Le premier et principal moyen de protéger les informations est le mot de passe.

Environ 10 % des internautes utilisent comme mot de passe un mot ou une expression figurant parmi les 25 mots de passe les plus courants : 123456, 123456789, qwerty, password, iloveyou, admin, etc. Et de tels mots de passe sont même utilisés pour protéger des ressources professionnelles et des comptes contenant des informations confidentielles.

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent à :

• créer des mots de passe complexes qui ne peuvent pas être devinés par une attaque par force brute ou à l’aide d’un dictionnaire ;
• mémoriser leurs mots de passe ou les noter de manière à ce qu’un cybercriminel ne puisse pas les utiliser, même s’il parvient à mettre la main sur ces notes ;
• utiliser des mots de passe différents pour différentes ressources et les changer régulièrement ;
• utiliser un gestionnaire de mots de passe ;
• reconnaître les ressources malveillantes sur lesquelles il ne faut en aucun cas saisir ses mots de passe ;
• créer des codes secrets et des schémas de déverrouillage robustes, ainsi qu’utiliser des jetons matériels ;

… et bien plus encore.

L’e-mail est un outil indispensable dans la vie moderne. Il permet d’échanger des messages personnels et professionnels, d’envoyer des fichiers et des documents, y compris confidentiels, et de s’inscrire à toutes sortes de ressources en ligne.

L’accès à une messagerie électronique offre à un cybercriminel des possibilités pratiquement illimitées. Il peut ainsi pirater presque n’importe quelle ressource appartenant à l’utilisateur et obtenir les moyens de le voler, de le faire chanter ou de dérober des informations professionnelles.

La méthode de cyberattaque la plus efficace et la plus dangereuse, notamment dans le contexte du passage massif au télétravail à la suite de la pandémie de COVID-19, est le phishing par e-mail : un ensemble de techniques d’ingénierie sociale permettant à un cybercriminel d’obtenir les données personnelles ou professionnelles d’un utilisateur par l’intermédiaire de sa messagerie électronique.

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent à :

• utiliser correctement leur messagerie électronique : créer un mot de passe robuste, vérifier l’adresse du destinataire avant chaque envoi, transmettre correctement des informations confidentielles et maîtriser les bonnes pratiques liées aux messageries professionnelles ;
• reconnaître les e-mails malveillants (phishing) à partir de différents indices : visuels, textuels et sémantiques ;
• utiliser différentes méthodes pour se protéger des escrocs ;
• adopter le comportement approprié en cas de piratage de leur messagerie électronique ;

… et bien plus encore.

Internet est l’un des outils les plus importants du XXIe siècle. Grâce à Internet, nous obtenons des informations, travaillons, jouons, communiquons, faisons des achats, échangeons des données, etc. Il s’agit en quelque sorte d’un équivalent numérique du monde réel, de son reflet virtuel, tandis que la navigation sur le Web est l’équivalent d’un voyage à travers ce monde.

Comme dans le monde réel, de nombreux dangers guettent les utilisateurs sur Internet : les cybercriminels tendent toutes sortes de pièges destinés à collecter des données ou à gagner de l’argent aux dépens des utilisateurs inexpérimentés ou inattentifs. Et il ne s’agit pas seulement de sites frauduleux (même s’ils constituent le principal danger) : même un portail gouvernemental bien protégé peut être infecté par du code malveillant.

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent :

• à reconnaître les ressources malveillantes, y compris celles qui se font passer pour des ressources fiables ;
• les règles à respecter pour télécharger en toute sécurité des données, des fichiers et des logiciels depuis Internet ;
• les règles à respecter lors de la saisie de données personnelles, notamment des informations de paiement ;
• à utiliser les services de stockage dans le cloud en toute sécurité ;
• à réduire au minimum leur empreinte numérique ;

… et bien plus encore.

Les réseaux sociaux concentrent une multitude d’informations sur leurs utilisateurs. À partir d’un compte sur un réseau social, un cybercriminel peut découvrir le nom complet de sa victime, son adresse et son numéro de téléphone, combien elle gagne et où elle conserve ses économies, quand elle part en vacances et avec qui elle les passe. Les utilisateurs publient imprudemment sur les réseaux sociaux des scans de leurs passeports et de leurs cartes d’embarquement, des documents confidentiels et des informations sur des transactions fructueuses, ainsi que des renseignements permettant de savoir où se trouve leur appartement et comment y accéder.

Presque tous les utilisateurs possèdent des comptes sur plusieurs réseaux sociaux : Facebook et VKontakte, Twitter et Instagram, TikTok et YouTube. Et partout, ils publient des informations sur eux-mêmes, leur famille et leur travail.

Il existe également des messageries, qu’elles soient intégrées aux réseaux sociaux ou indépendantes : Telegram, WhatsApp, Viber, Skype. Les cybercriminels les utilisent pour mener des attaques de phishing. Par exemple, en 2017, des cybercriminels ont dérobé près de 500 000 dollars en envoyant aux participants du projet blockchain Enigma des messages de phishing via la messagerie professionnelle Slack.

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent à :

• reconnaître les faux sites de réseaux sociaux ;
• ne publier sur les réseaux sociaux que des informations sans risque, qui ne puissent nuire ni à eux-mêmes ni à l’entreprise qui les emploie ;
• reconnaître les attaques des escrocs et y faire face ;
• prendre conscience des conséquences juridiques de leurs publications ;

… et bien plus encore.

Si Internet est un monde à part entière, alors l’ordinateur est la porte qui permet d’y accéder. Et pas seulement une porte : grâce à l’ordinateur, nous nous divertissons et travaillons, créons de nouvelles choses et étudions le passé. Nous stockons également dans la mémoire de notre ordinateur des gigaoctets d’informations précieuses : documents professionnels, archives, photographies, plans, ainsi que des mots de passe et d’autres moyens d’accès aux ressources en ligne.

Les utilisateurs se montrent souvent négligents à l’égard de la « santé » de leur ordinateur : ils renoncent à utiliser un antivirus, désactivent d’autres systèmes de protection et installent des logiciels sans licence. Cela peut avoir de fâcheuses conséquences : par exemple, une étude de Kaspersky datant de 2017 a montré que 42 % des ordinateurs personnels en Russie étaient infectés par des logiciels malveillants !

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent :

• comment installer correctement des logiciels sur un ordinateur professionnel ou personnel ;
• à quelle fréquence les logiciels doivent être mis à jour et comment procéder ;
• comment utiliser correctement un antivirus ;
• que faire en cas de vol ou de perte d’un appareil ;
• comment travailler en toute sécurité sur les réseaux Wi-Fi publics ;

… et bien plus encore.

Le téléphone portable n’est pas seulement un moyen de communication, mais aussi un outil universel pour gérer notre vie personnelle et professionnelle. Nous l’utilisons pour parler et échanger des messages, rechercher des informations sur Internet et régler nos achats, prendre des photos et enregistrer des vidéos. Le téléphone portable devient ainsi le principal réservoir d’informations sur son propriétaire, ce dont profitent les cybercriminels.

Et il ne s’agit même pas nécessairement de voler le téléphone : il suffit à un cybercriminel d’y installer un logiciel espion — par exemple lorsque l’utilisateur se connecte à un réseau Wi-Fi public — pour avoir accès à toutes ses données. Les escrocs peuvent notamment intercepter les SMS contenant des codes de confirmation bancaires afin de contourner l’authentification à deux facteurs et de dérober l’argent se trouvant sur les comptes des utilisateurs.

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent à :

• protéger leurs appareils mobiles contre les logiciels malveillants ;
• installer des applications en toute sécurité ;
• configurer un système d’administration à distance en cas de vol ou de perte de l’appareil ;
• éliminer les portes dérobées installées en usine ;
• se connecter à d’autres appareils en toute sécurité ;

… et bien plus encore.

Toute personne, quels que soient son âge, sa situation sociale et son lieu de travail, doit savoir manipuler correctement les informations confidentielles auxquelles elle a accès.

Il est important de comprendre que toute information utilisée dans le cadre professionnel peut être considérée comme confidentielle par défaut : c’est ce qu’on appelle la « présomption de confidentialité ». Il faut encore démontrer qu’une information peut être diffusée.

Toutes les informations qui ne doivent pas être divulguées sont loin de porter une mention de confidentialité ou d’être signalées d’une quelconque autre manière. Le plus souvent, leur caractère confidentiel est déterminé par des indices indirects que tout le monde ne connaît pas. Or, plus de 60 % des fuites de données dans les grandes entreprises technologiques sont précisément imputables à des employés qui ont accès à des données confidentielles et qui gèrent cet accès de manière incorrecte !

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent à :

• reconnaître les données confidentielles ;
• stocker et transmettre correctement les données confidentielles ;
• apposer les mentions appropriées sur les documents confidentiels lors de leur création ;
• travailler avec des modèles de documents confidentiels ;

… et bien plus encore.

Les données personnelles désignent toute information se rapportant directement ou indirectement à une personne : prénom, nom, date de naissance, numéro de passeport ou de permis de conduire, religion, niveau de revenus, lieu de travail, etc. En disposant d’une certaine quantité de données personnelles sur sa victime, un cybercriminel peut les utiliser à ses propres fins, par exemple pour usurper son identité, se faire passer pour elle et commettre un délit en son nom.

Mais la bonne gestion des données personnelles n’est pas seulement une question de sécurité de l’information : elle engage également la responsabilité juridique. Pratiquement tous les pays du monde disposent d’une législation relative à la protection des données personnelles, et la violation des droits d’un citoyen dans ce domaine peut coûter extrêmement cher à l’entreprise responsable.

Par exemple, en 2018, une importante fuite de données personnelles de clients provenant des bases de données de British Airways a été découverte. Cette fuite relevait du RGPD — le Règlement général sur la protection des données en vigueur dans l’Union européenne et l’Espace économique européen — et l’entreprise a été contrainte de payer une amende de 205 millions d’euros !

Par ailleurs, le RGPD et d’autres réglementations locales s’appliquent souvent non seulement sur leurs propres territoires, mais également dans d’autres pays lorsqu’il s’agit des citoyens et des entreprises des pays concernés. Autrement dit, la bonne gestion des données personnelles est une question qui exige une étude approfondie et qui peut éviter à une entreprise des problèmes considérables.

Dans le cadre des formations à la sécurité de l’information, les utilisateurs apprennent à :

• gérer correctement leurs propres données personnelles, les stocker et les transmettre de manière appropriée ;
• gérer correctement les données personnelles d’autrui tout en respectant les exigences des législations locales ;
• reconnaître les situations dans lesquelles des cybercriminels utilisent de manière illégitime leurs propres données personnelles ou celles d’autrui.

Les réseaux neuronaux sont des outils extrêmement utiles qui peuvent simplifier de nombreuses tâches : accélérer le développement de logiciels, compiler des informations pour une recherche scientifique, produire des textes techniques de qualité, etc. Mais malgré tous ses avantages, l’intelligence artificielle présente également des risques. Ceux-ci ne sont pas liés à une révolte des machines, mais au fait que les fraudeurs exploitent activement les possibilités offertes par les réseaux neuronaux. Autrefois, falsifier une voix, et plus encore une vidéo, était une tâche extrêmement complexe, généralement à la portée des seuls services de renseignement ou professionnels du cinéma. Aujourd’hui, n’importe qui peut, sur son ordinateur portable, manipuler pratiquement n’importe quelle image, imiter n’importe quelle voix et générer une fausse vidéo mettant en scène pratiquement n’importe quelle personne.

Par ailleurs, les dangers de l’intelligence artificielle ne sont pas tous liés aux activités criminelles. Le fait que les employés des entreprises utilisent de plus en plus souvent des modèles d’IA représente un risque tout aussi important. Et ils le font parfois sans respecter les règles de sécurité, voire sans même envisager les conséquences négatives que cela pourrait entraîner. Plusieurs problèmes se posent. Premièrement, les employés transmettent aux réseaux neuronaux des données d’entrée qui peuvent être confidentielles. Deuxièmement, ils utilisent les réseaux neuronaux pour accomplir des tâches qui ne devraient pas être confiées à l’IA. Troisièmement, ils obtiennent à l’aide de ces outils des résultats manifestement moins bons que ceux qu’ils auraient pu obtenir par leurs propres efforts. Enfin, les employés peuvent utiliser dans leur travail des réseaux neuronaux compromis et susceptibles de causer des dommages.

La sécurité de l’information est loin de se limiter au monde numérique. Les informations ne sont pas uniquement dérobées au moyen de logiciels malveillants ou de techniques d’ingénierie sociale. Le vol physique de supports de données est un scénario tout aussi courant, sans compter que ces supports peuvent être endommagés par des facteurs environnementaux ou tout simplement perdus. Le stockage et le transport des supports électroniques, ainsi que leur manipulation correcte au bureau comme à l’extérieur, relèvent tout autant de la sécurité de l’information que la capacité à utiliser un antivirus ou à distinguer un e-mail de phishing d’un message authentique. Et il ne s’agit pas seulement de minuscules clés USB : selon les statistiques, un ordinateur portable est volé quelque part dans le monde toutes les 53 secondes. Il peut très bien s’agir d’un appareil professionnel contenant des informations importantes.

Un autre aspect de la sécurité physique des données est la lutte contre l’espionnage. Les films d’espionnage ne sont pas toujours de pures inventions de scénaristes : dans la vie réelle, les malfaiteurs utilisent eux aussi des dispositifs d’écoute miniatures et des caméras vidéo pour obtenir des informations précieuses. L’écoute clandestine peut être organisée aussi bien à l’aide d’un logiciel malveillant installé sur le smartphone d’un employé que par des moyens purement physiques, par exemple au moyen d’un microphone dissimulé dans une salle de réunion. Qui plus est, les microphones laser directionnels capables de capter les vibrations sonores à partir des vitres d’une fenêtre ne relèvent pas non plus de la science-fiction : ce sont des appareils bien réels que l’on peut acheter légalement.

La sécurité numérique est donc incontestablement importante, mais il ne faut pas oublier qu’une part considérable de notre vie se déroule encore hors ligne.

Les dysfonctionnements des logiciels et du matériel des systèmes de contrôle industriel (ICS) peuvent entraîner de véritables catastrophes dans le monde physique, susceptibles même d’atteindre une ampleur planétaire. Les cybercriminels savent exploiter le manque de sensibilisation des utilisateurs : par exemple, les employés d’une entreprise ne savent pas toujours comment réagir correctement aux situations anormales qui peuvent survenir lors de l’utilisation des systèmes de contrôle industriel. De plus, faute de mesurer l’ampleur potentielle des dommages, le personnel adopte souvent une attitude négligente à l’égard de la cybersécurité. Or, dans ce domaine, les attaquants peuvent être non pas de simples individus malveillants, mais de puissantes organisations disposant de moyens considérables. Le rapport de forces devient alors très inégal.

Dans le même temps, les systèmes industriels constituent des cibles attrayantes pour les cybercriminels, et le nombre d’attaques, tout comme les dommages qu’elles provoquent, augmente chaque année. Ainsi, dans les années 2010 encore, les incidents de cybersécurité dans les entreprises industrielles étaient des cas isolés, tandis qu’aujourd’hui leur nombre se compte en dizaines de milliers. La menace est réelle, et une approche individualisée de la protection des systèmes industriels est donc particulièrement importante.

Assurer la sécurité de la production industrielle est une tâche complexe qui ne se limite pas à l’acquisition et au déploiement des moyens de protection nécessaires. Il s’agit d’un processus continu qui comprend la coopération entre les différents services de l’entreprise, des interactions sécurisées avec les entreprises extérieures, la vérification et le test des systèmes, ainsi que leur exploitation en toute sécurité.

Il convient de noter que les systèmes de contrôle industriel utilisés dans les entreprises présentent un certain nombre de différences par rapport aux systèmes d’information auxquels les utilisateurs ordinaires sont habitués. Assurer la cybersécurité d’une entreprise industrielle constitue donc une tâche bien spécifique.