Latest / Oser l'efficacité - Les stratégies de ceux qui font l’industrie / Cybersécurité industrielle : Le risque est d’abord humain

Transcript

Cybersécurité industrielle : Le risque est d’abord humain · Oser l'efficacité - Les stratégies de ceux qui font l’industrie

0:00
Bonjour et bienvenue dans Oser l'Efficacité,
0:02
dans le format Le Lab,
0:03
le format où j'invite un expert pour plonger au cœur de sa thématique et te montrer que tu n'es pas seul face à tes incertitudes.
0:10
Je suis Perrine Thiebaud,
0:11
j'accompagne les dirigeants dans la transformation de l'entreprise industrielle et que ça se voit,
0:16
dans leur processus,
0:17
dans leurs décisions,
0:18
dans leur trésorerie,
0:19
mais aussi à l'extérieur.
0:21
Cette semaine,
0:22
j'ai à mon micro Mickaël Tonceau de Cyber Sereno pour rendre la cybersécurité extrêmement pratique.
0:28
Un épisode par jour du lundi au vendredi.
0:30
N'oublie pas de t'abonner pour recevoir les suivants.
0:32
C'est notre deuxième épisode sur le sujet.
0:34
Si tu as raté le premier,
0:35
il est disponible juste ici.
0:37
Et aujourd'hui,
0:37
on parle de l'importance du facteur humain dans la cyber.
0:40
L'erreur humaine est responsable de 90%
0:42
des cyberattaques.
0:44
C'est ce que nous dit l'indice relatif à la veille stratégique en termes de sécurité d'IBM.
0:48
En toute première cause,
0:49
vient le clic sur un email frauduleux.
0:51
Et même si les canaux se diversifient aujourd'hui,
0:53
il reste le plus gros vecteur d'attaque.
0:55
Alors,
0:56
avant de penser outils...
0:57
antivirus par feu,
0:59
on va comprendre ce qu'est une erreur humaine et comment l'éviter au quotidien.
1:03
Mickaël nous en parle dans la rubrique Cheat Code,
1:05
où il nous donne tous ses conseils pour éviter le pire.
1:10
Concrètement,
1:11
c'est quoi le scénario le plus typique que tu vois en termes d'erreurs humaines liées à la cybersécurité dans les ateliers et comment on s'en protège ?
1:18
Ce que je vois assez régulièrement,
1:19
c'est les accès informatiques qu'on a tendance à ouvrir un peu facilement parce qu'on a besoin d'échanges avec...
1:26
Une entité extérieure,
1:27
par exemple.
1:28
Et c'est les accès qui sont souvent un peu trop ouverts et qu'on a tendance à oublier qu'ils sont ouverts.
1:33
Pour se protéger de ça,
1:34
ce qui est idéal,
1:35
c'est de faire énormément en termes de ces accès à distance.
1:38
Le but,
1:38
ce n'est pas d'interdire ces accès-là,
1:39
de se rappeler qu'ils existent.
1:40
Et quand il n'y en a plus besoin,
1:41
c'est de faire en sorte de les éliminer pour éviter d'exposer l'entreprise à notre région.
1:48
Si on veut réduire ces erreurs,
1:51
c'est quoi la première étape ?
1:52
Est-ce qu'on sensibilise ?
1:53
Est-ce qu'on met en place des procédures ?
1:55
Est-ce qu'on forme ?
1:56
Comment tu te places ?
1:57
Il n'y a pas forcément de recette magique.
2:00
Ça va déjà dépendre du contexte de l'entreprise,
2:02
de leur maturité,
2:03
justement aussi par rapport au sujet cyber.
2:05
Ce que je trouve intéressant et pratique dans un premier temps,
2:09
c'est de procéder par un audit rapide externe,
2:12
d'avoir un regard extérieur par rapport à l'ensemble de leurs pratiques,
2:15
qui soit à la fois opérationnel et technique.
2:16
Ça permet souvent d'identifier les points de faiblesse.
2:21
Et...
2:22
et parvenir à la fin à avoir une feuille de route qui soit directement actionnable par l'entreprise.
2:27
L'idée,
2:27
c'est d'être en fait proactif et de construire en binôme ou parfois même en trinôme,
2:32
parce que dans l'organisation,
2:33
il y a souvent un partenaire informatique qui gère déjà certaines activités.
2:40
Donc c'est de fonctionner en fait ensemble pour pouvoir adapter les configurations d'équipements informatiques,
2:47
par exemple.
2:49
pour déployer des outils qui vont permettre d'automatiquement faire certaines tâches de sécurisation,
2:56
comme par exemple les mises à jour logicielles sur les postes de travail,
3:00
de faire le tri et de renforcer les flux d'échanges de données dans l'entreprise,
3:04
que ce soit en interne mais aussi avec les partenaires externes,
3:07
et particulièrement avec les partenaires externes,
3:08
parce que c'est par là aussi qu'il se passe de plus en plus de malveillance.
3:12
Et il y a la partie sensibilisation qui est clé pour rapport aux salariés,
3:15
mais on parle là de ces termes un petit peu.
3:17
peu qui est dans le domaine,
3:18
qui parle d'ingénierie sociale.
3:21
Et l'idée,
3:21
c'est de mettre en lumière un petit peu comment se déroulent ces méthodes d'ingénierie sociale pour ensuite faire prendre conscience aux individus à quel moment ils deviennent en fait partie prenante de cette séquence-là.
3:33
Donc du coup,
3:34
leur faire prendre conscience de ce qu'ils peuvent faire à leur niveau pour stopper finalement une séquence de malveillance.
3:41
Oui,
3:41
t'as donné plein de conseils,
3:42
c'est hyper intéressant.
3:43
Je rebondis sur la partie mise à jour.
3:47
Il y a des gens qui bossent pour votre protection informatique.
3:49
Vos fournisseurs de logiciels travaillent pour votre protection informatique via les mises à jour.
3:53
Donc faites-le,
3:55
en fait.
3:55
Ce n'est pas juste pour vous embêter.
3:57
Ce n'est pas anodin d'une mise à jour.
4:00
Ce n'est pas parce qu'elle n'apporte pas une nouvelle fonctionnalité qu'il n'y a pas quelque chose de structurant derrière et de vraiment important pour vous.
4:06
Absolument.
4:08
Et le piège que je vois,
4:09
c'est que souvent on a tendance à se dire,
4:11
oui,
4:12
mon informatique,
4:13
mon outil fonctionne,
4:13
donc comme il fonctionne,
4:14
je ne vais pas forcément le mettre à jour ou le toucher parce que je prends le risque.
4:18
Mais de plus en plus,
4:19
que ce soit les éditeurs,
4:20
tous les éditeurs,
4:21
en fait,
4:21
ils corrigent très régulièrement maintenant des failles de sécurité dont on ne se rend pas compte,
4:26
en fait,
4:26
nous,
4:26
en tant qu'utilisateurs.
4:28
Et si ces correctifs ne font pas passer,
4:30
en fait,
4:31
l'application,
4:32
l'ordinateur,
4:33
l'équipement,
4:33
l'appareil,
4:34
il va de plus en plus exposer à des risques.
4:38
Il y a une facilité d'intrusion par un hack de piratage.
4:43
Donc c'est hyper important de faire ces mises à jour.
4:46
Est-ce que tu pourrais me donner ton cheat code ?
4:48
Ce petit hack simple qu'un dirigeant peut appliquer dès demain pour réduire le risque humain ?
4:54
Pour réduire le risque humain,
4:55
oui,
4:55
c'est un hack qui coûte 0€.
4:58
qui prend cinq minutes à mettre en place et qui tue dans l'oeuf une bonne partie des arnaques financières.
5:02
C'est le cas par exemple de l'arnaque,
5:04
la fameuse fraude au président que tout le monde connaît maintenant et l'arnaque au four virement qu'on a eu l'occasion d'expliciter sur l'épisode précédent.
5:11
Du coup,
5:12
pour éviter ça,
5:16
c'est ce qu'on peut appeler la pratique du canal croisé.
5:18
Alors demain matin,
5:19
à la machine à café ou sur un point d'équipe,
5:23
en fait l'idée c'est que le dirigeant réunit tout le monde et il dit simplement ceci.
5:28
Il dit,
5:28
à partir de maintenant,
5:29
si vous recevez une demande de ma part,
5:32
c'est valable aussi pour un fournisseur ou pour un client,
5:35
si vous recevez une demande de ma part qui implique de l'argent ou des données sensibles,
5:39
vous ne répondez jamais par le même canal,
5:41
et ce,
5:42
d'autant plus s'il y a une notion d'urgence qui est exprimée.
5:46
Donc si ça arrive par email,
5:46
par exemple,
5:47
ou par téléphone,
5:48
si ça arrive par SMS ou par une conversation type chat,
5:54
on verra,
5:56
on voit dans le bureau de...
5:58
de l'interlocuteur s'il est à proximité,
6:00
puis on vérifie de vivo avec lui ce qu'il en est vraiment.
6:02
Donc c'est des réflexes qui sont de plus en plus nécessaires pour justement éviter des usurpations de rôles et des arnaques.
6:16
C'est extrêmement important de rappeler que même s'il y a un critère d'urgence qui est indiqué,
6:22
de toute façon,
6:23
si la personne vous a demandé de faire quelque chose,
6:25
Si vous devez lui faire confirmer,
6:26
c'est qu'elle est disponible.
6:27
Elle vient de vous contacter pour ça.
6:29
Donc,
6:29
il n'y a pas d'histoire de s'il est en réunion,
6:31
je ne vais pas réussir à l'avoir,
6:32
je ne vais pas réussir à avoir confirmation alors que c'est urgent.
6:35
Non,
6:35
s'il vous a demandé quelque chose d'urgent,
6:37
ça doit être confirmable par un autre canal.
6:39
Sinon,
6:39
c'est que ce n'est pas la bonne personne.
6:40
Absolument.
6:41
Comment on évite que la cybersécurité soit perçue comme une corvée de plus par les équipes ?
6:45
Alors oui,
6:46
parfois c'est un peu cette connotation.
6:48
Mais à mon avis,
6:48
pour dépasser ça...
6:52
C'est d'abord d'appliquer et de permettre à toutes les personnes de l'entreprise de bien comprendre en quoi chacune,
6:57
chacun joue un rôle,
6:58
la plupart du temps inconscient,
7:01
dans ces séquences de malveillance.
7:04
Donc,
7:05
j'ai envie de l'expliquer avec des mots simples et prendre quelques exemples sur les conséquences que cela peut avoir.
7:13
Donc ça,
7:13
c'est un premier point vraiment clé.
7:14
Ensuite,
7:15
le second point,
7:16
c'est d'évaluer à l'avance avec les équipes l'impact d'une mesure de sécurité dans leur quotidien.
7:20
sur leur productivité,
7:22
sur mesurer vraiment ce que ça va changer dans leur quotidien en bien ou en moins bien.
7:26
L'idée,
7:27
c'est que les choix et que les décisions soient prises de manière éclairée par les responsables d'équipe,
7:34
par les dirigeants,
7:34
pour qu'ils restent maîtres des mesures qui soient en place,
7:38
sans que ça vienne pénaliser leur mode de fonctionnement.
7:42
Et une fois que les bons choix ont été faits,
7:44
l'idée c'est d'aller...
7:46
dans la mise en place parce que c'est bien beau de dire bah oui on recommande de mettre en place telle ou telle chose mais moi je vois très régulièrement aussi en entreprise des recommandations qu'on leur a déjà faites mais où l'entreprise sait de toute bonne foi en fait disait ok d'accord je sais qu'il faudrait que je fasse ça mais je sais pas comment m'y prendre et
8:02
là il y a régulièrement il y a souvent besoin en fait juste déjà d'une impulsion ou d'un soutien pour
8:10
aiguiller et permettre à l'entreprise de correctement mettre en place dès le départ les bonnes pratiques et les bons outils pour que ça fonctionne dans le quotidien.
8:20
On dit autrement,
8:23
je réassiste là-dessus,
8:23
c'est ne jamais imposer de mesures qui soient incomprises et qui pourraient devenir inadaptées.
8:32
Vu qu'on ne peut plus parler d'informatique aujourd'hui sans parler d'intelligence artificielle,
8:35
je vais te poser une question là-dessus.
8:39
Est-ce que...
8:39
l'intelligence artificielle va nous protéger des failles humaines justement alors un jour peut-être,
8:46
aujourd'hui c'est de mon point de vue pas encore le cas parce qu'on parle d'humains comme étant la faille effectivement mais au moment où on se parle en fait il y a des outils qui en effet existent pour nous aider en fait à être capables et à faire des tâches et des actions numériques à notre place donc il y a un réel enjeu qui
9:03
est en train de se mettre en place à partir de maintenant et qui va
9:06
clairement,
9:07
vraisemblablement s'accentuer dans les années à venir.
9:10
Sauf qu'en l'état actuel des choses,
9:11
au moment où on se parle en tout cas,
9:13
ces outils-là,
9:13
ils se trompent quasiment au moins autant que nous.
9:19
Et en particulier,
9:20
il existe aujourd'hui des outils-là qui sont capables de simuler une navigation,
9:25
par exemple de réaliser un achat sur un site e-commerce à notre place par rapport à une intention qu'on donne.
9:31
Donc c'est très très bien sur le principe.
9:32
Sauf que ces outils-là,
9:33
ça...
9:34
pas forcément faire la différence entre un outil,
9:36
un acteur e-commerce fiable et un acteur e-commerce qui est malveillant,
9:42
qui est en fait une arnaque.
9:44
Et ces outils-là,
9:46
ils peuvent t'amener malheureusement à créer des transactions auprès de personnes malveillantes.
9:52
Bon,
9:53
j'ai nul doute qu'à l'avenir,
9:54
ces outils-là vont continuer de progresser.
9:55
Donc,
9:56
progressivement,
9:56
c'est des choses qui devraient un petit peu se...
10:00
qui devrait un petit peu disparaître,
10:02
même si je pense qu'il en restera toujours plus ou moins,
10:04
parce que,
10:05
on va dire,
10:07
la...
10:08
Les fraudes deviendront de plus en plus avancées aussi.
10:10
Tout à fait,
10:10
tout à fait.
10:10
Je retiens en particulier l'exemple du canal croisé,
10:13
parce que,
10:14
comme tu l'as dit,
10:14
ça coûte zéro et ça peut vraiment protéger en profondeur les entreprises.
10:19
Comme quoi,
10:19
on n'a pas besoin d'outils complexes,
10:20
parfois,
10:21
pour juste du bon sens et des règles claires pour éviter des gros problèmes.
10:29
Ce sont des nouveaux réflexes,
10:30
effectivement,
10:31
à ancrer au quotidien.
10:32
Parfait.
10:33
Pour la suite,
10:34
je voudrais qu'on revienne pour une des raisons pour lesquelles on a fait cet épisode,
10:37
même si ça faisait un petit moment qu'on en parlait.
10:39
Mais bon,
10:40
le vrai déclencheur,
10:42
c'est un post que j'ai écrit en août sur LinkedIn où je parlais d'un petit objet que j'avais trouvé dans un magasin de souvenirs en vacances et qui était un carnet de mots de passe.
10:54
Donc vraiment un petit cahier indiqué.
10:55
carnet de mots de passe dessus et j'en avais fait un post clairement à tendance humoristique pour expliquer que je trouvais quand même que c'était pousser le vis de dire mes mots de passe sont ici,
11:05
venez me pirater.
11:08
Là où je voyais juste effectivement un petit souvenir de vacances et un post très léger posté en août,
11:12
j'ai eu un déchaînement de passion.
11:14
On est sur un post qui a fait plus de 200 000 vues,
11:16
500 commentaires,
11:17
500 likes et dans les commentaires,
11:20
j'ai eu absolument de tout.
11:21
entre
11:22
Tu comprends rien,
11:23
les vieux en ont besoin,
11:25
j'ai eu c'est pas possible,
11:26
c'est un fake IA,
11:27
ça ne peut pas exister cet objet-là.
11:30
Mais aussi de vraies propositions de solutions dans les commentaires.
11:34
Et je voudrais un petit peu qu'on revienne sur ce déchaînement de passion et que tu me donnes ton avis en tant que spécialiste sur différents commentaires que j'ai pu recevoir là-dessus.
11:43
Ça se passe dans le grill.
11:46
Alors tu m'as dit déjà en haut qu'il n'y a pas de solution parfaite,
11:49
mais il y en a des moins pires.
11:51
Au niveau de la gestion de mots de passe,
11:52
toujours,
11:53
est-ce que tu peux développer ça ?
11:54
En fait,
11:55
nos accès reposent aujourd'hui beaucoup trop sur nos fameux mots de passe.
11:58
Par exemple,
11:59
même à supposer que vous ayez le meilleur des mots de passe,
12:02
avec un nombre de caractères vraiment très long,
12:04
il a tout ce qu'il faut,
12:06
chiffres,
12:06
lettres,
12:07
majuscules,
12:08
minuscules,
12:08
caractères spéciaux,
12:09
vraiment nickel.
12:12
Vous ne les notez nulle part,
12:13
ni dans un carnet,
12:14
ni dans un affaire de mots de passe.
12:16
Il n'y a que vous qui le savez,
12:17
donc il est ancré dans votre tête.
12:20
Et bien en fait,
12:20
même malgré ça,
12:21
vous n'êtes pas à l'abri de tomber dans un piège où vous allez divulguer,
12:25
sans vous en rendre compte,
12:27
votre mot de passe sur un email de hameçonnage très bien fait.
12:31
Donc là,
12:31
il reste cette faille-là malgré tout.
12:32
Et pourtant,
12:33
le mot de passe,
12:34
il est nulle part.
12:36
Alors qu'il existe des contextes de nos jours où un pirate peut même accéder et prendre la main à un accès web.
12:41
Un pirate,
12:42
il est en mesure de pouvoir récupérer un accès sur lequel vous vous êtes déjà authentifié.
12:48
et de pouvoir faire la même chose que vous connecter sans qu'il ait eu à utiliser votre mot de passe.
12:53
C'est quelque chose qui est clairement techniquement possible aujourd'hui.
12:57
Il faut juste prendre conscience qu'il est nécessaire,
12:59
important de bien faire les choses avec ses mots de passe,
13:02
mais qu'à lui seul,
13:03
il ne suffit plus aujourd'hui à être suffisamment sécurisé.
13:06
Il y a des commentaires que j'ai reçus justement qui vont dans ton sens et qui vont même plus loin,
13:09
qui disaient « le mot de passe est mort » .
13:11
Qu'est-ce que tu en penses ?
13:14
pas encore moi mais j'aimerais bien qu'il le devienne j'espère bien voir le jour un jour le voir disparaître partout ce qui est sûr c'est que le mot de passe à lui seul comme je disais il est largement insuffisant pour avoir être en bonne sécurité c'est à partir de là en fait que quelques personnes ont eu ont inventé ce ces merveilleux code que chacun d'entre nous est amené à recevoir de temps à autre là c'est des codes qu'on reçoit pas souvent par un par email par sms ça rajoute une barrière plus
13:39
difficile à franchir pour les pirates alors
13:42
Ce qu'il faut quand même savoir,
13:43
c'est que malheureusement,
13:44
malgré cette nouvelle barrière,
13:46
les pirates arrivent aujourd'hui à la contourner malgré tout.
13:52
Il existe d'autres solutions qui permettent de se passer complètement des mots de passe lors de nos connexions.
13:59
Ce sont des outils et des solutions qui sont assez peu connus pour le moment,
14:02
mais qui sont en train de se déployer.
14:04
C'est ce qu'on appelle les clés de sécurité.
14:06
En anglais,
14:06
il y a quelques-uns qui parlent de passkey.
14:10
Et en fait c'est des éléments soit physiques,
14:14
soit dématérialisés qui peuvent permettre de remplacer aussi bien le mot de passe,
14:22
mais aussi la double authentification.
14:25
Donc je prends un exemple,
14:26
on a tous des comptes en ligne.
14:28
Quand vous vous connectez,
14:29
plutôt que de saisir le mot de passe et ce fameux code,
14:31
avec une clé que vous pouvez brancher sur votre ordinateur,
14:33
donc il faut l'avoir sur soi.
14:36
C'est un peu comme la clé de sa maison,
14:38
c'est une clé qui permet d'ouvrir son accès à son monde numérique.
14:45
Une fois que c'est relié,
14:46
plutôt que de se servir de votre passe,
14:50
votre compte reconnaît la clé qui a été paramétrée pour vous identifier.
14:54
C'est intéressant parce que le pirate,
14:56
même s'il connaît votre passe,
14:59
s'il n'a pas la clé,
15:01
il ne peut pas se connecter.
15:03
Le petit hic dans tout ça,
15:05
c'est que c'est une nouvelle pratique qui est en train de se déployer,
15:11
qui s'élargit quand même de plus en plus,
15:13
mais qui n'est pas encore supportée par tous les outils en ligne.
15:17
Et c'est malheureusement aussi une méthode qui fonctionne en parallèle du fameux couple mot de passe double authentification.
15:23
Donc en fait,
15:25
on est quand même obligé de vivre avec les deux pour l'instant,
15:28
mais jusqu'au jour où je pense.
15:31
la clé de sécurité prendra le dessus et ne remplacera définitivement cette partie-là.
15:37
Donc ce que tu dis c'est qu'aujourd'hui il ne suffit pas d'acheter cette clé,
15:40
elle n'est pas compatible partout,
15:41
on ne peut pas encore se dire si je fais l'investissement dans cette clé je peux protéger tous mes comptes avec.
15:47
Il va falloir que tout le monde y passe au fur et à mesure.
15:49
Il va falloir que tout le monde y passe au fur et à mesure même si encore une fois c'est quand même supporté maintenant par les...
15:55
La plupart des acteurs majeurs,
15:56
mais je pense qu'avec le temps,
15:57
ça va se mettre en place forcément par la force des choses.
15:59
Est-ce que les gestionnaires de mots de passe,
16:01
c'est un progrès actuellement ou c'est une faille en devenir ?
16:07
Pour moi,
16:08
les gestionnaires sont un vrai progrès si nous les comparons à certaines mauvaises pratiques.
16:13
C'est mieux d'avoir un gestionnaire de mots de passe qui va faciliter le fait d'avoir différents mots de passe complexes.
16:22
pour chacun de nos outils,
16:24
de nos accès en ligne.
16:25
Donc là,
16:25
pour moi,
16:25
c'est un progrès d'avoir un gestionnaire.
16:27
Le gestionnaire de mots de passe,
16:29
en eux-mêmes,
16:30
ce n'est pas forcément suffisant.
16:32
Il reste quelques failles qui peuvent être exploitées par quelques personnes malveillantes.
16:36
Il y a des gestionnaires de mots de passe par défaut qui existent dans les navigateurs.
16:39
Il est connu et reconnu qu'il vaut mieux éviter de l'utiliser parce qu'il y a quelques malveillances connues de beaucoup de pirates qui permettent de récupérer les accès.
16:47
Alors,
16:47
pas comme ça,
16:48
d'un point de vue d'un coup de balai de pagique,
16:49
mais disons que c'est un élément qui...
16:53
ou qui est vulnérable.
16:54
Après,
16:54
si je donne un autre exemple également,
16:57
il y a malheureusement eu une mauvaise expérience par un célèbre éditeur de jeux qui a créé un gestionnaire de mots de passe où lui-même,
17:05
en fait,
17:06
il a été victime d'un piratage.
17:08
Donc c'est quand même 15 millions d'identifiants qui ont été mis dans la nature par son intermédiaire.
17:15
Tout ça pour dire que malheureusement,
17:18
même si on utilise un gestionnaire de mots de passe,
17:20
Donc même si nous,
17:21
à titre individuel,
17:22
on fait le maximum pour faire en sorte que nos accès et nos identifiants soient protégés,
17:26
il reste encore ce risque-là où s'il y a un petit défaut du côté de l'éditeur,
17:30
tout peut être gâché.
17:31
Après,
17:31
en général,
17:32
quand ça arrive,
17:32
ça se sait.
17:34
Donc évidemment,
17:34
quand c'est connu,
17:36
le premier réflexe à avoir,
17:37
c'est de modifier tous ces accès,
17:38
voire même d'envisager de changer de solution.
17:42
Donc il y a quand même quelques plus faibles mesures possibles.
17:46
Mais voilà,
17:46
ça nous oblige en tout cas,
17:47
nous,
17:47
en tant qu'entreprise,
17:49
ou en tant qu'utilisateur,
17:50
à s'intéresser de plus en plus au sérieux et à la réputation des éditeurs de logiciels.
17:55
Ça marche.
17:57
Si on reprenait de tout ça une seule règle d'or au sujet des mots de passe à appliquer en PME,
18:02
ce serait laquelle ?
18:03
De se renseigner et de déployer autant que possible des outils qui vont vous permettre de vous passer des mots de passe,
18:08
justement.
18:08
Est-ce qu'un dirigeant qui n'incarne pas la culture sécurité peut quand même avoir une boîte sûre ?
18:13
Je parle un peu d'exemplarité sur ce sujet-là.
18:15
C'est une bonne question.
18:18
La sécurité informatique,
18:19
c'est en effet un état d'esprit à entretenir à l'intérieur de l'entreprise.
18:24
Et bien sûr,
18:25
s'il n'est pas porté ou relayé par la direction vers l'ensemble des équipes,
18:31
ça ira moins bien.
18:33
Une entreprise qui fait le bonheur des pirates,
18:35
finalement,
18:35
c'est une entreprise qui pense être à l'abri,
18:39
qui croit que se protéger,
18:43
c'est trop cher,
18:43
ça lui est inaccessible,
18:45
ou que ça va lui racheter trop de contraintes.
18:48
ça va faciliter le travail des pirates parce que les bonnes mesures n'auront pas été mises en place.
18:52
Et toi franchement,
18:53
tu changes tes mots de passe tous les combien de temps ?
18:58
Alors je ne vais pas forcément divulguer toutes mes recettes et toutes mes pratiques perso,
19:05
mais ce que je peux dire c'est que je ne les change pas forcément si souvent que ça,
19:10
parce que j'ai mis en place des mesures de mon côté avec des bonnes pratiques avec lesquelles je suis ok d'un point de vue sécurité.
19:18
Ce qu'il faut savoir aussi par rapport à ça,
19:20
c'est que tous les spécialistes et tous les référents en cyber,
19:22
ils ne partagent pas forcément tous le même avis sur le sujet.
19:28
Ça,
19:28
j'ai vu dans les commentaires,
19:29
oui.
19:31
Voilà,
19:31
notamment.
19:32
Et par exemple,
19:33
en France ou en Europe,
19:34
on est encore un petit peu sur le fait qu'il est bon de changer ses mots de passe,
19:37
sa fréquence régulière,
19:39
sur tous nos comptes,
19:40
etc.
19:42
Ce que quand on peut faire,
19:43
pourquoi pas ?
19:43
Si ce n'est que quand même,
19:44
il y en a quelques-uns qui se sont rendus compte que cette pratique-là,
19:47
elle pouvait...
19:47
devenir contre-productive,
19:50
dans le sens où souvent,
19:50
quand on amène à changer le mot de base,
19:52
on change peut-être un chiffre à la fin,
19:55
enfin bref,
19:55
on reste toujours plus ou moins sur la même base.
19:58
Et en fait,
19:58
on est là pour apporter une contrainte qui finalement,
20:00
en termes de résultats et d'efficacité au quotidien,
20:05
n'est pas si efficace que ça.
20:07
Aux États-Unis,
20:07
par exemple,
20:08
eux,
20:08
officiellement,
20:09
ils commencent à tenir sur un discours différent où ils disent « Non,
20:12
en fait,
20:13
on ne recommande plus forcément de faire changer les utilisateurs de mot de passe,
20:17
mais par contre,
20:18
de maintenir plutôt la pratique sur des comptes extrêmement sensibles. »
20:21
Donc,
20:21
c'est plutôt les utilisateurs qui ont des accès très importants,
20:26
les administrateurs informatiques,
20:27
etc.
20:28
Où là,
20:28
oui,
20:28
ça peut encader du sens,
20:29
mais par contre,
20:30
pour les utilisateurs standards,
20:30
de ne pas forcément les contraindre à ça.
20:32
Ça marche.
20:33
Ma dernière question sur le sujet,
20:34
c'est « Est-ce que tu penses que ce fameux carnet »
20:37
de mots de passe,
20:38
c'est quand même bien pour les vieux,
20:39
puisque c'est un commentaire qui est revenu beaucoup.
20:43
Vieux ou personne peu à l'aise avec l'outil informatique,
20:46
de manière plus générale.
20:48
Alors,
20:48
tu évoques les vieux,
20:49
mais moi,
20:49
je vais peut-être te surprendre,
20:51
mais je croise beaucoup,
20:52
lors de mes séances d'audit,
20:54
je croise quand même beaucoup d'utilisateurs qui ne sont pas si vieux que ça et qui ont un carnet de mots de passe,
20:58
enfin un bout de papier sur lequel ils notent leurs accès,
21:00
parce que ça les rassure.
21:03
Ça les rassure et oui,
21:04
ce n'est pas forcément une bonne pratique,
21:05
donc je ne vais pas l'apporter.
21:06
Mais c'est toujours pareil,
21:08
il faut la relativiser.
21:09
Moi,
21:09
personnellement,
21:09
je ne me moque pas de ceux qui...
21:11
Enfin,
21:11
je ne trouve pas ça scandaleux,
21:12
en tout cas,
21:13
de voir des personnes qui le gèrent de la sorte.
21:16
Et quand on compare finalement à d'autres méthodes qu'on a pu développer juste avant,
21:19
où on se dit,
21:19
en fait,
21:20
même si on le gère dans un gestionnaire de mots de passe numérique,
21:23
censé être sûr,
21:24
sécurisé,
21:24
etc.,
21:25
finalement,
21:25
on n'est pas à l'abri de sa fuite non plus.
21:28
tout comme son bout de papier qu'on a sous la main,
21:31
alors certes il est à proximité,
21:32
il n'est pas à l'abri de quelqu'un à mettre la main dessus non plus,
21:36
mais finalement on est un petit peu sur le même plan,
21:38
quasiment.
21:41
Après,
21:42
je ne prône pas la pratique,
21:43
donc je pense qu'il ne faut pas l'encouragement à utiliser ce genre de carnet,
21:52
mais c'est quelque chose qui est plus répandu qu'on ne le croit,
21:54
je pense.
21:55
Oui,
21:56
je suis d'accord avec toi et c'est loin de moi l'idée de me moquer.
21:59
Un des trucs qui m'a particulièrement choqué dans les commentaires que j'ai pu avoir,
22:05
c'est quand même pratique d'avoir son carnet à côté de son ordinateur parce qu'on est protégé.
22:12
Effectivement,
22:12
il n'y a pas un pirate qui va venir lire le carnet.
22:15
Maintenant,
22:16
le carnet à côté de l'ordinateur,
22:18
ou en tout cas visible avec marqué carnet de mot de passe dessus,
22:22
en fait,
22:23
il y a un truc qui m'a ramené à une histoire très personnelle.
22:26
c'est qu'une personne âgée dans ma famille,
22:29
il y a déjà des personnes qui se sont introduites chez elle.
22:31
Et je ne parle pas de cambriolage,
22:32
je parle de personnes qui rentrent par la grande porte sous prétexte de lui vendre des pommes,
22:36
du vin ou n'importe quoi et qui,
22:39
se servant de la fragilité de la personne en face,
22:44
ont accès à,
22:45
on va dire,
22:46
l'entrée de sa maison.
22:46
Ils ne vont peut-être pas aller partout,
22:48
mais ils ont accès à l'entrée de la maison.
22:49
Et un carnet de mot de passe qui est visible à ce moment-là,
22:52
c'est quelque chose qu'on subtilise quand même.
22:55
extrêmement facilement.
22:56
Donc de se dire je protège les personnes âgées de ma famille en leur fournissant un cardin de mot de passe qui est visible parce que l'idée c'est quand même qu'ils le retrouvent,
23:05
ça ne les protège pas de tous les moments où on n'est pas là avec eux et où des personnes mal intentionnées peuvent se servir de leur fragilité pour pénétrer dans leur domicile.
23:12
Et je crois que ça c'est quand même assez sous-estimé.
23:15
Tout à fait,
23:15
je suis totalement d'accord avec ce que tu mentionnes comme exemple d'ailleurs.
23:18
Et là c'est un exemple qui est concret,
23:20
ne serait-ce que le mot de passe d'accès à notre messagerie,
23:22
quelqu'un qui met la main sur l'accès à la messagerie peut faire Merci.
23:24
énormément de malveillance à partir de là.
23:26
Voilà,
23:26
donc je voulais alerter un petit peu là-dessus,
23:28
de se dire,
23:29
oui,
23:29
c'est pas parce qu'on ne peut pas accéder à ce carnet-là de l'extérieur par le web que c'est totalement sécurisé et que personne ne peut s'introduire chez vous.
23:37
Oui,
23:37
c'est un très bon exemple et tu as parfaitement raison.
23:39
Et pour le compléter,
23:40
ce que je voulais dire,
23:43
c'est que oui,
23:44
en effet,
23:45
si jamais certains ont ce besoin-là,
23:47
il ne faut pas qu'ils restent en visibilité,
23:49
il faut qu'ils restent dans un endroit fermé,
23:51
à l'abri,
23:52
caché.
23:53
Dans la maison,
23:53
il ne faut pas que ça soit quelque chose d'exposé et visible,
23:57
comme tu l'as mentionné dans ton exemple.
24:00
J'avais eu des suggestions là-dessus dans les commentaires,
24:02
de faire un carnet avec une couverture de télé 7 jours,
24:05
par exemple,
24:05
ou de gris de mots croisés.
24:07
Après,
24:07
il y a risque que ça passe à la poubelle une fois que la semaine du télé 7 jours est terminée,
24:11
malheureusement.
24:12
Mais je trouvais que c'était pas mal quand même.
24:14
Exact.
24:17
Pour conclure cet épisode,
24:18
si tu devais donner une action concrète pour réduire le risque de failles humaines à mettre en place demain pour les dirigeants qui nous écoutent ?
24:24
Alors oui,
24:26
c'est une pratique assez courante qu'on est tous amenés à faire régulièrement et dont on n'a pas encore parlé.
24:32
C'est l'envoi et la communication de ces fameux mots de passe quand on a besoin de les partager.
24:36
Alors normalement,
24:38
la plupart du temps,
24:39
non,
24:39
parce qu'un mot de passe,
24:40
il est censé être personnel.
24:42
Mais il y a certaines circonstances et contextes.
24:44
ou il y a des mots de passe qui nécessitent,
24:46
quand on partage un document,
24:48
que la personne à qui on l'envoie a besoin d'un mot de passe pour pouvoir ouvrir le document,
24:53
il y a besoin de transmettre un mot de passe à durée de vie limitée.
24:59
pour que notre destinataire puisse consulter l'information qu'on lui envoie.
25:03
C'est un exemple de cette situation.
25:05
Et en fait trop souvent on envoie nos mots de passe,
25:08
parce qu'on ne sait pas vraiment comment on fait non plus,
25:10
mais on envoie soit à travers un email,
25:12
soit à travers une conversation de messagerie instantanée,
25:15
etc.
25:16
Ce qui n'est pas forcément la bonne pratique.
25:18
Parce que le souci c'est que si ça transite par un email justement,
25:21
quelqu'un qui met la main sur la messagerie en question,
25:24
il peut aller fouiller dans tous les échanges ce qu'il y a eu comme informations.
25:28
et du coup retrouver cet élément là.
25:32
Pour éviter de laisser traîner ces mots de passe,
25:34
l'idée c'est d'utiliser ce qu'on appelle des liens sécurisés.
25:40
Donc en fait c'est des liens qu'on va pouvoir partager par email,
25:43
par messagerie etc.
25:44
mais qui auront une durée de vie limitée.
25:48
Donc déjà on va réduire considérablement le risque qu'un pirate puisse mettre la main parce qu'il faudrait que du coup il ait l'accès au même moment que l'envoi d'un mot de passe.
25:58
à la message-là en question.
26:00
Donc,
26:00
c'est des liens qui peuvent se générer assez facilement avec des outils spécialisés de gestion de mot de passe et qui permettent de dire,
26:07
ce lien-là,
26:07
il est valable pendant
26:09
24 heures,
26:09
7 jours,
26:10
30 jours.
26:10
Après,
26:11
il faut calibrer le bon paramètre pour que l'information importante soit mieux partagée.
26:23
Super,
26:23
on va s'arrêter là sur le facteur humain et les mots de passe.
26:26
Je crois que tu as un cadeau pour nos auditeurs.
26:28
Alors oui,
26:29
il y a un lien,
26:29
c'est digitik.fr slash cyber.
26:33
Pour celles et ceux qui seraient intéressés d'avoir un petit check sur leur poste de travail pour identifier de potentielles failles dont elles n'auraient pas connaissance,
26:43
d'avoir cette vue-là de manière assez rapide et concrète,
26:47
et d'avoir aussi l'accès à une période d'essai de deux mois.
26:50
C'est une période découverte aussi d'un outil qui permet justement d'éliminer toutes ces failles-là au quotidien sans que ça prenne de temps et que ça perturbe l'utilisation.
26:58
de l'outil informatique.
27:00
Merci pour eux.
27:00
Demain,
27:01
on va s'intéresser à un sujet dont j'entends énormément parler chez les industriels que j'accompagne en transformation numérique.
27:06
Est-ce que choisir un logiciel en SaaS,
27:09
c'est une horrible décision de sécurité ?
27:12
En attendant,
27:12
demain,
27:13
on s'abonne et on ose l'efficacité.