“Les télétravailleurs peuvent entraîner une vague de cyberattaques dans les entreprises belges”

Le télétravail est de plus en plus pris en compte, implémenté au sein des entreprises belges, mais les risques de sécurité qu’entraîne cette tendance ne le sont malheureusement pas. C’est ce que remarquent les experts en informatique de Telenet Business et Nextel alors que s’ouvre aujourd’hui le salon Infosecurity. Selon la nouvelle étude de marché Beltug, une entreprise sur quatre a déjà eu à faire à des problèmes de sécurité, indépendamment du télétravail. Mais si les entreprises n’adaptent pas leurs pratiques, le nombre de cyberattaques va rapidement augmenter, affirment les experts. Car les télétravailleurs sont une cible nouvelle et facile pour les hackeurs.

Moins d’embouteillages, un meilleur équilibre entre le travail et la vie privée: le télétravail devient de plus en plus populaire en Belgique. Un salarié sur six travaille en moyenne un jour de chez lui, selon les derniers chiffres de l’institut VIAS pour la sécurité. Selon les experts informatiques, les systèmes des entreprises ne sont pas suffisamment adaptés en terme de sécurité et les employés ne sont pas assez au courant des risques de sécurité. Une situation dangereuse, car l’écosystème au sein duquel des ordinateurs portables, des smartphones, des tablettes, des téléphones et des caméras échangent des données dans l’entreprise, sont un endroit rêvé pour les hackeurs.

Incidents à cause du comportement d’un employé

Au début de l’année, la justice belge a démantelé, en commun avec les services de sécurité américains et ukrainiens, un vaste piratage de serveurs. Les hackers s’étaient introduits par le port qu’utilisaient les travailleurs pour se connecter depuis chez eux sur le serveur de leur entreprise. Ils ont ensuite pu, grâce à un marché en ligne, commercialiser des dizaines de milliers de serveurs détournés.

Selon une étude d’Apricorn, une entreprise spécialisée dans le stockage sécurisé de données, 95% des entreprises britanniques éprouvent des difficultés en matière de sécurisation du travail mobile. Un tiers des entreprises a déjà eu à faire à une perte de données ou à une intrusion. Des chiffres concrets concernant les conséquences pour la sécurité informatique du télétravail en Belgique ne sont pas encore disponibles, mais selon l’étude de marché la plus récente de Beltug, l’association belge des professionnels en informatique, on remarque que 41% des grandes entreprises, indépendamment du télétravail, ont déjà connu des problèmes de sécurité informatique. Et plus de la moitié d’entre elles ne sécurisent pas les appareils mobiles mis à la disposition de leurs collaborateurs. La majorité des entreprises belges travaillent en outre aujourd’hui avec des services dans le cloud, au sein desquels ils utilisent du software, des plateformes ou une infrastructure par un réseau, comme Amazon, Microsoft ou Google. Ce shift les rend aussi plus vulnérables à des dangers extérieurs.  

“Les employés sont aujourd’hui constamment en ligne, utilisent les dernières nouveautés et attendent la même facilité d’utilisation dans leur environnement de travail. Beaucoup d’entreprises permettent à leurs employés d’emporter les appareils qu’ils utilisent pour leur travail chez eux. Ils se connectent sans une protection forte, ou sans vérification de sécurité. Mais les réseaux domestiques ne sont pour l’instant pas suffisamment sécurisés ou protégés. Le focus de protection des entreprises doit donc changer: là où il suffisait auparavant de sécuriser le périmètre - l’extérieur -, il devient désormais nécessaire d’également sécuriser les appareils eux-mêmes, soit ce qu’on appelle les endpoints, et les applications web. Car une sécurité optimale nécessite plusieurs couches, comme un oignon. Il est donc aussi particulièrement surprenant que seules 17% des entreprises disposent d’une politique BYOD (bring your own device) bien définie.”  Stefaan Wuytack, expert en cybersécurité chez Telenet Business

Prise de conscience

La cybercriminalité coûte aux entreprises belges déjà plus de trois fois plus qu’en 2016. Des logiciels de rançonnage, des logiciels malveillants, des bugs dans les logiciels, le hameçonnage, etc. Ce sont des attaques qui ces dernières années ont beaucoup augmenté, et selon les experts, la fréquence de ces attaques ne fera que croître si nous ne changeons pas notre comportement. Pensez par exemple aux hauts-parleurs connectés qui deviennent de plus en plus populaires à la maison et qui tournent sur le même réseau wifi que les appareils liés au travail. Une source rêvée pour les hackeurs pour lancer des attaques DDOS.

Les cybercriminels essayent de se concentrer sur les personnes. Ils recueillent en ligne par exemple toutes les informations qu’ils peuvent  trouver sur le responsable d’une entreprise. Ils parviennent ainsi à paraître crédible dans un faux mail ou à persuader les employés d’effectuer un paiement ou de transmettre un mot de passe. Dans plus de 90% des cas, le comportement d’un collaborateur - consciemment ou non - est à la base d’un incident. Raison pour laquelle les experts demandent une meilleure sensibilisation des employés.   

“Il est important que les employés de l’entreprise apprennent à connaître les différents types de cybercriminalité. Ils doivent savoir que ce n’est pas une bonne idée d’ouvrir des mails qui semblent étranges, ou de voir ce qui se trouve sur le stick USB qu’ils ont trouvé sur le parking. Le meilleur firewall, le meilleur antispam et antivirus, les meilleures mesures anti-cryptolock ne servent à rien si les personnes qui les utilisent ne sont pas conscientes de la potentielle dangerosité de leur comportement. Car ne l’oublions pas: les personnes ne sont pas des chiffres et sont donc le facteur le moins contrôlable au niveau de la cybersécurité.” Luc Van Houtte, expert cybersécurité chez Nextel

Conseils pour l’entreprise et l’employé pour mieux sécuriser le télétravail  

Dans plus de 90% des cas, le comportement - conscient ou pas - d’un employé est à la base d’un incident. Cinq conseils pour les entreprises et les employés afin de mieux sécuriser le télétravail:

1.Des mots de passe forts

Cela a l’air évident, mais un très grand nombre de fautes se produisent encore: choisissez partout des mots de passe forts. Cela veut dire que pour chaque compte vous devez utiliser un long mot de passe unique. Il vaut mieux ne pas utiliser des variations sur des mots de passe connus, car les cybercriminels s’en rendent vite compte. Pour travailler de façon véritablement sécurisée, mieux vaut changer de mot de passe tous les trois mois. N’oubliez pas non plus de configurer un mot de passe pour votre modem, haut-parleur intelligent ou caméra de surveillance chez vous.

2. Utiliser un système d’authentification à deux facteurs et une connection VPN

Pour une sécurité supplémentaire, choisissez en plus d’un mot de passe fort un système d’authentification à deux facteurs. Pour vous connecter, vous utilisez à côté d’un mot de passe par exemple un sms avec un code unique. Ainsi vous êtes doublement protégé et il est plus difficile pour les cybercriminels de s’introduire dans le système.

Assurez aussi une connection VPN grâce à laquelle les employés peuvent travailler à distance sur le réseau de l’entreprise. Ils peuvent ainsi entrer en contact avec le bureau d’une manière sûre.

3. Introduisez une politique de télétravail claire

Donnez à vos collaborateurs une liste de vérification de la sécurité que les employés doivent prendre en considération lorsqu’ils travaillent chez eux où dans des lieux publics. Pensez comme déjà expliqué ci-dessus à des mots de passe forts et à un système d’authentification à deux facteurs, mais faites aussi en sorte qu’ils travaillent toujours sur leur propre réseau wifi protégé, qu’ils n’utilisent pas de wifi gratuit et qu’ils travaillent toujours avec des fichiers dans le cloud.

4. La politique BYOD et le Mobile Device Management

Beaucoup d’entreprises permettent à leurs employés d’apporter leurs propres appareils au travail, mais faites en sorte d’avoir une politique claire autour du Bring Your Own Device (apportez votre propre appareil). Pensez par exemple à un logiciel antivirus obligatoire, un firewall, etc. Mais il doit aussi par exemple toujours y avoir un ‘environnement de travail’ à part et seuls les appareils vérifiés peuvent se connecter au réseau (Netwerk Access Control).

5. Sensibilisation des employés

Faites en sorte que tout le monde dans l’entreprise reconnaisse les dangers et sache quels risques existent. Chacun doit par exemple pouvoir reconnaître un mail de phishing ou savoir ce qu’il convient de faire s’ils en reçoivent un. Le meilleur moyen de tester cet aspect de la sécurité est d’envoyer soi-même un mail suspect et de voir comment les personnes réagissent. Regarder aussi comment les personnes utilisent des clefs USB contenant des informations confidentielles. Ce n’est qu’en insistant sur la sensibilisation qu’il devient possible d’aligner tout le monde.