[SECU] Sensibiliser et tester les attitudes des employés à la sécurité informatique

Pourquoi ne généraliserait-on pas les simulations d’attaques informatiques en entreprise au même titre que pour la sécurité incendie ?

Lors de la dernière étition du Mois Européen de la Cybersécurité en octobre dernier, l’une des actions phares de l’évènement a été le test effectué par le Ministère de l’Economie qui n’a pas hésité à procéder à une fausse campagne de phishing afin de sensibiliser ses propres employés à la sécurité. Résultat ? Sur 145 000 agents, plus de 30 000 ont cliqué sur le lien entre 10h et midi, soit un taux de clic de 20 %. De quoi rendre envieux la plupart des professionnels de l’emailing marketing.

Comme la majeure partie des professionnels de la sécurité le savent, les pirates utilisent souvent des techniques assez peu sophistiquées pour pénétrer dans le système d’information des entreprises. Les mots de passe faibles, vulnérables aux essais de force brute, ou les failles de logiciels qui n’ont jamais été supprimées constituent des vecteurs d’attaques simples. Et comme le démontre l’opération du Ministère de l’Economie, le phishing offre une porte d’entrée des plus efficaces.

En général, l’e-mail de phishing est conçu pour paraître officiel. Il semble souvent provenir d’une adresse légitime ou d’un nom de domaine qui se rapproche de l’original (vaornis.com au lieu de varonis.com par exemple). L’objectif est de prendre les victimes par surprise alors qu’elles naviguent dans leur boîte de réception, puis de les pousser à cliquer sur un lien qui les dirigera vers un site web compromis (téléchargement d’un programme malveillant, d’un ransomware, récupération d’identifiants/mots de passe, etc.). Plus les pirates disposent de données sur leur « cible », plus un email de phishing à de chances de réussir.

Les pirates se concentrent souvent sur des cibles à forte valeur comme les cadres dirigeants. Ce genre d’escroquerie a déjà permis de duper des personnes situées au sommet de la hiérarchie, l’objectif le plus courant étant d’obtenir un accès privilégié à des informations confidentielles ou de propriété intellectuelle, et éventuellement des renseignements embarrassants.

Sensibilisation et pratique : clé de la sécurité

La sensibilisation est un moyen d’atténuer les attaques ciblant les dirigeants et les employés. Quelques entreprises à l’exemple du Ministère de l’Economie effectuent des tests plus ou moins réguliers visant à sensibiliser leurs employés et leur inculquer les bons réflexes. L’exercice est loin d’être inutile car au même titre que sensibiliser les employés aux bons gestes en cas d’alerte incendie, une telle procédure pourrait être répliquée sur le plan numérique et faire partie d’un programme global de protection de la propriété intellectuelle.

Au delà du phishing, on pourrait également envisager une expérience similaire dans le cadre de scénarii de sécurité de fichiers sensibles. Un responsable de la sécurité pourrait ainsi amorcer un dossier fréquenté du serveur de l’entreprise, par exemple avec un fichier au nom tentant du genre « Hautement confidentiel : projet de fusion » [ou tout autre appât au choix], lui donner des permissions d’accès très larges, et voir ce qu’il se produit. Il faudra bien entendu être en mesure de pouvoir tracer l’ensemble des accès au dossier.

Pourquoi élargir à ce type de tests ? Les résultats du dernier « Varonis Data Risk Report », mettait en avant le fait que 47 % des entreprises laissent au moins 1 000 fichiers sensibles ouverts à tous les employés et une récente étude du Ponemon Institute, soulignait de son coté que 62 % des utilisateurs finaux affirment avoir accès à des données de l’entreprise qu’ils ne devraient probablement pas pouvoir consulter. On imagine facilement les risques encourus en cas de piratage, d’infection par un ransomware ou si un employé à de mauvaises intentions.

Mais les risques pourront également aller bien au-delà de la simple atteinte aux données puisqu’à compter de mai 2018, le nouveau Règlement Général sur la Protection des Données (RGPD) constituera une loi uniforme dans l’ensemble de l’UE et comprendra une obligation de notification des violations de 72 heures.

La nouvelle législation clarifie la notion de violation de données. Il s’agit de « la destruction, la perte ou l’altération accidentelle ou illicite, la divulgation ou l’accès non autorisés aux données à caractère personnel transmises, stockées ou autrement traitées ». Cela signifie que le simple accès est considéré comme une violation et que les ransomware qui chiffrent les données personnelles nécessiteront une notification aux individus et organisme concernés. Et les sanctions en cas d’infraction à cette obligation de déclaration font courir à l’entreprise le risque de se voir infliger d’importantes amendes administratives pouvant aller jusqu’à 20 millions d’euros, ou, dans le cas d’une entreprise, de 2 à 4 % du chiffre d’affaires annuel mondial.

Sous cet angle il semble évident, qu’au-delà de toutes les mesures de sécurité que pourront prendre les entreprises, il devient essentiel pour ces dernières de sensibiliser leurs employés et de s’assurer que les principes inculqués seront « bien intégrés ». Pouvoir tester les acquis des employés régulièrement au travers de scenarii différents va donc devenir un élément primordial de la sécurité.

Source : https://www.globalsecuritymag.fr/Sensibiliser-et-tester-les,20180214,76914.html

Comment créer votre startup de sécurité informatique

La sécurité des informations est devenue une fonction essentielle pour beaucoup d’organisations à l’âge digital et comme de plus en plus d’organisations externalisent leurs besoins en sécurité informatique, des opportunités pour les professionnels de la sécurité digitale de créer leur propre entreprise émergent.

Créer une entreprise

Créer une entreprise en sécurité informatique implique de s’astreindre à certaines régulations et lois. En France, cela signifie définir quel type de structure est préférable – une forme d’autoentrepreneur ou de société. Une société offre une sécurité accru des biens personnels, bien qu’un autoentrepreneur puisse protéger ses biens sous certaines conditions, telle qu’une déclaration de saisie, qui a pour but d’empêcher la saisie d’une maison pour payer une dette professionnelle. Un autoentrepreneur peut choisir de payer ses taxes comme des impôts sur le revenu ou bien comme l’impôt sur les sociétés s’il s’enregistre en tant que AERL (Autoentrepreneur à Responsabilité Limitée), une autre catégorie qui permet de séparer les biens professionnels et des biens personnels. Une société paiera soit l’impôt sur les sociétés ou bien sera taxée au régime du réel. Créer une société est plus complexe que de s’enregistrer en tant qu’autoentrepreneur puisque cela implique l’enregistrement d’un statut de compagnie auprès de la direction des finances publiques, la nomination de dirigeants, ainsi que la publication dans la presse légale. Les sociétés assujetties à la TVA doivent collecter la TVA sur les biens et les services qu’elles proposent et reverser ces fonds au gouvernement.

Qualifications

Un diplôme ou au moins un degré élevé de qualification sur les technologies de l’information fait partie du minimum requis pour toute personne désireuse de créer sa propre compagnie de sécurité informatique. Cependant, les habilitations professionnelles ne s’arrêtent pas à un diplôme. Quelqu’un qui cherche à créer sa compagnie en sécurité informatique ferait mieux d’avoir des certifications professionnelles telles que celles fournies par Microsoft ou Cisco. Les habilitations professionnelles apportent la tranquillité aux clients de la compagnie à laquelle ils confient leurs données de sécurité informatique et que cette dernière sait ce qu’elle fait et qu’elle dispose des qualifications et de l’expertise pour le prouver. La sécurité informatique repose sur la tranquillité, pourquoi dans ce cas une startup sur la sécurité informatique donnerait des raisons à ses clients de douter de son professionnalisme ? 

Toute personne souhaitant créer une startup en sécurité informatique doit s’assurer que les futurs employés embauchés au fur et à mesure que la compagnie se développe ont le même niveau de qualification.

Plans de développement

Les plans de développement sont essentiels à toute personne qui désire créer sa propre entreprise. On imagine souvent le plan de développement comme un document nécessaire à l’obtention de fond et d’investissement de la part d’une institution financière ou autre, mais un plan de développement est plus qu’un document qui permet la levée de fond. En réalité, avoir un plan de développement est très intéressant afin de définir des objectifs dès le début et de suivre les progrès à mesure que la compagnie se développe. Définir un plan de développement permet également à l’entrepreneur de reconsidérer certaines hypothèses, particulièrement si des tiers, plus objectifs, y ont accès et peuvent commenter ce document. Le gérant de l’entreprise peut également visualiser rapidement si deux objectifs ne sont pas en adéquation, comme par exemple les projections de vente et le budget marketing, ce qui lui permet de revoir ses buts.

Création d’un réseau

Dès lors que l’on lance une entreprise, il est primordial de créer un réseau et d’obtenir les noms des différentes compagnies. Créer un réseau est plus que le démarchage de clients potentiels. Cela signifie également créer des liens avec les professionnels de l’industrie visée et se tenir au courant de ce qui se passe dans ce domaine. La sécurité informatique, les professionnels le savent bien, est en constante évolution en matière de menaces possibles ; se tenir au courant de ces développements est donc indispensable à toute startup qui espère attirer des clients et les persuader qu’ils peuvent compter sur elle. Une startup dans la sécurité informatique à tout intérêt à rejoindre son groupe d’entreprises locales ainsi que toute autre association de professionnels du secteur.

Recherche

Se tenir informé au travers d’associations professionnelles est une chose, mais pour toute compagnie de sécurité informatique sérieuse, il est important de mener ses propres recherches sur les menaces actuelles. De nombreuses organisations n’ont tout simplement pas les ressources de se maintenir à niveau des menaces elles-mêmes et seront impressionnées par un fournisseur de service extérieur capable de discuter avec elles des dangers potentiels et de comment les suivre d’un point de vue sécuritaire.

Facturation

Être à la tête d’une entreprise florissante signifie avoir son propre système de facturation de clients et de collecte de l’argent. Pour de nombreuses startups, un système de facturation adapté est au-dessus de leurs moyens, sûrement à cause de ressources limitées mais peut-être aussi par manque de temps. Après tout, une entreprise débutante se doit de se centraliser sur la collecte et le maintien de clients, ce qui peut entraîner une faiblesse dans la partie administrative.

Il est possible de gérer la facturation de manière très efficace pour ces entreprises en utiliseun modèle de facturation créé spécialement pour que les petites entreprises facturent leurs clients. De la même manière qu’une startup de sécurité digitale est experte pour assister les clients dans la protection de leur système informatique, les professionnelles de la facturation ont l’expérience dont les petites entreprises ont besoin pour facturer leurs clients efficacement. Utiliser un modèle de facturation revient à accélérer la facturation et envoyer des modèles de factures qui impressionneront les clients qui verront qu’ils ont à faire à des gens sérieux. Les modèles de facturation peuvent être modifiés à chaque fois afin de prendre en compte tous les détails d’un système de comptes défini. Par exemple, certains clients pourraient demander une séparation détaillée de tous les services ou produits pour lesquelles ils payent.

L’aspect personnel

Démarrer une nouvelle entreprise est très chronophage et pour ceux impliqués dans la startup, ils découvriront qu’ils ne disposent que de peu de temps pour leur vie privée, au moins durant les premières années. Chaque entrepreneur en herbe se doit de parler à sa famille et ses proches pour leurs expliquer qu’il ne pourra peut-être pas passer autant de temps avec eux qu’il le souhaite. S’il peut se dégager un peu de temps libre, il serait sage pour le propriétaire de la nouvelle startup de le passer avec ses proches, ou de faire quelque chose d’agréable plutôt que de se concentrer seulement sur le travail.

Une entreprise de sécurité informatique doit être capable de convaincre les clients qu’elle est une compagnie sérieuse qui prend l’approche la plus professionnelle possible. Avoir des systèmes en place efficaces à toutes les étapes de la relation avec les clients, du marketing aux ventes en passant par l’intégrité du service lui-même et de la facturation des clients est essentiel.

Source : https://www.globalsecuritymag.fr/Comment-creer-votre-startup-de,20160617,63008.html

Sécurité informatique : 10 bonnes résolutions pour une année 2016 sereine !

Article destiné à tout un chacun et qui mériterait d'être lu. La sécurité informatique est l'affaire de tous, du particulier à la PME jusqu'au grand Groupe en passant par les associations et coopératives.

Des gestes simples peuvent être mis en place pour éviter des catastrophes dont on peut difficilement se relever.

Source : http://www.itrnews.com/articles-top10-jour/161628/securite-informatique-10-bonnes-resolutions-annee-2016-sereine.html

Alors que 2015 s’est achevée sur un arrière goût de cyber-attaque (piratages des réseaux PSN de

Sony et Xbox Live de Microsoft par le groupe Lizard Squad à Noël pour ne citer qu’eux), Wooxo, expert français de la sauvegarde et de l’exploitation sécurisées de données informatiques professionnelles, s’adresse aux TPE et PME pour leur proposer quelques bonnes pratiques en matière de sécurité informatique pour bien débuter l'année.

S’initier aux fondements de la sécurité informatique

La sécurité informatique s’appréhende sous trois aspects élémentaires et complémentaires : la prévention, la détection et la réaction. Elle vise généralement cinq principaux objectifs.
- L’intégrité : garantir que les données sont bien celles que l’on croit être.
- La disponibilité : maintenir le bon fonctionnement du système d’information.
- La confidentialité : rendre l’information inintelligible à d’autres personnes que les seuls acteurs de la transaction.
- La non répudiation : garantir qu’une transaction ne peut être niée.
- L’authentification : assurer que seules les personnes autorisées ont accès aux ressources.

Sécuriser l’accès physiques aux locaux de la société

La première des règles de vigilance est bien sûr la bonne sécurisation des locaux, et plus particulièrement la protection des espaces dits sensibles comme les salles d’hébergement des serveurs informatiques. Il faut conditionner leurs accès à des habilitations, clés, digicodes, badges nominatifs, etc.

Sécuriser les transferts de fichiers

Chaque jour les collaborateurs échangent et transfèrent des dizaines de fichiers à des tiers. Il faut alors s’assurer de sécuriser ces échanges par des mots de passe temporaires et de conserver le détail et l’historique de ces transferts (date de l’envoi, fichier mis à disposition, expéditeur et destinataire).

Formaliser une politique de sécurité du système d’information

L’évaluation de l’impact sur la sécurité informatique est un préalable à tout projet lié au système d’information. Il faut recenser les règles relatives à la sécurité informatique dans un document écrit et accessible à tous les collaborateurs. Il évoluera au rythme des modifications apportées au système d’information. Ce document dresse l’inventaire des vulnérabilités de l’exploitation informatique de la société, des menaces potentielles, des outils de monitoring (surveillance) ou contrôles mis en place pour détecter les menaces éventuelles.

Sauvegarder les données informatiques

Savoir-faire, procédures, fichiers clients, comptabilité, emails, les données informatiques constituent le patrimoine informationnel. Il s’agit de la richesse de l’entreprise, peut-être même son principal avantage concurrentiel, d’où la nécessité de les mettre en sécurité !
Différents systèmes de sauvegarde existent (cloud privé avec sauvegarde sur le site de l’entreprise, cloud public en data-center, cloud hybride), il faut alors choisir le plus adapté aux profils et besoins de sa société.

Anticiper les risques informatiques

Pour pouvoir relancer son activité dans les meilleurs délais suite à un incident, il est important de rédiger une procédure d’urgence explicative du fonctionnement des serveurs. Les données sauvegardées doivent être stockées sur les disques durs de serveurs dédiés, eux-mêmes sauvegardés régulièrement. Il est impératif également de stocker les supports de sauvegarde dans des serveurs conçus pour résister aux
catastrophes naturelles ou sinistres majeurs, ou de les stocker dans locaux distincts et fortement protégés. Si le parc informatique est renouvelé, les machines en fin de vie doivent être physiquement détruites ou débarrassées de leur disque dur. Les périphériques de stockages amovibles doivent aussi être formatés avant réparation, recyclage ou changement d’utilisateur.

Sécuriser les postes de travail sédentaires et nomades

Pour prévenir toute utilisation frauduleuse, les ordinateurs de chaque collaborateur de l’entreprise doivent être paramétrés afin qu’ils se verrouillent automatiquement en cas d’absence ou d’inactivité prolongée. Sur les postes contenant des données critiques, un système de contrôles des ports USB doit être installé en complément.

Mettre en place un processus de création et de suppression des comptes utilisateurs

Sur tous les postes de travail de l’entreprise, il faut créer des comptes utilisateurs nominatifs afin de pouvoir tracer les actions des usagers et ainsi les responsabiliser.

Protéger les réseaux : local et sans fil

Aujourd’hui de plus en plus de malwares peuvent potentiellement nuire au système d’information : virus, chevaux de troie, keyloggers, spywares et autres vers. Des dispositifs de sécurité existent pour aider à limiter la vulnérabilité face aux attaques extérieures : routeurs filtrants, pare-feux, etc. Il faut veiller tout particulièrement à la protection des messageries électroniques, réseaux sans fils et accès distants.

Effectuer régulièrement des tests de restauration des fichiers des serveurs et ordinateurs

Tester régulièrement (au moins une fois par an) la capacité de restauration de ses données pour s’assurer d’une reprise d’activité rapide après un incident. Il faut s’assurer également de sauvegarder les images système des serveurs et PC. Seule la sauvegarde de l’environnement (Mac, Windows, Linux, etc.) permettra de remonter les applications, logiciels métier et datas.

Les acteurs du projet informatique

Les utilisateurs

Il s’agit des utilisateurs du système qui va être créé. Deux catégories d’utilisateurs sont à distinguer :

• Les utilisateurs dits « finaux » qui ne verront le système que lors de sa mise en exploitation.
• Les utilisateurs « référents » qui sont impliqués dès l’initialisation du projet. Ce sont eux qui expriment les besoins soutenus par la maîtrise d’ouvrage.

La maîtrise d’ouvrage (MOA)

Visite de chantier au Moyen Âge :
le maître d'œuvre présente
l'avancement au maître de l'ouvrage.

La maîtrise d’ouvrage informatique est responsable de la bonne restitution des besoins et de leurs spécifications détaillées. Elle doit assimiler le métier des utilisateurs et être capable de le traduire dans un langage compréhensible à la maîtrise d’œuvre. La maîtrise d’ouvrage doit donc avoir une appétence particulière à l’informatique et même maîtriser certaines techniques telles que l’accès aux bases de données.

A la différence de la maîtrise d’ouvrage dans le bâtiment, la maîtrise d’ouvrage informatique n’est pas un donneur d’ordre à la maîtrise d’œuvre. Elle est le liant entre le fonctionnelle et le technique.

C’est la maîtrise d’ouvrage qui réalise les tests fonctionnels, même si en fin de projet, des tests complémentaires sont souvent demandés aux utilisateurs « référents ».

C’est aussi la maîtrise d’ouvrage qui participe activement à la conduite du changement nécessaire à la mise en place d’un système informatique dans l’organisation de la PME.
La maîtrise d’ouvrage peut être issue des services fonctionnels ou bien du service informatique.

La maîtrise d’œuvre (MOE)

La maîtrise d’œuvre informatique est responsable de la conception, de la réalisation technique et de l’intégration du système.

La maîtrise d’œuvre est aussi le liant entre le système réalisé et les services d’exploitation informatique qui auront en charge d’assurer la qualité de service du système.

La maîtrise d’œuvre est normalement issue du service informatique. Il s’agit d’informaticiens qualifiés pour la modélisation et le développement de programmes. Dans le cas d’une PME, certains développements peuvent être délégués à des ressources issues des services fonctionnels ou opérationnels sous condition qu’elles disposent des compétences appropriées tant en modélisation qu’en réalisation et qu’elles soient pilotées par un responsable de projet garant de la méthodologie, du suivi et de la qualité.

L’exploitation informatique

L’exploitation informatique assure les missions de support aux utilisateurs, de gestion des réseaux et des systèmes, de gestion des applications et des bases de données.

Ils fournissent l’infrastructure matérielle et logicielle nécessaire au projet.

Ils gèrent la qualité de service du système en exploitation.
Le responsable de projet

Le responsable de projet est garant des délais, du planning et du reporting à la direction.

Il maîtrise la méthodologie de gestion de projet, pilote sa mise en œuvre et valide les livrables produits.

Il coordonne les différents acteurs, assure la circulation de l’information et l’organisation des comités.

Il est responsable de la qualité de ce qui est créé.

Le responsable de projet est un informaticien issu du service informatique. Il est en mesure de soutenir la MOE dans son quotidien.

Dans le cas de projet de dimensions importantes, il peut être nommé un responsable de projet MOE et un responsable de projet MOA. Dans ce cas, un directeur de projet pouvant être issu des services fonctionnels ou du service informatique assure la coordination des deux équipes.

Le chef du service informatique

Le chef du service informatique se doit d’assurer le management du système d’information. (Postes de travail, serveurs, réseau, stockage, sauvegarde, impression, logiciels, sécurité, etc.)

Il est garant de la bonne urbanisation du SIC et de sa cohérence.
Il assure la tenue du budget qui lui est alloué.

A ce titre, il est forcement acteur de tout projet informatique, même s’il délègue une part de responsabilité au responsable de projet.

La direction d’entreprise

La direction de la PME a la vision stratégique des évolutions nécessaires à l’organisation. Elle dispose normalement pour cela du schéma directeur des systèmes d’information et de communication. Elle fixe les priorités entre les différents besoins exprimés par les utilisateurs.

A ce titre elle valide le lancement de tout projet informatique et en suis l’évolution et l’adéquation entre ce qui est produit et ce qui avait été accepté au lancement.

Source : http://blog.david-grima.fr/gestion-de-projets/les-acteurs-du-projet-informatique/

Méthodologie de gestion de projets informatiques pour PME

Cette série d’articles est un fil conducteur des éléments à prendre en compte pour la conduite d’un projet informatique. Il s’agit de décrire synthétiquement une méthodologie de gestion de projets informatiques applicable à l’échèle d’une petite et moyenne entreprise (PME). Il ne s’agit pas de décrire l’ensemble des méthodologies existantes ni d’être exhaustifs sur la manière de conduire un projet informatique. D’ailleurs, il n’existe pas de méthode universelle, chacune ayant des atouts et des inconvénients.

J’attire dès à présent l’attention que pour construire un système informatique pérenne, la réalisation ne constitue qu’une part du projet. Les phases d’études, de spécifications et de tests sont aussi importantes.

Nous entendons par système informatique pérenne, un système idéalisé :

• Stable, c’est-à-dire fonctionnant de façon égale dans le temps.
• Dépourvu d’anomalies bloquantes.
• Maintenable, c’est-à-dire ouvert à des évolutions futures.

Une bonne part de ces garanties est obtenue en effectuant une analyse du besoin fonctionnel et technique précise, en modélisant et en documentant convenablement à la fois en phase de création du système puis aussi en phase de maintenance. L’application d’une méthodologie de gestion de projet informatique participe grandement à atteindre de ce niveau de qualité.

Où se place la méthodologie de gestion de projets informatiques dans l’organisation de l’entreprise ?

La méthodologie de gestion de projets informatiques vient en support des responsables de projet pour leur donner un cadre organisationnel et un outillage commun à tous les projets.

Elle précise les processus et les procédures qualités quand un système de management de la qualité est mis en place.

Elle s’inscrit dans le prolongement du schéma directeur du système d’information et de communication (SIC) comme un moyen d’atteindre les objectifs qui y sont fixés en assurant un suivi au niveau des projets informatiques.

La méthode de gestion de projet dans l'entreprise

• Les enjeux d’un projet informatique
• Répondre à un besoin.
• Evaluer les coûts et les délais de chaque phase.
• Respecter les coûts et des délais.
• Assurer la bonne intégration au reste du système d’information et de communication.
• Assurer la maintenance.

Le rôle d’une méthodologie de gestion de projets

• Décrire les moyens de coordination des acteurs et des tâches.
• Décrire les phases du projet à respecter.
• Décrire les livrables documentaires et informatiques attendus dans chaque phase du projet.
• Décrire les outils à utiliser.

Source: http://blog.david-grima.fr/gestion-de-projets/methodologie-de-gestion-de-projets-informatiques-pour-pme/

[VOIP] Installer Apache OpenMeetings sur Debian

Tutorial d'installation de Apache OpenMeetings 3.0.1 sur Debian Linux. Peut aussi marcher pour Ubuntu.

OpenMeetings est une solution de web conférence opensource : utile pour l'entreprise ou pour l'éducation et les formations.

OpenMeetings, n'utilise bien sûr que des technologies opensource, comme Red5, fonctionne avec Mysql ou Postgresql, xuggle pour l’encodage audio et vidéo, et OpenOffice pour la conversion de documents.

Site officiel : http://incubator.apache.org/openmeetings/

Source : https://doc.ubuntu-fr.org/openmeeting

[Sécurité] Guide des bonnes pratiques de l’informatique

L’ANSSI et la CGPME présentent douze règles essentielles pour la sécurité des systèmes d’information des petites et moyennes entreprises.

Les problématiques rencontrées par les petites et moyennes entreprises pour la sécurité de leurs systèmes d’information sont nombreuses : protection des fichiers clientèle, des données personnelles et du savoir-faire technologique, sécurité des systèmes de production… Or, les TPE/PME sont confrontées, chaque jour, à de nouveaux risques menaçant leur intégrité, leur image et leur compétitivité : vol de données, escroqueries financières, sabotage de sites d’e-commerce.

Pour mieux appréhender les problématiques des petites structures, l’Agence travaille en partenariat avec la CGPME* qui apporte son expertise de terrain : ce Guide est le fruit d’une réflexion et d’échanges menés en commun.

La prévention des incidents et attaques informatiques relève souvent de réflexes simples, qui concourent à une protection globale de l’entreprise. Le « Guide des bonnes pratiques de l’informatique » présente douze recommandations à destination des non-spécialistes, issues de l’analyse d’attaques réussies et de leurs causes.

* Confédération générale des petites et moyennes entreprises

Télécharger le guide : http://www.ssi.gouv.fr/uploads/2015/03/guide_cgpme_bonnes_pratiques.pdf

SOURCE OFFICIELLE : http://www.ssi.gouv.fr/particulier/guide/guide-des-bonnes-pratiques-de-linformatique/