Mesures de base pour l'informatique d'entreprise : gestion des correctifs, sauvegardes et droits d'accès

Pourquoi les mesures de base font la différence

Un prestataire de conseil en cybersécurité constate : les entreprises en Suisse sont de plus en plus la cible d'attaques cybernétiques professionnelles – on cite le phishing, les ransomwares, le vol de données, les attaques DDoS et la manipulation des systèmes informatiques. Sans mesures appropriées, la même évaluation met en garde contre des pannes, des atteintes à l'image et des conséquences juridiques. Pour les PME suisses, un niveau de sécurité informatique adéquat est décisif pour minimiser durablement les risques commerciaux.

Lors d'entretiens confidentiels avec les responsables de PME, itsecurityschweiz.ch rencontre régulièrement l'attitude suivante : « Pourquoi serions-nous précisément attaqués ? Nous ne sommes pas une cible rentable. » Psychologiquement, cette réaction est compréhensible, mais statistiquement hautement risquée : qui ne connaît pas sa propre surface d'attaque ne peut pas non plus évaluer s'il constitue une cible.

Le cadre juridique s'est durci : la loi révisée sur la protection des données est entrée en vigueur le 1er septembre 2023, accompagnée de la nouvelle ordonnance sur la protection des données et de l'ordonnance sur la certification en matière de protection des données. itsecurityschweiz.ch renvoie aux risques de responsabilité liés à la LPD (nDSG) et souligne que les textes de loi ne peuvent être considérés indépendamment de l'architecture réseau – un audit ne consiste donc pas en documents, mais en la preuve technique de la résilience du système.

Comme point d'entrée pragmatique pour les PME suisses, cette même source mentionne le standard minimal TIC du BACS. L'accent est mis sur les mesures de base critiques selon le NIST.

Selon it-s.ch, la sécurité n'est pas un produit, mais un processus qui relie les aspects techniques, organisationnels et humains. La gestion des correctifs, les sauvegardes et les droits d'accès en constituent la base, sur laquelle des mesures plus poussées comme la surveillance, la protection des points de terminaison ou la réponse aux incidents peuvent seulement s'appuyer.

Mesures de base critiques pour les PME suisses

Gestion des correctifs : combler systématiquement les vulnérabilités connues

Les failles de sécurité dans les logiciels et les systèmes qui ne sont pas comblées rapidement par des correctifs et des mises à jour représentent, selon S-U-P-E-R.ch, une porte d'entrée invitante pour les cybercriminels. De nombreuses attaques ciblent des vulnérabilités connues – ce sont précisément celles-ci que les correctifs résolvent, empêchant leur exploitation. Sans une gestion efficace des correctifs, des attaques par ransomware ou des pertes de données menacent ; les systèmes non corrigés deviennent également instables, ce qui entraîne des temps d'arrêt coûteux.

Le processus est récurrent. Les éléments centraux incluent l'inventaire de l'infrastructure informatique – c'est-à-dire le recensement de tous les systèmes et logiciels utilisés pour savoir ce qui doit être corrigé régulièrement – ainsi que la priorisation : tous les correctifs n'ont pas la même importance, les mises à jour de sécurité critiques doivent être déployées aussi rapidement que possible.

Avant le déploiement en production, des tests sont effectués pour éviter des impacts inattendus sur l'infrastructure existante. Un déploiement automatisé fournit ensuite régulièrement des mises à jour à tous les systèmes pertinents.

Selon la même source, la sensibilisation des collaborateurs à l'importance des mises à jour fait partie intégrante du processus afin de maintenir les systèmes informatiques à jour. Une bonne gestion des correctifs aide également à respecter les exigences légales.

En pratique, cela signifie : un calendrier de correctifs avec des intervalles fixes, une liste des systèmes critiques, une fenêtre de test avant le déploiement en production et une liste d'exceptions pour les systèmes qui ne peuvent pas être mis à jour automatiquement. Sans cette documentation, il reste impossible de savoir quelles failles sont encore ouvertes après un incident.

Gestion efficace des correctifs en détail

Intégrer les logiciels tiers dans le processus de correction

Les mises à jour du système d'exploitation sont souvent prioritaires pour les équipes informatiques ; cependant, selon Splashtop, les applications tierces sont fréquemment négligées. Ces applications non natives sont essentielles aux opérations commerciales, mais constituent aussi des cibles fréquentes d'attaques cybernétiques – des exemples typiques sont Adobe Reader, Google Chrome ou Zoom.

La différence réside dans la cadence : les correctifs du système d'exploitation apparaissent généralement régulièrement, tandis que les éditeurs tiers publient des correctifs peut-être seulement sporadiquement – souvent en réaction à une vulnérabilité nouvellement découverte. Ainsi, les équipes informatiques perdent plus facilement la vue d'ensemble. Sans une gestion appropriée des correctifs, des attaques menaçant de provoquer des violations de données ou des pannes systémiques sont à craindre.

La gestion des correctifs pour les logiciels tiers comprend le processus d'identification, de fourniture et de gestion des mises à jour ou correctifs pour les logiciels non développés par le fabricant du système d'exploitation ou du matériel. L'automatisation est considérée comme un composant clé : seule elle permet de réagir rapidement face à des mises à jour apparaissant de manière irrégulière.

Pour la pratique, cela signifie ne pas limiter l'inventaire logiciel au système d'exploitation, mais recenser toutes les applications installées – y compris les navigateurs, les lecteurs PDF, les clients de visioconférence et d'accès à distance. Lorsqu'une mise à jour automatique n'est pas possible, un rythme de vérification manuel et une responsabilité documentée sont nécessaires.

Comparaison : Gestion automatique vs manuelle des correctifs pour les logiciels tiers

Sauvegardes : garantir la sécurité des données et la restauration

La sécurité des données est considérée comme un élément central de la sécurité informatique : les entreprises suisses – y compris les PME – doivent mettre en œuvre des mesures techniques et organisationnelles appropriées. Les sauvegardes font partie de ces mesures techniques et sont la condition préalable pour qu'un incident ne se termine pas par une perte de données permanente. La perte de données est explicitement citée dans la littérature spécialisée, aux côtés des ransomwares, comme un risque des systèmes non corrigés.

Une sauvegarde n'est utile que si elle est séparée du système de production. Une copie accessible sur le même réseau avec les mêmes identifiants peut être chiffrée ou supprimée lors d'une attaque par ransomware. Par conséquent, plusieurs copies sur différents supports sont nécessaires, dont au moins une séparée spatialement ou logiquement, qui ne peut pas être écrasée pendant les opérations courantes.

Aussi importante que la sauvegarde est la preuve qu'elle peut être restaurée. Un test de restauration répond à trois questions : Dans quel ordre les systèmes et les données sont-ils récupérés, qui effectue la restauration, et combien de temps cela prend-il ? Sans ce test, la restaurabilité reste une hypothèse ; celui qui connaît le temps de restauration peut évaluer la durée supportable d'une panne.

La documentation comprend le plan de sauvegarde, la durée de conservation, le lieu de stockage des copies et les résultats des tests. Pour les données personnelles, il est recommandé de traiter les sauvegardes avec la même diligence que le système de production, car elles peuvent également contenir des données personnelles.

Contrôler les droits d'accès et les identités

Le principe des moindres privilèges stipule que chaque compte ne reçoit que les autorisations réellement nécessaires à la tâche respective – pas plus. Les droits d'administration sont séparés des comptes utilisateurs normaux, les comptes partagés et collectifs sont évités car aucune action individuelle ne peut y être attribuée. Celui qui accorde des droits uniquement sur demande et avec justification peut ultérieurement retracer pourquoi un accès existe.

itsecurityschweiz.ch désigne les certificats, les identités et le contrôle d'accès au réseau (NAC) comme le talon d'Achille invisible de la conformité informatique. Les certificats ont des dates d'expiration ; un certificat oublié peut provoquer des pannes et, dans le pire des cas, mettre hors service de manière incontrôlée le chiffrement ou les relations de confiance. Le contrôle d'accès au réseau ne laisse entrer dans le réseau que les appareils remplissant un état défini – un ordinateur portable non corrigé n'obtient ainsi aucun accès aux systèmes internes.

Sur le plan organisationnel, des processus pour l'entrée, la sortie et les changements de rôle sont nécessaires : les comptes sont créés lors de la prise de poste, désactivés dans un délai défini lors du départ, et adaptés lors des changements de fonction. En complément, l'authentification multifacteur pour l'accès aux systèmes critiques, la journalisation des connexions et une vérification périodique de toutes les autorisations par les responsables spécialisés s'avèrent efficaces.

Les droits d'accès réduisent immédiatement la surface d'attaque. Un compte sans droits d'administration peut causer moins de dommages en cas de compromission, et le chemin depuis le premier poste de travail infecté vers les systèmes centraux s'allonge.

Avantages et risques des comptes utilisateurs partagés

Vivre les mesures de base en interaction

Les trois mesures ne fonctionnent que conjointement. Un correctif comble une faille, mais n'empêche pas qu'un logiciel malveillant déjà infiltré chiffre les données – pour cela, une sauvegarde séparée et testée est nécessaire. Inversement, une sauvegarde accessible avec les mêmes droits étendus que le système de production peut être compromise lors d'une attaque. Et un système correctement corrigé mais doté de permissions excessives reste une cible attrayante.

it-s.ch décrit explicitement la cybersécurité non pas comme un produit, mais comme un processus qui unit les aspects techniques, organisationnels et humains, et qui ne permet de détecter précocement les risques et de les réduire durablement qu'avec une approche structurée de la sécurité. Il s'ensuit que chacune des trois mesures de base nécessite une responsabilité nommée, un intervalle et une documentation vérifiable : qui applique les correctifs, qui teste la restauration, qui vérifie les autorisations.

La sensibilisation des collaborateurs fait partie du tableau d'ensemble – chez S-U-P-E-R.ch comme partie de la gestion des correctifs, chez it-s.ch comme module de prestation propre avec formations et sessions de sensibilisation. Cette même source cite, parmi les modules constitutifs d'un concept de sécurité, entre autres la surveillance et la détection des menaces, la protection des points de terminaison, la sécurité des pare-feu et du réseau, ainsi que la réponse aux incidents (Incident Response), alignés sur des normes telles que l'ISO 27001 et le cadre NIST, et conformes à la LPD.

Pour un processus simple de réponse aux incidents, un cadre allégé suffit dans les PME : détecter et signaler, isoler les systèmes concernés et les déconnecter du réseau, restaurer depuis la sauvegarde, traiter la cause et combler les failles a posteriori. Pour que cette procédure fonctionne en cas d'urgence, les responsabilités et les disponibilités doivent être définies à l'avance et la restauration – comme décrit ci-dessus – avoir été testée préalablement.

Déroulement d'un processus de réponse aux incidents dans les PME