Meilleures pratiques de Data Security

L'importance de la sécurité des données

Aujourd'hui, chaque organisation, quelle que soit sa taille, doit suivre les meilleures pratiques de protection des données afin de réduire le risque lié aux ransomwares, au phishing et à d'autres cyberattaques de plus en plus sophistiquées. De plus, le respect des directives de sécurité des données est essentiel pour atteindre, maintenir et prouver la conformité avec des lois strictes de protection des données modernes telles que le RGPD et le CCPA.

Malheureusement, 77 % des organisations ne sont pas suffisamment préparées aux cyberattaques, selon une étude du Ponemon Institute. Cela inclut même les géants de la technologie — en 2022, des pirates ont pu exploiter une faiblesse dans la sécurité du cloud chez Microsoft, entraînant une violation majeure des données.

Préoccupé par votre propre sécurité ? Ce livre blanc révèle les meilleures pratiques de Data Security Posture Management à connaître aujourd'hui pour protéger votre organisation contre les violations et les pénalités de conformité.

Top 14 des meilleures pratiques de Data Security

1. Comprendre les technologies de données et les bases de données

Modèles de bases de données

Les premiers systèmes de bases de données reliaient directement les utilisateurs aux données via des applications. Dans un réseau privé, la sécurité physique était généralement suffisante pour protéger les données.

Aujourd'hui, les bases de données modernes permettent de visualiser les données de manière dynamique en fonction des besoins de l'utilisateur ou de l'administrateur. Les modèles incluent :

• Modèle à un niveau (monocouche) — Dans ce modèle, la base de données et l'application se trouvent sur un seul système. Cela est courant sur les systèmes de bureau exécutant une base de données autonome. Les premières implémentations Unix fonctionnaient également de cette manière ; chaque utilisateur se connectait à un terminal et exécutait une application dédiée qui accédait aux données.
• Modèle à deux niveaux — Dans un modèle à deux niveaux, le poste de travail ou le système client exécute une application qui communique avec une base de données fonctionnant sur un serveur différent. C'est une mise en œuvre courante qui fonctionne bien pour de nombreuses applications.
• Modèle à trois niveaux — Couramment utilisé aujourd'hui, le modèle à trois niveaux isole l'utilisateur final de la base de données en introduisant un serveur intermédiaire. Ce serveur accepte les requêtes des clients, les évalue et les envoie à un serveur de base de données pour traitement. Le serveur de base de données renvoie les données au serveur intermédiaire, qui ensuite les envoie au système client. Le serveur intermédiaire peut également contrôler l'accès à la base de données et fournir une sécurité supplémentaire.

SQL contre bases de données NoSQL

Le langage le plus couramment utilisé pour communiquer avec les bases de données est le Structured Query Language (SQL). SQL permet aux utilisateurs d'envoyer des requêtes aux serveurs de bases de données en temps réel. La plupart des systèmes de gestion de bases de données relationnelles commerciaux — y compris Oracle, Microsoft SQL Server, MySQL et PostGres — utilisent SQL. (Ne confondez pas le langage SQL avec le produit de base de données de Microsoft SQL Server.)

Une base de données NoSQL n'est pas une base de données relationnelle et n'utilise pas SQL. Ces bases de données sont moins courantes que les bases de données relationnelles, mais sont souvent utilisées là où la mise à l'échelle est importante.

Voici quelques différences clés :

Big Data

Certaines organisations stockent plus de données qu'il n'est possible sur un seul serveur, elles utilisent donc plutôt un réseau de stockage de zone (SAN). Un SAN est un réseau distinct qui est configuré pour apparaître comme un serveur au réseau principal. Par exemple, plusieurs serveurs et dispositifs de stockage en réseau pourraient être configurés en mini-réseau conçu pour stocker uniquement plusieurs téraoctets de données. Il est connecté au réseau principal afin que les utilisateurs puissent accéder rapidement et facilement aux données dans le SAN.

Les SAN ont généralement des serveurs redondants et sont connectés via des connexions optiques à haute vitesse ou iSCSI sur cuivre. Cependant, le Big Data peut atteindre une taille où il devient difficile de rechercher, stocker, partager, sauvegarder et gérer.

Systèmes de fichiers

Les systèmes de fichiers sont une autre manière de stocker des données non structurées et de contrôler la manière dont elles sont récupérées. Sans système de fichiers, les informations sur un support de stockage seraient un grand bloc de données sans indication de l'endroit où une pièce d'information s'arrête et la suivante commence. Séparer les données en morceaux et donner à chaque morceau un nom rend l'information beaucoup plus facile à isoler et à identifier.

Les systèmes de fichiers peuvent être utilisés sur de nombreux types de supports, tels que les SSD, les bandes magnétiques et les disques optiques. Les types de systèmes de fichiers dépendent du système d'exploitation utilisé. Par exemple, Linux utilise des systèmes de fichiers tels que la famille ext, xfs et jfs ; Windows OS utilise fat, fat32 et ntfs ; et MacOS utilise apfs et hfs+.

2. Identifier et classer les données sensibles

Pour protéger efficacement vos données, vous devez savoir exactement quels types de données vous possédez. La technologie de découverte de données scanne vos dépôts de données et rapporte les résultats. À partir de là, vous pouvez organiser les données en catégories en utilisant un processus de classification des données. Un moteur de découverte de données utilise généralement des expressions régulières pour ses recherches, ce qui permet plus de flexibilité.

L'utilisation de la technologie de découverte et de classification des données vous aide à contrôler si les utilisateurs peuvent accéder aux données critiques et à empêcher qu'elles soient stockées dans des emplacements non sécurisés, réduisant ainsi le risque d'exposition inappropriée des données et de perte de données. Toutes les données critiques ou sensibles doivent être clairement étiquetées avec une signature numérique qui indique leur classification, afin que vous puissiez les protéger conformément à leur valeur pour l'organisation. Des outils tiers, tels que Netwrix Data Classification, peuvent rendre la découverte et la classification des données plus faciles et plus précises.

Les données doivent être classifiées en fonction de leur sensibilité et de leur valeur. Par exemple, les données peuvent être regroupées dans les catégories suivantes :

• Données publiques — Données qui ne nécessitent pas de protection spéciale et peuvent être partagées librement.
• Données privées — Données auxquelles les employés peuvent accéder mais qui doivent être protégées du grand public.
• Données confidentielles — Informations qui ne peuvent être partagées qu'avec certains utilisateurs sélectionnés, telles que des informations propriétaires et des secrets commerciaux.
• Données restreintes — Des données hautement sensibles, telles que les dossiers médicaux et les informations financières qui sont protégées par la réglementation.

Des contrôles doivent être mis en place pour empêcher les utilisateurs de modifier de manière inappropriée le niveau de classification des données. En particulier, seuls certains utilisateurs sélectionnés devraient être capables de rétrograder une classification, car cela rendrait les données plus largement disponibles.

Suivez ces directives pour créer une politique de classification des données solide. Et n'oubliez pas de réaliser la découverte et la classification des données dans le cadre de votre processus d'évaluation des risques informatiques.

3. Créez une politique d'utilisation des données

Bien sûr, la classification des données à elle seule n'est pas suffisante ; vous avez également besoin d'une politique qui spécifie les types d'accès, les conditions d'accès aux données basées sur la classification, qui a accès aux données, ce qui constitue une utilisation correcte des données, et ainsi de suite. N'oubliez pas que toutes les violations de la politique doivent avoir des conséquences claires.

4. Mettez en œuvre des contrôles d'accès

Vous devez également appliquer des contrôles d'accès appropriés pour restreindre l'accès à vos données, y compris exiger une authentification pour accéder à toute donnée qui n'est pas publique. Les droits d'accès doivent suivre le principe du moindre privilège : chaque utilisateur reçoit uniquement les privilèges essentiels pour exercer ses responsabilités assignées.

Les contrôles d'accès peuvent être physiques, techniques ou administratifs :

Contrôles administratifs

Les contrôles d'accès administratifs sont des procédures et des politiques que tous les employés doivent suivre. Une politique de sécurité peut énumérer les actions qui sont considérées comme acceptables, le niveau de risque que l'entreprise est prête à prendre, les pénalités en cas de violation, etc. La politique est normalement créée par un expert qui comprend les objectifs de l'entreprise et les réglementations de conformité applicables. Les composants importants des contrôles administratifs incluent :

• Structure de supervision —Presque toutes les organisations rendent les gestionnaires responsables des activités de leur personnel : si un employé enfreint un contrôle administratif, le superviseur sera également tenu pour responsable.
• Formation — Tous les utilisateurs doivent être informés des politiques d'utilisation des données de l'entreprise et savoir que celle-ci les appliquera activement. De plus, les utilisateurs doivent être régulièrement réinformés et testés pour renforcer et vérifier leur compréhension. Les utilisateurs doivent également être sensibilisés à leur niveau d'accès aux données et aux responsabilités pertinentes.
• Procédure de départ d'un employé — Pour protéger vos systèmes et données, il est crucial que les employés partants perdent l'accès à votre infrastructure informatique. Travaillez avec les RH pour élaborer une procédure de départ d'utilisateur efficace qui suit ces meilleures pratiques de départ d'utilisateur.

Contrôles techniques

Stockage des données

Dans la plupart des cas, il ne faut pas permettre aux utilisateurs de copier ou de stocker des données sensibles localement. Au lieu de cela, ils devraient être contraints de manipuler les données à distance. Le cache du client et du serveur doit être minutieusement nettoyé après la déconnexion d'un utilisateur ou l'expiration d'une session ; sinon, des lecteurs RAM cryptés doivent être utilisés. Les données sensibles ne doivent jamais être stockées sur un système portable de quelque type que ce soit. Tous les systèmes devraient exiger une connexion et inclure des conditions verrouillant le système dans l'événement où il est utilisé de manière suspecte.

Permissions

Les autorisations d'utilisateur doivent être accordées strictement conformément au principe du moindre privilège. Voici les autorisations de fichier de base dans les systèmes d'exploitation Microsoft :

• Contrôle total — L'utilisateur peut lire, exécuter, modifier et supprimer des fichiers ; attribuer des permissions ; et prendre possession.
• Modifier — L'utilisateur peut lire, écrire et supprimer le fichier.
• Lire et exécuter — L'utilisateur peut lire et exécuter le fichier.
• Lire — L'utilisateur peut lire le fichier, mais ne peut pas le modifier.
• Écrire — L'utilisateur peut lire et modifier le fichier, mais pas le supprimer.

Les dossiers ont les mêmes autorisations, en plus de l'autorisation "lister le contenu du dossier", qui permet à l'utilisateur de voir ce qui se trouve dans le dossier mais pas de lire les fichiers.

Listes de contrôle d'accès

Une liste de contrôle d'accès (ACL) est une liste qui détermine qui peut accéder à quelle ressource et à quel niveau. Elle peut être une partie interne d'un système d'exploitation ou d'une application. Par exemple, une application personnalisée peut inclure une ACL qui répertorie les permissions des utilisateurs dans ce système.

Les ACL peuvent être basées sur des listes blanches ou des listes noires. Une whitelist est une liste d'éléments autorisés, comme une liste de sites web que les utilisateurs peuvent visiter en utilisant les ordinateurs de l'entreprise, ou une liste de logiciels tiers autorisés à être installés sur les ordinateurs de l'entreprise. Une blacklist est une liste de choses qui sont interdites, telles que des sites web spécifiques que les employés ne sont pas autorisés à visiter ou des logiciels qui sont interdits d'installation sur les ordinateurs des clients. 

Dans la gestion des fichiers, les listes de contrôle d'accès (ACL) de type liste blanche sont plus courantes. Elles sont configurées au niveau du système de fichiers. Par exemple, dans Microsoft Windows, vous pouvez configurer les permissions NTFS et créer des listes de contrôle d'accès NTFS à partir de celles-ci. Vous pouvez trouver plus d'informations sur la manière de configurer correctement les permissions NTFS dans cette liste des meilleures pratiques de gestion des permissions NTFS. N'oubliez pas que les contrôles d'accès doivent être mis en place dans chaque application disposant d'un contrôle d'accès basé sur les rôles (RBAC), telles que les Active Directory groups et la délégation.

Dispositifs et méthodes de sécurité

Certains dispositifs et systèmes vous aident à restreindre davantage l'accès aux données. Voici les plus couramment mis en œuvre :

• Prévention de la perte de données (DLP) — Ces systèmes surveillent les postes de travail, les serveurs et les réseaux pour s'assurer que les données sensibles ne sont pas supprimées, retirées, déplacées ou copiées. Ils surveillent également qui utilise et transmet les données pour détecter l'utilisation non autorisée.
• Pare-feu — Un pare-feu isole un réseau d'un autre. Les pare-feu peuvent être des systèmes autonomes ou être inclus dans d'autres dispositifs d'infrastructure tels que les routeurs ou les serveurs. Les solutions de pare-feu sont disponibles à la fois en tant que matériel et logiciel. Les pare-feu empêchent le trafic indésirable d'entrer dans le réseau de l'organisation, ce qui aide à prévenir la fuite de données vers des serveurs tiers malveillants par des logiciels malveillants ou des pirates. Selon la politique de pare-feu de l'organisation, le pare-feu peut interdire complètement certains ou tous les trafics, ou il peut autoriser certains ou tous les trafics uniquement après vérification.
• Le contrôle d'accès au réseau (NAC) — Le NAC implique de restreindre la disponibilité des ressources réseau aux appareils terminaux qui respectent votre politique de sécurité. Le NAC peut empêcher les appareils non autorisés d'accéder directement à vos données depuis votre réseau. Certaines solutions NAC peuvent automatiquement corriger un nœud non conforme pour assurer sa sécurité avant d'autoriser l'accès. Le NAC est particulièrement utile lorsque l'environnement utilisateur est assez statique et peut être rigoureusement contrôlé, comme dans les entreprises et les agences gouvernementales. Il peut être moins pratique dans des environnements avec un ensemble diversifié d'utilisateurs et d'appareils qui changent fréquemment.
• Serveur proxy — Ces dispositifs agissent comme des négociateurs lorsque des logiciels clients demandent des ressources à d'autres serveurs. Dans ce processus, un client se connecte au serveur proxy, demandant un certain service (par exemple, un site web). Le serveur proxy évalue la demande puis l'autorise ou la refuse. Les serveurs proxy sont généralement utilisés pour le filtrage du trafic et l'amélioration des performances. Les dispositifs proxy peuvent restreindre l'accès à vos données sensibles depuis internet.

Contrôles physiques

Bien que la sécurité physique soit souvent négligée dans les discussions sur la sécurité des données, ne pas la mettre en œuvre pourrait conduire à la compromission totale de vos données ou même de votre réseau. Chaque poste de travail doit être verrouillé afin qu'il ne puisse pas être retiré de la zone. Chaque boîtier d'ordinateur doit également être verrouillé pour que leurs disques durs ou autres composants de stockage ne puissent pas être retirés et compromis. Il est également recommandé de mettre en place un mot de passe BIOS pour empêcher les attaquants de démarrer sur d'autres systèmes d'exploitation à l'aide de supports amovibles.

Sécurité des ordinateurs portables et des appareils mobiles

Si un ordinateur portable d'entreprise est perdu ou volé, des parties malveillantes peuvent être en mesure d'accéder aux données sur son disque dur. Par conséquent, le chiffrement complet du disque doit être utilisé sur chaque ordinateur portable utilisé par une organisation. De plus, évitez d'utiliser des points d'accès Wi-Fi publics sans d'abord utiliser un canal de communication sécurisé tel qu'un VPN ou SSH. Les informations d'identification des comptes peuvent être facilement détournées par des attaques sans fil et peuvent conduire à la compromission de réseaux entiers. 

Les appareils mobiles peuvent introduire des virus ou d'autres logiciels malveillants dans le réseau d'une organisation et extraire des données sensibles de vos serveurs. En raison de ces menaces, les appareils mobiles doivent être contrôlés de manière particulièrement stricte. Les appareils autorisés à se connecter doivent être analysés pour détecter les virus, et les dispositifs amovibles doivent être chiffrés.

Il est important de concentrer vos politiques de sécurité autour des données, et non du type d'appareil sur lequel elles sont stockées. Les smartphones contiennent souvent des informations sensibles, mais ils sont généralement moins protégés que les ordinateurs portables, même lorsqu'ils contiennent les mêmes informations. Tous les appareils mobiles pouvant accéder à des données sensibles doivent exiger des mots de passe tout aussi complexes et utiliser les mêmes contrôles d'accès et logiciels de protection.

Les smartphones dotés d'un appareil photo et d'un micro de haute qualité sont une autre source courante de fuites de données. Il est très difficile de protéger vos documents contre les fuites internes avec ces appareils mobiles, ou de détecter une personne prenant une photo d'un écran ou d'un tableau blanc contenant des données sensibles. Cependant, vous devriez tout de même avoir une politique interdisant l'utilisation de la caméra dans le bâtiment.

Ségrégation de réseau

La segmentation du réseau implique de séparer un réseau en zones fonctionnelles. Chaque zone peut se voir attribuer différentes règles de Netwrix Data Classification, définies selon un niveau de sécurité approprié et surveillées en conséquence.

La segmentation limite les dommages potentiels d'un incident de sécurité à une seule zone. En substance, elle divise une cible en plusieurs, laissant aux attaquants deux choix : traiter chaque segment comme un réseau séparé, ou compromettre un segment et tenter de franchir la division. Aucun choix n'est séduisant. Traiter chaque segment comme un réseau séparé crée beaucoup de travail supplémentaire, puisque l'attaquant doit compromettre chaque segment individuellement ; cette approche augmente également considérablement l'exposition de l'attaquant à être découvert. Tenter de passer d'une zone compromise à d'autres zones est également difficile, car si les segments sont conçus efficacement, le trafic réseau entre eux peut être restreint. Bien qu'il y ait toujours des exceptions — telles que la communication avec les serveurs de domaine pour la gestion centralisée des comptes — ce trafic limité est plus facile à identifier.

Vidéosurveillance

Toutes les installations critiques de votre entreprise doivent être surveillées à l'aide de caméras vidéo dotées de capteurs de mouvement et de vision nocturne. Cela est essentiel pour attraper les intrus non autorisés qui tentent d'accéder directement à vos serveurs de fichiers, archives ou sauvegardes, et pour repérer toute personne qui pourrait prendre des photos de données sensibles dans des zones restreintes.

Verrouillage et recyclage

Votre espace de travail et tout équipement s'y trouvant doivent être sécurisés avant de le laisser sans surveillance. Par exemple, vérifiez les portes, les tiroirs de bureau et les fenêtres, et ne laissez pas de papiers sur votre bureau. Toutes les copies papier de données sensibles doivent être enfermées à clé, puis détruites lorsqu'elles ne sont plus nécessaires. De plus, ne partagez ou dupliquez jamais les clés d'accès, cartes d'identité, codes de verrouillage ou autres dispositifs d'accès.

Avant de jeter ou de recycler un disque dur, effacez complètement toutes les informations qu'il contient et assurez-vous que les données ne puissent plus être récupérées. Les vieux disques durs et autres dispositifs informatiques qui contenaient des informations critiques doivent être détruits physiquement ; assignez un ingénieur informatique spécifique pour gérer personnellement ce processus.

5. Mettez en œuvre la gestion des changements et l'audit des bases de données

Une autre mesure de sécurité importante consiste à suivre toutes les activités des bases de données et des serveurs de fichiers afin de détecter les accès et les modifications apportées aux informations sensibles et aux permissions associées. L'activité de connexion doit être conservée pendant au moins un an pour les audits de sécurité. Tout compte qui dépasse le nombre maximum de tentatives de connexion échouées doit automatiquement être signalé à l'administrateur de la sécurité des informations pour enquête.

Utiliser des informations historiques pour comprendre quelles données sont sensibles, comment elles sont utilisées, qui les utilise et où elles circulent vous aide à élaborer des politiques précises et efficaces et à anticiper comment les changements dans votre environnement pourraient affecter la sécurité. Ce processus peut également vous aider à identifier des risques jusqu'alors inconnus. Il existe des outils tiers qui simplifient la gestion des changements et l'audit de l'activité des utilisateurs, tels que Netwrix Auditor.

6. Utilisez le chiffrement des données

Le chiffrement est l'une des meilleures pratiques de sécurité des données les plus fondamentales. Toutes les données commerciales critiques doivent être chiffrées, que ce soit au repos ou en transit, que ce soit via des appareils portables ou sur le réseau. Les systèmes portables devraient utiliser des solutions de disque chiffré s'ils doivent stocker des données importantes de quelque nature que ce soit. Chiffrer les disques durs des systèmes de bureau qui stockent des informations critiques ou propriétaires aidera à protéger les informations essentielles même dans l'événement où les appareils physiques sont volés.

Système de chiffrement de fichiers (EFS)

La manière la plus basique de chiffrer des données sur vos systèmes Windows est la technologie Encrypting File System (EFS). Si vous utilisez EFS pour protéger des données, les utilisateurs non autorisés ne peuvent pas voir le contenu d'un fichier même s'ils ont un accès complet à l'appareil. Lorsqu'un utilisateur autorisé ouvre un fichier chiffré, EFS déchiffre le fichier en arrière-plan et fournit une copie non chiffrée à l'application. Les utilisateurs autorisés peuvent visualiser ou modifier le fichier, et EFS enregistre les modifications de manière transparente sous forme de données chiffrées. Si des utilisateurs non autorisés tentent de faire de même, ils reçoivent une erreur « accès refusé ».

Un autre outil de chiffrement de Microsoft est BitLocker. BitLocker complète EFS en fournissant une couche supplémentaire de protection pour les données stockées sur les appareils Windows. BitLocker protège les appareils perdus ou volés contre le vol ou l'exposition de données, et il offre une élimination sécurisée des données lorsque vous mettez un appareil hors service.

Chiffrement matériel

Le chiffrement matériel peut être appliqué en plus du chiffrement logiciel. Dans les paramètres de configuration avancée de certains menus de configuration BIOS, vous pouvez choisir d'activer ou de désactiver un Trusted Platform Module (TPM). Un TPM est une puce qui peut être installée sur une carte mère et peut stocker des clés cryptographiques, des mots de passe ou des certificats. Un TPM peut être utilisé pour aider à la génération de clés de hachage et pour protéger les smartphones et les appareils autres que les PC. Il peut également être utilisé pour générer des valeurs pour le chiffrement de disque entier, tel que BitLocker.

7. Sauvegardez vos données

Les actifs commerciaux critiques doivent être dupliqués pour fournir une redondance et servir de sauvegardes. Au niveau le plus élémentaire, la tolérance aux pannes pour un serveur nécessite une sauvegarde des données. Les sauvegardes sont l'archivage périodique des données afin que vous puissiez les récupérer en cas de défaillance du serveur. D'un point de vue sécurité, il existe trois types principaux de sauvegarde :

• Complet — Toutes les données sont archivées. Réaliser une sauvegarde complète est très chronophage et sollicite énormément les ressources, et cela aura un impact considérable sur les performances du serveur.
• Différentiel — Toutes les modifications depuis la dernière sauvegarde complète sont archivées. Elles n'auront pas autant d'impact que les sauvegardes complètes, mais elles ralentiront tout de même votre réseau.
• Incrémentiel — Toutes les modifications depuis la dernière sauvegarde de n'importe quel type sont archivées.

Normalement, les organisations utilisent une combinaison de ces types de sauvegardes. Par exemple, vous pourriez effectuer une sauvegarde complète chaque jour à minuit, et une sauvegarde différentielle ou incrémentielle toutes les deux heures par la suite. Si le système plante peu après minuit, vous pouvez restaurer à partir de la dernière sauvegarde complète ; si cela se produit plus tard dans la journée, vous devez utiliser une combinaison de sauvegardes.

Quelle que soit la stratégie de sauvegarde que vous choisissez, vous devez la tester périodiquement en restaurant les données de sauvegarde sur une machine de test. Une autre meilleure pratique clé est de stocker vos sauvegardes dans différents emplacements géographiques pour garantir que vous pouvez vous rétablir de catastrophes telles que les ouragans, les incendies ou les pannes de disque dur.

8. Utilisez RAID sur vos serveurs

Un outil fondamental pour la tolérance aux pannes, RAID est un ensemble redondant de disques indépendants qui permet à vos serveurs d'avoir plus d'un disque dur, assurant le fonctionnement du système même si son disque dur principal échoue. Les niveaux principaux de RAID sont décrits ici :

• RAID 0 (disques entrelacés) — Les données sont réparties sur plusieurs disques de manière à améliorer la vitesse (performances en lecture/écriture), mais cela n'offre aucune tolérance aux pannes. Un minimum de deux disques est nécessaire.
• RAID 1 — Ce niveau de RAID introduit une tolérance aux pannes par le biais du miroir : Pour chaque disque nécessaire aux opérations, il existe un disque miroir identique. Cela nécessite un minimum de deux disques et alloue 50 pour cent de la capacité totale pour les données et les autres 50 pour cent pour les miroirs. Lorsque vous utilisez RAID 1, le système continue de fonctionner sur le disque de secours même si le disque principal échoue. Vous pouvez ajouter un autre contrôleur à RAID 1, ce qui est appelé « duplexage ».
• RAID 3 ou 4 (disques en bandes avec parité dédiée) — Les données sont réparties sur trois disques ou plus. Un disque dédié est utilisé pour stocker les informations de parité, ce qui réduit la capacité de stockage de l'ensemble de disques d'un disque. Par conséquent, si un disque tombe en panne, ses données ne sont que partiellement perdues. Les données sur les autres disques, combinées aux informations de parité, permettent de récupérer les données.
• RAID 5 (disques entrelacés avec parité distribuée) — Ce niveau de RAID combine trois disques ou plus de manière à protéger les données contre la perte de n'importe quel disque. Il est similaire au RAID 3, mais la parité est répartie sur l'ensemble du tableau de disques. Ainsi, vous n'avez pas besoin d'allouer un disque entier pour stocker les bits de parité.
• RAID 6 (disques entrelacés avec double parité) — Ce niveau RAID combine quatre disques ou plus en ajoutant un bloc de parité supplémentaire au RAID 5, protégeant les données même si le système perd deux disques quelconques. Chaque bloc de parité est réparti sur l'ensemble du tableau de disques de sorte que la parité n'est dédiée à aucun disque spécifique.
• RAID 1+0 (ou 10) — Ce niveau de RAID est un ensemble de données miroité (RAID 1) qui est ensuite mis en bandes (RAID 0), d'où le nom « 1+0 ». Considérez-le comme une « bande de miroirs ». Un ensemble RAID 1+0 nécessite un minimum de quatre disques : deux disques miroités pour contenir la moitié des données en bandes, plus deux autres disques miroités pour l'autre moitié des données.
• RAID 0+1 — Ce niveau de RAID est l'opposé du RAID 1+0. Ici, les bandes sont miroitées. Un tableau RAID 0+1 nécessite un minimum de quatre disques : deux disques miroirs pour répliquer les données sur le tableau RAID 0.

9. Utilisez le clustering et la répartition de charge.

Le RAID fait un travail fantastique pour protéger les données sur les systèmes, que vous pouvez ensuite sécuriser davantage avec des sauvegardes régulières. Mais parfois, vous devez aller au-delà des systèmes individuels. Connecter plusieurs ordinateurs pour qu'ils fonctionnent ensemble comme un seul serveur est connu sous le nom de « clustering ». Les systèmes en cluster utilisent le traitement parallèle, ce qui améliore la performance et la disponibilité, et ajoute de la redondance (ainsi que des coûts).

Les systèmes peuvent également atteindre une haute disponibilité grâce à l'équilibrage de charge. Cela vous permet de répartir la charge de travail sur plusieurs ordinateurs — souvent des serveurs répondant aux requêtes HTTP (souvent appelés une ferme de serveurs), qui peuvent ou non se trouver dans le même emplacement géographique. Si vous divisez les emplacements, ils deviennent un « site miroir ». Cette copie en miroir peut aider à prévenir les temps d'arrêt et ajouter une redondance géographique pour permettre des réponses plus rapides aux requêtes.

10. Renforcez vos systèmes

Toute technologie capable de stocker des données sensibles, même temporairement, doit être correctement sécurisée en fonction du type d'informations auxquelles ce système pourrait potentiellement accéder. Cela inclut tous les systèmes externes qui pourraient accéder à distance à votre réseau interne avec des privilèges importants. Cependant, la facilité d'utilisation doit toujours être prise en compte, avec des fonctionnalités et une sécurité adéquatement déterminées et équilibrées.

Référentiel de base du système d'exploitation

La première étape pour sécuriser vos systèmes consiste à s'assurer que le système d'exploitation est configuré pour être aussi sécurisé que possible. Dès le départ, la plupart des systèmes d'exploitation exécutent des services non nécessaires qui offrent aux attaquants des voies supplémentaires pour compromettre votre système. Les seuls programmes et services en écoute qui devraient être activés sont ceux qui sont essentiels pour que vos employés puissent effectuer leur travail. Si quelque chose n'a pas de finalité commerciale, il devrait être désactivé. Il peut également être avantageux de créer une image de système d'exploitation de base sécurisée pour les employés typiques. Si quelqu'un a besoin de fonctionnalités supplémentaires, ces services ou programmes peuvent être activés au cas par cas.

Les systèmes d'exploitation Windows et Linux ont chacun leurs configurations de durcissement uniques.

Windows

Windows est de loin le système d'exploitation le plus populaire pour les consommateurs et les entreprises. Mais pour cette raison, c'est également le système d'exploitation le plus ciblé, avec de nouvelles vulnérabilités annoncées presque chaque semaine. Il existe plusieurs versions différentes de Windows utilisées au sein des organisations, donc certaines configurations mentionnées ici peuvent ne pas se traduire pour toutes. Voici quelques procédures qui devraient être effectuées pour renforcer la sécurité :

• Désactivez l'authentification LanMan.
• Assurez-vous que tous les comptes ont des mots de passe, que le compte soit activé ou désactivé.
• Désactivez ou restreignez les permissions sur les partages réseau.
• Supprimez tous les services non nécessaires, en particulier les protocoles en clair telnet et ftp.
• Activez la journalisation pour les événements système importants.

Vous pouvez trouver plus de meilleures pratiques de durcissement Windows dans cette liste de contrôle de durcissement Windows Server.

Linux

Le système d'exploitation Linux est devenu plus populaire ces dernières années. Même si certains affirment qu'il est plus sécurisé que Windows, certaines mesures doivent encore être prises pour le renforcer correctement :

• Désactivez les services et ports inutiles.
• Désactivez l'authentification de confiance utilisée par les « r commands ».
• Désactivez les programmes setuid et setgid inutiles.
• Reconfigurez les comptes utilisateurs uniquement pour les utilisateurs nécessaires.

Serveurs Web

Grâce à leur vaste portée de réseau, les serveurs web sont une zone privilégiée pour les attaquants à exploiter. Si un attaquant obtient l'accès à un serveur web populaire et exploite une faiblesse, il peut atteindre des milliers (sinon des centaines de milliers) de visiteurs du site et leurs données. En ciblant un serveur web, un attaquant peut affecter toutes les connexions à partir des navigateurs web des utilisateurs et causer des dommages bien au-delà de la seule machine qu'ils ont compromise.

Les serveurs Web étaient à l'origine simples dans leur conception, utilisés principalement pour fournir du texte HTML et du contenu graphique. Les serveurs Web modernes, quant à eux, permettent l'accès à des bases de données, des fonctionnalités de chat, du streaming multimédia et de nombreux autres services. Mais chaque service et capacité pris en charge sur un site Web est une cible potentielle. Assurez-vous qu'ils sont maintenus aux dernières normes logicielles. Vous devez également vous assurer que vous ne donnez aux utilisateurs que les permissions nécessaires pour accomplir leurs tâches. Si les utilisateurs accèdent à votre serveur via des comptes anonymes, alors vous devez vous assurer qu'ils ont les permissions nécessaires pour visualiser les pages Web et rien de plus.

Deux domaines particuliers d'intérêt pour les serveurs web sont les filtres et le contrôle d'accès aux scripts exécutables :

• Les filtres vous permettent de limiter le trafic autorisé. Limiter le trafic uniquement à ce qui est nécessaire pour votre entreprise peut aider à repousser les attaques. Des filtres peuvent également être appliqués à votre réseau pour empêcher les utilisateurs d'accéder à des sites inappropriés ou sans rapport avec le travail. Non seulement cela augmente la productivité, mais cela réduit également la probabilité que les utilisateurs téléchargent un virus à partir d'un site douteux.
• Les scripts exécutables, tels que ceux écrits en PHP, Python, diverses versions de Java et les scripts Common Gateway Interface (CGI), s'exécutent souvent avec des niveaux de permission élevés. Dans la plupart des cas, cela ne pose pas de problème car l'utilisateur retrouve son niveau de permission habituel après l'exécution du script. Des problèmes peuvent toutefois survenir si l'utilisateur parvient à sortir du script alors qu'il est encore à un niveau de permission élevé. Pour les administrateurs, la meilleure ligne de conduite est de vérifier que tous les scripts sur votre serveur ont été minutieusement testés, débogués et approuvés pour utilisation.

Serveurs de messagerie

Les serveurs de messagerie constituent l'épine dorsale des communications pour de nombreuses entreprises. Ils fonctionnent généralement comme un service supplémentaire sur un serveur ou en tant que systèmes dédiés. Ajouter un scanner antivirus actif aux serveurs de messagerie peut réduire le nombre de virus introduits dans votre réseau et empêcher la propagation de virus par votre serveur de messagerie. Il convient de noter, cependant, que la plupart des scanners ne peuvent pas lire les fichiers ouverts de Microsoft ; pour analyser les magasins de courrier Exchange, vous avez besoin d'un scanner AV de messagerie spécifique, certains pouvant même détecter le phishing et d'autres attaques d'ingénierie sociale via l'apprentissage automatique.

Les serveurs de messagerie sont souvent inondés par des systèmes automatisés qui tentent de les utiliser pour envoyer du spam. Bien que la plupart des serveurs de messagerie aient mis en place des mesures contre ces menaces, elles deviennent de plus en plus sophistiquées. Vous pourriez être en mesure de réduire ces tentatives d'accès à votre système en entrant les adresses TCP/IP des attaquants dans la liste de refus ACL de votre routeur. Ce faisant, votre routeur ignorera les demandes de connexion provenant de ces adresses IP, améliorant ainsi efficacement votre sécurité. Vous pouvez également mettre en place cette politique avec des filtres anti-spam.

Serveurs FTP

Les serveurs de File Transfer Protocol (FTP) ne sont pas conçus pour des applications à haute sécurité en raison de leurs faiblesses inhérentes. Bien que la plupart des serveurs FTP vous permettent de créer des zones de fichiers sur n'importe quel lecteur système, il est beaucoup plus sûr de créer un lecteur séparé ou un sous-répertoire pour les transferts de fichiers. Si possible, utilisez des connexions de réseau privé virtuel (VPN) ou de Secure Shell (SSH) pour les activités liées au FTP. Le FTP est notoirement non sécurisé et exploitable ; de nombreux systèmes FTP envoient les informations de compte et de mot de passe à travers le réseau non chiffrées.

Pour une sécurité opérationnelle maximale, utilisez des comptes de connexion et des mots de passe séparés pour l'accès FTP. Cela empêchera la divulgation des comptes système à des individus non autorisés. De plus, scannez régulièrement tous les fichiers sur les serveurs FTP à la recherche de virus.

Pour faciliter l'utilisation du FTP, la plupart des serveurs sont configurés par défaut pour permettre l'accès anonyme. Cependant, ces comptes anonymes devraient toujours être désactivés. D'un point de vue sécurité, la dernière chose que vous souhaitez est de permettre aux utilisateurs anonymes de copier des fichiers vers et depuis vos serveurs. Une fois l'accès anonyme désactivé, le système exigera que l'utilisateur soit connu et authentifié pour y accéder.

Mais la meilleure façon de sécuriser un serveur FTP est de le remplacer complètement. Les mêmes fonctionnalités peuvent être trouvées dans des services plus sécurisés tels que le Protocole de Transfert de Fichier Sécurisé (SFTP).

11. Mettez en œuvre une stratégie de gestion des correctifs appropriée

Vous devez avoir une stratégie de mise à jour pour vos systèmes d'exploitation et vos applications. Cela peut être fastidieux de s'assurer que toutes les versions des applications de votre environnement informatique sont à jour, mais c'est essentiel pour la protection des données. L'un des meilleurs moyens de garantir la sécurité est d'activer les mises à jour automatiques de l'antivirus et du système. Pour les infrastructures critiques, les correctifs doivent être minutieusement testés pour s'assurer qu'ils n'affectent pas la fonctionnalité et qu'ils n'introduiront pas de vulnérabilités.

Gestion des correctifs du système d'exploitation

Il existe trois types de correctifs de système d'exploitation, chacun avec un niveau d'urgence différent :

• Correctif — Un correctif est une mise à jour immédiate et urgente. En général, ces derniers représentent des problèmes de sécurité graves et ne sont pas optionnels.
• Correctif — Un correctif offre des fonctionnalités supplémentaires ou une résolution de problème non urgente. Ils sont parfois optionnels.
• Pack de service — Un pack de service est l'ensemble complet des correctifs et des mises à jour à ce jour. Ceux-ci doivent toujours être appliqués.

Testez tous les correctifs avant de les appliquer en production pour vous assurer que la mise à jour ne causera aucun problème.

Gestion des correctifs d'application

Vous devez également mettre à jour et corriger régulièrement vos applications. Une fois qu'une faille dans une application est découverte, un attaquant peut l'exploiter pour pénétrer ou endommager un système. La plupart des fournisseurs publient des correctifs de manière régulière, et vous devriez systématiquement rechercher ceux disponibles. De nombreuses attaques ciblent aujourd'hui les systèmes clients pour la simple raison que les clients ne gèrent pas toujours efficacement la correction des applications. Établissez des jours de maintenance dédiés à la correction et au test de toutes vos applications critiques.

12. Protégez vos données contre les menaces internes

Bien que les organisations continuent de consacrer un temps et un argent exceptionnels pour sécuriser leurs réseaux contre les attaques externes, les menaces internes sont une cause principale d'exposition des données. Une enquête de Netwrix a révélé que les incidents internes représentent plus de 60 pour cent de toutes les attaques ; cependant, de nombreuses attaques internes ne sont pas signalées par peur des pertes commerciales et des dommages à la réputation de l’entreprise.

Les menaces internes se présentent sous deux formes. Une menace interne autorisée est une personne qui abuse de ses droits et privilèges, soit accidentellement, soit délibérément, ou parce que ses identifiants ont été volés. Une menace interne non autorisée est une personne qui s'est connectée au réseau derrière ses défenses externes. Cela pourrait être quelqu'un qui s'est branché sur une prise dans le hall ou une salle de conférence, ou quelqu'un accédant à un réseau sans fil non protégé connecté au réseau interne. Les attaques internes peuvent entraîner une perte de données ou des temps d'arrêt, il est donc tout aussi important de surveiller l'activité dans votre réseau que l'activité à la périphérie.

Initiés utilisant un accès à distance

Avec de plus en plus d'utilisateurs travaillant à domicile, l'accès à distance aux réseaux d'entreprise devient également monnaie courante, il est donc crucial de sécuriser également les connexions à distance. Des processus d'authentification solides sont essentiels lors de la connexion à distance. Il est également important que les appareils utilisés pour l'accès à distance au réseau soient correctement sécurisés. De plus, les sessions à distance doivent être correctement enregistrées, voire enregistrées en vidéo.

13. Utilisez des systèmes de sécurité d'Endpoint pour protéger vos données

Les points de terminaison de votre réseau sont constamment attaqués, donc l'infrastructure de sécurité des points de terminaison est cruciale pour se protéger contre les violations de données, les programmes non autorisés et les logiciels malveillants avancés comme les rootkits. Avec l'utilisation accrue des appareils mobiles, les points de terminaison du réseau s'étendent et deviennent de plus en plus indéfinis. Les outils automatisés qui résident dans les points de terminaison du système sont essentiels pour atténuer les dommages causés par les logiciels malveillants. Au minimum, vous devriez utiliser les technologies suivantes :

Logiciel antivirus

Il est nécessaire d'installer un logiciel antivirus et de le maintenir à jour sur tous les serveurs et postes de travail. En plus de surveiller activement les fichiers entrants, le logiciel doit régulièrement effectuer des analyses pour détecter toute infection qui aurait pu passer inaperçue, comme les rançongiciels.

Antispyware

Les outils anti-espions et anti-publiciels sont conçus pour bloquer ou supprimer les logiciels espions. Un logiciel espion est un logiciel informatique installé à l'insu de l'utilisateur. En général, son objectif est de découvrir plus d'informations sur le comportement de l'utilisateur et de collecter des informations personnelles.

Les outils anti-espion fonctionnent beaucoup comme les outils antivirus, et nombre de leurs fonctions se chevauchent. Certains logiciels anti-espion sont combinés avec des packages antivirus, tandis que d'autres programmes sont disponibles en tant que solutions autonomes. Quel que soit le type de protection que vous utilisez, vous devez régulièrement rechercher des logiciels espions, par exemple en identifiant et en supprimant les cookies de suivi sur les hôtes.

Bloqueurs de pop-up

Les pop-ups sont plus qu'agaçants ; ils représentent une menace pour la sécurité. Les pop-ups (y compris les pop-unders) sont le signe de programmes indésirables s'exécutant sur le système, donc ils peuvent compromettre son bon fonctionnement.

Pare-feu basés sur l'hôte

Les pare-feu personnels sont des pare-feu logiciels installés sur chaque ordinateur du réseau. Ils fonctionnent de manière très similaire aux pare-feu frontaliers plus importants : en filtrant certains paquets pour les empêcher de quitter ou d'atteindre votre système. Beaucoup peuvent ne pas voir la nécessité de pare-feu personnels, surtout dans les réseaux d'entreprise avec de grands pare-feu dédiés. Cependant, ces grands pare-feu ne peuvent rien faire pour prévenir les attaques internes, qui, contrairement à celles provenant d'Internet, sont généralement menées par des virus. Au lieu de désactiver les pare-feu personnels, configurez simplement un pare-feu personnel standard selon les besoins de votre organisation, en exportant ces paramètres vers d'autres pare-feu personnels également.

Systèmes de détection d'intrusion basés sur l'hôte (IDSs)

Les IDS hôtes surveillent l'état du système et vérifient s'il correspond à ce qui est attendu. La plupart des IDS basés sur l'hôte utilisent la vérification de l'intégrité, qui repose sur le principe que les logiciels malveillants essaieront généralement de modifier les programmes ou les fichiers de l'hôte lors de leur propagation. La vérification de l'intégrité tente de déterminer quels fichiers système ont été modifiés de manière inattendue en calculant les « empreintes digitales » (détectables sous forme de hachages cryptographiques) des fichiers qui doivent être surveillés dans un état propre connu. Elle effectue ensuite un balayage, émettant une alerte lorsque l'empreinte d'un fichier surveillé change.

Cependant, la vérification de l'intégrité ne détecte l'infection par des logiciels malveillants qu'après coup et ne la préviendra pas.

14. Réalisez des évaluations de vulnérabilité et des tests de pénétration en cybersécurité

Les évaluations de vulnérabilité consistent généralement en des scanners de ports et des outils de balayage de vulnérabilités tels que nmap, OpenVas et Nessus. Ces outils analysent l'environnement depuis une machine externe, à la recherche de ports ouverts et des numéros de version de ces services. Les résultats du test peuvent être recoupés avec les services connus et les niveaux de correctifs qui sont censés être sur les systèmes de point de terminaison, permettant à l'administrateur de s'assurer que les systèmes adhèrent aux politiques de sécurité des points de terminaison.

Le test d'intrusion est la pratique consistant à tester un système, un réseau ou une application pour trouver des vulnérabilités de sécurité. Il peut également être utilisé pour tester une politique de sécurité, l'adhérence aux exigences de conformité, la sensibilisation à la sécurité des employés, ainsi que la détection et la réponse aux incidents de sécurité. Le processus peut être automatisé ou réalisé manuellement. Dans tous les cas, les organisations devraient effectuer des tests d'intrusion régulièrement — idéalement, une fois par an — pour assurer une sécurité du réseau et une gestion informatique plus cohérentes.

Voici les principales stratégies de test d'intrusion utilisées par les professionnels de la sécurité :

• Les tests ciblés sont réalisés en collaboration par l'équipe informatique de l'organisation et l'équipe de tests d'intrusion. On les appelle parfois une approche "lumières allumées" car tout le monde peut voir le test se dérouler.
• Les tests externes ciblent les serveurs ou appareils visibles de l'extérieur d'une entreprise, y compris les serveurs de domaine, les serveurs de messagerie, les serveurs web et les pare-feu. L'objectif est de découvrir si un attaquant extérieur peut s'introduire et jusqu'où il pourrait aller.
• Les tests internes consistent à effectuer une attaque depuis l’intérieur du pare-feu, menée par un utilisateur autorisé disposant de privilèges d’accès standard. Ce type de test est utile pour estimer les dégâts qu’un employé ordinaire pourrait causer. consistent à effectuer une attaque depuis l’intérieur du pare-feu, menée par un utilisateur autorisé disposant de privilèges d’accès standard. Ce type de test est utile pour estimer les dégâts qu’un employé ordinaire pourrait causer.
• Les tests en aveugle simulent les actions et procédures d’un véritable attaquant en limitant fortement les informations fournies à la personne ou à l’équipe effectuant le test. En général, les testeurs de pénétration ne reçoivent que le nom de l’entreprise.
• Les tests en double aveugle vont encore plus loin : seules une ou deux personnes au sein de l’organisation savent qu’un test est en cours.
• Les tests en boîte noire sont essentiellement les mêmes que les tests en aveugle, mais les testeurs de pénétration ne reçoivent aucune information avant le test et doivent trouver eux-mêmes comment accéder au système.
• Les tests en boîte blanche (ou boîte de cristal) fournissent aux testeurs de pénétration des informations sur le réseau cible avant le début de leur travail. Ces informations peuvent inclure des adresses IP, des schémas de l’infrastructure réseau, les protocoles utilisés, etc.

Comment Netwrix peut vous aider

Comme nous l’avons vu, la protection des données englobe de nombreux sujets et contrôles, ce qui peut représenter un défi de taille pour toute équipe de sécurité. Travailler avec une entreprise de cybersécurité de premier plan comme Netwrix peut faire toute la différence entre le succès et l’échec.

Netwrix propose un ensemble complet de solutions de protection des données, incluant des outils de gouvernance des accès aux données, de gouvernance de l’information et de protection contre les ransomwares. Contactez-nous dès aujourd’hui pour en savoir plus sur la façon dont Netwrix peut vous aider à garantir la protection adéquate de vos données sensibles.