Technologie et cyber

À propos

Services

Ressources

Contactez-nous

##Title##

tag-dynamic

Tag-dynamic

Si vous ne croyez pas que votre entreprise ait &eacute;t&eacute; victime d&rsquo;une cyberattaque, c&rsquo;est que votre &eacute;quipe de s&eacute;curit&eacute; TI fait un excellent travail. En fait, il ne s&rsquo;agit pas de d&eacute;terminer &laquo; si &raquo; une entreprise sera victime d&rsquo;une attaque, mais bien &laquo; quand &raquo;. La cybers&eacute;curit&eacute; ne repose pas uniquement sur les &eacute;paules de votre &eacute;quipe de TI. C&rsquo;est la responsabilit&eacute; de tous et toutes. Voici un glossaire de termes pour aider tout le personnel &agrave; peaufiner ses connaissances terminologiques en cybers&eacute;curit&eacute;. Plus vous en saurez, plus vous pourrez en faire pour att&eacute;nuer les cyberrisques.

25 Termes de cybersécurité que votre équipe de sécurité TI ne devrait pas être seule à connaître

L'hame&ccedil;onnage est une technique par laquelle les cybercriminels envoient de faux courriels, messages textes ou sites Web qui ressemblent &agrave; s'y m&eacute;prendre &agrave; une correspondance l&eacute;gitime afin de tromper les employ&eacute;s et d'acc&eacute;der aux syst&egrave;mes informatiques ou aux renseignements de l'entreprise.
Principales caract&eacute;ristiques: &bull; Tente d'inciter une r&eacute;action rapide de votre part; &bull; Fournit un lien vers un site Web distinct; &bull; Vous demande g&eacute;n&eacute;ralement de &laquo; mettre &agrave; jour &raquo;, de &laquo; valider &raquo; ou de &laquo; confirmer &raquo; des renseignements personnels; &bull; Imite souvent un exp&eacute;diteur official (par exemple, votre entreprise, le gouvernement ou une institution financi&egrave;re)<a rel="noreferrer noopener" href="https://cdn-ca.aglty.io/sovereign-2/articles-and-tools/tools/Spot-a-Phish-Infographic_FR-copy.pdf" target="_blank"></a>

Repérez les tentatives d'hameçonnage, Protégez votre entreprise

Suivez ces six conseils pour choisir une plateforme de vid&eacute;oconf&eacute;rence s&eacute;curitaire et s&eacute;curiser votre webcam.

Cyberespionnage : utilisation sécuritaire des webcams et des plateformes de vidéoconférence

Dans la foul&eacute;e de l'intensification rapide du t&eacute;l&eacute;travail, suivez ces conseils pour r&eacute;duire les menaces.<a rel="noreferrer noopener" href="http://resources.anchorrs.com/wp-content/uploads/2021/12/Risks-of-Remote-Employee_Tip-Sheet_FR.pdf" data-type="URL" data-id="http://resources.anchorrs.com/wp-content/uploads/2021/12/Risks-of-Remote-Employee_Tip-Sheet_FR.pdf" target="_blank"></a>

Sept conseils pour protéger votre enterprise contre les risques du télétravail

Suivez ces cinq conseils pour aider &agrave; renforcer les cyberd&eacute;fenses de votre entreprise, prot&eacute;ger vos employ&eacute;s contre la r&eacute;ception de contenu malveillant et renforcer vos d&eacute;fenses en informant en permanence vos employ&eacute;s des meilleures pratiques de s&eacute;curit&eacute; et d&rsquo;escroqueries.

Cinq façons de renforcer votre stratégie de sécurité informatique avec la formation des employés

L&rsquo;une des meilleures mani&egrave;res d&rsquo;assurer la protection des donn&eacute;es des employ&eacute;s et de l&rsquo;entreprise est d&rsquo;utiliser un r&eacute;seau priv&eacute; virtuel (VPN). Une connexion VPN permet de prot&eacute;ger les t&eacute;l&eacute;travailleurs de cinq fa&ccedil;ons :
<figure class="wp-block-image size-large"><img src="https://cdn-ca.aglty.io/sovereign-2/articles-and-tools/tools/5-Reasons-to-offer-VPN_Tip-Sheet_FRENCH.jpg" alt="" class="wp-image-7308"></figure>

Cinq raisons de mettre en place une connexion VPN pour les employés qui travaillent à distance

Bien que les entreprises prennent de plus en plus conscience des dangers du piratage psychologique, il est important de faire constamment preuve de vigilance parce que les tactiques continuent d&rsquo;&eacute;voluer. Par exemple, l&rsquo;hame&ccedil;onnage demeure une menace qui peut sans aucun doute avoir des r&eacute;percussions importantes, mais celles-ci se limitent g&eacute;n&eacute;ralement &agrave; une entreprise. En revanche, la fraude au fournisseur est une tactique &eacute;mergente de piratage psychologique qui porte atteinte non seulement &agrave; une entreprise, mais aussi &agrave; l&rsquo;ensemble de la cha&icirc;ne d&rsquo;approvisionnement. Ces types de fraudes sont de plus en plus fr&eacute;quentes, car elles sont potentiellement plus payantes pour les fraudeurs. Selon Armen Najarian, responsable de la protection contre le vol d&rsquo;identit&eacute; au groupe Agari Cyber Intelligence Division (ACID), &laquo; en moyenne, une fraude au pr&eacute;sident g&eacute;n&egrave;re habituellement entre 50 000 $ et 55 000 $, mais une fraude au fournisseur bien orchestr&eacute;e rapporte plus du double, soit environ 125 000 $ &raquo;. 1Agari affirme que &laquo; la fraude au fournisseur est susceptible de devancer la fraude au pr&eacute;sident et de devenir la plus importante fraude financi&egrave;re durant l&rsquo;ann&eacute;e 2020 &raquo;.2C&rsquo;est pourquoi il est tr&egrave;s important de surveiller la fraude au fournisseur et de sensibiliser ad&eacute;quatement les employ&eacute;s &agrave; ce sujet, surtout ceux qui re&ccedil;oivent et traitent des factures. Voici ce que vous devez savoir pour pr&eacute;venir la fraude au fournisseur dans votre entreprise.
<h3>Qu&rsquo;est-ce qu&rsquo;une fraude au fournisseur ?</h3>
Une fraude au fournisseur consiste &agrave; prendre le contr&ocirc;le du compte de courrier &eacute;lectronique d&rsquo;un fournisseur. Le fraudeur produit une facture ou un document de facturation quasi identique &agrave; celui du fournisseur et l&rsquo;envoie aux soci&eacute;t&eacute;s clientes de celui-ci, souvent plus grandes, en y int&eacute;grant de nouvelles donn&eacute;es bancaires dans l&rsquo;espoir de d&eacute;tourner les paiements vers lui. Les comptes de destination appartiennent souvent au fraudeur, qui les utilise pour rassembler des fonds provenant de plusieurs cibles sans laisser de trace &eacute;crite pouvant conduire &agrave; lui.
<h3>Comment les fraudeurs s&rsquo;y prennent-ils?</h3>
<ul>
<li>Le groupe de fraudeurs envoie aux employ&eacute;s du fournisseur des courriels d&rsquo;hame&ccedil;onnage contenant un lien malveillant.</li>
<li>Lorsqu&rsquo;un employ&eacute; du fournisseur clique sur ce lien, il est redirig&eacute; vers une page-app&acirc;t qui l&rsquo;invite &agrave; ouvrir une session au moyen de ses authentifiants.</li>
<li>Le fraudeur se sert de ces donn&eacute;es pour cr&eacute;er une r&egrave;gle qui acheminera vers son compte de courrier &eacute;lectronique tous les courriels re&ccedil;us par l&rsquo;employ&eacute; en question</li>
<li>Le fraudeur surveille alors sa bo&icirc;te de r&eacute;ception, &agrave; la recherche de courriels concernant une facture ou un paiement.</li>
<li>S&rsquo;il remarque un courriel qui contient une facture ou un paiement, il reproduit le document en y int&eacute;grant de nouvelles donn&eacute;es bancaires pointant vers un compte qui lui appartient (souvent un compte de passeur/mule).</li>
<li>Le client cibl&eacute; n&rsquo;est jamais hame&ccedil;onn&eacute; ni directement contact&eacute;.</li>
<li>Le client du fournisseur effectue un paiement dans le compte bancaire du fraudeur en croyant que la facture re&ccedil;ue par courriel provient de son fournisseur.</li>
</ul>
<h3>Quelques indices:</h3>
<ul>
<li>Demande urgente de modification des donn&eacute;es bancaires ou des directives de paiement.</li>
<li>Mise &agrave; jour des donn&eacute;es bancaires ou de paiement juste avant le cycle de paiement habituel.</li>
<li>Demande d&rsquo;un seul virement ou transfert &eacute;lectronique de fonds vers une banque ou un compte diff&eacute;rent.</li>
<li>Facture re&ccedil;ue d&rsquo;une adresse courriel pouvant &ecirc;tre fausse ou d&rsquo;apparence suspecte.</li>
<li>Facture re&ccedil;ue d&rsquo;un repr&eacute;sentant du fournisseur qui n&rsquo;a pas l&rsquo;habitude d&rsquo;envoyer des factures ou que vous ne reconnaissez pas.</li>
</ul>
<h3>Techniques de pr&eacute;vention:</h3>
<ul>
<li>Demandez la confirmation des nouvelles donn&eacute;es bancaires ou de paiement par un autre moyen:
<ul>
<li>Num&eacute;ro de t&eacute;l&eacute;phone inscrit sur le formulaire original d&rsquo;admission du contrat ou publi&eacute; sur le site Web de l&rsquo;entreprise (et non celui qui figure dans le courriel potentiellement compromis).</li>
<li>Adresse courriel du m&ecirc;me domaine (@entrepriseXYZ.com) qui n&rsquo;est pas fournie dans le courriel frauduleux.</li>
</ul>
</li>
<li>Pensez &agrave; faire v&eacute;rifier les nouvelles donn&eacute;es de paiement par un autre membre de l&rsquo;&eacute;quipe afin d&rsquo;accro&icirc;tre les probabilit&eacute;s de reconna&icirc;tre des renseignements inhabituels ou suspects.</li>
<li>Recommandez &agrave; vos fournisseurs ces mesures de pr&eacute;vention :
<ul>
<li>Refuser toute r&egrave;gle de r&eacute;exp&eacute;dition automatique des courriels.</li>
<li>V&eacute;rifier que tout le personnel a suivi une formation sur l&rsquo;hame&ccedil;onnage ou les courriels suspects.</li>
</ul>
</li>
</ul>
Sources
1Townsend, K. (2019, November 4).&nbsp; <a href="https://www.securityweek.com/vendor-email-compromise-latest-identity-deception-attack" target="_blank" rel="noreferrer noopener">Vendor Email Compromise is Latest Identity Deception Attack</a>. [consult&eacute; le 11 mars 2020] 2Townsend, K. (2019, November 4).&nbsp; <a href="https://www.securityweek.com/vendor-email-compromise-latest-identity-deception-attack" target="_blank" rel="noreferrer noopener">Vendor Email Compromise is Latest Identity Deception Attack.</a>&nbsp;[consult&eacute; le 11 mars 2020]

Comprendre la fraude au fournisseur

Malgr&eacute; le qualificatif qui les accompagne, les &laquo; cyberrisques silencieux &raquo; font beaucoup parler d&rsquo;eux dans le secteur de l&rsquo;assurance des entreprises.
<h3>Qu&rsquo;entend-on par &laquo; cyberrisques silencieux &raquo; ? </h3>
La notion de cyberrisques silencieux, ou &laquo; non affirmatifs &raquo;, d&eacute;signe les pertes li&eacute;es aux cybertechnologies qui d&eacute;coulent de polices d&rsquo;assurance non sp&eacute;cifiquement con&ccedil;ues pour couvrir les cyberrisques. Le cyberrisque n&rsquo;est pas explicitement inclus dans ces polices, mais n&rsquo;en est pas explicitement exclu non plus, ce qui cr&eacute;e de l&rsquo;ambigu&iuml;t&eacute; et peut faire en sorte que la couverture devienne mati&egrave;re &agrave; interpr&eacute;tation. Une police de cyberassurance autonome, par contre, d&eacute;finit clairement ce qui est couvert (couverture affirmative). C&rsquo;est le cas des polices d&rsquo;assurance relatives &agrave; la vie priv&eacute;e, aux pertes d&rsquo;exploitation et aux extorsions, pour ne nommer que celles-l&agrave;.
<h3>Pourquoi les &laquo; cyberrisques silencieux &raquo; soul&egrave;vent-ils des pr&eacute;occupations ? </h3>
Bien que les cyberrisques silencieux ne constituent pas un nouveau concept, ils attirent davantage l&rsquo;attention depuis la mont&eacute;e du cybercrime et du co&ucirc;t des attaques. En termes simples, les entreprises n&rsquo;ont pas les moyens de se contenter d&rsquo;une cyberprotection inad&eacute;quate ou ambigu&euml;.&nbsp; Selon l&rsquo;&eacute;tude &laquo; Cost of Cybercrime &raquo; r&eacute;alis&eacute;e par Accenture et le Ponemon Institute en 2019, le co&ucirc;t moyen du cybercrime pour une entreprise canadienne s&rsquo;&eacute;levait &agrave; 12,1 M$ en 2018. 1&nbsp;&Agrave; l&rsquo;&eacute;chelle internationale, six entreprises sur sept (85 %) ont fait l&rsquo;objet de cyberattaques d&rsquo;ing&eacute;nierie sociale et d&rsquo;hame&ccedil;onnage en 2018 et les trois quarts (76 %) ont subi des attaques provenant du Web. Cybersecurity Ventures pr&eacute;voit que le co&ucirc;t du cybercrime &agrave; l&rsquo;&eacute;chelle mondiale, qui se chiffrait &agrave; 3 billions de dollars en 2015, atteindra les 6 billions de dollars d&rsquo;ici 2021. 2 De plus, la plus r&eacute;cente enqu&ecirc;te mondiale de PwC sur la fraude et les crimes &eacute;conomiques r&eacute;v&egrave;le que le cybercrime fait partie des trois formes de crimes ayant entra&icirc;n&eacute; le plus de perturbations dans presque toutes les industries vis&eacute;es par l&rsquo;enqu&ecirc;te. 3 Dans la foul&eacute;e de l&rsquo;augmentation de la fr&eacute;quence, de l&rsquo;ampleur et des co&ucirc;ts des attaques, les pr&eacute;occupations entourant les cyberrisques silencieux s&rsquo;accentuent. Il est plus important que jamais que les titulaires de police comprennent leur couverture pour &eacute;viter de se retrouver dans une posture o&ugrave; ils croient d&eacute;tenir des garanties ad&eacute;quates alors que ce n&rsquo;est peut-&ecirc;tre pas le cas. Une police cyber autonome peut les aider &agrave; r&eacute;duire toute &eacute;ventuelle lacune &agrave; l&rsquo;&eacute;gard de leur protection.
<h3>Y a-t-il une r&eacute;glementation sur les cyberrisques silencieux ?</h3>
Le Royaume-Uni a &eacute;t&eacute; le premier grand march&eacute; &agrave; prendre une position ferme sur les cyberrisques silencieux. L&rsquo;an dernier, la Prudential Regulation Authority (qui fait partie de la Banque d&rsquo;Angleterre) a demand&eacute; au Lloyd&rsquo;s de Londres et &agrave; l&rsquo;industrie de l&rsquo;assurance dans son ensemble de veiller &agrave; la gestion des cyberrisques affirmatifs et non affirmatifs (silencieux). Par la suite, le Lloyd&rsquo;s a annonc&eacute; qu&rsquo;il rendait obligatoire l&rsquo;ajout de pr&eacute;cisions dans toutes les polices non affirmatives &agrave; l&rsquo;&eacute;gard de la cyberprotection en excluant ou en accordant une couverture affirmative.&nbsp;&nbsp; De plus, du c&ocirc;t&eacute; des titulaires de polices, l&rsquo;agence de notation internationale A.M. Best a dit &laquo; s&rsquo;attendre &agrave; ce que les entreprises se montrent proactives et franches &agrave; l&rsquo;&eacute;gard de leur propre &eacute;valuation et de leur propre mesure de leurs risques de cyberresponsabilit&eacute;, ainsi que de l&rsquo;accumulation des risques de cet ordre les concernant &raquo;.4 Bien qu&rsquo;aucune r&eacute;glementation n&rsquo;ait encore &eacute;t&eacute; d&eacute;pos&eacute;e en la mati&egrave;re au Canada, les assureurs se penchent sur des fa&ccedil;ons d&rsquo;int&eacute;grer des garanties par l&rsquo;entremise de toutes les polices, et non seulement des polices visant express&eacute;ment les cyberrisques.&nbsp;
<h3>Que peuvent faire les compagnies d&rsquo;assurance pour &eacute;viter les lacunes de couverture &eacute;ventuelles ?</h3>
Les courtiers et les souscripteurs d&rsquo;assurance des biens des entreprises doivent &ecirc;tre plus conscients des enjeux li&eacute;s aux cyber&eacute;v&eacute;nements. Cela commence par des &eacute;valuations des risques d&eacute;taill&eacute;s pour comprendre clairement les vuln&eacute;rabilit&eacute;s particuli&egrave;res d&rsquo;une organisation. Par exemple, une usine industrielle peut avoir conscience de ses risques d&rsquo;explosion de chaudi&egrave;re, mais ce type d&rsquo;&eacute;v&eacute;nement pourrait aussi survenir dans le cadre d&rsquo;une cyberattaque. L&rsquo;usine pourrait &ecirc;tre cibl&eacute;e par un cybervirus qui d&eacute;sactiverait les syst&egrave;mes de commande de s&eacute;curit&eacute; essentiels li&eacute;s &agrave; la proc&eacute;dure op&eacute;rationnelle d&rsquo;une chaudi&egrave;re, exposant ainsi l&rsquo;installation &agrave; une &eacute;ventuelle explosion. Cela pourrait entra&icirc;ner une importante perturbation des op&eacute;rations quotidiennes de l&rsquo;usine, sans parler de la gravit&eacute; des risques pour la s&eacute;curit&eacute; de la population. L&rsquo;&eacute;ducation est un facteur cl&eacute; pour tous les courtiers et tous les souscripteurs, qu&rsquo;ils soient sp&eacute;cialis&eacute;s en RC &agrave; l&rsquo;&eacute;gard des biens ou dans d&rsquo;autres types de risques : administrateurs et dirigeants, d&eacute;lits, environnement et autres segments d&rsquo;assurance des entreprises. L&rsquo;augmentation des cyberrisques se poursuit et dans cette optique, la n&eacute;cessit&eacute; de se procurer des garanties explicites se fait aussi plus pressante. Les polices cyber autonomes contribuent &agrave; r&eacute;duire les &eacute;ventuelles lacunes de couverture. Si vous n&rsquo;&ecirc;tes pas certain que vos op&eacute;rations sont enti&egrave;rement couvertes, communiquez avec votre courtier d&egrave;s aujourd&rsquo;hui.
Sources
1 <a rel="noreferrer noopener" href=" https://www.accenture.com/_acnmedia/pdf-96/accenture-2019-cost-of-cybercrime-study-final.pdf" target=" _blank">The Ninth Annual Cost of Cybercrime</a> Study 2019 d&rsquo;Accenture et du Ponemon Institute 22020 <a href=" https://www.herjavecgroup.com/the-2019-official-annual-cybercrime-report/">Official Annual Cybercrime Report</a> de Cybersecurity Ventures commandit&eacute; par le groupe Herjavec 3 <a href=" https://www.pwc.com/gx/en/services/forensics/economic-crime-survey.html">Enqu&ecirc;te mondiale de 2020 sur la fraude et les crimes &eacute;conomiques de PwC </a> 4Moorcraft, B. (2018, November 26). <a rel=" noreferrer noopener" href="https://www.insurancebusinessmag.com/ca/guides/what-is-silent-cyber-risk-117152.aspx" target=" _blank">What is silent cyber risk?</a>&nbsp;Consult&eacute; le 19 mai 2020

La montée et les risques des cyberrisques silencieux

Malgr&eacute; l&rsquo;&eacute;mergence des technologies d&rsquo;automatisation et d&rsquo;intelligence artificielle, la grande majorit&eacute; des activit&eacute;s commerciales reposent sur une forme d&rsquo;interaction ou de connexion entre des personnes. Les employ&eacute;s repr&eacute;sentent le plus grand atout des entreprises, mais restent &eacute;galement le maillon faible de chaque organisation en mati&egrave;re de d&eacute;fense contre les cyberattaques. Vous pouvez mettre en &oelig;uvre la technologie de pare-feu la plus r&eacute;cente et employer un directeur des syst&egrave;mes d&rsquo;information exceptionnel, si tous les membres du personnel ne sont pas au courant des types d&rsquo;escroqueries que les cybercriminels tentent de mettre en &oelig;uvre, il est probable que votre organisation puisse &ecirc;tre victime d&rsquo;une attaque d'ing&eacute;nierie sociale.
<h3>Qu'est-ce que l'ing&eacute;nierie sociale?</h3>
En termes simples, l'ing&eacute;nierie socialeest une forme de manipulation psychologique qui cible l'utilisateur plut&ocirc;t que l'ordinateur lui-m&ecirc;me - et qui s'av&egrave;re tr&egrave;s efficace pour les cybercriminels. Elle se sert de nos caract&eacute;ristiques humaines universelles de peur, de confiance et de conformit&eacute; pour acc&eacute;der &agrave; l'information, le tout sans pirater de syst&egrave;me ni d&eacute;chiffrer de code ou de mot de passe.
<blockquote>
Votre premi&egrave;re ligne de d&eacute;fense peut consister &agrave; investir dans un logiciel antivirus et un pare-feu (mat&eacute;riel et logiciel) dot&eacute;s de fonctionnalit&eacute;s de d&eacute;tection des intrusions - cela serait d&eacute;j&agrave; un tr&egrave;s bon d&eacute;but. Mais ces dispositifs ne vous prot&eacute;geront pas des d&eacute;faillances humaines, comme un manque d'attention port&eacute; aux d&eacute;tails ou une nature trop confiante.
</blockquote>
<h3>R&eacute;percussions sur votre entreprise</h3>
Si les organisations ne prennent pas de mesures pour &eacute;duquer et former leurs employ&eacute;s sur les tactiques d'ing&eacute;nierie sociale, il est plus probable qu'elles soient victimes d'escroquerie, qu'elles soient pirat&eacute;es, qu'elles subissent une atteinte aux donn&eacute;es et qu'elles deviennent victimes de virements &eacute;lectroniques frauduleux. Ces &eacute;v&eacute;nements peuvent &ecirc;tre extr&ecirc;mement co&ucirc;teux et nuire &agrave; la r&eacute;putation de l'entreprise. Et cela peut se r&eacute;p&eacute;ter si les m&eacute;chants trouvent la &laquo; bonne victime &raquo;. En plus des incidences financi&egrave;res, &ecirc;tre victime d'une arnaque n'est pas agr&eacute;able et peut affecter &eacute;motionnellement vos employ&eacute;s.
<h3>Tactiques d'hame&ccedil;onnage</h3>
L&rsquo;hame&ccedil;onnage est une technique par laquelle les cybercriminels envoient de faux courriels, textes ou sites Web qui ressemblent &agrave; de la correspondance l&eacute;gitime pour manipuler les employ&eacute;s afin d'acc&eacute;der aux syst&egrave;mes ou aux informations de l'entreprise. Des tactiques d'ing&eacute;nierie sociale sont utilis&eacute;es pour exploiter les &eacute;motions des employ&eacute;s afin d'avoir acc&egrave;s &agrave; des renseignements cibl&eacute;s.
Un hame&ccedil;onnage se produit g&eacute;n&eacute;ralement lorsqu'un pirate informatique met la main sur la structure des adresses &eacute;lectroniques d'une organisation, pour ensuite g&eacute;n&eacute;rer une liste de noms d'employ&eacute;s de l'entreprise, g&eacute;n&eacute;ralement sur LinkedIn ou sur le site Web de l'entreprise.
De m&ecirc;me, un cybercriminel pourrait obtenir les informations de connexion de l'adresse de messagerie d'un dirigeant de l'entreprise et envoyer des courriels aux employ&eacute;s directement &agrave; partir de ce compte. Il pourrait alors demander des renseignements confidentiels, ou encore leur demander d&rsquo;envoyer des virements &eacute;lectroniques au nom de la soci&eacute;t&eacute;. Dans de nombreux cas, l&rsquo;employ&eacute; recevant ce message &eacute;lectronique estimera que la demande est l&eacute;gitime et fournira les renseignements confidentiels ou virera les fonds.
Une autre forme d'hame&ccedil;onnage prend la forme de courriels envoy&eacute;s par des pirates - qui semblent &agrave; nouveau provenir d&rsquo;une adresse &eacute;lectronique l&eacute;gitime - contenant un lien ou une pi&egrave;ce jointe.
Ce lien peut avoir diff&eacute;rentes fonctions : il peut rediriger vers une page Web comportant un formulaire leur demandant de fournir des renseignements personnels, il peut inclure des logiciels espions pour recueillir des renseignements sur la soci&eacute;t&eacute; (et ses employ&eacute;s et clients) ou comprendre un ran&ccedil;ongiciel en pi&egrave;ce jointe qui s&rsquo;active apr&egrave;s le t&eacute;l&eacute;chargement. Ce fichier chiffrera les fichiers pr&eacute;sents sur l'ordinateur de l'utilisateur et ne les d&eacute;chiffrera que lorsqu'une ran&ccedil;on sera vers&eacute;e sur le compte bancaire du criminel.
<h3>Conseils pour prot&eacute;ger votre entreprise</h3>
L'ing&eacute;nierie sociale peut &ecirc;tre pr&eacute;venue par le biais de la formation des employ&eacute;s. Votre premi&egrave;re ligne de d&eacute;fense peut consister &agrave; investir dans un logiciel antivirus et un pare-feu (mat&eacute;riel et logiciel) dot&eacute;s de fonctionnalit&eacute;s de d&eacute;tection des intrusions - cela serait d&eacute;j&agrave; un tr&egrave;s bon d&eacute;but. Mais ces dispositifs ne vous prot&eacute;geront pas des d&eacute;faillances humaines, comme un manque d'attention port&eacute; aux d&eacute;tails ou une nature trop confiante. C'est pourquoi il est si important de former les employ&eacute;s sur l'ing&eacute;nierie sociale et l&rsquo;hame&ccedil;onnage, ainsi que sur les tactiques particuli&egrave;res auxquelles ils doivent porter attention. Cela peut aider &agrave; favoriser une culture dans laquelle les employ&eacute;s sont alertes et prudents avec les informations, tant en ligne qu'en personne.
Encouragez les employ&eacute;s &agrave; suivre la d&eacute;marche ci-dessous pour r&eacute;duire les risques d'ing&eacute;nierie sociale au sein de votre organisation:
<ul>
<li>&Eacute;vitez d'ouvrir des courriels provenant d'adresses inconnues.</li>
<li>Cr&eacute;ez des mots de passe plus complexes et plus longs - et changez-les r&eacute;guli&egrave;rement.</li>
<li>&Eacute;vitez les sites Web ainsi que les applications Web et pour t&eacute;l&eacute;phones intelligents qui ne sont pas dignes de confiance.</li>
<li>R&eacute;duisez le nombre de donn&eacute;es biographiques que vous divulguez en ligne (par exemple, votre date de naissance sur les m&eacute;dias sociaux).</li>
<li>En ligne, ne fr&eacute;quentez que des sites de confiance.</li>
<li>Ne cliquez pas sur les liens qui vous sont envoy&eacute;s. Ouvrez plut&ocirc;t la page Web manuellement en saisissant l'adresse pour vous assurer que vous vous rendez sur un site l&eacute;gitime et non sur un site d&rsquo;hame&ccedil;onnage.</li>
<li>D&eacute;connectez-vous de Facebook et des autres r&eacute;seaux sociaux lorsque vous ne les utilisez pas et avant de fermer la fen&ecirc;tre de votre navigateur.</li>
<li>Ne choisissez pas &laquo; enregistrer mon mot de passe &raquo; ou &laquo; se souvenir de moi &raquo; lorsque vous vous connectez &agrave; n'importe quel type de compte, car ces donn&eacute;es d'identification peuvent &ecirc;tre vol&eacute;es par des pirates.</li>
<li>Respectez le protocole de la soci&eacute;t&eacute; en cas de &laquo; nouveau fournisseur/changement de compte &raquo; pour v&eacute;rifier l'identit&eacute; des clients avant d'envoyer des virements &eacute;lectroniques d&eacute;passant un seuil pr&eacute;d&eacute;termin&eacute;. Cela pourrait impliquer d&rsquo;imposer aux employ&eacute;s d'appeler les fournisseurs (en utilisant le num&eacute;ro de t&eacute;l&eacute;phone inscrit dans vos dossiers et non celui qui est inscrit sur le courriel) avant de proc&eacute;der au virement.</li>
</ul>

Ingénierie sociale : votre entreprise est menacée par des fautes humaines

Dans tous les secteurs, les cyberattaques pr&eacute;occupent de plus en plus les organisations &ndash; et avec raison. &Agrave; l&rsquo;&eacute;chelle mondiale, le nombre moyen d&rsquo;atteintes &agrave; la s&eacute;curit&eacute; subies par des entreprises dans la derni&egrave;re ann&eacute;e a augment&eacute; de 11 %, passant de 130 &agrave; 145, r&eacute;v&egrave;le l&rsquo;&eacute;tude sur les co&ucirc;ts du cybercrime r&eacute;alis&eacute;e en 2019 par Accenture et le Ponemon Institute. 1&nbsp;Ces co&ucirc;ts se multiplient &agrave; mesure qu&rsquo;augmente le nombre d&rsquo;attaques : selon CyberSecurity Ventures, les pertes mondiales li&eacute;es aux cyberattaques atteindront les 6 billions $ US d&rsquo;ici 2021, comparativement &agrave; 3 billions $ US en 2015.&nbsp; 2 D&rsquo;apr&egrave;s un nouveau rapport d&rsquo;Aon intitul&eacute; &laquo; Prepare for the expected: Safeguarding value in the era of cyber risk &raquo; 3&nbsp;les entreprises subissent des pertes financi&egrave;res sous la forme de d&eacute;penses li&eacute;es &agrave; des crises imm&eacute;diates, d&rsquo;amendes r&eacute;glementaires et de pertes de revenus dues &agrave; la perturbation de leurs activit&eacute;s. Sans compter les risques pour leur r&eacute;putation, puisqu&rsquo;une attaque peut &eacute;roder leur valeur marchande, an&eacute;antir la fid&eacute;lit&eacute; &agrave; leur marque et restreindre leur transformation num&eacute;rique, note le rapport d&rsquo;Aon. Les entreprises investissent judicieusement dans la cybers&eacute;curit&eacute; (CyberSecurity Ventures pr&eacute;voit des d&eacute;penses de plus de 1 billion $ US de 2017 &agrave; 2021), mais aucune mesure n&rsquo;est radicalement efficace. Il est donc crucial d&rsquo;&eacute;tablir un plan de cyberr&eacute;silience pour savoir comment votre organisation r&eacute;sistera en cas de cyberattaque ou d&rsquo;atteinte &agrave; la protection des donn&eacute;es, comment elle interviendra et comment se d&eacute;roulera la reprise de ses activit&eacute;s. Les plans de cyberr&eacute;silience diff&egrave;rent d&rsquo;une organisation &agrave; l&rsquo;autre, mais tous ont en commun la n&eacute;cessit&eacute; d&rsquo;&ecirc;tre test&eacute;s. Une simulation de crise permet aux organisations d&rsquo;&eacute;valuer la rapidit&eacute; et l&rsquo;efficacit&eacute; de leur r&eacute;action et de leur intervention &agrave; l&rsquo;&eacute;gard des divers cyberrisques. Comme le fait remarquer Deloitte dans son rapport &laquo; Cinq &eacute;tapes essentielles pour am&eacute;liorer la cybers&eacute;curit&eacute; &raquo;4 la plupart des organisations ont mis en place un processus de gestion des incidents li&eacute;s &agrave; la s&eacute;curit&eacute;, mais rares sont celles qui l&rsquo;ont test&eacute;.
<figure class="wp-block-pullquote">
<blockquote>
&Agrave; l&rsquo;&eacute;chelle mondiale, le nombre moyen d&rsquo;atteintes &agrave; la s&eacute;curit&eacute; subies par des entreprises dans la derni&egrave;re ann&eacute;e a augment&eacute; de 11 %, passant de 130 &agrave; 145, r&eacute;v&egrave;le l&rsquo;&eacute;tude sur les co&ucirc;ts du cybercrime r&eacute;alis&eacute;e en 2019 par Accenture et le Ponemon Institute 1 
</blockquote>
</figure>
Le rapport fait &eacute;tat de questions cl&eacute;s que les organisations doivent se poser, par exemple : &laquo; Avec qui y a-t-il lieu de communiquer pendant et apr&egrave;s un incident? &raquo; et &laquo; Quel temps vous faudra-t-il pour rem&eacute;dier &agrave; une violation de s&eacute;curit&eacute; et r&eacute;tablir les activit&eacute;s normales de l&rsquo;organisation? &raquo; &laquo; Cependant, trouver les r&eacute;ponses n&rsquo;est qu&rsquo;un &eacute;l&eacute;ment de l&rsquo;&eacute;quation, peut-on lire dans le rapport. Il est primordial de les tester. &raquo;
<h3>Voici quatre pratiques exemplaires pour tester votre plan de cyberr&eacute;silience.</h3>
<ul>
<li>Assurez-vous que tout le monde est sur la m&ecirc;me longueur d&rsquo;onde: &nbsp;Comme dans toute initiative d&rsquo;envergure, le soutien de la direction repr&eacute;sente la premi&egrave;re &eacute;tape indispensable pour cr&eacute;er et tester un plan de cyberr&eacute;silience. Comme le constate un sp&eacute;cialiste de la cybers&eacute;curit&eacute;, sans l&rsquo;appui de la direction, il est impossible pour les responsables de la cybers&eacute;curit&eacute; de planifier une d&eacute;fense efficace contre les menaces.5 De plus, comme la cybers&eacute;curit&eacute; est l&rsquo;affaire de tout le monde, tous les employ&eacute;s de l&rsquo;organisation doivent &ecirc;tre inform&eacute;s du plan et conna&icirc;tre leurs r&ocirc;les et responsabilit&eacute;s.</li>
<li>R&eacute;alisez une analyse de vuln&eacute;rabilit&eacute;: &nbsp; En informatique, une vuln&eacute;rabilit&eacute; s&rsquo;entend d&rsquo;une faiblesse que peuvent exploiter les cyberattaquants dans un appareil ou un syst&egrave;me. Par une analyse (ou &eacute;valuation) des vuln&eacute;rabilit&eacute;s, les entreprises peuvent identifier les maillons les plus faibles et les plus susceptibles d&rsquo;&ecirc;tre cibl&eacute;s dans leur syst&egrave;me et, par cons&eacute;quent, les plus pertinents dans le plan de cyberr&eacute;silience. 6</li>
<li>Menez des simulations de cyberattaques:&nbsp;Comme le souligne Deloitte, les simulations de cyberattaques sont des techniques interactives qui plongent les participants dans un sc&eacute;nario d&rsquo;attaque simul&eacute; dans le but d&rsquo;aider l&rsquo;organisation &agrave; &eacute;valuer sa r&eacute;action et son &eacute;tat de pr&eacute;paration. Par exemple, les organisations pourraient vouloir tester leurs d&eacute;fenses par rapport aux courriels d&rsquo;hame&ccedil;onnage, des courriels frauduleux ayant pour but d&rsquo;amener les employ&eacute;s &agrave; transmettre &agrave; leur insu des mots de passe, des renseignements financiers ou des pi&egrave;ces jointes malveillantes (documents d&rsquo;apparence l&eacute;gitime qui cachent en fait un virus ou un logiciel malveillant).</li>
<li>R&eacute;&eacute;valuez votre plan et am&eacute;liorez-le:&nbsp;&laquo; Il est inutile de proc&eacute;der &agrave; des attaques simul&eacute;es si ce n&rsquo;est pas pour optimiser les processus d&rsquo;intervention en cas d&rsquo;incident &raquo;, d&eacute;clare un autre sp&eacute;cialiste de la cybers&eacute;curit&eacute;.7 D&eacute;terminez ce qui a bien fonctionn&eacute; et ce qui n&rsquo;a pas fonctionn&eacute; dans votre plan d&rsquo;intervention. D&eacute;finissez les points &agrave; am&eacute;liorer et modifiez en cons&eacute;quence les processus n&eacute;cessaires.7 Determine what worked well and what didn&rsquo;t in your response plan. Identify areas for improvement and adjust the necessary processes.</li>
</ul>
Au terme de ces &eacute;tapes, si vous estimez avoir encore besoin d&rsquo;assistance ou de conseils, votre assureur pourra peut-&ecirc;tre vous aider. Le risque de cyberattaque sera moins accablant si vous avez test&eacute; votre plan et savez qu&rsquo;il tient la route.
Sources
1&nbsp;Rapport de Recherche:&nbsp; <a href="https://www.accenture.com/fr-fr/insights/security/etude-cout-du-cybercrime"> "Le cybercrime en 2019: impact et opportunit&eacute;s" &nbsp;</a>Accenture, 6 mars 2019 2&nbsp; <a href="https://cybersecurityventures.com/cybercrime-damages-6-trillion-by-2021">"Global Cybercrime Damages Predicted to Reach $6 Trillion Annually By 2021".&nbsp;</a>Cybercrime Magazine, 7 decembre 2018 3&nbsp;Media Release&nbsp; <a href="https://aon.mediaroom.com/csuitecyberreport">"Aon report shares C-suite insights as losses from cyber attacks set to reach all-time highs"</a>,&nbsp;accessed December 4th, 2019 4&nbsp; <a href="https://www2.deloitte.com/content/dam/Deloitte/ca/Documents/risk/ca-fr-risk-cyber-5-steps.pdf"> "Cinq &eacute;tapes essentielles pour am&eacute;liorer la cybers&eacute;curit&eacute;",</a>&nbsp;Deloitte, consult&eacute; 4 decembre 2019 5&nbsp;Burley, Ron " <a href="https://www.cpomagazine.com/cyber-security/how-cybersecurity-leaders-can-best-navigate-the-c-suite/">How Cybersecurity Leaders Can Best Navigate the C-Suite"</a>&nbsp;CPO Magazine, 13 septembre 2019 6&nbsp;" <a href="https://blog.rsisecurity.com/best-practices-for-testing-your-cyber-incident-response-plan">Best Practices for testing you Cyber Incident Response Plan"</a>&nbsp;RSI Security, 8 fevrier 2019 7&nbsp;Reichenberg, Nimmy " <a href="https://www.siemplify.co/blog/testing-incident-response-processes/">Putting Your Incident Response Processes to the Test"</a>&nbsp;Siemplify, 8 juillet 2018

Comment tester la cyberrésilience de votre entreprise

Le cryptage est le processus de codification de vos donn&eacute;es de nature d&eacute;licate ou confidentielle, rendant celles-ci illisibles ou inaccessibles aux utilisateurs non autoris&eacute;s. Le cryptage permet d&rsquo;assurer la confidentialit&eacute;, d&rsquo;assurer une protection contre l&rsquo;acc&egrave;s ind&eacute;sir&eacute; &agrave; votre compte de courriel et de pr&eacute;venir l&rsquo;interception de renseignements de nature d&eacute;licate ou personnelle. C&rsquo;est une mesure importante &agrave; mettre en place lorsqu&rsquo;on communique des renseignements confidentiels, pour aider &agrave; pr&eacute;venir une atteinte aux donn&eacute;es. Apr&egrave;s tout, si le pirate informatique n&rsquo;arrive pas &agrave; lire le contenu de votre courriel, il ne peut pas l&rsquo;utiliser contre vous.
<h3>Quel type d&rsquo;information devriez-vous crypter?</h3>
Les renseignements priv&eacute;s et confidentiels suivants devraient notamment &ecirc;tre crypt&eacute;s : d&eacute;tails bancaires et renseignements de carte de cr&eacute;dit, relev&eacute;s financiers, renseignements personnels sur les clients, mots de passe, documents de s&eacute;curit&eacute; et dossiers fiscaux. La divulgation non autoris&eacute;e de ces renseignements peut entra&icirc;ner des pertes financi&egrave;res ou le vol d&rsquo;identit&eacute;. Par cons&eacute;quent, une attention particuli&egrave;re doit y &ecirc;tre port&eacute;e et des mesures de pr&eacute;vention doivent &ecirc;tre prises pour les prot&eacute;ger.
<h3>Comment cela fonctionne-t-il1 ? 1 </h3>
Les donn&eacute;es crypt&eacute;es sont brouill&eacute;es, devenant ainsi illisibles pour quiconque ne d&eacute;tient pas la cl&eacute; de d&eacute;chiffrement ou le mot de passe n&eacute;cessaire pour &laquo; d&eacute;coder &raquo; l&rsquo;information et y acc&eacute;der. Les &laquo; cl&eacute;s &raquo; sont les codes num&eacute;riques qui vous permettent de crypter et de d&eacute;crypter des messages. L&rsquo;information est cod&eacute;e et d&eacute;cod&eacute;e de la fa&ccedil;on suivante :
<ul>
<li>Une cl&eacute; publique est un code num&eacute;rique utilis&eacute; pour crypter le courriel. L&rsquo;exp&eacute;diteur utilise la cl&eacute; publique du destinataire pour brouiller le message du courriel. Cette cl&eacute; est conserv&eacute;e sur un serveur de cl&eacute;s accessible &agrave; quiconque. Vous ne pouvez envoyer de message crypt&eacute; &agrave; une personne si vous n&rsquo;avez pas acc&egrave;s &agrave; sa cl&eacute; publique.</li>
<li>Une cl&eacute; priv&eacute;e est un code num&eacute;rique priv&eacute; qu&rsquo;utilise le destinataire pour d&eacute;coder le courriel. Elle est conserv&eacute;e sur son ordinateur priv&eacute;.</li>
</ul>
Il existe deux principaux types de m&eacute;thodes de cryptage de courriels : S/MIME (Secure/Multipurpose Internet Mail Extensions ou Extensions multifonctions du courrier Internet/S&eacute;curis&eacute;es) et PGP/MIME (Pretty Good Privacy/Multipurpose Internet Mail Extensions ou Extensions multifonctions du courrier Internet/Assez bonne confidentialit&eacute;). Voici la diff&eacute;rence:
<ul>
<li>S/MIME:
<ul>
<li>repose sur une autorit&eacute; centralis&eacute;e pour le choix de l&rsquo;algorithme de cryptage</li>
<li>int&eacute;gr&eacute; &agrave; de grandes entreprises de courriel &eacute;tablies sur le Web, comme Gmail et Outlook</li>
<li>le code de la cl&eacute; est g&eacute;n&eacute;r&eacute; pour vous</li>
</ul>
</li>
<li>PGP/MIME:
<ul>
<li>repose sur une autorit&eacute; d&eacute;centralis&eacute;e pour le choix de l&rsquo;algorithme de cryptage</li>
<li>offre plus de souplesse et de contr&ocirc;le sur la fa&ccedil;on dont vous voulez crypter vos courriels</li>
<li>requiert un outil d&rsquo;encryptage externe</li>
</ul>
</li>
</ul>
Pour que le destinataire puisse d&eacute;crypter un courriel crypt&eacute; par l&rsquo;exp&eacute;diteur, les deux doivent utiliser la m&ecirc;me m&eacute;thode d&rsquo;encryptage.
<h3>Comment crypter vos courriels</h3>
Avant d&rsquo;envoyer un courriel crypt&eacute;, assurez-vous d&rsquo;informer &agrave; l&rsquo;avance votre destinataire que vous amorcez une conversation par courriels crypt&eacute;s. Et une fois que tous les renseignements de nature d&eacute;licate ont &eacute;t&eacute; partag&eacute;s, il est important de fermer le fil de courriels confidentiel crypt&eacute; en commen&ccedil;ant une nouvelle conversation par courriel. Ainsi, les messages futurs ne seront pas automatiquement crypt&eacute;s et vous &eacute;viterez ainsi d&rsquo;incommoder le destinataire en lui imposant l&rsquo;&eacute;tape suppl&eacute;mentaire de demander un mot de passe.&nbsp; Pour obtenir des d&eacute;tails sur le cryptage de vos courriels, veuillez consulter ces ressources, qui renferment des instructions pratiques:
<ul>
<li><a href="https://support.microsoft.com/en-us/office/encrypt-email-messages-373339cb-bf1a-4509-b296-802a39d801dc" target="_blank" rel="noreferrer noopener">Outlook</a></li>
<li><a href="https://support.google.com/mail/answer/6330403?hl=en" target="_blank" rel="noreferrer noopener">Gmail</a></li>
<li><a href="https://support.apple.com/en-ca/HT202345" target="_blank" rel="noreferrer noopener">iOS</a></li>
</ul>
<h3>Autres consid&eacute;rations de cybers&eacute;curit&eacute;</h3>
Le cryptage des courriels est une excellente fa&ccedil;on d&rsquo;aider &agrave; prot&eacute;ger les donn&eacute;es de nature d&eacute;licate que vous &eacute;changez, mais ce n&rsquo;est qu&rsquo;une tactique parmi tant d&rsquo;autres dans le cadre de la strat&eacute;gie de cybers&eacute;curit&eacute; globale d&rsquo;une entreprise. De plus, il est important d&rsquo;effectuer de solides analyses de vos cyberrisques et de travailler avec votre courtier &agrave; la mise en &oelig;uvre de solutions proactives en mati&egrave;re de gestion du risque.
La source
1January 2, 2019. Panda Security Media Center. <a rel="noreferrer noopener" href="https://www.pandasecurity.com/en/mediacenter/panda-security/how-to-encrypt-email/" target="_blank">&nbsp;&ldquo;How to Encrypt Email (Gmail, Outlook, iOS, Yahoo, Android, AOL)&rdquo;</a>. Consult&eacute; le 26 octobre 2020

Comment crypter vos courriels

Une atteinte aux donn&eacute;es est une urgence organisationnelle qui doit &ecirc;tre g&eacute;r&eacute;e rapidement et efficacement pour att&eacute;nuer les pertes et rester du bon c&ocirc;t&eacute; de la conformit&eacute;. Lorsqu&rsquo;un tel &eacute;v&eacute;nement se produit, de nombreuses organisations font appel &agrave; un accompagnateur en atteinte aux donn&eacute;es : le &laquo; premier r&eacute;pondant &raquo; appel&eacute; &agrave; diriger l&rsquo;intervention et le r&eacute;tablissement. Habituellement, un accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es est un avocat sp&eacute;cialis&eacute; en cybers&eacute;curit&eacute; et en droit &agrave; la vie priv&eacute;e. Il agit &agrave; titre de gestionnaire de projet et oriente l&rsquo;organisation en ce qui a trait &agrave; la meilleure marche &agrave; suivre, avec l&rsquo;aide d&rsquo;une &eacute;quipe qu&rsquo;il constitue &agrave; partir d&rsquo;une diversit&eacute; de disciplines. L&rsquo;&eacute;quipe peut compter des experts en TI, en criminalistique, en droit, en r&eacute;glementation et en communication, dont la contribution peut &ecirc;tre requise pour aider &agrave; g&eacute;rer l&rsquo;atteinte. 1 Pourquoi travailler avec un accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es? Comme dans bien d&rsquo;autres situations de gestion de crise, votre personnel interne n&rsquo;a peut-&ecirc;tre pas l&rsquo;expertise n&eacute;cessaire pour g&eacute;rer une atteinte aux donn&eacute;es ou il se peut que vous pr&eacute;f&eacute;riez que vos employ&eacute;s cl&eacute;s demeurent concentr&eacute;s sur leurs responsabilit&eacute;s habituelles. Le fait de confier &agrave; un expert juridique le soin de g&eacute;rer la situation est avantageux, puisque celui-ci comprend les lois relatives aux exigences de notification et a de l&rsquo;exp&eacute;rience pour travailler avec les organismes de r&eacute;glementation sur les enjeux comme les amendes et les p&eacute;nalit&eacute;s. De plus, comme l&rsquo;a soulign&eacute; un expert juridique, en tant qu&rsquo;avocats, les accompagnateurs en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es peuvent pr&eacute;server la confidentialit&eacute; de vos renseignements gr&acirc;ce au secret professionnel, ce qui peut bonifier davantage la protection et la s&eacute;curit&eacute; de vos communications. 2 Les accompagnateurs en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es interviennent dans trois principaux domaines:
<ol type="1">
<li>Enqu&ecirc;tes relatives aux atteintes :Un accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es peut vous aider &agrave; retenir les services d&rsquo;une entreprise de criminalistique informatique pour enqu&ecirc;ter sur la cause et la port&eacute;e de l&rsquo;atteinte. Les &eacute;quipes de criminalistique travaillent &agrave; identifier le type de piratage, les approches utilis&eacute;es, la source et l&rsquo;&eacute;ch&eacute;ancier, de m&ecirc;me qu&rsquo;&agrave; d&eacute;terminer la meilleure fa&ccedil;on de r&eacute;cup&eacute;rer des donn&eacute;es compromises. 3 Elles pr&eacute;servent &eacute;galement toutes les preuves n&eacute;cessaires et peuvent travailler avec l&rsquo;accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es pour rep&eacute;rer les &eacute;ventuels enjeux juridiques et questions de conformit&eacute;. 4</li>
</ol>
<ol type="1" start="2">
<li>Exigences en mati&egrave;re de notification:&nbsp;Un accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es analysera les faits r&eacute;v&eacute;l&eacute;s par les ressources en criminalistique pour d&eacute;terminer quelles mesures vous devez prendre dans un contexte juridique afin de faire en sorte que votre entreprise demeure conforme &agrave; la r&eacute;glementation. Les obligations juridiques peuvent notamment comprendre l&rsquo;envoi d&rsquo;un avis signalant l&rsquo;atteinte aux personnes touch&eacute;es et aux organismes de r&eacute;glementation, selon la nature des renseignements compromis. Par exemple, au Canada, une atteinte impliquant un &laquo; risque r&eacute;el de pr&eacute;judice grave &raquo; pour des personnes doit &ecirc;tre d&eacute;clar&eacute;e au Commissariat &agrave; la protection de la vie priv&eacute;e du Canada. La notion de risque r&eacute;el de pr&eacute;judice grave est d&eacute;termin&eacute;e selon la nature sensible des renseignements vis&eacute;s par l&rsquo;atteinte et la probabilit&eacute; d&rsquo;une mauvaise utilisation de ceux-ci. 5&nbsp;</li>
</ol>
<ol type="1" start="3">
<li>Communications en situation de crise:&nbsp;Un accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es peut retenir les services de professionnels en communications en situation de crise pour veiller &agrave; la planification et &agrave; la gestion appropri&eacute;es de toute communication se rapportant &agrave; une atteinte aux donn&eacute;es. Cela peut notamment contribuer &agrave; la r&eacute;duction de risques comme les atteintes &agrave; la r&eacute;putation de votre entreprise. 6 L&rsquo;&eacute;quipe peut d&eacute;terminer comment les personnes touch&eacute;es par l&rsquo;atteinte doivent &ecirc;tre alert&eacute;es, quelles d&eacute;clarations doivent &ecirc;tre faites &agrave; la population et aux m&eacute;dias et comment communiquer avec les autorit&eacute;s. Elle peut aussi fournir leurs coordonn&eacute;es et g&eacute;rer les demandes de renseignements des clients et des m&eacute;dias.&nbsp; 7,8</li>
</ol>
En cas d&rsquo;atteinte aux donn&eacute;es, il est important de r&eacute;pondre rapidement et correctement. Si votre organisation n&rsquo;a pas les ressources internes n&eacute;cessaires pour g&eacute;rer les enjeux juridiques et les questions de conformit&eacute;, il serait avis&eacute; de confier la d&eacute;marche &agrave; un accompagnateur en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es. Les accompagnateurs en mati&egrave;re d&rsquo;atteinte aux donn&eacute;es sont de pr&eacute;cieuses sources d&rsquo;information et d&rsquo;expertise et peuvent contribuer &agrave; all&eacute;ger le poids qui pourrait peser sur vos &eacute;paules en p&eacute;riode de crise. Ce que vous devez savoir sur la d&eacute;claration obligatoire des atteintes aux mesures de s&eacute;curit&eacute;, Commissariat &agrave; la protection de la vie priv&eacute;e du Canada, octobre 2018
Sources: 1 <a rel="noreferrer noopener" href="https://www.siskinds.com/data-breach-frequently-asked-questions/" target="_blank">&ldquo;Data Breach: Frequently Asked Questions,&rdquo;</a>Siskinds, Mai 2020 2,6 <a rel="noreferrer noopener" href="https://www.forbes.com/sites/forbestechcouncil/2019/07/29/why-your-company-should-secure-a-breach-coach/?sh=244dc8006b76" target="_blank">&ldquo;Why Your Company Should Secure A Data Breach Coach,&rdquo;</a> Forbes, 29 juillet 2019 3,4 <a rel="noreferrer noopener" href="https://securecyberdefense.com/digital-forensics-identifying-the-who-what-when-and-how-of-cyberattacks-2/" target="_blank">&ldquo;Digital Forensics: Identifying the Who, What, When and How of Cyber Attacks,&rdquo;</a> Secure Cyber Defense 5 &ldquo; <a rel="noreferrer noopener" href="https://www.priv.gc.ca/en/privacy-topics/business-privacy/safeguards-and-breaches/privacy-breaches/respond-to-a-privacy-breach-at-your-business/gd_pb_201810/#_Part_6" target="_blank">What you need to know about mandatory reporting of breaches of security safeguards,&rdquo; </a>Office of the Privacy Commissioner of Canada, octobre 2018 7 <a rel="noreferrer noopener" href="https://www.pushkinpr.com/blog/crisis-communications-plan-data-breaches/" target="_blank">&ldquo;A Crisis Communications Plan for Data Breaches,&rdquo;</a> Pushkin PR 8 <a rel="noreferrer noopener" href="https://medium.com/@crisisPR/why-your-company-needs-a-data-breach-communications-plan-6dd3488bb3e3" target="_blank">&ldquo;Why Your Company Needs a Data Breach Communications Plan,&rdquo; </a>Medium, 9 mars 2020

Avez-vous besoin d’un accompagnateur en matière d’atteinte aux données ?

En cas de cyberattaque, une entreprise bien pr&eacute;par&eacute;e r&eacute;agit imm&eacute;diatement, en mettant son &eacute;quipe TI sur le dossier ou en faisant appel &agrave; des experts comme un accompagnateur sp&eacute;cialis&eacute; en cyberatteintes. Bien qu&rsquo;il soit essentiel d&rsquo;avoir un plan d&rsquo;intervention pour att&eacute;nuer les risques comme les pertes d&rsquo;exploitation, les amendes r&eacute;glementaires ou les frais juridiques, l&rsquo;envers de la &laquo; pi&egrave;ce &raquo; de la cybers&eacute;curit&eacute; est tout aussi important : il s&rsquo;agit de la pr&eacute;vention.&nbsp; Les changements relatifs &agrave; nos vies professionnelles et &agrave; notre utilisation des technologies ont entra&icirc;n&eacute; l&rsquo;&eacute;mergence de nouveaux cyberrisques. Par exemple, une r&eacute;cente &eacute;tude a r&eacute;v&eacute;l&eacute; que 82 % des gestionnaires de TI estiment que les risques d&rsquo;attaques d&rsquo;hame&ccedil;onnage auxquels est expos&eacute;e leur entreprise sont plus importants lorsque les employ&eacute;s sont en t&eacute;l&eacute;travail. 1 De plus, comme de nombreux employ&eacute;s utilisent leurs appareils personnels dans le cadre de leur travail, les professionnels en TI s&rsquo;inqui&egrave;tent des risques de s&eacute;curit&eacute; comme le t&eacute;l&eacute;chargement d&rsquo;applications non s&eacute;curitaires, les infections par des logiciels malveillants et les mises &agrave; jour de logiciels. 2 Dans ce paysage changeant, il est essentiel que les entreprises de toute envergure adoptent une approche proactive en mati&egrave;re de cyberprotection. En se dotant des bonnes mesures de s&eacute;curit&eacute;, on peut contribuer &agrave; pr&eacute;venir toute une gamme de cyberpertes &ndash; des atteintes aux donn&eacute;es aux pertes financi&egrave;res d&eacute;coulant de man&oelig;uvres d&rsquo;ing&eacute;nierie sociale, de ran&ccedil;ongiciels et d&rsquo;autres attaques, en passant par le vol de propri&eacute;t&eacute; intellectuelle.&nbsp; Voici un survol de certaines mesures cl&eacute;s qui peuvent contribuer &agrave; la protection de votre entreprise contre les cyberpertes: Simulations et programmes de formation des employ&eacute;s: :L&rsquo;erreur humaine &ndash; c&rsquo;est-&agrave;-dire une action ou une omission involontaire ouvrant la porte &agrave; un cyberincident &ndash; est derri&egrave;re pratiquement toutes les atteintes aux donn&eacute;es et &agrave; la s&eacute;curit&eacute; qui r&eacute;ussissent.3 C&rsquo;est pourquoi la formation et l&rsquo;&eacute;ducation des employ&eacute;s sont si importantes : elles peuvent vous aider &agrave; &eacute;viter les cyberincidents et &agrave; renforcer la culture de cybers&eacute;curit&eacute; &agrave; l&rsquo;&eacute;chelle de votre entreprise. &nbsp; 4&nbsp; Le Centre canadien pour la cybers&eacute;curit&eacute; recommande aux organisations d&rsquo;envisager des sujets de formation et d&rsquo;&eacute;ducation comme les suivants : la cr&eacute;ation de phrases de chiffrement uniques et de mots de passe complexes pour tous les comptes, l&rsquo;utilisation s&eacute;curitaire d&rsquo;Internet et des r&eacute;seaux sociaux en milieu de travail; l&rsquo;utilisation de logiciels et d&rsquo;applications mobiles s&eacute;curitaires et le rep&eacute;rage des courriels malveillants.&nbsp; 5 Vous pouvez ensuite mettre ces formations &agrave; l&rsquo;&eacute;preuve en simulant des attaques, ce qui vous permettra de voir comment vos employ&eacute;s r&eacute;agiraient &agrave; diff&eacute;rents types d&rsquo;attaques dans des situations r&eacute;elles. Par exemple, on peut faire un test d&rsquo;hame&ccedil;onnage en envoyant un faux courriel malveillant ou un faux site Web aux employ&eacute;s pour voir s&rsquo;ils vont ouvrir les pi&egrave;ces jointes ou cliquer sur les liens ou s&rsquo;ils auront plut&ocirc;t le r&eacute;flexe de signaler le courriel douteux. 6 Analyses de vuln&eacute;rabilit&eacute; et tests d&rsquo;intrusion: Du c&ocirc;t&eacute; des TI, il est possible de mettre les m&eacute;canismes de d&eacute;fense de votre organisation &agrave; l&rsquo;&eacute;preuve en proc&eacute;dant &agrave; des analyses de vuln&eacute;rabilit&eacute; et &agrave; des tests d&rsquo;intrusion. Les scanneurs de vuln&eacute;rabilit&eacute; sont des outils automatis&eacute;s qui permettent aux organisations de v&eacute;rifier si leurs r&eacute;seaux, syst&egrave;mes et applications pr&eacute;sentent des faiblesses en mati&egrave;re de s&eacute;curit&eacute; qui pourraient les exposer &agrave; des attaques. &nbsp; 7 Parmi les vuln&eacute;rabilit&eacute;s couramment rep&eacute;r&eacute;es, signalons, entre autres, les m&eacute;canismes de copies de sauvegarde et de r&eacute;cup&eacute;ration inad&eacute;quats, une faible gestion de l&rsquo;authentification et une surveillance insuffisante du r&eacute;seau.&nbsp; 8 Les tests d&rsquo;intrusion, ou de p&eacute;n&eacute;tration, que l&rsquo;on d&eacute;signe aussi sous le nom de piratage &eacute;thique, vont au-del&agrave; de la simple analyse de vuln&eacute;rabilit&eacute;. &Agrave; l&rsquo;aide d&rsquo;une combinaison d&rsquo;outils automatis&eacute;s et de techniques manuelles, un test d&rsquo;intrusion rep&egrave;re les vuln&eacute;rabilit&eacute;s, pour ensuite tenter de les exploiter. &nbsp; 9 Pour illustrer la diff&eacute;rence entre les analyses de vuln&eacute;rabilit&eacute; et les tests d&rsquo;intrusion, une entreprise de cybers&eacute;curit&eacute; se sert de l&rsquo;analogie suivante : une analyse de vuln&eacute;rabilit&eacute;, c&rsquo;est comme se rendre devant une porte, v&eacute;rifier si elle est d&eacute;verrouill&eacute;e et s&rsquo;arr&ecirc;ter l&agrave;. Le test d&rsquo;intrusion ne fait pas que v&eacute;rifier si la porte est d&eacute;verrouill&eacute;e. Il l&rsquo;ouvre et il entre. 10 Consultants en cybers&eacute;curit&eacute;:&nbsp;Les accompagnateurs en cyberatteintes aident les organisations &agrave; g&eacute;rer les cons&eacute;quences d&rsquo;une cyberattaque, alors que les consultants en cybers&eacute;curit&eacute; seront souvent embauch&eacute;s pour &eacute;riger les bons m&eacute;canismes de d&eacute;fense. Ces experts proposent toute une gamme de services, notamment la v&eacute;rification de syst&egrave;mes de TI, la surveillance de syst&egrave;mes, la construction de pare-feu et le soutien aux organisations en ce qui a trait avec le respect de la r&eacute;glementation gouvernementale. &nbsp; Cyber security consultants are typically involved with every employee contact point for company data, including devices, applications, data storage and internal networks. Knowing how staff interact digitally allows these experts to identify potential weaknesses and plan for how to protect against them. 11 Au fil de l&rsquo;&eacute;volution des risques, une approche proactive en mati&egrave;re de cyberprotection est essentielle. Au moment de planifier notre strat&eacute;gie de d&eacute;fense, il est important d&rsquo;envisager une couverture d&rsquo;assurance express&eacute;ment con&ccedil;ue pour g&eacute;rer les risques uniques et &eacute;mergents auxquels votre entreprise fait face.&nbsp;
Sources
1,2&nbsp;Tessian,&nbsp; <a href="https://www.tessian.com/blog/hybrid-working-cybersecurity-risks/" target="_blank" rel="noreferrer noopener">&ldquo;How hybrid-remote working with affect cybersecurity,&rdquo;</a>&nbsp;septembre 2020 3&nbsp;Hacker News, &ldquo; <a href="https://thehackernews.com/2021/02/why-human-error-is-1-cyber-security.html" target="_blank" rel="noreferrer noopener">Why human error is #1 cyber security threat to businesses in 2021</a>,&rdquo; 4 f&eacute;vrier 2021 4,5&nbsp; Centre canadien pour la cybers&eacute;curit&eacute;,&nbsp; <a href="https://cyber.gc.ca/fr/fournir-de-la-formation-pour-sensibiliser-les-employes" target="_blank" rel="noreferrer noopener">Fournir de la formation pour sensibiliser les employ&eacute;s,</a>&rdquo; Feb. 16 2021 6&nbsp;Dashlane,&nbsp; <a href="https://blog.dashlane.com/phishing-test/" target="_blank" rel="noreferrer noopener">How to run an effective phishing test at work</a>, 7 mars 2020 7, 9&nbsp;Rhino Security Labs, &ldquo; <a href="https://rhinosecuritylabs.com/penetration-testing/need-vulnerability-scan-penetration-test/" target="_blank" rel="noreferrer noopener">Do I need a vulnerability scan or penetration test?</a>&rdquo; 8&nbsp;Logsign, &ldquo; <a href="https://www.logsign.com/blog/what-are-the-types-of-cyber-security-vulnerabilities/" target="_blank" rel="noreferrer noopener">What are the types of cyber security vulnerabilities</a>?&rdquo; 10&nbsp;Control Scan,&nbsp; <a href="https://www.controlscan.com/penetration-tests-vulnerability-scans-different/" target="_blank" rel="noreferrer noopener">&ldquo;Penetration tests vs. vulnerability scans: What&rsquo;s the difference?&rdquo;</a> 11&nbsp;EC-MSP, <a href="https://www.ecmsp.co.uk/it-blog/cybersecurity-consultant-for-business" target="_blank" rel="noreferrer noopener">&nbsp;&ldquo;What can a cyber security company do for your business?&rdquo;</a>

Prévention des cyberpertes : comment atténuer les cyberrisques auxquels fait face votre entreprise

Toute entreprise moderne doit aujourd'hui disposer d'une forte pr&eacute;sence en ligne. Quelle que soit la taille de votre entreprise ou votre secteur d'activit&eacute;, la communication avec les clients et les transactions en ligne sont aujourd'hui des services de base pour la client&egrave;le. Bien que la plupart des entreprises soient d&eacute;sormais avis&eacute;es des menaces engendr&eacute;es par les atteintes et les piratages informatiques, nombre d'entre elles ne sont pas inform&eacute;es de la nouvelle r&eacute;glementation europ&eacute;enne sur la protection des renseignements personnels entr&eacute;e en vigueur en mai 2018. Celle-ci cr&eacute;e un ensemble de nouveaux risques pour les entreprises faisant affaire au sein de l'UE, que ce soit en ligne ou physiquement.
<h3>Qu'est-ce que le r&egrave;glement g&eacute;n&eacute;ral sur la protection des donn&eacute;es?</h3>
Le r&egrave;glement g&eacute;n&eacute;ral sur la protection des donn&eacute;es (RGPD) est un ensemble de nouvelles r&egrave;gles sur la protection des donn&eacute;es concernant toutes les entreprises ayant soit (a) une &laquo; implantation &raquo; au sein de l'Union europ&eacute;enne (UE) et &laquo; traitant &raquo; des &laquo; renseignements personnels &raquo; dans le contexte de cette implantation, ou (b) n'ayant aucune implantation au sein de l'UE mais traitant des renseignements personnels d'individus r&eacute;sidant dans l'UE, et dont le traitement est en lien avec (1) l'offre de biens ou de services &agrave; des individus au sein de l'UE ou (2) la surveillance des comportements des individus lorsque ceux-ci se trouvent au sein de l'UE (toutes les phrases et les mots entre guillemets sont d&eacute;finis dans le RGPD). Ces r&egrave;gles ont pour objectif de donner plus de contr&ocirc;les aux consommateurs sur leurs donn&eacute;es personnelles, de changer la mani&egrave;re dont les organisations abordent la protection des renseignements personnels et de cr&eacute;er des r&egrave;gles &eacute;quitables pour toutes les entreprises. Le RGPD a un effet extrajuridictionnel et s'applique, quel que soit l'endroit o&ugrave; les entreprises sont physiquement implant&eacute;es. Si vos activit&eacute;s rel&egrave;vent des parties (a) ou (b) du paragraphe susmentionn&eacute;, le RGPD s'applique &agrave; votre entreprise. Au sein du march&eacute; connect&eacute; actuel, le RGPD a une port&eacute;e tr&egrave;s importante. Les exigences du RGPD sont, &agrave; de nombreux &eacute;gards, plus strictes et plus exhaustives que les normes comparables nord-am&eacute;ricaines, y compris la Loi sur la protection des renseignements personnels et les documents &eacute;lectroniques (Canada). La d&eacute;finition des renseignements personnels dans le RGPD est large, et les exigences sur la collecte, l'utilisation et la divulgation des renseignements personnels de mani&egrave;re conforme sont, en g&eacute;n&eacute;ral, plus strictes. Par exemple, le RGPD pr&eacute;voit qu'un avis doit &ecirc;tre envoy&eacute; &agrave; l'autorit&eacute; comp&eacute;tente dans des d&eacute;lais raisonnables pour la plupart des atteintes &agrave; la protection des renseignements personnels et, lorsque cela est possible, dans les 72 heures apr&egrave;s avoir &eacute;t&eacute; inform&eacute; de l'atteinte. De plus, dans de nombreux cas, les avis concernant les atteintes doivent &eacute;galement &ecirc;tre envoy&eacute;s aux individus touch&eacute;s dans des d&eacute;lais raisonnables.
<h3>Quelles sont les cons&eacute;quences du non-respect de ces r&egrave;gles ?</h3>
Les entreprises qui enfreignent le RGPD peuvent subir des sanctions financi&egrave;res importantes pouvant aller jusqu'&agrave; 20 millions d'euros ou 4 % du chiffre d'affaires mondial (selon le montant le plus &eacute;lev&eacute;) pour les infractions les plus graves, comme une atteinte intentionnelle &agrave; la protection des renseignements personnels ou un traitement de renseignements personnels n'ayant pas fait l'objet d'une approbation ad&eacute;quate de la part des clients. Les atteintes moins graves selon le RGPD, notamment l'absence d'enregistrements appropri&eacute;s ou d'avis concernant l'atteinte &agrave; l'autorit&eacute; de supervision et aux individus touch&eacute;s, peuvent mener &agrave; une amende de 10 millions d'euros ou de 2 % du chiffre d'affaires mondial (selon le montant le plus &eacute;lev&eacute;).
<figure class="wp-block-pullquote">
<blockquote>
Les entreprises qui enfreignent le RGPD peuvent subir des sanctions financi&egrave;res importantes, et l'assurabilit&eacute; de celles-ci reste une zone grise dans la plupart des juridictions. Bien qu'une bonne couverture contre les cyberrisques peut assurer votre entreprise contre les atteintes pr&eacute;vues par le RGPD, la LPRPDE et les autres lois relatives &agrave; la protection des renseignements personnels, les sanctions p&eacute;nales ne sont pratiquement jamais assurables.
</blockquote>
</figure>
<h3>Peut-on &ecirc;tre assur&eacute; contre les sanctions ou amendes pr&eacute;vues par le RGPD?</h3>
Les entreprises qui enfreignent le RGPD peuvent subir des sanctions financi&egrave;res importantes, et l'assurabilit&eacute; de celles-ci reste une zone grise dans la plupart des juridictions. Bien qu'une bonne couverture contre les cyberrisques peut assurer votre entreprise contre les atteintes pr&eacute;vues par le RGPD, la LPRPDE et les autres lois relatives &agrave; la protection des renseignements personnels, les sanctions p&eacute;nales ne sont pratiquement jamais assurables. Bien comprendre les risques li&eacute;s au RGPD que vous encourez est une premi&egrave;re &eacute;tape importante. R&eacute;duire les risques de sanction encourus est possible par la conformit&eacute; au RGPD.
<h3>Si votre entreprise est concern&eacute;e par le RGPD, voici quelques &eacute;l&eacute;ments &agrave; prendre en compte</h3>
Quels sont les renseignements personnels que nous collectons et o&ugrave; les conservons-nous? &nbsp; La premi&egrave;re &eacute;tape pour toute entreprise est de comprendre exactement le type de renseignements personnels qu'elle collecte et utilise, ainsi que le lieu o&ugrave; sont physiquement conserv&eacute;s ces renseignements, afin de pouvoir par la suite mettre en place un programme de mise en conformit&eacute; avec le RGPD. Pourquoi collectons-nous des renseignements personnels? &nbsp;Selon le RGPD, toutes les entreprises doivent &ecirc;tre en mesure d'expliquer la mani&egrave;re dont seront utilis&eacute;s les renseignements personnels collect&eacute;s. Les entreprises doivent &eacute;galement &ecirc;tre capables d'envoyer ces informations aux individus si cela leur est demand&eacute;. Disposons-nous d'un consentement ad&eacute;quat concernant la collecte, l'utilisation et la divulgation de renseignements personnels?&nbsp; Le RGPD d&eacute;finit des exigences strictes en mati&egrave;re de consentement quant &agrave; la collecte, l'utilisation et la divulgation de renseignements personnels. Les entreprises doivent s'assurer qu'elles respectent ces exigences. Quels cyberrisques encourons-nous? &nbsp;En plus des nombreuses autres cons&eacute;quences qui d&eacute;coulent d'une potentielle atteinte &agrave; la protection des renseignements personnels, le RGPD d&eacute;finit des exigences strictes en mati&egrave;re de d&eacute;claration de ces atteintes. Ce n'est qu'une raison de plus pour analyser de mani&egrave;re proactive vos vuln&eacute;rabilit&eacute;s et limiter les cyberrisques. Que faire si le pire sc&eacute;nario possible se produit ?&nbsp; Mettre en place une strat&eacute;gie de r&eacute;ponse aux atteintes est essentiel. Assurez-vous que les principaux membres de l'&eacute;quipe savent exactement comment r&eacute;agir et qui appeler d&egrave;s qu'une atteinte est connue. Chaque minute compte. Le respect de la r&eacute;glementation est essentiel, mais peut parfois &ecirc;tre difficile en raison de l'opacit&eacute; et de la complexit&eacute; du commerce en ligne. &Ecirc;tre assur&eacute; ajoute un niveau suppl&eacute;mentaire de s&eacute;curit&eacute; pr&eacute;cieux contre les atteintes &agrave; la protection des renseignements personnels, mais comme mentionn&eacute; auparavant, la r&eacute;glementation ajoute un ensemble de nouveaux facteurs de risques. Ainsi, vous pourriez ajouter les &laquo; risques li&eacute;s au RGPD &raquo; &agrave; votre liste de questions &agrave; poser &agrave; votre courtier au moment du renouvellement de votre police d'assurance contre les cyberrisques.

Renseignements personnels de résidents européens

Quand survient une atteinte aux donn&eacute;es, les entreprises ont beaucoup &agrave; perdre. Selon le rapport international d&rsquo;IBM sur le co&ucirc;t d&rsquo;une atteinte aux donn&eacute;es (Cost of a Data Breach), les entreprises ont d&eacute;pens&eacute; en moyenne 3,86 M$ &Eacute;.-U. par incident d&rsquo;atteinte aux donn&eacute;es en 2020. Ces co&ucirc;ts englobent le temps et le travail n&eacute;cessaires pour g&eacute;rer l&rsquo;atteinte, les pertes de revenus li&eacute;s &agrave; l&rsquo;interruption des syst&egrave;mes, les atteintes &agrave; la r&eacute;putation, les amendes r&eacute;glementaires et les frais juridiques1.&nbsp; Bien que de nombreuses entreprises d&eacute;ploient de nombreux efforts pour veiller &agrave; la s&eacute;curit&eacute; de leurs donn&eacute;es, les cybercriminels sont reconnus comme ayant une longueur d&rsquo;avance. Cela signifie qu&rsquo;il faut absolument se pr&eacute;parer en vue du moment o&ugrave; surviendra une atteinte aux donn&eacute;es, et non simplement en vue de l&rsquo;&eacute;ventualit&eacute; d&rsquo;une telle atteinte. Pour g&eacute;rer les atteintes aux donn&eacute;es, les entreprises pr&ecirc;tes &agrave; affronter la cybercriminalit&eacute; doivent constituer une &eacute;quipe d&rsquo;intervention sp&eacute;cialis&eacute;e et mettre en &oelig;uvre leur propre plan d&rsquo;attaque. Voici cinq &eacute;tapes &agrave; pr&eacute;voir dans le plan: &nbsp;
<h3>D&eacute;terminer comment l&rsquo;atteinte s&rsquo;est produite et la nature de la fuite.</h3>
Vous devez d&rsquo;abord d&eacute;terminer comment l&rsquo;attaque s&rsquo;est produite et quelles donn&eacute;es ont &eacute;t&eacute; atteintes. Cela peut se faire par une analyse des causes profondes et un examen criminalistique2Les mots de passe vol&eacute;s ou faibles, les vuln&eacute;rabilit&eacute;s des applications, les maliciels, les erreurs d&rsquo;employ&eacute;s et les actes malveillants commis par des personnes de l&rsquo;interne comptent parmi les causes fr&eacute;quentes d&rsquo;atteinte aux donn&eacute;es. En rep&eacute;rant la cause profonde de l&rsquo;atteinte et en enqu&ecirc;tant sur la nature de la fuite, vous serez en mesure de r&eacute;aliser les &eacute;tapes suivantes plus efficacement 3,4.
<h3>Limiter la port&eacute;e de l&rsquo;atteinte.</h3>
Prenez des mesures pour limiter la port&eacute;e de l&rsquo;atteinte le plus t&ocirc;t possible pour minimiser les risques et les dommages ult&eacute;rieurs. Une fa&ccedil;on efficace de proc&eacute;der est la suivante : changer imm&eacute;diatement les mots de passe; limiter l&rsquo;acc&egrave;s aux personnes soup&ccedil;onn&eacute;es d&rsquo;&ecirc;tre &agrave; l&rsquo;origine de l&rsquo;atteinte; r&eacute;cup&eacute;rer les dossiers et corriger les faiblesses dans le syst&egrave;me de s&eacute;curit&eacute; physique ou &eacute;lectronique 5,6.
<h3>Aviser les personnes touch&eacute;es.</h3>
Avisez vos clients, partenaires d&rsquo;affaires, fournisseurs ou autres parties dont les donn&eacute;es ont &eacute;t&eacute; compromises par l&rsquo;atteinte. Indiquez-leur la date de l&rsquo;atteinte, des d&eacute;tails sur la nature des donn&eacute;es compromises et, le cas &eacute;ch&eacute;ant, les mesures que doit prendre votre correspondant 7. Vous devez, bien s&ucirc;r, aviser les personnes touch&eacute;es de toute atteinte &agrave; la s&eacute;curit&eacute; des mesures de protection li&eacute;es &agrave; leurs renseignements personnels, mais de plus, si l&rsquo;atteinte est jug&eacute;e constituer un &laquo; pr&eacute;judice grave &raquo;, votre organisation doit aussi d&eacute;clarer l&rsquo;atteinte au Commissariat &agrave; la protection de la vie priv&eacute;e du Canada 8. En vertu de la Loi sur la protection des renseignements personnels et les documents &eacute;lectroniques (LPRPDE), un &laquo; pr&eacute;judice grave &raquo; vise notamment la l&eacute;sion corporelle, l&rsquo;humiliation, le dommage &agrave; la r&eacute;putation ou aux relations, la perte financi&egrave;re, le vol d&rsquo;identit&eacute;, l&rsquo;effet n&eacute;gatif sur le dossier de cr&eacute;dit, le dommage aux biens ou leur perte, et la perte de possibilit&eacute;s d&rsquo;emploi ou d&rsquo;occasions d&rsquo;affaires ou d&rsquo;activit&eacute;s professionnelles . Les personnes touch&eacute;es et le commissaire la protection de la vie priv&eacute;e doivent &ecirc;tre avis&eacute;s le plus t&ocirc;t possible &agrave; la suite de la constatation d&rsquo;une atteinte par l&rsquo;organisation.9Que vous avisiez des fournisseurs, des clients ou les m&eacute;dias (le cas &eacute;ch&eacute;ant), faites preuve d&rsquo;ouverture et de sinc&eacute;rit&eacute;. D&eacute;crivez les solutions qui s&rsquo;offrent aux utilisateurs touch&eacute;s et expliquez quelles mesures vous mettrez en &oelig;uvre pour &eacute;viter la r&eacute;p&eacute;tition de tels probl&egrave;mes 8,10. N&rsquo;oubliez pas que vous devrez peut-&ecirc;tre aussi d&eacute;clarer l&rsquo;atteinte aux autorit&eacute;s, selon les circonstances particuli&egrave;res de l&rsquo;atteinte.
<h3>Proc&eacute;der &agrave; un audit de s&eacute;curit&eacute;.</h3>
La gestion d&rsquo;une atteinte aux donn&eacute;es ne s&rsquo;arr&ecirc;te pas avec la correction de la situation. Une prochaine &eacute;tape avis&eacute;e consiste &agrave; proc&eacute;der &agrave; un audit de la s&eacute;curit&eacute; des donn&eacute;es, qui vous permettra de rep&eacute;rer les menaces et les vuln&eacute;rabilit&eacute;s dans l&rsquo;infrastructure TI et les syst&egrave;mes de s&eacute;curit&eacute; de votre entreprise. Un audit comporte normalement les &eacute;tapes suivantes : &eacute;tablissement de la port&eacute;e de l&rsquo;audit, cr&eacute;ation d&rsquo;une liste ma&icirc;tresse de tous les actifs n&eacute;cessitant une protection, d&eacute;finition des menaces qui p&egrave;sent sur vos donn&eacute;es, &eacute;valuation des risques li&eacute;s &agrave; chaque menace et cr&eacute;ation d&rsquo;une liste de mesures de s&eacute;curit&eacute; que vous devez mettre en &oelig;uvre 9,12.
<h3>Se pr&eacute;parer en vue d&rsquo;attaques futures.</h3>
Si votre entreprise est attaqu&eacute;e une fois, le probl&egrave;me risque fort de se r&eacute;p&eacute;ter, puisque les cybercriminels sont port&eacute;s &agrave; se r&eacute;essayer lorsqu&rsquo;ils ont d&eacute;j&agrave; r&eacute;ussi.13Les vuln&eacute;rabilit&eacute;s r&eacute;v&eacute;l&eacute;es par votre audit de s&eacute;curit&eacute; vous aideront &agrave; mettre en place les mesures et les syst&egrave;mes de s&eacute;curit&eacute; des donn&eacute;es appropri&eacute;s, qu&rsquo;il s&rsquo;agisse d&rsquo;am&eacute;liorer les copies de sauvegarde de donn&eacute;es, d&rsquo;offrir de la formation sur l&rsquo;importance d&rsquo;&ecirc;tre conscient des enjeux de cybers&eacute;curit&eacute; ou d&rsquo;acqu&eacute;rir des technologies de s&eacute;curit&eacute; plus appropri&eacute;es 14.&nbsp; En solidifiant vos mesures de s&eacute;curit&eacute; des donn&eacute;es, faites de votre protection d&rsquo;assurance un volet essentiel de votre plan. Certains assureurs offrent m&ecirc;me des services de pr&eacute;paration aux atteintes et de gestion de crise. Communiquez avec votre courtier et assurez-vous d&rsquo;&ecirc;tre bien couvert en cas d&rsquo;atteinte aux donn&eacute;es ou de toute autre forme de cyberattaque. &nbsp;
Sources
1 <a href="https://www.capita.com/sites/g/files/nginej146/files/2020-08/Ponemon-Global-Cost-of-Data-Breach-Study-2020.pdf" target="_blank" rel="noreferrer noopener">&ldquo;Cost of a Data Breach Report 2020,&rdquo;</a>&nbsp;IBM Security and Ponemon Institute, juillet 2020 2,3&nbsp;&ldquo; <a href="https://digitalguardian.com/blog/data-breach-experts-share-most-important-next-step-you-should-take-after-data-breach-2014-2015" target="_blank" rel="noreferrer noopener">Data breach experts share the most important next step you should take after a data breach in 2019 &amp; beyond,&rdquo;</a>&nbsp;Digital Guardian, 11 ao&ucirc;t 2020 4 <a href="https://www.avertium.com/digging-in-why-root-cause-analysis-is-crucial-in-ir/" target="_blank" rel="noreferrer noopener">&ldquo;Digging in: Why root cause analysis is crucial in IR,&rdquo; Avertium,&rdquo;</a>&nbsp;17 juillet 2020 5 <a href="https://techaeris.com/2020/12/15/data-breaches-why-and-how-to-handle-the-attack/" target="_blank" rel="noreferrer noopener">&ldquo;Data breaches: Why and how to handle the attack,&rdquo;&nbsp;</a>TechAeris, 15 d&eacute;cembre 2020 6&nbsp;<a href="https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/protection-des-renseignements-personnels-pour-les-entreprises/mesures-de-securite-et-atteintes/atteintes-a-la-vie-privee/comment-reagir-a-une-atteinte-a-la-vie-privee-dans-votre-entreprise/c-t_201809_pb/" target="_blank" rel="noreferrer noopener"> &ldquo;Pr&eacute;venir une atteinte &agrave; la vie priv&eacute;e et r&eacute;agir en cas d&rsquo;atteinte&rdquo;</a>&nbsp;Commissariat &agrave; la protection de la vie priv&eacute;e du Canada, septembre 2018 &nbsp;&nbsp; 7 <a href="https://securitytrails.com/blog/top-5-ways-handle-data-breach" target="_blank" rel="noreferrer noopener">&ldquo;Top 5 ways to handle a data breach,&rdquo;</a>&nbsp;SecurityTrails, 27 novembre 2018 8,9&nbsp; Commissariat &agrave; la protection de la vie priv&eacute;e du Canada, 29 octobre 2018.&nbsp; <a href="https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/protection-des-renseignements-personnels-pour-les-entreprises/mesures-de-securite-et-atteintes/atteintes-a-la-vie-privee/comment-reagir-a-une-atteinte-a-la-vie-privee-dans-votre-entreprise/gd_pb_201810/" target="_blank" rel="noreferrer noopener">Ce que vous devez savoir sur la d&eacute;claration obligatoire des atteintes aux mesures de s&eacute;curit&eacute;</a>. Consult&eacute; le 5 f&eacute;vrier 2021, 10&nbsp; <a href="https://digitalguardian.com/blog/data-breach-experts-share-most-important-next-step-you-should-take-after-data-breach-2014-2015" target="_blank" rel="noreferrer noopener">&ldquo;Data breach experts share the most important next step you should take after a data breach in 2019 &amp; beyond,&rdquo;</a>&nbsp;Digital Guardian, 11 ao&ucirc;t 2020 11,12 <a href="https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/protection-des-renseignements-personnels-pour-les-entreprises/mesures-de-securite-et-atteintes/atteintes-a-la-vie-privee/comment-reagir-a-une-atteinte-a-la-vie-privee-dans-votre-entreprise/gd_pb_201810/" target="_blank" rel="noreferrer noopener">&ldquo;Ce que vous devez savoir sur la d&eacute;claration obligatoire des atteintes aux mesures de s&eacute;curit&eacute;, &rdquo;</a>&nbsp;Commissariat &agrave; la protection de la vie priv&eacute;e du Canada, octobre 2018 &nbsp; 13 <a href="https://www.smartdatacollective.com/4-easy-steps-conduct-security-audit-company/" target="_blank" rel="noreferrer noopener">&ldquo;4 easy steps how to conduct IT security audit of your own company,&rdquo;</a>&nbsp;SmartDataCollective, 22 mai 2017 &nbsp; 14 <a href="https://www.computerworld.com/article/3535590/avoid-security-breaches-how-to-protect-your-data.html" target="_blank" rel="noreferrer noopener">&ldquo;Avoid security breaches: How to protect your data,&rdquo;</a>&nbsp;Computer World, 1 avril 2020 &nbsp;

Cinq étapes pour gérer une atteinte aux données

Dans notre monde en constante &eacute;volution, les donn&eacute;es sont devenues le bien le plus pr&eacute;cieux de toute entreprise. Celle-ci doit absolument &ecirc;tre prot&eacute;g&eacute;e, mais elle doit tout autant r&eacute;duire sa cyberexposition et se rendre r&eacute;siliente aux cyberattaques, ou &agrave; tout le moins, les minimiser.
Que seraient les cons&eacute;quences d&rsquo;une violation de donn&eacute;es sur votre entreprise? Pourrait-elle s&rsquo;en remettre?
Voici propose quatre enseignements que toute entreprise peut mettre &agrave; profit pour g&eacute;rer sa cyber exposition.
<h3>1. Informer et &eacute;duquer</h3>
Education is key, and it&rsquo;s not only an IT responsibility and risk. It&rsquo;s everyone&rsquo;s responsibility.
La formation des employ&eacute;s sur la cybers&eacute;curit&eacute; est indispensable. Dans la configuration d&rsquo;une entreprise, l&rsquo;erreur humaine est le maillon le plus faible de la cha&icirc;ne de s&eacute;curit&eacute;. Les employeurs doivent faire conna&icirc;tre aux employ&eacute;s les risques et vuln&eacute;rabilit&eacute;s imminents et comment les &eacute;viter.
La cybers&eacute;curit&eacute; devrait &ecirc;tre un pilier de la culture d&rsquo;entreprise et plusieurs moyens permettent de l&rsquo;instaurer:
<ul>
<li>Mener r&eacute;guli&egrave;rement des s&eacute;ances de formation avec vos employ&eacute;s o&ugrave; vous parlerez d&rsquo;exp&eacute;riences v&eacute;cues et en ferez ressortir les aspects pertinents pour les t&acirc;ches des employ&eacute;s</li>
<li>Lors du processus de socialisation organisationnelle des nouveaux employ&eacute;s, incorporer les pratiques exemplaires en mati&egrave;re de cybers&eacute;curit&eacute; dans les discussions et protocols</li>
<li>Entra&icirc;ner les employ&eacute;s &agrave; prendre les mesures n&eacute;cessaires si jamais ils soup&ccedil;onnent une menace &agrave; la s&eacute;curit&eacute; et ne pas oublier de tester p&eacute;riodiquement la v&eacute;ritable compr&eacute;hension qu&rsquo;ils ont de ce qu&rsquo;ils devraient surveiller &nbsp;&nbsp;&nbsp;</li>
</ul>
<h3>2. Att&eacute;nuer les cyberrisques</h3>
Voici quelques strat&eacute;gies d&rsquo;att&eacute;nuation des risques &agrave; la disposition des entreprises pour prot&eacute;ger leurs donn&eacute;es:
<ul>
<li>Chiffrer les donn&eacute;es : En rendant les donn&eacute;es difficiles &agrave; utiliser si jamais elles tombaient entre les mains de personnes malintentionn&eacute;es, le chiffrement peut &ecirc;tre une strat&eacute;gie efficace de pr&eacute;vention des cyberattaques.</li>
<li>Ex&eacute;cuter des sauvegardes des donn&eacute;es et les conserver s&eacute;par&eacute;ment : Faire une copie de sauvegarde des donn&eacute;es et la conserver s&eacute;par&eacute;ment renforce la r&eacute;silience devant les attaques de ran&ccedil;ongiciels, alors que les attaquants bloquent l&rsquo;acc&egrave;s des entreprises &agrave; leurs propres syst&egrave;mes.</li>
<li>Utiliser de solides mots de passe : Favoriser les mots de passe uniques et complexes, les changer souvent et d&eacute;conseiller le partage de mots de passe.</li>
<li>Restreindre les droits d&rsquo;administrateurs du r&eacute;seau : Les employ&eacute;s ne peuvent pas divulguer par erreur des informations auxquelles ils n&rsquo;ont pas acc&egrave;s. Utiliser un robuste logiciel anti-maliciel et pare-feu. Bien que les anti-maliciels efficaces circonscrivent et isolent les virus informatiques quand ils les d&eacute;tectent, le plus important demeure d&rsquo;emp&ecirc;cher les virus de p&eacute;n&eacute;trer dans votre base de donn&eacute;es en premier lieu.</li>
</ul>
<h3>3. Mettre en place un plan</h3>
Si vous recueillez ou conservez des donn&eacute;es dans l&rsquo;exercice de vos activit&eacute;s commerciales, vous en &ecirc;tes responsable &agrave; titre de gardien.
Le 1er novembre 2018, d&rsquo;importants changements &agrave; la Loi sur la protection des renseignements personnels et les documents &eacute;lectroniques (LPRPDE) sont entr&eacute;s en vigueur. Les entreprises, grosses et petites, qui sont soumises aux exigences de la LPRPDE doivent signaler les violations importantes au commissaire &agrave; la protection de la vie priv&eacute;e et aux personnes concern&eacute;es, et tenir un registre de toutes les violations.
Par cons&eacute;quent, il est important que les entreprises pr&eacute;parent des plans d&rsquo;intervention en cas d&rsquo;incident et mettent en place des proc&eacute;dures pour minimiser et endiguer la violation des donn&eacute;es et pour s&rsquo;en r&eacute;tablir par la suite. Le plan d&rsquo;intervention sert de feuille de route que les &eacute;quipes concern&eacute;es doivent suivre lorsqu&rsquo;une violation des donn&eacute;es est d&eacute;couverte. Pour qu&rsquo;un plan soit efficace, il faut que l&rsquo;organisation connaisse la quantit&eacute; de donn&eacute;es sensibles conserv&eacute;es, le type de donn&eacute;es (donn&eacute;es personnelles, donn&eacute;es sur les clients, propri&eacute;t&eacute; intellectuelle, etc.), comment elles sont s&eacute;curis&eacute;es et qui y a acc&egrave;s.
En cas de violation, votre entreprise peut faire deux choses pour d&eacute;terminer le meilleur moyen de r&eacute;agir :
<ul>
<li>Nommer une &eacute;quipe en criminalistique informatique : Des enqu&ecirc;teurs en criminalistique informatique ind&eacute;pendants peuvent trouver la source et l&rsquo;&eacute;tendue du probl&egrave;me.</li>
<li>Consulter un conseiller juridique : Ils sont en mesure de vous conseiller en ce qui a trait &agrave; vos responsabilit&eacute;s par rapport aux lois f&eacute;d&eacute;rales et provinciales applicables.</li>
</ul>
<h3>4. Se fier aux sp&eacute;cialistes</h3>
Certains contrats d&rsquo;assurance offrent des services et des ressources en mati&egrave;re de pr&eacute;paration et de gestion de crise. Voici quelques-uns des services possibles :
<ul>
<li>Conseil</li>
<li>Gestion de crise</li>
<li>Aide au signalement</li>
<li>Planification de l&rsquo;aide aux victimes de la violation</li>
<li>Soutien aux relations avec les medias</li>
<li>Communications r&eacute;glementaires</li>
<li>Acc&egrave;s personnalis&eacute; &agrave; un site de pr&eacute;paration en cas de violation des donn&eacute;es</li>
</ul>
Le fait d&rsquo;&ecirc;tre &eacute;paul&eacute; par le bon sp&eacute;cialiste pour vous aider &agrave; naviguer dans les complexit&eacute;s et nuances de la s&eacute;curit&eacute; des donn&eacute;es peut faire toute la diff&eacute;rence lorsque vous vous pr&eacute;parez &agrave; faire face &agrave; une violation des donn&eacute;es ou lorsque la situation se pr&eacute;sente.
Pour &ecirc;tre r&eacute;silient, il faut &ecirc;tre form&eacute;, proactif et appuy&eacute;. Parlez-en &agrave; votre courtier d&rsquo;assurance pour &ecirc;tre certains d&rsquo;avoir acc&egrave;s aux ressources et expertises pertinentes.