L’agence américaine de cybersécurité CISA lance un site web où se trouvent des conseils et des outils gratuits pour renforcer la sécurité de votre entreprise. Certaines solutions sont exclusives aux États-Unis, mais la plupart sont également applicables ici.
La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a publié un guide contenant des conseils et des liens vers des outils et services gratuits que les entreprises peuvent utiliser pour renforcer leur niveau de sécurité. À la suite de plusieurs cyberincidents majeurs tels que le piratage de Kaseya, les États-Unis ont fait de la cybersécurité une nouvelle priorité. La publication de ce guide s’inscrit dans l’ambition du pays d’élever le niveau de sécurité des organisations du secteur privé. L’Europe et la Belgique sont quelque peu à la traîne à cet égard, ce qui rend le guide intéressant pour nos entreprises également.
Principes fondamentaux
En haut du guide, le CISA souligne quelques principes de base qui méritent d’être répétés :
- Corriger les problèmes de sécurité connus dans les logiciels : cela devrait être logique, mais on sait tous à quel point l’application de correctifs peut être difficile. La CISA partage un lien vers une liste de vulnérabilités qui sont activement exploitées, afin que les organisations puissent choisir leurs priorités.
- Mettez en œuvre l’authentification multifactorielle : là encore, ce conseil devrait être logique en théorie, mais cela ne se traduit pas par un enthousiasme suffisant pour l’AMF dans la pratique. Cependant, le vol d’informations de connexion est la pierre angulaire de la grande majorité des cyberattaques. En mettant en œuvre l’authentification en deux étapes, vous fermez la porte à plus de 90 % des attaques traditionnelles.
- Mettre fin aux mauvaises pratiques : ici, la CISA fait référence à l’utilisation de produits et de systèmes EOL qui utilisent, entre autres, des mots de passe connus et non modifiables. Ne pas mettre en œuvre le MFA pour les comptes importants est également considéré comme une mauvaise pratique dangereuse. Le guide fournit le lien vers des exemples supplémentaires.
- Recherche de vulnérabilités : l’agence gouvernementale américaine fournit des liens vers des moteurs de recherche spécialisés qui peuvent être utilisés pour trouver les vulnérabilités les plus courantes. Il s’agit notamment de Shodan, Censys et Thingful.
Outre les conseils fondamentaux, vous trouverez de nombreux liens vers des guides de Microsoft, Google et autres sur des sujets tels que la détection des intrusions, la protection et la réponse, divisés en niveaux. Ainsi, même avec des connaissances limitées, vous pouvez commencer par les bases.
Une documentation abondante
Tous les sujets ont des liens vers la documentation avec des explications supplémentaires. En général, chaque sujet fait l’objet d’une introduction qui est également gérable pour les non-experts. Le site web est donc un point de départ utile pour toute entreprise qui souhaite mettre en place ou actualiser une stratégie de sécurité.
Bien entendu, le guide américain ne s’applique pas entièrement à l’Europe, même si la plupart des éléments s’appliquent indépendamment du lieu d’implantation de votre entreprise. Les Américains peuvent en outre faire appel à des analyses de vulnérabilité gratuites réalisées par CISA et, bien entendu, il n’est pas question de problèmes liés au GDPR. À terme, le CISA espère élargir le site web en y ajoutant les services et les outils de plus en plus d’entreprises. Consultez le guide complet ici.