Trois mesures couvrent la majorité du risque sur un poste de travail en PME. Le chiffrement du disque, les mises à jour appliquées réellement, et une protection contre les codes malveillants qui alerte quelqu'un quand elle détecte quelque chose.
Tout le reste vient après, et une PME qui tient ces trois points est déjà mieux protégée que la moyenne. La difficulté n'est pas de savoir lesquelles, elle est de les tenir dans la durée sans équipe dédiée.
Le chiffrement du disque, la mesure la plus rentable
Un ordinateur portable volé dans une voiture ou oublié dans un train livre l'intégralité de son contenu si le disque n'est pas chiffré. Retirer le disque et le lire sur une autre machine prend quelques minutes et ne demande aucune compétence particulière.
Avec le chiffrement activé, le même vol devient une perte de matériel. C'est aussi la différence entre une violation de données personnelles à notifier à la CNIL et un simple incident interne.
La fonction est intégrée aux systèmes professionnels courants et ne coûte rien de plus. Le seul point d'attention porte sur la conservation des clés de récupération, qui doivent être stockées ailleurs que sur le poste lui-même, faute de quoi un incident technique rend les données définitivement inaccessibles.
Les mises à jour, appliquées et non seulement configurées
La difficulté n'est pas d'activer les mises à jour automatiques, c'est de savoir si elles se posent réellement. Un poste qui reste allumé sans jamais redémarrer, un portable de commercial rarement connecté au réseau interne, ou une application métier qui bloque une version restent en retard pendant des mois.
Ce qui manque le plus souvent est la visibilité. Sans un état simple du parc indiquant quel poste est à jour et lequel ne l'est pas, la question ne se pose qu'après l'incident.
Les logiciels tiers méritent la même attention que le système. Les lecteurs de documents, les navigateurs et les outils de compression sont des cibles fréquentes, et ils sortent souvent du champ des mises à jour du système.
Antivirus classique ou détection comportementale
L'antivirus fondé sur les signatures reconnaît ce qu'il connaît déjà. Il reste utile mais il ne voit pas les attaques récentes ni les techniques qui détournent des outils légitimes du système.
La détection comportementale sur les postes observe ce qui se passe plutôt que ce qui est installé. Un processus qui commence à chiffrer massivement des fichiers déclenche une alerte, même si le programme lui-même est inconnu.
Le point décisif n'est pas l'outil, c'est de savoir qui reçoit l'alerte et ce qu'il en fait. Une console qui remonte des détections que personne ne consulte n'apporte rien. Dans une PME sans équipe dédiée, c'est le moment de décider si cette surveillance est confiée à un prestataire ou traitée en interne avec une règle claire de qui regarde et quand.
Le poste partagé de l'atelier
C'est le cas que les politiques standard ignorent. Un poste en bord de ligne, utilisé par trois équipes qui se succèdent, avec une session ouverte en permanence et un compte unique dont tout le monde connaît le mot de passe.
Le verrouillage automatique y est souvent désactivé, pour de bonnes raisons opérationnelles, car un opérateur ne va pas ressaisir un mot de passe avec des gants toutes les cinq minutes.
La réponse n'est pas de plaquer les règles bureautiques. Elle consiste à limiter ce que ce poste peut atteindre, à le placer dans la zone de production isolée, et à n'y laisser que l'application dont il a besoin. Si une identification individuelle est nécessaire pour la traçabilité qualité, elle passe généralement mieux par un badge que par un mot de passe.
Les droits d'administration locaux
Un utilisateur qui travaille en permanence avec les droits d'administration donne ces mêmes droits à tout code qui s'exécute sur sa session. C'est ce qui transforme une pièce jointe piégée en compromission complète du poste.
Retirer ces droits est l'une des mesures les plus efficaces et l'une des plus impopulaires. Elle se prépare en identifiant les rares logiciels métier qui les exigent réellement, souvent moins nombreux qu'annoncé, et en prévoyant une procédure rapide pour les installations légitimes.
Le compromis courant consiste à laisser un compte d'administration séparé aux quelques personnes qui en ont besoin, distinct de leur compte de travail quotidien.
La fin de vie du matériel
Un poste réformé contient l'historique de travail de son utilisateur. Le rendre au loueur, le donner à une association ou le confier à un salarié sans traitement préalable revient à laisser partir ces données.
Le chiffrement du disque simplifie beaucoup les choses, la destruction de la clé suffisant à rendre le contenu illisible. À défaut, un effacement sécurisé ou la destruction physique du disque s'impose, avec un certificat quand un prestataire s'en charge.
Ce qui suffit dans une petite structure
Un point annuel sur l'état du parc convient, à condition d'être réellement fait. Il consiste à vérifier que le chiffrement est actif partout, que les postes sont à jour, que les alertes de détection arrivent à quelqu'un, et que les postes réformés ont bien été traités.
Ce relevé prend une heure et met presque toujours en évidence deux ou trois postes oubliés, souvent des portables peu utilisés ou des machines rachetées lors d'une croissance rapide.
Questions fréquentes
Faut-il remplacer l'antivirus par une solution de détection comportementale ?
C'est souhaitable quand le budget le permet, car la détection par signatures ne voit pas les attaques récentes. Mais le choix de l'outil compte moins que l'organisation autour. Une solution avancée dont personne ne lit les alertes protège moins bien qu'un antivirus classique correctement suivi. Décidez d'abord qui traite les alertes.
Comment gérer les postes partagés en atelier ?
En cessant de leur appliquer les règles bureautiques, qui ne tiennent pas en bord de ligne. La bonne approche consiste à isoler ces postes dans la zone de production, à n'y laisser que l'application nécessaire, et à limiter ce qu'ils peuvent atteindre sur le réseau. Quand la traçabilité individuelle est requise, le badge fonctionne mieux que le mot de passe.
Peut-on retirer les droits d'administration sans bloquer les équipes ?
Oui, à condition de préparer le terrain. Recensez les logiciels métier qui les exigent réellement, ils sont souvent moins nombreux qu'annoncé, et prévoyez une procédure rapide pour les demandes d'installation. C'est la lenteur de cette procédure, et non le retrait des droits, qui provoque le rejet.
Que faire des ordinateurs en fin de vie ?
Ne jamais les céder en l'état. Si le disque est chiffré, détruire la clé de récupération suffit à rendre le contenu illisible. Sinon, un effacement sécurisé complet ou la destruction physique du disque s'impose. Un prestataire spécialisé délivre un certificat de destruction, qui constitue la preuve à conserver.