Les 15 jours de cybersécurité sont terminés !

Commandement n°1 :
« Passez vos supports amovibles à l’antivirus et ne connectez pas de supports personnels sur un ordinateur professionnel. »

Objectif : limiter les infections virales depuis un support amovible vers un poste professionnel. Les incidents de sécurité liés aux supports amovibles représentent en effet une grande majorité des incidents de catégorie « virus » (supérieur à 90%).

Commandement n°2 :
« Effacez toutes les données sensibles inutiles de vos clés USB. »

Un support numérique peut être égaré ou copié à l’insu de son détenteur. Ne conserver sur ce support que le strict nécessaire réduit les conséquences d’incident lors d’un déplacement. Avant la tenue d’une réunion, dans la mesure où il est impératif d’utiliser une clé USB, celle-ci doit être vidée afin d’éviter l’aspiration des données qu’elle contient. Quand cela est possible, une meilleure solution consiste à transmettre les fichiers nécessaires par message électronique.

Commandement n°3 :
« Informez immédiatement de toute détection de virus informatique votre correspondant SSI qui contactera les organismes compétents et vous guidera dans les actions à mener. »

Une infection virale peut se propager très rapidement si les mesures de confinement ne sont pas prises. Il convient de contacter immédiatement les organismes compétents et de ne pas essayer de la contenir seul.

Commandement n°4 :
« Naviguez prudemment sur Internet. »

Sur Internet, de nombreux sites web n’attendent que votre visite pour piéger votre navigateur et introduire sur votre poste de travail divers logiciels malveillants (virus, logiciel voleur de fichier ou de mot de passe…). Une simple consultation suffit. Depuis un poste professionnel, privilégiez les sentiers battus et évitez les zones peu fréquentables, dont la consultation ne manquera pas de déclencher un incident de sécurité.

Commandement n°5 :
« Utilisez des mots de passe véritablement robustes et secrets, ne les laissez pas accessibles. »

Quand vous vous authentifiez à l’aide d’un mot de passe, choisissez-le suffisamment long (9 caractères minimum), avec des caractères alphanumériques, des caractères spéciaux, des majuscules et minuscules, sans lien direct avec vous. Aidez-vous de l’une des trois méthodes suivantes pour les fabriquer et les retenir :

- méthode phonétique : « j’ai acheté trois CD pour cent euros cet après-midi » : Ght3CD%€7a-m

- méthode des deux premières lettres : « un tiens vaut mieux que deux tu l’auras » : 1tvmQ2tl’orA

- méthode de la phrase entière : « J’ai acheté trois livres pour cent dollars » : J’ai acheté 3£ pour 100$

Malgré la multiplication des mots de passe, ne faiblissez pas : ne les laissez pas accessibles à des tiers. En cas d’incident, votre responsabilité individuelle risque fort d’être engagée.

Commandement n°6 :
« Verrouillez votre session de travail lorsque vous quittez momentanément votre poste de travail. »

Vous avez l’entière responsabilité de toutes les actions conduites au sein de votre session. Vous êtes disciplinairement et légalement responsable de tout incident de sécurité commis sous votre session de travail. Une session de travail ouverte sans surveillance est une porte d’entrée pour toute personne cherchant à s’introduire sur un réseau ou à recueillir du renseignement.

Commandement n°7 :
« Ne communiquez votre adresse mail professionnelle qu’à des personnes de confiance.»

Certains attaquants collectent les adresses mail disponibles sur Internet dans le but de les vendre pour être utilisées lors de campagnes de mails non sollicités (SPAM). Ce conseil sert également à prévenir et à limiter les attaques par envoi de mails infectés, envoi qui permet par exemple l’installation d’un virus lors de l’ouverture d’une pièce jointe.

Commandement n°8 :
«Soyez vigilant avec les mails que vous recevez. Vérifier l’expéditeur, cliquez avec prudence sur les liens et ouvrez avec discernement les pièces jointes.»

La vérification de l’expéditeur d’un mail est l’une des barrières élémentaires pour prévenir les attaques par mail avec une pièce jointe malveillante. Le plus souvent, un simple contrôle de l’émetteur permet de se donner une idée de la légitimité du mail. Il permet également d’identifier si le courriel vient d’Internet ou d’Intradef et évite une fuite d’informations en cas de réponse attendue. Avant d’ouvrir une pièce jointe ou de cliquer sur un lien contenu dans le mail, vérifiez que l’expéditeur est connu, que le libellé du courriel et la pièce jointe sont cohérents et que l’heure d’envoi et la date correspondent à une activité normale. Si vous recevez une pièce jointe et que vous avez un fort doute sur sa légitimité, et même si votre antivirus n’a rien détecté d’anormal, le bon réflexe est de conserver le message et de le signaler à votre correspondant SSI. Dès lors, le fichier sera analysé via une procédure sécurisée.

Commandement n°9 :
«Adaptez les moyens de transmission en fonction de la sensibilité des informations.»

N’envoyez pas de fichiers sensibles par Internet sans protection. Seuls des messages ou des fichiers de niveau NON PROTÉGÉ peuvent être envoyés sans chiffrement sur Internet car, ce faisant, ils deviennent accessibles à des tiers. Si vous souhaitez envoyer vers Internet des messages ou des fichiers sensibles, par exemple que vous réservez seulement à une DIFFUSION RESTREINTE, consultez votre correspondant SSI pour connaître la marche à suivre.

Commandement n°10 :
«Ne cherchez pas à contourner la politique de sécurité.»

La sécurité des réseaux dépend de chaque utilisateur. Il suffit d’un seul poste infecté pour entraîner la corruption de dizaines de milliers d’autres postes. Tout incident lié à une violation intentionnelle de la politique de sécurité est de nature à entraîner des sanctions disciplinaires et pénales.

A l'occasion des quinze jours dédiés à la cybersécurité, nous vous proposons de découvrir en vidéo les portraits croisés d'un stagiaire et d'un enseignant du mastère cyberdéfense des écoles de Saint-Cyr Coëquidan. Pleinement inscrit dans pacte Défense Cyber 2014-2016 du ministre de la Défense, ce mastère permettre de former des cadres opérationnels dans un emploi directement lié à la cyberdéfense.

« ENSEMBLE, ASPIRONS À UNE MEILLEURE SÉCURITÉ. »

Retrouvez également sur Internet les 10 commandements axés réseaux sociaux sur :

- Le Facebook de l’armée de Terre
- Le Twitter de l’armée de Terre et son hashtag #CyberDefense

Glossaire :

ANSSI : agence nationale de sécurité des Systèmes d’Information.

PID : le poste d’insertion des données est un poste informatique muni d’un dispositif de sécurité et permettant de contrôler la « non-infection » d’un support amovible type clé USB à partir duquel on souhaite mettre sur le réseau un fichier.

SPAM : communication électronique non sollicitée, en premier lieu via le courrier électronique.

SSI : sécurité des systèmes d'information/cyberprotection