FAQ: Comment protéger ma petite entreprise contre les cyberattaques?

Les faits: les petites entreprises sous-estiment leur vulnérabilité

La semaine dernière, des cyberattaques ont été perpétrées contre plusieurs banques américaines. Bien que les pirates informatiques ciblent souvent les grandes entreprises, les petites entreprises deviennent également de plus en plus vulnérables.

Les petites entreprises ont tendance à sous-estimer leur vulnérabilité aux cyberattaques, car elles sous-estiment leur valeur pour les cybernétiques. Ils croient qu’ils ne valent pas la peine d’être piratés, mais les propriétaires de petites entreprises ne réalisent souvent pas à quel point le piratage d’une entreprise avec une sécurité minimale est limité pour un cyberthief expérimenté.

Le sondage Symantec Threat Awareness Survey a montré que les petites entreprises ont tendance à faire trop peu pour se protéger des attaques:

• 50% des propriétaires de petites entreprises pensent qu'ils sont trop petits pour être la cible d'attaques informatiques
• 61% des petites entreprises n’installent pas de logiciel antivirus sur tous les ordinateurs de bureau
• 47% n'utilisent pas la sécurité sur les serveurs de messagerie
• 67% n'utilisent aucune sécurité Web

Verizon Business a mené une étude approfondie sur les violations de la cybersécurité en 2011, avec des résultats surprenants sur les tendances des pirates informatiques à cibler les petites entreprises:

• 72% des pirates informatiques signalés enfreignent les règles d'une entreprise comptant 100 employés ou moins
• 79% des victimes de cyberattaques de 2011 étaient des cibles potentielles

Bien que les petites entreprises puissent se penser suffisamment petites pour tomber sous le radar des cybernétiques, les mesures de sécurité généralement laxistes mises en place par les petites entreprises en font une cible facile pour les pirates. La plupart des victimes n'étaient pas des entreprises disposant d'actifs considérables ni de secrets commerciaux, identifiées par des voleurs avant une attaque minutieuse; la plupart des victimes avaient simplement une cybersécurité faible exploitée par les voleurs.

Pirater des employés

En 2011, 81% des violations avaient utilisé une forme de piratage et 69%, un logiciel malveillant.

Le piratage des employés plutôt que la gestion constitue un moyen courant pour les cybercriminels de s'introduire dans l'infrastructure de l'entreprise. Cyberthieves peut envoyer des e-mails de phishing à des employés individuels. Lorsque ces e-mails sont ouverts sur le serveur de l'entreprise, des logiciels malveillants peuvent dérober des informations sur l'entreprise.

Les entreprises doivent établir une politique d'entreprise claire sur les informations de l'entreprise pouvant être divulguées via les médias sociaux, les employés des sites Web auxquels les employés ne doivent pas accéder au travail, la manière d'identifier les e-mails de phishing et de préserver la sécurité des appareils mobiles, en particulier s'ils peuvent se connecter à l'entreprise. serveur via leur appareil personnel.

Conseils de notre site: comment protéger votre entreprise?

La FCC dispose d’un outil pratique de planification de la cybersécurité pour petites entreprises qui permet aux propriétaires de petites entreprises de créer un plan de cybersécurité personnalisé contenant des conseils d’experts sur 12 sujets, notamment la sécurité des réseaux, les appareils mobiles, la sécurité des installations et l’élaboration de politiques.

Investmentmatome recommande aux entreprises de prendre quatre mesures initiales pour se protéger:

1. Évaluez votre statut de sécurité. Où sont toutes vos éventuelles violations de données et failles de sécurité?
2. Mettre en place un pare-feu et un logiciel antivirus
3. Organiser une session de formation pour les employés et leur transmettre les politiques de l'entreprise en matière de cybersécurité
4. Créez des mots de passe administratifs difficiles à deviner, idéalement composés d'une combinaison de chiffres et de lettres

En mettant en œuvre un plan complet de cybersécurité et en sensibilisant les employés à ce plan, les entreprises peuvent protéger leurs actifs.

Autres avis d'experts

• Robert Siciliano, expert en sécurité en ligne chez McAfee, offre cinq conseils pour garantir la cybersécurité de votre entreprise.

"1. Toutes les données ne sont pas piratées. Exercice de base à avancé / physique sécurité tels que le contrôle d'accès, les caméras de sécurité et les alarmes.

2. Limitez la quantité de données requise des clients. Si vous ne le faites pas vraiment besoin d’un numéro de sécurité sociale, ne le stockez pas. Si carte de crédit les informations n’ont pas besoin d’être stockées, alors ne les stockez pas.

3. Reconnaître que les questions d’authentification basées sur la connaissance comme mot de passe les réinitialisations peuvent faire tomber la maison. Beaucoup de réponses se trouvent dans les réseaux sociaux sites de médias.

4. Les ordinateurs portables sont l’un des principaux points de rupture de données. Les données de l'ordinateur portable doivent être crypté. Les ordinateurs portables ne doivent jamais être laissés dans une voiture pendant la nuit ou dans un chambre d'hôtel ou bureau seul ou sur une table basse dans un café sans surveillance. Un logiciel de suivi pour ordinateur portable qui localise et efface les données est essentiel.

5. Former, former, former, former. Formation sur la sécurité des données et quoi faire, et que ne pas faire est la priorité numéro un. En cliquant sur les liens dans les emails, télécharger n'importe quoi à partir du Web ou d'un courriel, ouvrir des pièces jointes dans des courriels, ont récemment réussi à infecter un réseau. "

• Nathan Corbier, fondateur de Corbier and Associates, parle des appareils destinés aux employés

«Nous ne permettons à personne de connecter des appareils non autorisés à nos postes de travail. ou des ordinateurs portables de l'entreprise. Cela inclut les lecteurs MP3, téléphones portables, clés USB, rien. Si quelqu'un le fait, il bloque immédiatement le PC avec une touche bleue. écran de mort et envoie une alarme SMTP. Les seuls périphériques USB autorisés que nous autorisons sont Yubikeys et Iron Keys.

Nous exigeons que tous les téléphones intelligents Android soient synchronisés avec nos applications Google Apps. Compte, activer l’authentification par mot de passe et être chiffré. ”

• Michelle Schenker, propriétaire de Cover Story Media, souligne l'importance de changer fréquemment de mot de passe

«Changez fréquemment de mots de passe et utilisez toujours des mots de passe complexes et uniques pour tout ce que vous faites en ligne. Les mots de passe deviennent plus difficiles à décoder lorsqu'ils contiennent une grande variété de caractères. Il est généralement préférable d'incorporer des chiffres, des lettres, des lettres majuscules et des symboles à votre mot de passe. Les mots de passe doivent être difficiles à deviner et il est important qu'ils soient changés régulièrement. Il est conseillé de changer vos mots de passe en ligne une fois par mois afin de les maintenir dynamiques et de réduire les risques que quelqu'un accède à vos informations personnelles. “

• Kyle Marks, fondateur de Retire-IT, dit de se débarrasser de l'ancienne technologie en toute sécurité

«Lorsqu'une entreprise abandonne une technologie indésirable, elle fait face à des risques liés à la sécurité des données et à la conformité environnementale. Les menaces d'initiés de confiance et de vendeurs négligents augmentent le défi. Les entreprises doivent être conscientes des menaces à la sécurité des données associées à la mise à jour de l'informatique. "

• John S. Pitts, fondateur de Tekcetera, Inc., encourage l'utilisation de pare-feu et de VPN.

«Face au nombre croissant de pirates informatiques et de victimes d'usurpation d'identité, il est impératif de fournir à votre entreprise une protection fiable à l'aide de pare-feu. Ceux-ci peuvent être basés sur le logiciel ou sur le matériel et sont utilisés pour protéger un réseau. En fin de compte, les pare-feu analysent les paquets de données et déterminent les informations à autoriser, en fonction d'un ensemble de règles prédéterminé.

Les réseaux privés virtuels (VPN) assurent la sécurité via des protocoles de tunneling et des procédures de sécurité telles que le cryptage. Par exemple, un VPN pourrait être utilisé pour connecter en toute sécurité les succursales d'une organisation à un réseau de sièges sociaux via Internet public. "

• Alfea Principe, directeur du marketing mondial des services de recyclage de l'électronique, rappelle aux propriétaires de petites entreprises de recycler les ordinateurs en toute sécurité

"Un problème commun que les problèmes financiers et gouvernementaux ignorent est le dangers associés au non-recyclage des ordinateurs, des téléphones portables, des imprimantes et des fax machines, etc. correctement. Si ces composants électroniques ne sont pas démontés correctement et mettre entre de mauvaises mains, ces données très sensibles et confidentielles (crédit carte, informations bancaires, numéros de sécurité sociale, etc.) peuvent être extraites. "

• Michael Becce, Relations publiques du MRB, met en garde contre les enregistreurs de frappe

«La véritable menace pour les petites entreprises réside dans les enregistreurs de frappe. Keyloggers est une forme de les logiciels malveillants qui suivent chaque frappe sur votre clavier et le rendent disponible pour les pirates. La plupart des gens supposent que le produit anti-virus empêcher les enregistreurs de frappe d'accéder à leurs systèmes, après tout, il en est ainsi la boîte. La réalité est que les meilleurs produits anti-virus peuvent détecter moins de 25% des enregistreurs de frappe connus. De nombreux systèmes sont déjà infectés. Les enregistreurs de frappe suivent tout depuis votre identifiant Windows, vos formulaires bancaires, vos informations, courrier électronique, médias sociaux, même messagerie instantanée. Chaque petit les entreprises doivent supposer qu’au moins une personne de l’organisation a été frapper ou sera. Beaucoup de petites entreprises ont été complètement fermées déjà. Pour l'empêcher de voler vos frappes au clavier (et vos données, secrets, argent, etc.), utilisez un outil de chiffrement de frappe pour chiffrer chaque En appuyant sur les touches, les enregistreurs de frappe lisent de fausses données. ”

• Sid Haas, vice-président du développement des affaires chez LKCS, parle d’embaucher une entreprise de sécurité réseau tierce et d’organiser des formations.

«Nous engageons une société de sécurité réseau indépendante tierce pour effectuer des évaluations externes de la vulnérabilité de nos serveurs et de nos sites Web tous les six mois. Ces évaluations identifient des vulnérabilités de sécurité spécifiques en fonction du niveau de risque. Nous utilisons les informations contenues dans ces rapports d'évaluation pour atténuer autant de vulnérabilités que possible - à commencer par ceux identifiés comme présentant un risque élevé, mais également les éléments identifiés comme présentant un risque moyen ou faible.

Nous avons constaté que la cybersécurité concerne autant l’éducation et la formation que toutes ces autres étapes. Nous organisons des sessions annuelles de formation à la sécurité avec tous les employés et rappelons continuellement à tous nos employés les problèmes de sécurité, les escroqueries et les menaces tout au long de l'année par courrier électronique et petites affiches affichées dans nos locaux. "

• Doug Landoll, stratège en chef chez Lantego LLC, encourage les entreprises à vérifier régulièrement leur sécurité

«Nous examinons les contrôles administratifs, physiques et techniques actuels, aidons à remplir les enquêtes de sécurité et remettons la petite entreprise en conformité. Cela implique une inspection physique de la protection des systèmes et du stockage des données sensibles, l'élaboration de politiques de sécurité et verrouiller nos systèmes.

Les pirates informatiques prennent souvent pour cible les petites entreprises car elles anticipent des contrôles faibles. La probabilité que vos informations sensibles soient compromises pourrait être très probable. Pour un effort minimal, des contrôles de base peuvent être mis en place non seulement pour vous mettre en conformité, mais également pour protéger les informations sensibles de vos clients et augmenter leur satisfaction à l'égard de votre service. "

• Mark J. Sexton, propriétaire de Nevada Medical Security Technologies, parle de l'importance de la formation du personnel

«Quand on parle de cybersécurité pour les petites entreprises, l'objectif principal est de sensibiliser le propriétaire de l'entreprise et son personnel à la sécurité. Vous ne pouvez pas protéger ce que vous ignorez. Par conséquent, il est essentiel de bien connaître la nature de la cybercriminalité et les méthodes que les malfaiteurs utilisent pour obtenir des informations protégées, de l'argent ou des avoirs. Une fois que les gens comprennent comment les voleurs utilisent la technologie pour voler, ils peuvent alors examiner leurs propres systèmes et processus et voir s’il manque des lacunes ou des lacunes.

Des éléments de base tels que l’utilisation de mots de passe complexes et leur modification régulière, la mise à jour des systèmes et des logiciels antivirus.Utiliser régulièrement une application d'analyse des logiciels malveillants et des logiciels espions sur leurs systèmes. Éduquer le personnel sur l'utilisation appropriée de la technologie et sur le fonctionnement des attaques de phishing et d'ingénierie sociale, définir des règles relatives à l'utilisation appropriée des ordinateurs professionnels et ne pas autoriser les utilisateurs à être des administrateurs à part entière de leurs systèmes constituent le fruit à portée de main. Les droits administratifs sont très importants. Si les utilisateurs peuvent installer des logiciels, ils peuvent devenir un lien d'attaque ou autoriser l'utilisation d'un logiciel enregistreur de clé et d'autres logiciels malveillants sur leurs systèmes et potentiellement sur tous les systèmes de l'entreprise.

En fin de compte, tout est une question de connaissance et d’information. Il est presque impossible de compenser les mauvaises pratiques informatiques des employés et, par conséquent, la formation devient la clé. "