Rencontre avec Christian Dufour, Haut Fonctionnaire de Défense et de Sécurité des Ministères Economiques et Financiers (HFDSI des MEF). Accompagné de Bruno de Laigue, Président du réseau des Dirigeants Financiers (DFCG), ils présentent un dispositif d’autodiagnostic cyber destiné aux dirigeants des entreprises, notamment les TPE et PME, afin qu’elles prennent conscience de leur niveau de Sécurité sur quatre points essentiels de le Système d’Information (SI).
Pour la seconde année consécutive, la MEF s’associe à la DFCG pour faire le buzz durant le mois européen de la cybersécurité. Et 2019 voit le jour d’une boîte à outils de tests (quatre pour l’instant) mis à disposition des entreprises sur le site https://ssi.economie.gouv.fr. Elle leur permettra de connaître exactement le niveau de sécurité de quatre points essentiels de leur SI en s’auto-testant. Développés en Interne par l ‘équipe de Jean-Philippe Papillon, Responsable ministériel Sécurité des Systèmes d’Information, ces outils permettent de sensibiliser des néophytes du sujet à la Sécurité d’un SI. Car cette année, le focus est mis sur le conseil et la sensibilisation des plus petites entreprises, qui avec très peu de moyen, n’en consacrent que peu ou prou à la cybersécurité de leur structure.
CyberSécurité : 4 tests en libre accès
Dans un premier temps, en septembre dernier, ces outils ont été proposés aux 3000 adhérents de la DFCG. Ils ont été un peu plus de 10%, soit environ 350 directeurs financiers à se prêter au jeu. Les résultats de ces tests ont conforté la DFCG comme les instances gouvernementales sur l’urgence à sensibiliser la part la pus importante du tissu économique français.
Les quatre tests portent sur le niveau de mise à jour du navigateur web, la politique de sauvegarde, la robustesse du mot de passe et le niveau de sécurité des serveurs de messagerie. A la fin de chaque test, la société connaît le niveau de protection de l’élément mis sur la sellette au travers d’une note ou d’une couleur indiquant le niveau de sécurité, cela va de nul à très bon en passant par tous les niveaux intermédiaires possibles.
Sensibilisation des Dirigeants
Ces tests permettent aux dirigeants d’entreprise de savoir s’ils sont bien protégés ou pas. Dans le cas où la société s’appuie sur un prestataire extérieur pour assurer sa défense, cela lui permettrait de savoir si ce dernier a fait du bon travail ou non et donc, de l’obliger à revoir son travail si la Sécurité est mal assurée.
Les tests sont proposés sous la forme d’un téléservice. Ils ont été choisis en se basant sur les trois facteurs principaux de compromission qui sont l’ingénierie sociale, le craquage de mot de passe et l’exploitation de failles connues (notamment quand les mises à jour des logiciels ne sont pas réalisées régulièrement). Rien n’est mémorisé du côté du site qui propose le téléservice pour des raisons de sécurité, de respect des secrets de l’entreprise qui se teste et de conformité aux réglementations sur les données personnelles. Par exemple, quand une entreprise teste le niveau de sécurité de son mot passe, le site ne connaît bien entendu pas le login et ne peut, également, faire aucun lien avec l’entreprise en test. Sur le mot de passe, c’est le niveau de faiblesse de ce dernier qui est remonté et il est également possible de savoir si ce mot de passe a déjà fuité sur le Net.
Premiers résultats
Les résultats de l’étude ont démontré que 75% des entreprises interrogées ont un navigateur mis à jour alors que 82% d’entre elles ont un domaine de messagerie mal protégé. Pour donner une idée de ce qui peut arriver quand sa messagerie est mal protégée, le cas de la société Tonneau, 3 millions d’euros de Chiffre d’affaires et 15 salariés, qui subit un détournement de fonds de 300000 euros en 4 jours à cause d’une usurpation de mail. Sur le mot de passe, plus de 50% des entreprises ont eu leur mot de passe facilement cassé selon le test. 67% d’entre elles n’ont pas de politique de sauvegarde qui tienne la route (pas de duplication des serveurs de sauvegarde, pas de vérification si la sauvegarde est bien réalisée ...). Ce test n’en est pas un réel dans le sens où une liste de questions pointues est posée au dirigeant et les réponses sont pondérées ce qui donne une idée sur la bonne tenue et la protection des sauvegardes. Enfin seules 5 à 7 entreprises ont un plan de reprise d’activité en cas de chiffrement de leurs données par un malware. Pour finir, elles sont seulement 10 à avoir établi une « fiche Réflexe » qui correspond à un ensemble de processus à suivre et mettre en place en cas de crise.
Cette sensibilisation s’accompagne de liens sur des FAQ proposant nombre de bonnes pratiques.
Propager l’Information
Pour l’instant, Bercy a annoncé la mise à disposition de ces outils gratuits dans sa lettre aux entreprises. L’ANSSI en a également parlé. Bouche à oreilles et médias seront parmi les organes de propagation de cette chaîne. L’accès à la base de la pyramide économique française reste encore compliqué aujourd’hui.
Source : https://ssi.economie.gouv.fr.
