Un cyberplan aide votre entreprise à réagir efficacement à une attaque

Les cyberattaques sont en constante évolution. Les PME sont beaucoup plus vulnérables, souvent en raison d’un manque d’expertise en TI ou de spécialistes de la sécurité. Elles peuvent faire face à des attaques perpétrées par des cybercriminelles et cybercriminels ou commises par des membres du personnel agissant malicieusement ou accidentellement en mettant leurs données en danger.

Vous croyez peut-être que votre petite entreprise est à l’abri d’une cyberattaque et que vous avez, de toute façon, peu de choses à voler. Si c’est le cas, sachez que les cyberattaques ont paralysé des entreprises de toutes tailles. Que feriez-vous si vous deviez subir une telle attaque?

Pour remettre votre entreprise sur pied, il est essentiel d’avoir un cyberplan de match. Ce type de plan, semblable à un plan de reprise après sinistre, aide à réduire les risques pour votre entreprise et vos clientes et clients.

Élaborer un cyberplan de match

Toutes les entreprises doivent accepter la réalité des cyberattaques et prendre des mesures proactives pour les gérer.

La première étape consiste à relever toutes les données de votre entreprise, notamment celles concernant la propriété intellectuelle, les listes de clientes et clients et de fournisseuses et fournisseurs, ainsi que les dossiers financiers. Votre entreprise dispose donc d’actifs pouvant être volés après tout! Ensuite, vous devez classer les données en fonction de leur importance pour votre entreprise.

Vous aurez besoin de l’aide des membres de votre personnel pour recueillir ces renseignements. Assurez-vous de mettre l’accent sur les actifs essentiels ou les «actifs attrayants» de votre entreprise ainsi que sur la façon dont votre entreprise mènerait ses activités si un service était désactivé ou si des renseignements étaient compromis pendant une journée, une semaine ou plus. Déterminez les menaces les plus courantes et la réaction de votre équipe.

L’objectif est de fournir à l’ensemble des membres de votre équipe une compréhension claire de leurs rôles et responsabilités en cas d’incident touchant la cybersécurité.

Protéger votre entreprise d’une attaque

Vous devez prévoir différents types d’attaques, notamment les tentatives d’hameçonnage, les rançongiciels et les autres risques de cybersécurité courants pour votre entreprise. Il s’agit de certaines des principales causes d’atteinte à la sécurité des données.

Dans le cas d’une tentative d’hameçonnage, l’adresse courriel de l’expéditrice ou l’expéditeur semble être valide. Toutefois, si vous cliquez sur l’hyperlien, vous serez dirigé vers le site de l’hameçonneuse ou l’hameçonneur. Lorsque votre nom d’utilisateur et votre mot de passe sont entrés sur le site de l’hameçonneuse ou l’hameçonneur, on les enregistre à des fins frauduleuses pour pouvoir accéder à des renseignements financiers ou sensibles.

D’autres attaques visent à vous amener à verser de l’argent ou une rançon pour récupérer les renseignements de votre entreprise. Un rançongiciel est un logiciel qui bloque l’accès aux ordinateurs ou aux fichiers jusqu’à ce qu’une rançon soit versée. Les membres du personnel ne peuvent ni envoyer ni recevoir de courriels.

Vous devrez informer les membres de votre personnel au sujet des arnaques en ligne et les aviser de vous les signaler immédiatement, à vous et à votre équipe des TI. Vous pouvez organiser des séminaires d’équipe et fournir aux membres du personnel du matériel d’apprentissage pour les sensibiliser aux arnaques courantes.

Qui contacterez-vous après un cyberincident?

Une fois qu’un incident a été détecté, établissez une chaîne de commandement, puis déterminez comment contenir l’incident et comment rétablir le service touché. Déterminez quelles personnes doivent être informées (p. ex., la police, votre banque, votre clientèle, vos fournisseuses et fournisseurs, votre avocate ou avocat) et qui les informera.

Vous pouvez décider de mettre sur pied une équipe interne de gestion de crise en cas de cyberincident. Désignez une ou un porte-parole qui répondra aux questions des médias, au besoin.

Un cyberplan de match, tout comme un plan de reprise après sinistre, doit être testé et mis à jour au moins une fois par année. Assurez-vous de connaître les maillons les plus faibles de votre entreprise en matière de cybersécurité.

Les entreprises doivent maintenant déclarer au commissaire à la protection de la vie privée du Canada toute violation de données personnelles qu’elles ont en main, y compris avec une fournisseuse ou un fournisseur de services. Cette règle s’applique s’il est raisonnable de croire que la violation de données présente un risque réel de préjudice grave aux personnes concernées.

Mesures préventives de base efficaces à prendre

L’une des premières lignes de défense pour protéger votre environnement de travail est un pare-feu entre votre réseau et Internet. Toutes les PME devraient mettre en place un pare-feu pour créer une barrière entre leurs données, le monde extérieur et les criminelles et criminels.

En plus d’un pare-feu externe standard, souvent installé par la fournisseuse ou le fournisseur de services Internet, de nombreuses entreprises commencent à installer leurs propres pare-feux internes pour offrir une protection supplémentaire.

Les membres du personnel qui travaillent à la maison devraient avoir un pare-feu pour leur réseau domestique et un réseau privé virtuel (VPN) pour se connecter au bureau ou naviguer sur Internet. Les forfaits VPN offerts par la fournisseuse ou le fournisseur de services Internet de votre entreprise ne coûtent généralement pas trop cher par utilisatrice ou utilisateur.

Pensez à encourager les membres de votre personnel à acheter un pare-feu pour réseaux domestiques afin d’assurer la conformité à votre cyberplan de match. Parmi les éléments à rechercher, notons l’inspection dynamique de paquets, connue également sous le nom de filtrage dynamique de paquets, qui est une fonctionnalité de pare-feu déterminant quels paquets réseau sont autorisés à traverser le pare-feu.

Une autre méthode à prendre en considération est l’utilisation par les membres de votre personnel de clés USB sécurisées (chiffrées). Disposez-vous d’une politique concernant l’utilisation des clés USB et les informations auxquelles les membres de votre personnel ont accès?

Si les membres de votre personnel se déplacent avec des renseignements sensibles, des clés USB chiffrées sont indispensables. Dans le même ordre d’idées, une employée ou un employé qui quitte son emploi pourrait décider d’emporter des renseignements de nature délicate, comme une liste de clientes et clients ou de l’information liée à la propriété intellectuelle, sur une clé USB au moment de son départ. Comment géreriez-vous la situation?

Certifiez votre entreprise comme étant cybersécuritaire

À ce propos, le gouvernement fédéral a lancé le programme de certification CyberSécuritaire Canada, un programme volontaire visant à aider les PME à en savoir plus sur les cybermenaces et sur les façons de se protéger.

Selon le site StaySafeOnline.org, 71 % des atteintes à la protection des données concernent des petites entreprises, et près de la moitié de toutes les petites entreprises ont été victimes d’une cyberattaque. Qu’attendez-vous pour protéger votre entreprise?