Comment les entreprises peuvent travailler à domicile en toute sécurité

Alors que le monde continue de faire face à la crise sanitaire mondiale, les entreprises se sont tournées vers le travail à distance pour assurer la sécurité de leurs employés tout en maintenant des activités commerciales régulières.

Avec l'augmentation du travail à distance, les entreprises devront se préparer de différentes manières pour éviter les risques de cybersécurité ou les interruptions d'activité. "Lorsqu'il s'agit de soutenir une main-d'œuvre à distance, il faut comprendre que les contrôles de sécurité se déplacent. Par conséquent, les pare-feu, les DNS et les IDS/IPS peuvent être inefficaces lorsque les employés rentrent chez eux. La plupart des environnements qui prennent en charge les VPN devraient être en mesure de protéger l'utilisateur distant, assurez-vous de tenir compte de la bande passante des utilisateurs et des sessions de bureau à distance", a déclaré Dan Garcia, ingénieur principal en sécurité de l'information II chez Datto.

Guide VPN de la CISA

L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a publié une alerte le 13 mars afin d'encourager les organisations à renforcer leur cybersécurité. Selon la CISA, les modalités de télétravail nécessitent une solution VPN pour connecter les employés au réseau de l'organisation. La CISA encourage les organisations à prendre en compte les recommandations suivantes lorsqu'elles envisagent d'autres options d'workplace :

• Mettez à jour les VPN, les équipements d'infrastructure réseau et les appareils utilisés pour accéder à distance aux environnements de travail en installant les derniers correctifs logiciels et en appliquant les configurations de sécurité les plus récentes. Consultez les conseils de la CISA intitulés « Comprendre les correctifs et sécuriser les équipements d'infrastructure réseau ».
• Prévenez vos collaborateurs d'une recrudescence attendue des tentatives d'hameçonnage. Consultez le conseil de la CISA intitulé « Éviter les attaques par ingénierie sociale et par hameçonnage ».
• Veillez à ce que le personnel chargé de la sécurité informatique soit prêt à intensifier les tâches suivantes en matière de cybersécurité liées à l'accès à distance : analyse des journaux, détection des attaques, ainsi que réponse aux incidents et reprise après sinistre. Conformément à la publication spéciale 800-46 v.2 de l'Institut national des normes et des technologies (NIST), intitulée « Guide sur la sécurité du télétravail, de l'accès à distance et du BYOD (Bring Your Own Device) en entreprise », ces tâches doivent être consignées dans la politique de gestion de la configuration.
• Mettez en place l'authentification à plusieurs facteurs (MFA) sur toutes les connexions VPN afin de renforcer la sécurité. Si la MFA n'est pas mise en place, exigez des télétravailleurs qu'ils utilisent des mots de passe forts. (Pour plus d'informations, consultez les conseils de la CISA intitulés « Choisir et protéger ses mots de passe » et « Renforcer la sécurité des mots de passe ».)
• S'assurer que le personnel de sécurité informatique teste les limites des VPN pour se préparer à une utilisation massive et, si possible, mettre en œuvre des modifications - telles que la limitation du débit - pour donner la priorité aux utilisateurs qui auront besoin d'une bande passante plus élevée.
• Contactez la CISA pour signaler des incidents, des tentatives d'hameçonnage, des logiciels malveillants et tout autre problème lié à la cybersécurité.

Meilleures pratiques du CDC

Le CDC a publié quelques bonnes pratiques pour un plan de lutte contre les épidémies :

• Examinez les politiques de ressources humaines pour vous assurer que les politiques et les pratiques sont conformes aux recommandations en matière de santé publique et qu'elles respectent les lois étatiques et fédérales en vigueur sur le lieu de travail (pour plus d'informations sur les responsabilités de l'employeur, consultez les sites Web de l'icône externe du Département du travail et de l'icône externe de la Commission de l'égalité des chances en matière d'emploi).
• Examinez si vous pouvez mettre en place des politiques et des pratiques, telles que des lieux de travail flexibles (par exemple, le télétravail) et des horaires de travail flexibles (par exemple, des horaires décalés), afin d'augmenter la distance physique entre les employés et entre les employés et les autres si les autorités sanitaires locales et nationales recommandent l'utilisation de stratégies de distanciation sociale. Pour les employés qui sont en mesure de télétravailler, les superviseurs devraient encourager les employés à télétravailler au lieu de venir sur le lieu de travail jusqu'à ce que les symptômes soient complètement résolus. Assurez-vous que vous disposez des technologies de l'information et de l'infrastructure nécessaires pour prendre en charge plusieurs employés susceptibles de travailler à domicile.

Conseils des MSP de Datto

En outre, nous nous sommes entretenus avec certains partenaires de Datto pour obtenir leurs meilleures pratiques et leurs conseils sur la façon dont les entreprises peuvent rester sécurisées à travers et les scénarios potentiels de travail à distance.

• Utilisez un réseau Wi-Fi sécurisé: dans la mesure du possible, travaillez sur votre réseau domestique privé et sécurisé plutôt que de recourir à un réseau Wi-Fi public. Si vous transmettez vos données via une connexion Wi-Fi non sécurisée, vous renoncez à votre confidentialité, ce qui permet aux cybercriminels d’intercepter vos données. Vous risquez de mettre vos informations personnelles en danger si vous accédez à votre messagerie ou envoyez des données sensibles via un réseau Wi-Fi public. Il est essentiel de vous assurer que votre réseau est sécurisé grâce à l’utilisation d’un VPN et d’un mot de passe fort, difficile à pirater. Selon Andy Katz, ingénieur en solutions réseau chez Datto, le principal problème des réseaux Wi-Fi publics réside dans le risque d’écoute clandestine. « Si vous vous connectez à un réseau Wi-Fi public qui ne nécessite aucune authentification via WPA, une grande partie de vos communications réseau est transmise en clair, et le risque est accru que des points d’accès malveillants tentent de s’interposer dans des transactions auxquelles vous accordez généralement votre confiance, comme un VPN ou un site bancaire.
  » Brian Weiss, d’ITECH Solutions, recommande aux prestataires de services gérés (MSP) de conseiller aux entreprises de n’utiliser que le matériel de l’entreprise et de se connecter via un VPN. « Nous n’autorisons l’utilisation d’un appareil personnel que dans le cas où un utilisateur final accède à son ordinateur professionnel via une application de bureau à distance sécurisée telle que LogMeIn, avec l’authentification multifactorielle (MFA) activée. Les correctifs de sécurité et les mises à jour logicielles doivent toujours être appliqués sur les ordinateurs appartenant à l’entreprise. Dans le cas d’ordinateurs ou d’appareils BYOD, ITECH exige qu’ils fassent l’objet d’un contrat incluant la surveillance, la sécurité des terminaux et la gestion des correctifs de sécurité », a déclaré M. Weiss. Pour en savoir plus, consultez le blog d’ITECH Solutions.
• Sécurisez votre poste de travail à domicile: assurez-vous que vos logiciels antivirus et anti-malware sont entièrement mis à jour et disposent de tous les correctifs nécessaires. Il est important de respecter les mêmes bonnes pratiques que si vous étiez au bureau, et de signaler toute activité suspecte ou tout problème au service informatique interne ou à votre prestataire de services gérés (MSP). Selon Patrick Murphy, de Results Technology, voici quelques points clés à respecter pour garantir votre sécurité. Pour plus de conseils, consultez leur blog.
• Coordonnez-vous avec votre service informatique interne ou votre prestataire de services gérés (MSP): lorsque vous travaillez à distance, il est essentiel de continuer à appliquer vos bonnes pratiques habituelles en matière de cybersécurité et de faire part de vos questions ou préoccupations. Selon Steve Stokes, directeur du développement commercial chez Aura Technology, une entreprise basée au Royaume-Uni, les utilisateurs doivent se coordonner avec leur service informatique interne ou leur prestataire de services gérés (MSP) avant de commencer à travailler à distance. « Si vous disposez d’un ordinateur portable fourni par l’entreprise, cela devrait être simple, mais si vous devez travailler depuis chez vous et utiliser votre propre ordinateur, votre service informatique ou votre prestataire de services gérés (MSP) vous indiquera si cela est possible et, le cas échéant, comment procéder en toute sécurité. »

Pour obtenir les dernières informations, suivez la page d'information du CDC avec les FAQ, les mises à jour de la situation, et plus encore.