécurité intérieure. Retrouvez plus d’informations sur le site de
l’ANSSI : www.ssi.gouv.fr/en-cas-dincident/ ;
•• après l’incident : réinstallez complètement le système d’exploitation à partir d’une
version saine, supprimez tous les services inutiles, restaurez les données d’après
une copie de sauvegarde non compromise, et changez tous les mots de passe du
système d’information.
38 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI
Glossaire
•• antivirus : logiciel informatique destiné à identifier, neutraliser et effacer des logi-
ciels malveillants ;
•• cheval de Troie : programme qui s’installe de façon frauduleuse pour remplir une
tâche hostile à l’insu de l’utilisateur (espionnage, envoi massif de spams,…) ;
•• chiffrement : procédé de cryptographie grâce auquel on souhaite rendre la com-
préhension d’un document impossible à toute personne qui ne possède pas la clé
de (dé)chiffrement ;
•• compte d’administrateur : compte permettant d’effectuer des modifications affec-
tant les utilisateurs (modification des paramètres de sécurité, installer des logi-
ciels…) ;
•• logiciel espion : logiciel malveillant qui s’installe dans un ordinateur afin de collecter
et transférer des données et des informations, souvent à l’insu de l’utilisateur.
•• Fournisseur d’Accès Internet (FAI) : organisme (entreprise ou association) offrant
une connexion à Internet ;
•• mise à jour : action qui consiste à mettre à niveau un outil ou un service informa-
tique en téléchargeant un nouveau programme logiciel ;
•• pare-feu (firewall) : logiciel et/ou matériel permettant de protéger les données
d’un réseau (protection d’un ordinateur personnel relié à Internet, protection d’un
réseau d’entreprise,…) en filtrant les entrées et en contrôlant les sorties selon les
règles définies par son utilisateur ;
•• paquet : unité de transmission utilisée pour communiquer ;
•• phishing (hameçonnage) : méthode d’attaque qui consiste à imiter les couleurs
d’une institution ou d’une société (banque, services des impôts) pour inciter le des-
tinataire à fournir des informations personnelles.
•• routeur : élément intermédiaire dans un réseau informatique assurant la distribu-
tion des paquets de données en déterminant le prochain nœud de réseau auquel un
paquet doit être envoyé ;
•• système d’exploitation : logiciel qui, dans un appareil électronique, pilote les dispo-
sitifs matériels et reçoit des instructions de l’utilisateur ou d’autres logiciels ;
CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 39
•• utilisateur : personne qui utilise un système informatique ;
•• WEP : protocole de sécurité permettant de fournir aux utilisateurs de réseaux locaux
sans fil une protection contre le piratage ;
•• Wi Fi : connexion Internet sans fil
•• WPA 2 : standard de sécurité protégeant les utilisateurs contre le piratage des ré-
seaux sans fil devant se substituer au système WEP jugé insuffisant.
Contacts
CGPME
Amélie JUGAN
ajugan@cgpme.fr
ANSSI
communication@ssi.gouv.fr
Guide téléchargeable sur les sites :
www.cgpme.fr
www.ssi.gouv.fr
Guide cgpme annsi bonnes pratiques
Version 1.1 - Mars 2015
20150326-1517
Licence Ouverte/Open Licence (Etalab - V1)
agence nationale de la sécurité des systèmes d’information
ANSSI - 51, boulevard de la Tour-Maubourg - 75700 PARIS 07 SP
www.ssi.gouv.fr / communication@ssi.gouv.fr

Contenu connexe

Tendances

Guide d'hygiène informatique - ANSSI - 2014
Guide d'hygiène informatique - ANSSI - 2014 Guide d'hygiène informatique - ANSSI - 2014
Guide d'hygiène informatique - ANSSI - 2014
polenumerique33
 
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
BEIJAFLORE
 
ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi
ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi
ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi
Association Transition Numérique +
 
Maitriser la ssi pour les systèmes industriels
Maitriser la ssi pour les systèmes industrielsMaitriser la ssi pour les systèmes industriels
Maitriser la ssi pour les systèmes industriels
Bee_Ware
 
Auris solutions-risque-si-2012
Auris solutions-risque-si-2012Auris solutions-risque-si-2012
Auris solutions-risque-si-2012
Auris Solutions
 
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
polenumerique33
 
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menacesRapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Andréanne Clarke
 
ENFIN Cyber !
ENFIN Cyber !ENFIN Cyber !
ENFIN Cyber !
Henri d'AGRAIN
 
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & RisquesASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
Cyber Security Alliance
 
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
StHack
 
Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3
PRONETIS
 
Analyse de risques en cybersécurité industrielle
Analyse de risques en cybersécurité industrielleAnalyse de risques en cybersécurité industrielle
Analyse de risques en cybersécurité industrielle
Patrice Bock
 
Ssi
SsiSsi
Workshop cyber jpme
Workshop cyber jpmeWorkshop cyber jpme
Workshop cyber jpme
Vanbreda Risk & Benefits
 
Sogeti cybersecurity
Sogeti cybersecuritySogeti cybersecurity
Sogeti cybersecurity
Yann SESE
 
Sécurité des systèmes d’information industriels
Sécurité des systèmes d’information industrielsSécurité des systèmes d’information industriels
Sécurité des systèmes d’information industriels
PRONETIS
 
Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1
PRONETIS
 
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Télécom Paris
 
IT News2 0804 Jeu set et patch
IT News2 0804 Jeu set et patchIT News2 0804 Jeu set et patch
IT News2 0804 Jeu set et patch
Daniel Soriano
 

Tendances (19)

Guide d'hygiène informatique - ANSSI - 2014
Guide d'hygiène informatique - ANSSI - 2014 Guide d'hygiène informatique - ANSSI - 2014
Guide d'hygiène informatique - ANSSI - 2014
 
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
Cybersécurité en milieu industriel : un constat alarmant, une prise de consci...
 
ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi
ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi
ATN+ good technology - Cybercriminalité mobile : un risque pour les PME aussi
 
Maitriser la ssi pour les systèmes industriels
Maitriser la ssi pour les systèmes industrielsMaitriser la ssi pour les systèmes industriels
Maitriser la ssi pour les systèmes industriels
 
Auris solutions-risque-si-2012
Auris solutions-risque-si-2012Auris solutions-risque-si-2012
Auris solutions-risque-si-2012
 
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
Note technique ANSSI 2015 - Recommandations relatives à l’administration sécu...
 
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menacesRapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
 
ENFIN Cyber !
ENFIN Cyber !ENFIN Cyber !
ENFIN Cyber !
 
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & RisquesASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
ASFWS 2011 : Cyberguerre et Infrastructures critiques : Menaces & Risques
 
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
Sthack 2015 - Wilfrid "@WilfridBlanc" Blanc & Adrien Revol - Cybersécurité In...
 
Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3
 
Analyse de risques en cybersécurité industrielle
Analyse de risques en cybersécurité industrielleAnalyse de risques en cybersécurité industrielle
Analyse de risques en cybersécurité industrielle
 
Ssi
SsiSsi
Ssi
 
Workshop cyber jpme
Workshop cyber jpmeWorkshop cyber jpme
Workshop cyber jpme
 
Sogeti cybersecurity
Sogeti cybersecuritySogeti cybersecurity
Sogeti cybersecurity
 
Sécurité des systèmes d’information industriels
Sécurité des systèmes d’information industrielsSécurité des systèmes d’information industriels
Sécurité des systèmes d’information industriels
 
Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1Gouvernance de la sécurite des Systèmes d'Information Volet-1
Gouvernance de la sécurite des Systèmes d'Information Volet-1
 
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
Cybersécurité : quels enjeux techniques et sociétaux ? Séminaire 11 & 12/3/2015
 
IT News2 0804 Jeu set et patch
IT News2 0804 Jeu set et patchIT News2 0804 Jeu set et patch
IT News2 0804 Jeu set et patch
 

En vedette

Aperçu épargne salariale à qui s'adresser pour quels placements
Aperçu épargne salariale à qui s'adresser pour quels placementsAperçu épargne salariale à qui s'adresser pour quels placements
Aperçu épargne salariale à qui s'adresser pour quels placements
Sophie Roy
 
Aperçu alimenter le plan d'épargne salariale
Aperçu alimenter le plan d'épargne salarialeAperçu alimenter le plan d'épargne salariale
Aperçu alimenter le plan d'épargne salariale
Sophie Roy
 
Aperçu du kit sur l'entretien professionnel
Aperçu du kit sur l'entretien professionnelAperçu du kit sur l'entretien professionnel
Aperçu du kit sur l'entretien professionnel
Sophie Roy
 
Aperçu "Mettre en place un plan d'épargne salariale"
Aperçu "Mettre en place un plan d'épargne salariale"Aperçu "Mettre en place un plan d'épargne salariale"
Aperçu "Mettre en place un plan d'épargne salariale"
Sophie Roy
 
Aperçu attribuer des actions gratuites
Aperçu attribuer des actions gratuitesAperçu attribuer des actions gratuites
Aperçu attribuer des actions gratuites
Sophie Roy
 
Aperçu fiscalité et régime social du plan d'épargne salariale
Aperçu fiscalité et régime social du plan d'épargne salarialeAperçu fiscalité et régime social du plan d'épargne salariale
Aperçu fiscalité et régime social du plan d'épargne salariale
Sophie Roy
 
Guide des placements 2016 aperçu
Guide des placements 2016 aperçuGuide des placements 2016 aperçu
Guide des placements 2016 aperçu
Sophie Roy
 
Aperçu calculer et distribuer l'intéressement
Aperçu calculer et distribuer l'intéressementAperçu calculer et distribuer l'intéressement
Aperçu calculer et distribuer l'intéressement
Sophie Roy
 
Aperçu conclure un accord d'intéressement
Aperçu conclure un accord d'intéressementAperçu conclure un accord d'intéressement
Aperçu conclure un accord d'intéressement
Sophie Roy
 
Aperçu Proposer des stock-options à ses salariés
Aperçu Proposer des stock-options à ses salariésAperçu Proposer des stock-options à ses salariés
Aperçu Proposer des stock-options à ses salariés
Sophie Roy
 
Aperçu conclure un accord de participation
Aperçu conclure un accord de participationAperçu conclure un accord de participation
Aperçu conclure un accord de participation
Sophie Roy
 
Aperçu fiscalité et régime social de l'intéressement
Aperçu fiscalité et régime social de l'intéressementAperçu fiscalité et régime social de l'intéressement
Aperçu fiscalité et régime social de l'intéressement
Sophie Roy
 
Aperçu du kit Régime social et fiscal des stock-options
Aperçu du kit Régime social et fiscal des stock-optionsAperçu du kit Régime social et fiscal des stock-options
Aperçu du kit Régime social et fiscal des stock-options
Sophie Roy
 
Aperçu calculer et distribuer la rsp
Aperçu calculer et distribuer la rspAperçu calculer et distribuer la rsp
Aperçu calculer et distribuer la rsp
Sophie Roy
 
Aperçu Maîtriser les aspects sociaux et fiscaux des actions gratuites
Aperçu Maîtriser les aspects sociaux et fiscaux des actions gratuitesAperçu Maîtriser les aspects sociaux et fiscaux des actions gratuites
Aperçu Maîtriser les aspects sociaux et fiscaux des actions gratuites
Sophie Roy
 
E commerce 2015
E commerce 2015E commerce 2015
E commerce 2015
Sophie Roy
 
Présentation compu training replay
Présentation compu training replayPrésentation compu training replay
Présentation compu training replay
maxime-antoine
 
Llwc report binder 1st qtr
Llwc report binder 1st qtrLlwc report binder 1st qtr
Llwc report binder 1st qtr
Kay Pearson
 
THE COLLIE DOG
THE COLLIE DOGTHE COLLIE DOG
THE COLLIE DOG
culturedalmanac03
 
Blaise pascal
Blaise pascalBlaise pascal
Blaise pascal
Cesar Carrera
 

En vedette (20)

Aperçu épargne salariale à qui s'adresser pour quels placements
Aperçu épargne salariale à qui s'adresser pour quels placementsAperçu épargne salariale à qui s'adresser pour quels placements
Aperçu épargne salariale à qui s'adresser pour quels placements
 
Aperçu alimenter le plan d'épargne salariale
Aperçu alimenter le plan d'épargne salarialeAperçu alimenter le plan d'épargne salariale
Aperçu alimenter le plan d'épargne salariale
 
Aperçu du kit sur l'entretien professionnel
Aperçu du kit sur l'entretien professionnelAperçu du kit sur l'entretien professionnel
Aperçu du kit sur l'entretien professionnel
 
Aperçu "Mettre en place un plan d'épargne salariale"
Aperçu "Mettre en place un plan d'épargne salariale"Aperçu "Mettre en place un plan d'épargne salariale"
Aperçu "Mettre en place un plan d'épargne salariale"
 
Aperçu attribuer des actions gratuites
Aperçu attribuer des actions gratuitesAperçu attribuer des actions gratuites
Aperçu attribuer des actions gratuites
 
Aperçu fiscalité et régime social du plan d'épargne salariale
Aperçu fiscalité et régime social du plan d'épargne salarialeAperçu fiscalité et régime social du plan d'épargne salariale
Aperçu fiscalité et régime social du plan d'épargne salariale
 
Guide des placements 2016 aperçu
Guide des placements 2016 aperçuGuide des placements 2016 aperçu
Guide des placements 2016 aperçu
 
Aperçu calculer et distribuer l'intéressement
Aperçu calculer et distribuer l'intéressementAperçu calculer et distribuer l'intéressement
Aperçu calculer et distribuer l'intéressement
 
Aperçu conclure un accord d'intéressement
Aperçu conclure un accord d'intéressementAperçu conclure un accord d'intéressement
Aperçu conclure un accord d'intéressement
 
Aperçu Proposer des stock-options à ses salariés
Aperçu Proposer des stock-options à ses salariésAperçu Proposer des stock-options à ses salariés
Aperçu Proposer des stock-options à ses salariés
 
Aperçu conclure un accord de participation
Aperçu conclure un accord de participationAperçu conclure un accord de participation
Aperçu conclure un accord de participation
 
Aperçu fiscalité et régime social de l'intéressement
Aperçu fiscalité et régime social de l'intéressementAperçu fiscalité et régime social de l'intéressement
Aperçu fiscalité et régime social de l'intéressement
 
Aperçu du kit Régime social et fiscal des stock-options
Aperçu du kit Régime social et fiscal des stock-optionsAperçu du kit Régime social et fiscal des stock-options
Aperçu du kit Régime social et fiscal des stock-options
 
Aperçu calculer et distribuer la rsp
Aperçu calculer et distribuer la rspAperçu calculer et distribuer la rsp
Aperçu calculer et distribuer la rsp
 
Aperçu Maîtriser les aspects sociaux et fiscaux des actions gratuites
Aperçu Maîtriser les aspects sociaux et fiscaux des actions gratuitesAperçu Maîtriser les aspects sociaux et fiscaux des actions gratuites
Aperçu Maîtriser les aspects sociaux et fiscaux des actions gratuites
 
E commerce 2015
E commerce 2015E commerce 2015
E commerce 2015
 
Présentation compu training replay
Présentation compu training replayPrésentation compu training replay
Présentation compu training replay
 
Llwc report binder 1st qtr
Llwc report binder 1st qtrLlwc report binder 1st qtr
Llwc report binder 1st qtr
 
THE COLLIE DOG
THE COLLIE DOGTHE COLLIE DOG
THE COLLIE DOG
 
Blaise pascal
Blaise pascalBlaise pascal
Blaise pascal
 

Similaire à Guide cgpme annsi bonnes pratiques

Guide des bonnes pratiques de l'informatique
Guide des bonnes pratiques de l'informatiqueGuide des bonnes pratiques de l'informatique
Guide des bonnes pratiques de l'informatique
Laurent DAST
 
anssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdfanssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdf
rodolphe gilbert-collet
 
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menacesRapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Andréanne Clarke
 
Guides bonnes pratiques de sauvegarde iconet
Guides bonnes pratiques de sauvegarde   iconetGuides bonnes pratiques de sauvegarde   iconet
Guides bonnes pratiques de sauvegarde iconet
Rémi Maillard
 
ANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PMEANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PME
polenumerique33
 
DCRI - Flash ingérence economique juin 2013
DCRI - Flash ingérence economique juin 2013DCRI - Flash ingérence economique juin 2013
DCRI - Flash ingérence economique juin 2013
Franck Dasilva
 
La sécurité endpoint : efficace, mais pas efficient
La sécurité endpoint : efficace, mais pas efficientLa sécurité endpoint : efficace, mais pas efficient
La sécurité endpoint : efficace, mais pas efficient
ITrust - Cybersecurity as a Service
 
Anticiper les risques informatiques
Anticiper les risques informatiquesAnticiper les risques informatiques
Anticiper les risques informatiques
Alain Laumaillé
 
Nomadisme, Sécurité & Expérience utilisateur
Nomadisme, Sécurité & Expérience utilisateurNomadisme, Sécurité & Expérience utilisateur
Nomadisme, Sécurité & Expérience utilisateur
Mathieu Isaia | TheGreeBow
 
Guide hygiene informatique_anssi
Guide hygiene informatique_anssiGuide hygiene informatique_anssi
Guide hygiene informatique_anssi
Samy Ntumba Tshunza
 
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innoverSortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
PECB
 
Presentation
PresentationPresentation
Presentation
sit35
 
Campagne business security
Campagne business securityCampagne business security
Campagne business security
Thomas Alostery
 
CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...
CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...
CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...
OpinionWay
 
Livret Seamless Security exaprobe & Cisco
Livret Seamless Security exaprobe & CiscoLivret Seamless Security exaprobe & Cisco
Livret Seamless Security exaprobe & Cisco
Exaprobe
 
Full Plaquette Groupe Psi
Full Plaquette Groupe PsiFull Plaquette Groupe Psi
Full Plaquette Groupe Psi
Groupe PSI Adequa-si
 
Mon Cloud - Présentation des services
Mon Cloud - Présentation des servicesMon Cloud - Présentation des services
Mon Cloud - Présentation des services
GARRIDOJulien
 
Securite informatique
Securite informatiqueSecurite informatique
Securite informatique
mourad50
 
Welcome in the World Wild Web
Welcome in the World Wild WebWelcome in the World Wild Web
Welcome in the World Wild Web
High-Tech Bridge SA (HTBridge)
 
Robert half cybersécurité - protéger votre avenir
Robert half   cybersécurité - protéger votre avenirRobert half   cybersécurité - protéger votre avenir
Robert half cybersécurité - protéger votre avenir
Robert Half France
 

Similaire à Guide cgpme annsi bonnes pratiques (20)

Guide des bonnes pratiques de l'informatique
Guide des bonnes pratiques de l'informatiqueGuide des bonnes pratiques de l'informatique
Guide des bonnes pratiques de l'informatique
 
anssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdfanssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdf
 
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menacesRapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
Rapport trimestriel IBM X-Force sur les renseignements relatifs aux menaces
 
Guides bonnes pratiques de sauvegarde iconet
Guides bonnes pratiques de sauvegarde   iconetGuides bonnes pratiques de sauvegarde   iconet
Guides bonnes pratiques de sauvegarde iconet
 
ANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PMEANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PME
 
DCRI - Flash ingérence economique juin 2013
DCRI - Flash ingérence economique juin 2013DCRI - Flash ingérence economique juin 2013
DCRI - Flash ingérence economique juin 2013
 
La sécurité endpoint : efficace, mais pas efficient
La sécurité endpoint : efficace, mais pas efficientLa sécurité endpoint : efficace, mais pas efficient
La sécurité endpoint : efficace, mais pas efficient
 
Anticiper les risques informatiques
Anticiper les risques informatiquesAnticiper les risques informatiques
Anticiper les risques informatiques
 
Nomadisme, Sécurité & Expérience utilisateur
Nomadisme, Sécurité & Expérience utilisateurNomadisme, Sécurité & Expérience utilisateur
Nomadisme, Sécurité & Expérience utilisateur
 
Guide hygiene informatique_anssi
Guide hygiene informatique_anssiGuide hygiene informatique_anssi
Guide hygiene informatique_anssi
 
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innoverSortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
Sortir des sentiers battus: les TI et l’entreprise s’unissent pour innover
 
Presentation
PresentationPresentation
Presentation
 
Campagne business security
Campagne business securityCampagne business security
Campagne business security
 
CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...
CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...
CESIN - Baromètre de la cyber-sécurité des entreprises - Vague 1 - Par Opinio...
 
Livret Seamless Security exaprobe & Cisco
Livret Seamless Security exaprobe & CiscoLivret Seamless Security exaprobe & Cisco
Livret Seamless Security exaprobe & Cisco
 
Full Plaquette Groupe Psi
Full Plaquette Groupe PsiFull Plaquette Groupe Psi
Full Plaquette Groupe Psi
 
Mon Cloud - Présentation des services
Mon Cloud - Présentation des servicesMon Cloud - Présentation des services
Mon Cloud - Présentation des services
 
Securite informatique
Securite informatiqueSecurite informatique
Securite informatique
 
Welcome in the World Wild Web
Welcome in the World Wild WebWelcome in the World Wild Web
Welcome in the World Wild Web
 
Robert half cybersécurité - protéger votre avenir
Robert half   cybersécurité - protéger votre avenirRobert half   cybersécurité - protéger votre avenir
Robert half cybersécurité - protéger votre avenir
 

Plus de Sophie Roy

Recrutement.pptx
Recrutement.pptxRecrutement.pptx
Recrutement.pptx
Sophie Roy
 
Aperçu mandat d'achat d'espace publicitaire
Aperçu mandat d'achat d'espace publicitaireAperçu mandat d'achat d'espace publicitaire
Aperçu mandat d'achat d'espace publicitaire
Sophie Roy
 
Aperçu contrat de prestations de services
Aperçu contrat de prestations de servicesAperçu contrat de prestations de services
Aperçu contrat de prestations de services
Sophie Roy
 
Aperçu contrat de partenariat commercial
Aperçu contrat de partenariat commercialAperçu contrat de partenariat commercial
Aperçu contrat de partenariat commercial
Sophie Roy
 
Aperçu contrat de distribution non exclusive
Aperçu contrat de distribution non exclusiveAperçu contrat de distribution non exclusive
Aperçu contrat de distribution non exclusive
Sophie Roy
 
Aperçu pacte d'associés sarl
Aperçu pacte d'associés sarlAperçu pacte d'associés sarl
Aperçu pacte d'associés sarl
Sophie Roy
 
Aperçu convention d'assistance
Aperçu convention d'assistanceAperçu convention d'assistance
Aperçu convention d'assistance
Sophie Roy
 
Aperçu approbation des comptes sas
Aperçu approbation des comptes sasAperçu approbation des comptes sas
Aperçu approbation des comptes sas
Sophie Roy
 
Aperçu approbation des comptes sarl
Aperçu approbation des comptes sarlAperçu approbation des comptes sarl
Aperçu approbation des comptes sarl
Sophie Roy
 
Aperçu bulletin spécial congés payés et jours fériés 2016
Aperçu bulletin spécial congés payés et jours fériés 2016Aperçu bulletin spécial congés payés et jours fériés 2016
Aperçu bulletin spécial congés payés et jours fériés 2016
Sophie Roy
 
CGV de prestations de services entre professionnel et consommateur
CGV de prestations de services entre professionnel et consommateurCGV de prestations de services entre professionnel et consommateur
CGV de prestations de services entre professionnel et consommateur
Sophie Roy
 
Cgv de vente de biens entre professionnel et consommateur
Cgv de vente de biens entre professionnel et consommateurCgv de vente de biens entre professionnel et consommateur
Cgv de vente de biens entre professionnel et consommateur
Sophie Roy
 
CGV de vente de biens entre professionnels
CGV de vente de biens entre professionnelsCGV de vente de biens entre professionnels
CGV de vente de biens entre professionnels
Sophie Roy
 
CGV de prestations de services entre professionnels sur internet
CGV de prestations de services entre professionnels sur internetCGV de prestations de services entre professionnels sur internet
CGV de prestations de services entre professionnels sur internet
Sophie Roy
 
CGV de biens entre professionnels sur internet
CGV de biens entre professionnels sur internetCGV de biens entre professionnels sur internet
CGV de biens entre professionnels sur internet
Sophie Roy
 
Aperçu informer le personnel
Aperçu informer le personnelAperçu informer le personnel
Aperçu informer le personnel
Sophie Roy
 
Aperçu fiscalité et régime social de la participation
Aperçu fiscalité et régime social de la participationAperçu fiscalité et régime social de la participation
Aperçu fiscalité et régime social de la participation
Sophie Roy
 

Plus de Sophie Roy (17)

Recrutement.pptx
Recrutement.pptxRecrutement.pptx
Recrutement.pptx
 
Aperçu mandat d'achat d'espace publicitaire
Aperçu mandat d'achat d'espace publicitaireAperçu mandat d'achat d'espace publicitaire
Aperçu mandat d'achat d'espace publicitaire
 
Aperçu contrat de prestations de services
Aperçu contrat de prestations de servicesAperçu contrat de prestations de services
Aperçu contrat de prestations de services
 
Aperçu contrat de partenariat commercial
Aperçu contrat de partenariat commercialAperçu contrat de partenariat commercial
Aperçu contrat de partenariat commercial
 
Aperçu contrat de distribution non exclusive
Aperçu contrat de distribution non exclusiveAperçu contrat de distribution non exclusive
Aperçu contrat de distribution non exclusive
 
Aperçu pacte d'associés sarl
Aperçu pacte d'associés sarlAperçu pacte d'associés sarl
Aperçu pacte d'associés sarl
 
Aperçu convention d'assistance
Aperçu convention d'assistanceAperçu convention d'assistance
Aperçu convention d'assistance
 
Aperçu approbation des comptes sas
Aperçu approbation des comptes sasAperçu approbation des comptes sas
Aperçu approbation des comptes sas
 
Aperçu approbation des comptes sarl
Aperçu approbation des comptes sarlAperçu approbation des comptes sarl
Aperçu approbation des comptes sarl
 
Aperçu bulletin spécial congés payés et jours fériés 2016
Aperçu bulletin spécial congés payés et jours fériés 2016Aperçu bulletin spécial congés payés et jours fériés 2016
Aperçu bulletin spécial congés payés et jours fériés 2016
 
CGV de prestations de services entre professionnel et consommateur
CGV de prestations de services entre professionnel et consommateurCGV de prestations de services entre professionnel et consommateur
CGV de prestations de services entre professionnel et consommateur
 
Cgv de vente de biens entre professionnel et consommateur
Cgv de vente de biens entre professionnel et consommateurCgv de vente de biens entre professionnel et consommateur
Cgv de vente de biens entre professionnel et consommateur
 
CGV de vente de biens entre professionnels
CGV de vente de biens entre professionnelsCGV de vente de biens entre professionnels
CGV de vente de biens entre professionnels
 
CGV de prestations de services entre professionnels sur internet
CGV de prestations de services entre professionnels sur internetCGV de prestations de services entre professionnels sur internet
CGV de prestations de services entre professionnels sur internet
 
CGV de biens entre professionnels sur internet
CGV de biens entre professionnels sur internetCGV de biens entre professionnels sur internet
CGV de biens entre professionnels sur internet
 
Aperçu informer le personnel
Aperçu informer le personnelAperçu informer le personnel
Aperçu informer le personnel
 
Aperçu fiscalité et régime social de la participation
Aperçu fiscalité et régime social de la participationAperçu fiscalité et régime social de la participation
Aperçu fiscalité et régime social de la participation
 

Guide cgpme annsi bonnes pratiques

  • 1. GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE 12 règles essentielles pour sécuriser vos équipements numériques
  • 3. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 1 La cybersécurité est un facteur de productivité, de com- pétitivité et donc de croissance pour les entreprises. Quelle que soit sa taille, une PME doit prendre conscience qu’elle peut être à tout moment confron- tée à la cybercriminalité. Qu’il s’agisse, par exemple, de malveillances visant à la destruction de données ou d’espionnage économique et industriel, les consé- quences des attaques informatiques pour les entre- prises, et plus particulièrement les TPE, sont générale- ment désastreuses et peuvent impacter leur pérennité. Pour la CGPME, chaque entreprise doit aujourd’hui se doter d’une politique de sécurisa- tion des systèmes d’information inhérente à l’usage des nouvelles technologies. Si les contraintes financières des petites structures restent un frein à la construction d’une cybersécurité optimale, il existe des bonnes pratiques peu coûteuses et faciles à mettre en œuvre permettant de limiter une grande partie des risques liés à l’usage de l’informatique. Pour recenser ces usages, la Confédération, par le biais de sa Commission Economie Numérique, s’est rapprochée de l’ANSSI. Fruit d’un partenariat constructif, un guide des bonnes pratiques informatiques a été élaboré afin de sensibiliser les PME sur cette problématique tout en leur apportant les moyens opérationnels de préserver leurs systèmes d’information. A vous désormais, chefs d‘entreprises, de devenir les acteurs de votre propre sécurité ! François Asselin Président CGPME
  • 5. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 3 Qu’il s’agisse de la numérisation des dossiers de la pa- tientèle d’un cabinet médical, des nouvelles possibilités de paiement en ligne, de la multiplication des échanges par courriel, l’usage de l’informatique s’est généralisé dans les TPE/PME. Corollaire de cette formidable évo- lution, de nouveaux risques ont émergé : vol de don- nées, escroqueries financières, sabotage de sites d’e- commerce. Leurs conséquences peuvent être lourdes : indisponibilités, coût, atteinte à l’image de l’entreprise et perte de clientèle. La complexité des menaces, le coût, le manque de personnel et de temps sont souvent autant d’arguments pour justifier un moindre intérêt porté à la sécurité informatique au sein des petites structures. Ces questions sont pourtant essentielles et relèvent souvent de réflexes simples. Il ne faut pas oublier que devoir remédier à un incident dans l’urgence peut s’avérer bien plus coûteux que leur prévention. Les mesures acces- sibles aux non-spécialistes décrites dans ce guide concourent à une protection globale de l’entreprise, qu’il s’agisse de ses brevets, de sa clientèle, de sa réputation et de sa compétitivité. La sensibilisation aux enjeux de sécurité informatique de chaque acteur, notamment dans le domaine économique, est au cœur des préoccupations de l’Agence nationale de la sécurité des systèmes d’information. C’est donc tout naturellement que l’ANSSI a souhaité s’associer avec la CGPME (Confédération générale du patronat des petites et moyennes entreprises) pour apporter une expertise qui coïncide avec la réalité rencon- trée par les petites structures, dont je n’oublie pas qu’elles constituent 90 % des entre- prises françaises. Ce partenariat fructueux nous permet de vous présenter aujourd’hui ce « Guide des bonnes pratiques informatiques » à destination des PME. Les douze recommandations pratiques qu’il présente sont issues de l’observation di- recte d’attaques réussies et de leurs causes. Dirigeants et entrepreneurs, n’hésitez pas à vous les approprier pour les mettre en œuvre au sein de vos structures. Vous souhaitant bonne lecture, Guillaume Poupard Directeur général – Agence nationale de la sécurité des systèmes d’information
  • 7. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 5 TABLE DES MATIERES Pourquoi sécuriser son informatique ? ..... (7) 1 / Choisir avec soin ses mots de passe ..... (8) 2 / Mettre à jour régulièrement vos logiciels ..... (10) 3 / Bien connaître ses utilisateurs et ses prestataires ..... (12) 4 / Effectuer des sauvegardes régulières ..... (14) 5 / Sécuriser l’accès Wi-Fi de votre entreprise ..... (16) 6 / Être aussi prudent avec son ordiphone (smartphone) ou sa tablette qu’avec son ordinateur ..... (20) 7 / Protéger ses données lors de ses déplacements ..... (22) 8 / Être prudent lors de l’utilisation de sa messagerie ..... (26) 9 / Télécharger ses programmes sur les sites officiels des éditeurs ..... (28) 10 / Être vigilant lors d’un paiement sur Internet ..... (30) 11 / Séparer les usages personnels des usages professionnels ..... (32) 12 / Prendre soin de ses informations personnelles, professionnelles et de son identité numérique ..... (34) En résumé ..... (36) Pour aller plus loin ..... (36) En cas d’incident ..... (37) Glossaire ..... (38)
  • 9. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 7 Pourquoi sécuriser son informatique ? Alors que le numérique fait désormais partie intégrante de nos vies personnelles et professionnelles, la sécurité est trop rarement prise en compte dans nos usages. Les nouvelles technologies, omniprésentes, sont pourtant porteuses de nouveaux risques pesant lourdement sur les entreprises. Par exemple, les données les plus sensibles (fichiers clients, contrats, projets en cours...) peuvent être dérobées par des attaquants informatiques ou récupérées en cas de perte ou vol d’un ordiphone (smartphone), d’une tablette, d’un ordinateur portable. La sécurité informatique est aussi une prio- rité pour la bonne marche des systèmes industriels (création et fourniture d’électricité, distribution d’eau…). Une attaque informatique sur un système de commande industriel peut causer la perte de contrôle, l’arrêt ou la dégradation des installations. Ces incidents s’accompagnent souvent de sévères répercussions en termes de sécurité, de pertes économiques et financières et de dégradation de l’image de l’entreprise. Ces dangers peuvent néanmoins être fortement réduits par un ensemble de bonnes pra- tiques, peu coûteuses, voire gratuites, et faciles à mettre en œuvre dans l’entreprise. à cet effet, la sensibilisation des collaborateurs de l’entreprise aux règles d’hygiène infor- matique est fondamentale et surtout très efficace pour limiter une grande partie des risques. Réalisé par le biais d’un partenariat entre l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) et la CGPME, ce guide a pour objectif de vous informer sur les risques et les moyens de vous en prémunir en acquérant des réflexes simples pour sécu- riser votre usage de l’informatique. Chaque règle ou « bonne pratique » est accompa- gnée d’un exemple inspiré de faits réels auxquels l’ANSSI a été confrontée. Les mots en italique marqués d’un * sont expliqués dans le glossaire situé à la fin de ce guide.
  • 10. 8 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 1 Choisir avec soin ses mots de passe Dans le cadre de ses fonctions de comptable, Julien va régulièrement consulter l’état des comptes de son entreprise sur le site Internet mis à disposition par l’établissement bancaire. Par simplicité, il a choisi un mot de passe faible : 123456. Ce mot de passe a très facilement été reconstitué lors d’une attaque utilisant un outil automatisé : l’entreprise s’est fait voler 10 000 euros.
  • 11. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 9 Le mot de passe est un outil d’authentification utilisé notamment pour accéder à un équipement numérique et à ses données. Pour bien protéger vos informations, choisissez des mots de passe difficiles à retrouver à l’aide d’outils automatisés ou à deviner par une tierce personne. Choisissez des mots de passe composés si possible de 12 caractères de type différent (majuscules, minuscules, chiffres, caractères spéciaux) n’ayant aucun lien avec vous (nom, date de naissance…) et ne figurant pas dans le dictionnaire. Deux méthodes simples peuvent vous aider à définir vos mots de passe : •• La méthode phonétique : « J’ai acheté 5 CDs pour cent euros cet après-midi » : ght5CDs%E7am ; •• La méthode des premières lettres : « Allons enfants de la patrie, le jour de gloire est arrivé » : aE2lP,lJ2Géa! Définissez un mot de passe unique pour chaque service sensible. Les mots de passe protégeant des contenus sensibles (banque, messagerie professionnelle…) ne doivent jamais être réutilisés pour d’autres services. Il est préférable de ne pas recourir aux outils de stockage de mots de passe. A défaut, il faut s’en tenir à une solution ayant reçu une certification de premier niveau (CSPN) En entreprise : •• déterminez des règles de choix et de dimensionnement (longueur) des mots de passe et faites les respecter ; •• modifiez toujours les éléments d’authentification (identifiants, mots de passe) défi- nis par défaut sur les équipements (imprimantes, serveurs, box…) ; •• rappelez aux collaborateurs de ne pas conserver les mots de passe dans des fichiers ou sur des post-it ; •• sensibilisez les collaborateurs au fait qu’ils ne doivent pas préenregistrer leurs mots de passe dans les navigateurs, notamment lors de l’utilisation ou la connexion à un ordinateur public ou partagé (salons, déplacements…).
  • 12. 10 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 2 Mettre à jour régulièrement vos logiciels Carole, administrateur* du système d’information d’une PME, ne met pas toujours à jour ses logiciels. Elle a ouvert par mégarde une pièce jointe piégée. Suite à cette erreur, des attaquants ont pu utiliser une vulnérabilité logicielle et ont pénétré son ordinateur pour espionner les activités de l’entreprise.
  • 13. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 11 Dans chaque système d’exploitation* (Android, IOS, MacOS, Linux, Windows,…), logiciel ou application, des vulnérabilités existent. Une fois découvertes, elles sont corrigées par les éditeurs qui proposent alors aux utilisateurs* des mises à jour* de sécurité. Sachant que bon nombre d’utilisateurs ne procèdent pas à ces mises à jour, les attaquants exploitent ces vulnérabilités pour mener à bien leurs opérations encore longtemps après leur découverte et leur correction. Il convient donc, au sein de l’entreprise, de mettre en place certaines règles : •• définissez et faites appliquer une politique de mises à jour régulières : »» S’il existe un service informatique au sein de l’entreprise, il est chargé de la mise à jour du système d’exploitation et des logiciels ; »» S’il n’en existe pas, il appartient aux utilisateurs de faire cette démarche, sous l’autorité du chef d’entreprise. •• configurez vos logiciels pour que les mises à jour de sécurité s’installent automa- tiquement chaque fois que cela est possible. Sinon, téléchargez les correctifs de sécurité disponibles ; •• utilisez exclusivement les sites Internet officiels des éditeurs.
  • 14. 12 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 3 Bien connaître ses utilisateurs et ses prestataires Noémie naviguait sur Internet depuis un compte administrateur* de son entreprise. Elle a cliqué par inadvertance sur un lien conçu spécifiquement pour l’attirer vers une page web infectée. Un programme malveillant s’est alors installé automatiquement sur sa machine. L’attaquant a pu désactiver l’antivirus de l’ordinateur et avoir accès à l’ensemble des données de son service, y compris à la base de données de sa clientèle.
  • 15. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 13 Lorsquevousaccédezàvotreordinateur,vousbénéficiezdedroitsd’utilisationplusou moins élevés sur celui-ci. On distingue généralement les droits dits « d’utilisateur »* et les droits dits « d’administrateur »*. •• Dans l’utilisation quotidienne de votre ordinateur (naviguer sur Internet, lire ses courriels, utiliser des logiciels de bureautique, de jeu,…), prenez un compte utilisa- teur. Il répondra parfaitement à vos besoins. •• Le compte administrateur n’est à utiliser que pour intervenir sur le fonctionnement global de l’ordinateur (gérer des comptes utilisateurs, modifier la politique de sécu- rité, installer ou mettre à jour des logiciels,…). Les systèmes d’exploitation récents vous permettent d’intervenir facilement sur le fonc- tionnement global de votre machine sans changer de compte : si vous utilisez un compte utilisateur, le mot de passe administrateur est demandé pour effectuer les manipula- tions désirées. Le compte administrateur permet d’effectuer d’importantes modifica- tions sur votre ordinateur. Au sein de l’entreprise : •• réservez l’utilisation au service informatique, si celui-ci existe ; •• dans le cas contraire, protégez-en l’accès, n’ouvrez pour les employés que des comptes utilisateur, n’utilisez pas le compte administrateur pour de la navigation sur Internet ; •• identifiez précisément les différents utilisateurs du système et les privilèges qui leur sont accordés. Tous ne peuvent pas bénéficier de droits d’administrateur ; •• supprimez les comptes anonymes et génériques (stagiaire, contact, presse, etc.). Chaque utilisateur doit être identifié nommément afin de pouvoir relier une action sur le système à un utilisateur ; •• encadrez par des procédures déterminées les arrivées et les départs de personnel pour vous assurer que les droits octroyés sur les systèmes d’information sont appli- qués au plus juste et surtout qu’ils sont révoqués lors du départ de la personne.
  • 16. 14 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 4 Effectuer des sauvegardes régulières Patrick, commerçant, a perdu la totalité de son fichier client suite à une panne d’ordinateur. Il n’avait pas effectué de copie de sauvegarde.
  • 17. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 15 Pour veiller à la sécurité de vos données, il est vivement conseillé d’effectuer des sauvegardes régulières (quotidiennes ou hebdomadaires par exemple). Vous pour- rez alors en disposer suite à un dysfonctionnement de votre système d’exploitation ou à une attaque. Pour sauvegarder vos données, vous pouvez utiliser des supports externes tels qu’un disque dur externe réservé exclusivement à cet usage, ou, à défaut, un CD ou un DVD enregistrable que vous rangerez ensuite dans un lieu éloigné de votre ordinateur, de préférence à l’extérieur de l’entreprise pour éviter que la destruction des données d’ori- gine ne s’accompagne de la destruction de la copie de sauvegarde en cas d’incendie ou d’inondation ou que la copie de sauvegarde ne soit volée en même temps que l’ordi- nateur contenant les données d’origine. Néanmoins, il est nécessaire d’accorder une attention particulière à la durée de vie de ces supports. Avant d’effectuer des sauvegardes sur des plateformes sur Internet (souvent appelées « cloud » ou « informatique en nuage »), soyez conscient que ces sites de stockage peuvent être la cible d’attaques informatiques et que ces solutions impliquent des risques spécifiques : »» risques pour la confidentialité des données, »» risques juridiques liés à l’incertitude sur la localisation des données, »» risques pour la disponibilité et l’intégrité des données, »» risques liés à l’irréversibilité des contrats. •• soyez vigilant en prenant connaissance des conditions générales d’utilisation de ces services. Les contrats proposés dans le cadre des offres génériques ne couvrent généralement pas ces risques ; •• autant que possible, n’hésitez pas à recourir à des spécialistes techniques et juri- diques pour la rédaction des contrats personnalisés et appropriés aux enjeux de votre entreprise ; •• veillez à la confidentialité des données en rendant leur lecture impossible à des per- sonnes non autorisées en les chiffrant à l’aide d’un logiciel de chiffrement* avant de les copier dans le « cloud ». Pour en savoir plus, consultez le guide sur l’externalisation et la sécurité des systèmes d’information réalisé par l’ANSSI.
  • 18. 16 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 5 Sécuriser l’accès Wi-Fi de votre entreprise La borne d’accès à Internet (box) de la boutique de Julie est configurée pour utiliser le chiffrement* WEP. Sans que Julie ne s’en aperçoive, un voisin a réussi en moins de deux minutes, à l’aide d’un logiciel, à déchiffrer la clé de connexion. Il a utilisé ce point d’accès Wi-Fi pour participer à une attaque contre un site Internet gouvernemental. Désormais, Julie est mise en cause dans l’enquête de police.
  • 19. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 17 L’utilisation du Wi-Fi est une pratique attractive. Il ne faut cependant pas oublier qu’un Wi-Fi mal sécurisé peut permettre à des personnes d’intercepter vos données et d’utiliser la connexion Wi-Fi à votre insu pour réaliser des opérations malveil- lantes malintentionnées. Pour cette raison l’accès à Internet par un point d’accès Wi-Fi est à éviter dans le cadre de l’entreprise : une installation filaire reste plus sécurisée et plus performante. Le Wi-Fi peut parfois être le seul moyen possible d’accéder à Internet, il convient dans ce cas de sécuriser l’accès en configurant votre borne d’accès à Internet. Pour ce faire : •• n’hésitez pas à contacter l’assistance technique de votre fournisseur d’accès*.Les fournisseurs d’accès à Internet vous guident dans cette configuration en vous pro- posant différentes étapes, durant lesquelles vous appliquerez ces recommandations de sécurité: »» au moment de la première connexion de votre ordinateur en Wi-Fi, ouvrez votre navigateur Internet pour configurer votre borne d’accès. L’interface de confi- guration s’affiche dès l’ouverture du navigateur. Dans cette interface, modifiez l’identifiant de connexion et le mot de passe par défaut qui vous ont été donnés par votre fournisseur d’accès; »» dans cette même interface de configuration, que vous pouvez retrouver en ta- pant l’adresse indiquée par votre fournisseur d’accès, vérifiez que votre borne dispose du protocole de chiffrement WPA2 et activez-le. Sinon, utilisez la version WPA-AES (ne jamais utiliser le chiffrement WEP cassable en quelques minutes) ; »» modifiez la clé de connexion par défaut (qui est souvent affichée sur l’étiquette de votre borne d’accès à Internet) par une clé (mot de passe) de plus de 12 caractères de types différents (cf. : 1-Choisissez des mots de passe robustes) ; »» ne divulguez votre clé de connexion qu’à des tiers de confiance et changez la régulièrement ; »» activez la fonction pare-feu de votre box ; »» désactivez votre borne d’accès lorsqu’elle n’est pas utilisée.
  • 20. 18 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI •• n’utilisez pas les Wi-Fi « publics » (réseaux offerts dans les gares, les aéroports ou les hôtels) pour des raisons de sécurité et de confidentialité ; •• assurez-vous que votre ordinateur est bien protégé par un antivirus et un pare-feu. (Voir aussi Fiche 7 : Protéger ses données lors d’un déplacement). Si le recours à un service de ce type est la seule solution disponible (lors d’un déplacement, par exemple), il faut s’abstenir d’y faire transiter toute donnée personnelle ou confiden- tielle (en particulier messages, transactions financières). Enfin, il n’est pas recom- mandé de laisser vos clients, fournisseurs ou autres tiers se connecter sur votre réseau (Wi-Fi ou filaire). •• préférez avoir recours à une borne d’accès dédiée si vous devez absolument fournir un accès tiers. Ne partagez pas votre connexion.
  • 22. 20 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 6 Être aussi prudent avec son ordiphone (smartphone) ou sa tablette qu’avec son ordinateur Arthur possède un ordiphone qu’il utilise à titre personnel comme professionnel. Lors de l’installation d’une application, il n’a pas désactivé l’accès de l’application à ses données personnelles. Désormais, l’éditeur de l’application peut accéder à tous les SMS présents sur son téléphone.
  • 23. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 21 Bien que proposant des services innovants, les ordiphones (smartphones) sont au- jourd’hui très peu sécurisés. Il est donc indispensable d’appliquer certaines règles élémentaires de sécurité informatique : •• n’installez que les applications nécessaires et vérifiez à quelles données elles peuvent avoir accès avant de les télécharger (informations géographiques, contacts, appels téléphoniques…). Certaines applications demandent l’accès à des données qui ne sont pas nécessaires à leur fonctionnement, il faut éviter de les installer ; •• en plus du code PIN qui protège votre carte téléphonique, utilisez un schéma ou un mot de passe pour sécuriser l’accès à votre terminal et le configurer pour qu’il se verrouille automatiquement ; •• effectuez des sauvegardes régulières de vos contenus sur un support externe pour pouvoir les conserver en cas de restauration de votre appareil dans son état initial ; •• ne préenregistrez pas vos mots de passe (plus d’informations en fiche 1).
  • 24. 22 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 7 Protéger ses données lors de ses déplacements Dans un aéroport, Charles sympathise avec un voyageur prétendant avoir des connaissances en commun. Lorsque celui-ci lui demande s’il peut utiliser son ordinateur pour recharger son ordiphone, Charles ne se méfie pas. L’inconnu en a profité pour exfiltrer les données concernant la mission professionnelle très confidentielle de Charles.
  • 25. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 23 L’emploi d’ordinateurs portables, d’ordiphones (smartphones) ou de tablettes faci- lite les déplacements professionnels ainsi que le transport et l’échange de données. Voyager avec ces appareils nomades fait cependant peser des menaces sur des infor- mations sensibles dont le vol ou la perte auraient des conséquences importantes sur les activités de l’organisation. Il convient de se référer au passeport de conseils aux voyageurs édité par l’ANSSI. Avant de partir en mission •• n’utilisez que du matériel (ordinateur, supports amovibles, téléphone) dédié à la mis- sion, et ne contenant que les données nécessaires ; •• sauvegardez ces données, pour les retrouver en cas de perte ; •• si vous comptez profiter des trajets pour travailler, emportez un filtre de protection écran pour votre ordinateur ; •• apposez un signe distinctif (comme une pastille de couleur) sur vos appareils pour vous assurer qu’il n’y a pas eu d’échange pendant le transport ; •• vérifiez que vos mots de passe ne sont pas préenregistrés. Pendant la mission •• gardez vos appareils, supports et fichiers avec vous, pendant votre voyage comme pendant votre séjour (ne les laissez pas dans un bureau ou un coffre d’hôtel) ; •• désactivez les fonctions Wi-Fi et Bluetooth de vos appareils ; •• retirez la carte SIM et la batterie si vous êtes contraint de vous séparer de votre téléphone ;
  • 26. 24 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI •• informez votre entreprise en cas d’inspection ou de saisie de votre matériel par des autorités étrangères ; •• n’utilisez pas les équipements que l’on vous offre si vous ne pouvez pas les faire vérifier par un service de sécurité de confiance ; •• évitez de connecter vos équipements à des postes qui ne sont pas de confiance. Par exemple, si vous avez besoin d’échanger des documents lors d’une présenta- tion commerciale, utilisez une clé USB destinée uniquement à cet usage et effacez ensuite les données avec un logiciel d’effacement sécurisé ; •• refusez la connexion d’équipements appartenant à des tiers à vos propres équipe- ments (ordiphone, clé USB, baladeur…) Après la mission •• effacez l’historique des appels et de navigation ; •• changez les mots de passe que vous avez utilisés pendant le voyage ; •• faites analyser vos équipements après la mission, si vous le pouvez. •• n’utilisez jamais les clés USB qui peuvent vous avoir été offertes lors de vos déplace- ments (salons, réunions, voyages…) : très prisées des attaquants, elles sont suscep- tibles de contenir des programmes malveillants.
  • 28. 26 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 8 Être prudent lors de l’utilisation de sa messagerie Suite à la réception d’un courriel semblant provenir d’un de ses collègues, Jean-Louis a cliqué sur un lien présent dans le message. Ce lien était piégé. Sans que Jean-Louis le sache, son ordinateur est désormais utilisé pour envoyer des courriels malveillants diffusant des images pédopornographiques.
  • 29. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 27 Les courriels et leurs pièces jointes jouent souvent un rôle central dans la réalisation des attaques informatiques (courriels frauduleux, pièces jointes piégées,etc.). Lorsque vous recevez des courriels, prenez les précautions suivantes : •• l’identité d’un expéditeur n’étant en rien garantie : vérifiez la cohérence entre l’ex- péditeur présumé et le contenu du message et vérifier son identité. En cas de doute, ne pas hésiter à contacter directement l’émetteur du mail; •• n’ouvrez pas les pièces jointes provenant de destinataires inconnus ou dont le titre ou le format paraissent incohérents avec les fichiers que vous envoient habituelle- ment vos contacts; •• si des liens figurent dans un courriel, passez votre souris dessus avant de cliquer. L’adresse complète du site s’affichera dans la barre d’état du navigateur située en bas à gauche de la fenêtre (à condition de l’avoir préalablement activée). Vous pour- rez ainsi en vérifier la cohérence; •• ne répondez jamais par courriel à une demande d’informations personnelles ou confidentielles (ex : code confidentiel et numéro de votre carte bancaire). En effet, des courriels circulent aux couleurs d’institutions comme les Impôts pour récupérer vos données. Il s’agit d’attaques par hameçonnage ou « phishing »* ; •• n’ouvrez pas et ne relayez pas de messages de types chaînes de lettre, appels à la solidarité, alertes virales, etc. ; •• désactivez l’ouverture automatique des documents téléchargés et lancez une ana- lyse antivirus* avant de les ouvrir afin de vérifier qu’ils ne contiennent aucune charge virale connue.
  • 30. 28 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI 9 Télécharger ses programmes sur les sites officiels des éditeurs Emma, voulant se protéger des logiciels espions (spyware), a téléchargé un logiciel spécialisé proposé par son moteur de recherche. Sans le savoir, elle a installé un cheval de Troie*.
  • 31. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 29 Si vous téléchargez du contenu numérique sur des sites Internet dont la confiance n’est pas assurée, vous prenez le risque d’enregistrer sur votre ordinateur des pro- grammes ne pouvant être mis à jour, qui, le plus souvent, contiennent des virus ou des chevaux de Troie*. Cela peut permettre à des personnes malveillantes de prendre le contrôle à distance de votre machine pour espionner les actions réalisées sur votre ordinateur, voler vos données personnelles, lancer des attaques, etc. Dans ce contexte, afin de veiller à la sécurité de votre machine et de vos données : •• téléchargez vos programmes sur les sites de leurs éditeurs ou d’autres sites de confiance ; •• pensez à décocher ou désactiver toutes les cases proposant d’installer des logiciels complémentaires ; •• restez vigilants concernant les liens sponsorisés et réfléchir avant de cliquer sur des liens ; •• désactivez l’ouverture automatique des documents téléchargés et lancez une ana- lyse antivirus* avant de les ouvrir afin de vérifier qu’ils ne contiennent aucune charge virale connue.
  • 32. 30 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI Être vigilant lors d’un paiement sur Internet Céline a acheté sur Internet des fournitures de bureau pour son entreprise sans vérifier l’état de sécurité du site de commerce en ligne. Ce dernier n’était pas sécurisé. Des attaquants ont intercepté le numéro de carte bancaire de l’entreprise et ont soutiré 1 000 euros. 10
  • 33. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 31 Lorsque vous réalisez des achats sur Internet, via votre ordinateur ou votre ordi- phone (smartphone), vos coordonnées bancaires sont susceptibles d’être intercep- tées par des attaquants directement sur votre ordinateur ou dans les fichiers clients du site marchand. Ainsi, avant d’effectuer un paiement en ligne, il est nécessaire de procéder à des vérifications sur le site Internet : •• contrôlez la présence d’un cadenas dans la barre d’adresse ou en bas à droite de la fenêtre de votre navigateur Internet (remarque : ce cadenas n’est pas visible sur tous les navigateurs) ; •• assurez-vous que la mention « https:// » apparait au début de l’adresse du site Internet ; •• vérifiez l’exactitude de l’adresse du site Internet en prenant garde aux fautes d’or- thographe par exemple. Si possible, lors d’un achat en ligne : •• privilégiez la méthode impliquant l’envoi d’un code de confirmation de la commande par SMS ; •• De manière générale, ne transmettez jamais le code confidentiel de votre carte bancaire ; •• n’hésitez pas à vous rapprocher votre banque pour connaître et utiliser les moyens sécurisés qu’elle propose.
  • 34. 32 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI Séparer les usages personnels des usages professionnels Paul rapporte souvent du travail chez lui le soir. Sans qu’il s’en aperçoive son ordinateur personnel a été attaqué. Grâce aux informations qu’il contenait, l’attaquant a pu pénétrer le réseau interne de l’entreprise de Paul. Des informations sensibles ont été volées puis revendues à la concurrence. 11
  • 35. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 33 Les usages et les mesures de sécurité sont différents sur les équipements de commu- nication (ordinateur, ordiphone, etc.) personnels et professionnels. Le AVEC (Apportez Votre Equipement personnel de Communication) ou BYOD (Bring Your Own Device) est une pratique qui consiste, pour les collaborateurs, à utiliser leurs équipements personnels (ordinateur, ordiphone, tablette, etc.) dans un contexte profes- sionnel. Si cette solution est de plus en plus utilisée aujourd’hui, elle pose des problèmes en matière de sécurité des données (vol ou perte des appareils, intrusions, manque de contrôle sur l’utilisation des appareils par les collaborateurs, fuite de données lors du départ du collaborateur). Dans ce contexte, il est recommandé de séparer vos usages personnels de vos usages professionnels : •• ne faites pas suivre vos messages électroniques professionnels sur des services de messagerie utilisés à des fins personnelles ; •• n’hébergez pas de données professionnelles sur vos équipements personnels (clé USB, téléphone, etc.) ou sur des moyens personnels de stockage en ligne ; •• de la même façon, évitez de connecter des supports amovibles personnels (clés USB, disques durs externes, etc.) aux ordinateurs de l’entreprise. Si vous n’appliquez pas ces bonnes pratiques, vous prenez le risque que des per- sonnes malveillantes volent des informations sensibles de votre entreprise après avoir réussi à prendre le contrôle de votre machine personnelle.
  • 36. 34 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI Prendre soin de ses informations personnelles, professionnelles et de son identité numérique Alain reçoit un courriel lui proposant de participer à un concours pour gagner un ordinateur portable. Pour ce faire, il doit transmettre son adresse électronique. Finalement, Alain n’a pas gagné mais reçoit désormais de nombreux courriels non désirés. 12
  • 37. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 35 Les données que vous laissez sur Internet vous échappent instantanément. Des personnes malveillantes pratiquent l’ingénierie sociale, c’est-à-dire récoltent vos informations personnelles, le plus souvent frauduleusement et à votre insu, afin de dé- duire vos mots de passe, d’accéder à votre système informatique, voire d’usurper votre identité ou de conduire des activités d’espionnage industriel. Dans ce contexte, une grande prudence est conseillée dans la diffusion de vos infor- mations personnelles sur Internet : •• soyez vigilant vis-à-vis des formulaires que vous êtes amenés à remplir : »» ne transmettez que les informations strictement nécessaires ; »» pensez à décocher les cases qui autoriseraient le site à conserver ou à partager vos données ; •• ne donnez accès qu’à un minimum d’informations personnelles et professionnelles sur les réseaux sociaux, et soyez vigilant lors de vos interactions avec les autres utilisateurs ; •• pensez à régulièrement vérifier vos paramètres de sécurité et de confidentialité (Cf. Guide de la CNIL sur la sécurité des données personnelles) ; •• enfin, utilisez plusieurs adresses électroniques dédiées à vos différentes activités sur Internet : une adresse réservée aux activités dites sérieuses (banques, recherches d’emploi, activité professionnelle…) et une adresse destinée aux autres services en ligne (forums, jeux concours…).
  • 38. 36 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI En résumé … Afin de renforcer efficacement la sécurité de vos équipements communicants et de vos données, vous pouvez compléter les douze bonnes pratiques de ce guide par les mesures suivantes : •• désignez un correspondant/référent pour la sécurité informatique dans les entre- prises ; •• rédigez une charte informatique ; •• chiffrez vos données et vos échanges d’information à l’aide de logiciels de chiffre- ment* ; •• durcissez la configuration de votre poste et utilisez des solutions de sécurité éprou- vées (pare-feux*, antivirus*) ; •• avant d’enregistrer des fichiers provenant de supports USB sur votre ordinateur, faites-les analyser par un antivirus ; •• désactivez l’exécution automatique des supports amovibles depuis votre ordinateur ; •• éteignez votre ordinateur pendant les périodes d’inactivité prolongée (nuit, week- end, vacances,...) ; •• surveillez et monitorez votre système, notamment en utilisant les journaux d’évé- nements, pour réagir aux événements suspects (connexion d’un utilisateur hors de ses horaires habituels, transfert massif de données vers l’extérieur de l’entreprise, tentatives de connexion sur un compte non actif,…). Pour aller plus loin •• ANSSI : http://www.ssi.gouv.fr •• CNIL : http://www.cnil.fr •• Délégation à l’intelligence économique (D2IE) : http://www.intelligence-economique.gouv.fr •• Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (Police nationale) : http://www.internet-signalement.fr
  • 39. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 37 En cas d’incident Vous n’avez pas eu le temps de mettre en œuvre les règles décrites dans ce guide ou les attaquants ont réussi à les contourner. Ne cédez pas à la panique, et ayez les bons réflexes. •• en cas de comportement inhabituel de votre ordinateur, vous pouvez soupçonner une intrusion (impossibilité de se connecter, activité importante, connexions ou activités inhabituelles, services ouverts non autorisés, fichiers créés, modifiés ou supprimés sans autorisation,…) ; •• déconnectez la machine du réseau, pour stopper l’attaque. En revanche, maintenez- là sous tension et ne la redémarrez pas, pour ne pas perdre d’informations utiles pour l’analyse de l’attaque ; •• prévenez votre hiérarchie, ainsi que le responsable de la sécurité, au téléphone ou de vive voix, car l’intrus peut-être capable de lire les courriels. Prenez également contact avec un prestataire informatique qui vous aidera dans la restauration de votre système ainsi que dans l’analyse de l’attaque ; •• faites faire une copie physique du disque ; •• faites rechercher les traces disponibles liées à la compromission. Un équipement n’étant jamais isolé dans un système d’information, des traces de sa compromission doivent exister dans d’autres équipements sur le réseau (pare-feu, routeurs, outils de détection d’intrusion, etc.) ; •• déposez une plainte auprès de la brigade de gendarmerie ou du service de police judiciaire compétent pour le siège de la société, de la Brigade d’enquêtes sur les fraudes aux technologies de l’information (Paris et petite couronne), ou de la Direc- tion générale de la sécurité intérieure. Retrouvez plus d’informations sur le site de l’ANSSI : www.ssi.gouv.fr/en-cas-dincident/ ; •• après l’incident : réinstallez complètement le système d’exploitation à partir d’une version saine, supprimez tous les services inutiles, restaurez les données d’après une copie de sauvegarde non compromise, et changez tous les mots de passe du système d’information.
  • 40. 38 / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / CGPME-ANSSI Glossaire •• antivirus : logiciel informatique destiné à identifier, neutraliser et effacer des logi- ciels malveillants ; •• cheval de Troie : programme qui s’installe de façon frauduleuse pour remplir une tâche hostile à l’insu de l’utilisateur (espionnage, envoi massif de spams,…) ; •• chiffrement : procédé de cryptographie grâce auquel on souhaite rendre la com- préhension d’un document impossible à toute personne qui ne possède pas la clé de (dé)chiffrement ; •• compte d’administrateur : compte permettant d’effectuer des modifications affec- tant les utilisateurs (modification des paramètres de sécurité, installer des logi- ciels…) ; •• logiciel espion : logiciel malveillant qui s’installe dans un ordinateur afin de collecter et transférer des données et des informations, souvent à l’insu de l’utilisateur. •• Fournisseur d’Accès Internet (FAI) : organisme (entreprise ou association) offrant une connexion à Internet ; •• mise à jour : action qui consiste à mettre à niveau un outil ou un service informa- tique en téléchargeant un nouveau programme logiciel ; •• pare-feu (firewall) : logiciel et/ou matériel permettant de protéger les données d’un réseau (protection d’un ordinateur personnel relié à Internet, protection d’un réseau d’entreprise,…) en filtrant les entrées et en contrôlant les sorties selon les règles définies par son utilisateur ; •• paquet : unité de transmission utilisée pour communiquer ; •• phishing (hameçonnage) : méthode d’attaque qui consiste à imiter les couleurs d’une institution ou d’une société (banque, services des impôts) pour inciter le des- tinataire à fournir des informations personnelles. •• routeur : élément intermédiaire dans un réseau informatique assurant la distribu- tion des paquets de données en déterminant le prochain nœud de réseau auquel un paquet doit être envoyé ; •• système d’exploitation : logiciel qui, dans un appareil électronique, pilote les dispo- sitifs matériels et reçoit des instructions de l’utilisateur ou d’autres logiciels ;
  • 41. CGPME-ANSSI / GUIDE DES BONNES PRATIQUES DE L’INFORMATIQUE / 39 •• utilisateur : personne qui utilise un système informatique ; •• WEP : protocole de sécurité permettant de fournir aux utilisateurs de réseaux locaux sans fil une protection contre le piratage ; •• Wi Fi : connexion Internet sans fil •• WPA 2 : standard de sécurité protégeant les utilisateurs contre le piratage des ré- seaux sans fil devant se substituer au système WEP jugé insuffisant.
  • 44. Version 1.1 - Mars 2015 20150326-1517 Licence Ouverte/Open Licence (Etalab - V1) agence nationale de la sécurité des systèmes d’information ANSSI - 51, boulevard de la Tour-Maubourg - 75700 PARIS 07 SP www.ssi.gouv.fr / communication@ssi.gouv.fr