Définir et communiquer le niveau de risque acceptable par la direction est primordial pour la stratégie globale de cyber sécurité au sein de votre entreprise. Le Centre national de cyber sécurité recommande de passer en revue ce choix – avec les 9 zones de sécurité définies ci-dessous afin de protéger votre business d’une grande majorité des cybers attaques.

• Rendre prioritaire, pour le conseil d’administration, les risques liés à la cyber sécurité.
• Déterminer votre cadre de tolérance au risque.
• Créer les règles de gestion de risque en adéquation.

Evaluez les risques de votre système IT avec la même vigueur que vous le feriez pour les risques légaux, réglementaires, financiers ou opérationnels.

Pour réussir cela, il faut intégrer une stratégie de gestion de risque à travers toute votre organisation, et qu’elle soit soutenue par le conseil d’administration et les cadres supérieurs.

1. La sécurité du réseau

Protéger votre réseau des attaques.
Défendre le périmètre de réseau, bloquer les accès non autorisés et les contenus malicieux.
Contrôler et tester les contrôles de sécurité.

2. L’éducation et la sensibilisation

Mettre en place des règles de sécurité qui couvrent l’utilisation acceptable et sécurisé de vos systèmes.
Inclure la formation de l’équipe.
Maintenir la conscience des cyber risques.

3. La prévention des Malware

Mettre en place des règles adéquates et établir des défenses anti-malware à travers votre organisation.

4. Le contrôle des support amovibles

Mettre en place une règle permettant le contrôle des accès aux périphériques amovibles.
Limiter les types de support et leur utilisation.
Faire un scan anti-malware sur tous les médias externes avant de les importer dans le système de l’entreprise.

5. Une configuration sécurisée

Appliquer les patchs de sécurité et s’assurer que la sécurité des configurations de tous les systèmes est maintenue.
Créer un inventaire des systèmes et définir un modèle pour tous les équipements informatiques.

6. Gérer les privilèges des utilisateurs

Etablir des processus de gestion efficaces et limiter le nombre de comptes ayant des privilèges.
Limiter les privilèges des utilisateurs et surveiller les activités des utilisateurs.
Contrôler les accès aux journaux d’audit et d’activité.

7. Gestion des incidents

Être capable de réagir en cas d’incident ou de récupération après une catastrophe.
Tester vos plans de gestion d’incidents.
Fournir des formations spécialisées.
Informer les autorités locales des incidents criminels.

8. Surveillance

Établir une politique de surveillance et mettre en place les stratégies justificatives.
Surveiller en continu tous les systèmes et réseaux.
Analyser les journaux pour toute activité suspecte qui pourrait indiquer une attaque.

9. Le travail à domicile ou à l’extérieur

Développer une stratégie de travail nomade et former les employés pour une bonne adhésion.
Appliquer le modèle de sécurité pour tous les périphériques.
Protéger les données à la fois lors du transit et au repos.