Votée en première lecture à l’Assemblée nationale lundi, la proposition de loi interdisant l’accès aux réseaux sociaux aux moins de 15 ans a reçu l’aval de Bruxelles. Inspiré par l’exemple australien, le texte ouvre toutefois un chantier technique et politique complexe, entre promesses de protection et limites concrètes de la vérification d’âge. L’Australie fait figure de laboratoire. La France peut légalement instaurer une « majorité numérique » interdisant les réseaux sociaux aux moins de 15 ans. La confirmation est venue de la Commission européenne, au lendemain de l’adoption en première lecture, dans la nuit de lundi à mardi, d’une proposition de loi soutenue par le gouvernement et le chef de l’État. Pour Bruxelles, le principe est clair : les États membres peuvent légiférer, à condition de rester dans le cadre du droit européen. Il reviendra ensuite à la Commission de veiller à ce que les grandes plateformes appliquent effectivement la règle. À Paris, l’exécutif veut avancer...
Par Thierry Behaghel, Spécialiste produit EMEA chez LastPass
Selon des informations publiées récemment, des pirates se seraient fait passer pour des employés de Microsoft afin de dérober des mots de passe auprès de députés britanniques. La réussite de cette attaque – la plus importante jamais menée à l’encontre du parlement – serait le résultat de l’erreur humaine, et plus précisément de l’utilisation de mots de passe « faibles » ne respectant pas les recommandations du Service numérique parlementaire (Parliamentary Digital Service). Cet incident a montré que même de hauts fonctionnaires pouvaient être vulnérables, et que l’homme était souvent le maillon faible en matière de cybersécurité.
Les employés font généralement preuve d’une méconnaissance en ce qui concerne les questions de sécurité en ligne et ne se rendent pas compte qu’ils mettent leur entreprise en danger. Pourtant, bien que les organisations doivent absolument veiller à ce qu’ils ne courent aucun risque, un certain équilibre doit également être trouvé. En effet, si la sécurité devient une contrainte vis-à-vis de leurs tâches quotidiennes, ils seront moins enclins à observer les meilleures pratiques en la matière. Pire, ils pourraient tenter de contourner les stratégies de sécurité en place, ce qui engendrerait des risques encore plus importants.
Voici donc 5 conseils pour permettre aux entreprises de faire de leurs employés leur première ligne de défense :
Définir des exigences basiques en matière de mots de passe
Lorsqu’il s’agit de créer des mots de passe, on a généralement tendance à se contenter du minimum requis, et le lieu de travail ne fait pas exception sur ce plan. Il est donc important de définir des exigences relatives au nombre minimal de caractères, ou encore de complexité. L’utilisation de mots de passe « simples » (dates de naissance, noms d’animaux de compagnie et autres séquences de chiffres récurrentes, comme 123456) doit également être vivement déconseillée. Enfin, les équipes informatiques doivent exiger que tout nouveau mot de passe soit différent des anciens, et qu’ils soient mis à jour à intervalles réguliers.
Activer l’authentification à deux facteurs sur l’ensemble des comptes
Outre des mots de passe forts, les entreprises devraient également activer l’authentification à deux facteurs (2FA) de façon globale. Leurs utilisateurs seront alors obligés de saisir un élément d’identification supplémentaire, comme une empreinte digitale ou un mot de passe à usage unique, afin de pouvoir accéder à leurs comptes. Avec cette couche de protection, même si un pirate parvenait à dérober un mot de passe, il ne pourrait pas se connecter au compte. En outre, cette approche protège les identifiants des outils de découverte de mots de passe, et permet de limiter les dégâts en cas de tentative de phishing réussie. De plus en plus d’organisations sont séduites par les avantages de l’authentification 2FA et la mettent en œuvre de façon étendue dans le cadre de politiques de sécurité plus globales.
Gérer les accès des utilisateurs
Que vous ayez 5 ou 500 employés, seules les personnes appropriées doivent avoir accès aux informations adéquates. Les données sensibles devraient également être partagées avec le moins d’individus possible, et un protocole devrait être mis en place pour tout employé souhaitant accéder à un compte dont il n’a pas les identifiants. Les entreprises devraient également concevoir un système afin d’assurer un suivi des mots de passe des différents comptes et de lister quels employés ont accès à quels comptes. Cette approche permet non seulement de s’assurer de la bonne gestion des mots de passe, mais aussi de savoir lesquels mettre à jour en cas de départ d’un salarié.
Émettre des directives relatives à l’utilisation d’appareils personnels
Le travail à distance étant de plus en plus utilisé par les employés, ces derniers utilisent de plus en plus leurs appareils personnels au travail. En effet, les sphères professionnelles et personnelles sont plus mêlées que jamais, et ils veulent par conséquent pouvoir utiliser leurs services librement. Bien que les bénéfices soient nombreux à la fois pour les employés et pour l’entreprise, cette pratique présente également un risque. Par exemple, s’ils cherchent à accéder à des données d’entreprise via un réseau sans fil public, ils exposeront sans le savoir leurs comptes professionnels. Les organisations doivent donc sensibiliser leurs employés aux risques liés à l’utilisation de leurs appareils personnels dans le cadre professionnel.
Créer une stratégie formelle
Enfin, les entreprises devraient développer une stratégie de sécurité formelle englobant l’ensemble des conseils ci-dessus, ainsi que toute autre information de sécurité dont les employés devraient être au courant. La base de cette stratégie de cybersécurité consisterait à reconnaître que les hommes sont tout aussi importants que les technologies. Qu’ils soient nouveaux ou existants, les employés devraient être formés régulièrement afin d’être sensibilisés aux risques potentiels, et d’apprendre comment contribuer à minimiser l’exposition de leur entreprise aux menaces potentielles. Enfin, la stratégie mise en place ne doit absolument pas être perçue comme une corvée. Pour cela, la gamification peut servir à stimuler l’engagement des employés et rendre la formation amusante et ouverte à chacun.