Qu'est-ce que la formation à la sensibilisation à la sécurité ?

Web

Il existe plusieurs menaces sur le Web qui peuvent compromettre la sécurité, telles que les sites Web non sécurisés, les téléchargements infectés et les logiciels malveillants. Les organisations dont les politiquesBYODsont laxistes peuvent être plus vulnérables aux éléments malveillants présents sur le Web. Les employés doivent toujours équiper leurs appareils d'un logiciel antivirus et d'extensions de sécurité pour navigateur. Ils doivent également éviter les sites Web qui :

• Ne pas avoir de connexions sécurisées via HTTPS.
• Falsifier les URL pour les faire apparaître comme légitimes.
• Présenter des signes de compromission.
• Demander inutilement des informations privées.
• Manipuler les visiteurs par des menaces, des avertissements ou des offres irréalistes.
• Lancer des liens non sollicités.
• Utiliser des publicités malveillantes ou des téléchargements de type "drive-by".

Courriel

Les attaquants peuvent diffuser des logiciels malveillants et des messages frauduleux par le biais du courrier électronique. Ils peuvent également utiliser un compte de messagerie compromis pour lancer les types d'attaques suivants :

• Ransomware
• Compromission du courrier électronique d'entreprise (BEC)
• Spear-phishing
• Chasse à la baleine
• Et plus encore

Le personnel doit être formé à repérer les attaques d'ingénierie sociale dans les courriels. Il doit apprendre à traiter les pièces jointes potentiellement malveillantes. Et ils doivent savoir comment fonctionnent les attaques par usurpation d'adresse électronique.

Hameçonnage

Le phishing est un vecteur d'attaque couramment utilisé contre les organisations. Les messages d'hameçonnage semblent légitimes mais sont frauduleux et conçus pour inciter les victimes à commettre des erreurs en matière de cybersécurité, comme ouvrir un lien dangereux ou révéler le mot de passe d'un compte d'entreprise. La formation de sensibilisation à la sécurité, qui comprend des exercices de tests anti-phishing, peut sensibiliser les employés à ces attaques.

Mots de passe et gestion des mots de passe

Les pirates utilisant des attaques par force brute pour casser les mots de passe faibles en quelques secondes, les organisations doivent mettre en place des politiques de mots de passe forts dans le cadre de la formation de sensibilisation à la cybersécurité destinée aux employés. Chaque membre d'une organisation doit apprendre à créer un mot de passe fort au cours du programme de formation et de sensibilisation à la sécurité. Ils doivent également être encouragés à changer régulièrement de mot de passe. Après tout, même le mot de passe le plus complexe est inutile s'il est volé. Bien entendu, un bon gestionnaire de mots de passe peut les aider à conserver leurs identifiants de connexion.

Menaces d'initiés

Une bonne formation en matière de sécurité peut aider à protéger une organisation contre les menaces internes, telles que les espions industriels, les agents mandatés par des États, les sous-traitants malveillants ou les employés qui causent involontairement des dommages. Les menaces internes peuvent être à l'origined'attaques contre la chaîne d'approvisionnement, de menaces contre la propriété intellectuelle, de violations de données ou d'attaques par des logiciels malveillants.

Les membres d'une organisation peuvent être formés à identifier les signes d'une menace interne, tels que des activités suspectes, et à signaler la menace de manière sûre et confidentielle. Les équipes de sécurité doivent être formées pour limiter l'accès aux données et aux systèmes confidentiels et surveiller les réseaux afin de détecter toute activité inhabituelle. 

Ingénierie sociale

Les pirates utilisent des techniques psychologiques pour obtenir des informations sensibles ou accéder aux systèmes des entreprises. Cependant, il est possible de les arrêter grâce à une formation de sensibilisation à la sécurité axée sur les tactiques courantesd'ingénierie sociale.

Voici quelques exemples :

• Phishing : courriers électroniques conçus pour obtenir des noms d'utilisateur, des mots de passe et d'autres informations sensibles.
• Spear-phishing : attaques de phishing ciblant une personne ou un groupe spécifique, comme le bureau de la comptabilité.
• La chasse à la baleine : Les attaques de phishing qui ciblent les cadres comme les PDG.
• Smishing : messages d'hameçonnage utilisant les SMS (Short Message Service) comme vecteur d'attaque.
• Vishing : appels téléphoniques frauduleux.
• Water holing :Qu'est-ce qu'une attaque par watering hole? Il s'agit d'un site web compromis par des pirates informatiques afin d'attaquer des cibles spécifiques.
• Appât : Les attaques qui appâtent les victimes avec une clé USB ou un lien vers une mise à jour logicielle.
• Tailgating : Lorsque des acteurs de la menace obtiennent un accès physique non autorisé à une organisation en suivant une personne autorisée à travers une entrée sécurisée.
• Prétextat : Escroquerie élaborée dans laquelle les attaquants créent des scénarios fictifs pour gagner la confiance de la victime.
• Honeytrap (piège à miel) : Un type d'attaque par faux-semblant dans lequel un attaquant se fait passer pour un amoureux.

Mobile

Les appareils mobiles modernes ne sont plus de simples machines qui permettent uniquement de passer des appels téléphoniques ou d'envoyer des SMS. Un smartphone est un appareil très sophistiqué qui permet d'échanger des e-mails, de naviguer sur Internet, de prendre des photos, d'enregistrer du son et de télécharger des fichiers.

Les cybercriminels peuvent utiliser l'appareil mobile d'un employé de plusieurs façons pour attaquer une organisation. Par exemple, ils peuvent le pirater à l'aide d'un logiciel espion pour voler des secrets. Ils peuvent espionner l'utilisateur de l'appareil mobile via un réseau non sécurisé. Ou ils peuvent simplement voler l'appareil et se livrer à des activités malveillantes.

La formation de sensibilisation à la cybersécurité destinée aux employés disposant d'appareils mobiles doit couvrir les points suivants :

• Sécurité biométrique.
• Un code PIN ou un code d'accès fort.
• Cryptage des données.
• Gestion des appareils perdus ou volés.
• Effacement à distance.
• Reconnaissance des menaces liées aux appareils mobiles.
• Les dangers du WiFi public et des autres réseaux non sécurisés.
• Rapport d'incident.

Logiciels malveillants

Le terme « malware » est un terme générique désignant les logiciels malveillants, et peut englober tout logiciel dangereux, du virus au cheval de Troie. Pourtant, la plupart des gens utilisent les termes « virus » et « malware » de manière interchangeable. Les virus constituent une menace moins grave que les types de malwares plus sophistiqués, capables de voler des informations sensibles ou de pirater des systèmes.

En savoir plus sur les différents types de logiciels malveillants utilisés par les pirates informatiques pour attaquer les organisations peut aider les employés à repérer les menaces, les symptômes d'une infection et à gérer uneattaque de logiciel malveillanttel qu'un ransomware, un spyware, un keylogger, un ver ou un cheval de Troie.

Une formation à la sensibilisation à la sécurité peut également aider les gens à se familiariser avec les vecteurs d'infection courants des logiciels malveillants :

• Fichiers ZIP.
• Fichiers RAR.
• Documents compatibles avec les macros.
• Fichiers .EXE

Ces infections peuvent être transmises par des vecteurs d'attaque tels que des courriels, des sites web, des liens et des clés USB malveillants.

Conformité

La formation doit couvrir la législation en matière de sécurité. Par exemple, les employés au Canada doivent connaître la LPRPDE, tandis que les employés en Europe doivent connaître le GDPR. L'apprentissage des lois de conformité locales peut aider le personnel à comprendre les détails des lois sur la protection de la vie privée et la manière de traiter les IIP. Rester en conformité avec les réglementations permet aux organisations d'éviter de lourdes amendes, des poursuites civiles et des atteintes à la réputation.

Données

En plus d'aider les organisations à se conformer aux lois sur la protection des données, la formation à la sécurité des données peut empêcher la fuite d'informations sensibles sur les employés, les clients et les parties prenantes. Outre la sécurité des mots de passe, les logiciels malveillants et l'ingénierie sociale, les employés doivent apprendre les éléments suivants dans le cadre de la formation à la sécurité des données :

• Lois locales de mise en conformité.
• Sécurité des appareils.
• Sécurité physique.
• Sécurité des réseaux.
• Gestion des données.
• Réponse aux incidents.
• Rapport d'incident.
• Classification des données.
• Destruction sécurisée des données.

Vie privée

Les employés doivent également savoir comment identifier, gérer et protéger les informations sensibles. Ils doivent également être formés à l'utilisation d'outils de cybersécurité qui protègent les informations privées contre les pirates informatiques et les logiciels malveillants. Par exemple, les employés travaillant à distance doivent éviter d'utiliser le WiFi public ou de partager des données sur des canaux non sécurisés. En outre, ils doivent savoir comment utiliser un VPN (réseau privé virtuel) d'entreprise.

Alors,comment fonctionne un VPN et pourquoi devrait-il être abordé dans la formation de sensibilisation à la sécurité des utilisateurs finaux ? En termes simples, un VPN est une technologie qui établit une connexion privée et sécurisée à Internet. Toutes les données transmises depuis un terminal, comme l'ordinateur portable d'un télétravailleur vers un réseau d'entreprise, sont cryptées et illisibles pour un espion.

Fraude à la direction et fraude électronique

Les cadres, tels que les PDG, les directeurs financiers et autres, ne doivent jamais être oubliés dans les formations de sensibilisation à la sécurité. Les cibles de haut niveau peuvent être manipulées dans le cadre de compromissions de courriers électroniques professionnels, de whaling, de spear-phishing, de vishing, de smishing et d'autres types d'escroqueries. Les cadres doivent être formés à reconnaître les menaces et à vérifier les demandes sensibles.

Environnement

Tout en se concentrant sur les menaces liées à la cybersécurité, les organisations ne doivent pas oublier les menaces localisées telles que les initiés, le talonnage et même l'appâtage. Les équipes de sécurité doivent être formées à l'utilisation des caméras de vidéosurveillance et des cartes d'identité afin d'optimiser la sécurité. Le contrôle d'accès aux données doit être strictement défini en fonction du besoin d'en connaître.

Les employés ne doivent jamais ouvrir des supports aléatoires tels que des CD, des DVD ou des clés USB sur les ordinateurs de l'entreprise, car ils peuvent contenir des logiciels malveillants. Une chaîne de conservation claire pour les documents sensibles doit être établie dans les protocoles de formation à la sécurité.

Outils et ressources pour la formation à la sensibilisation à la sécurité

Il existe différents types d'outils et de ressources de sécurité qu'une organisation peut utiliser pour la formation à la sensibilisation. Les mesures peu coûteuses comprennent les vidéos de formation, les bulletins d'information et les courriels. Les modules, les séminaires et les simulations sont des mesures plus efficaces.