Entrepreneur depuis 2009, Jean-Philippe Racine sait expliquer les concepts et les enjeux de sécurité à une clientèle d’affaires tout en restant au fait des derniers développements technologiques du marché.
M. Racine détient une maîtrise en administration, option gouvernance, audit et sécurité des TI. Il s’est également spécialisé en obtenant plusieurs certifications, dont celle de CISA, de CISSP ainsi que le CCSK de Cloud Security Alliance.
Si vous ne connaissez pas le Hackfest; c’est un événement immanquable dans le domaine de la cybersécurité. Il a lieu tous les ans à Québec. C’est même le plus grand événement de hacking au Canada; il a réuni plus de 1400 passionnés de sécurité informatique en 2019 et s’attend à plus de 1600 pour 2020.
Il aura lieu le 20 et 21 novembre 2020.
On y retrouve un ensemble de conférences sur des sujets très variés en cybersécurité. Que vous soyez un expert aguerri ou non, vous allez y trouver votre bonheur 😊
Comme tous les événements cette année, il passe en mode virtuel… Pandémie oblige!
Pour la 3ème année consécutive, Cyberswat sera un fier partenaire de l’événement.
Jean-Philippe Racine et Nicholas Milot donneront également une conférence sur le thème du vote électronique. On pense que c’est un sujet pas mal d’actualité surtout avec le vote majeur de l’autre côté de la frontière.
On va vous parler des enjeux de sécurité du vote électronique d’un point de vue Blue Team et Red Team.
Nous n’avons pas encore le planning mais on vous le communique dès qu’on a l’info!
Pour la 1ère fois cette année, on a aussi monté notre « Swat team » pour le CTF – 1er CTF pour 2 d’entre eux, on est convaincu qu’ils vont relever le défi haut la main 💪
Cette année, nous ne pourrons malheureusement pas vous faire « phisher » Capital 2 ou Trump (référence à notre activité de l’an passé si vous étiez présent 😉) pour gagner une passe.
(photos de notre activité de « phishing » l’année dernière 😁)
Mais on voulait quand même vous donner la chance de gagner des passes pour le Hackfest 2020.
Comment faire?
✅ Simplement s’inscrire à la page suivante: concours terminé
✅ Nous tirerons au sort 5 personnes qui se seront inscrites et elles recevront chacune une passe pour le Hackfest 2020.
🕘Vous avez jusqu’au vendredi 6 novembre – 9h pour vous inscrire. Le tirage serait fait le même jour à 11h.
Concours terminé
On est nostalgique du Hackfest dans sa formule habituelle… Voici quelques photos de l’événement 2019 pour se rappeler le bon vieux temps! 🤍
La protection des renseignements personnels doit être une préoccupation majeure des entreprises.
Comme on le constate dans l’actualité, les fuites de données sont malheureusement monnaie courante. Les scandales proviennent essentiellement de la fuite des données de clients des entreprises victimes de cyberattaques.
Outre le risque de voir sa réputation mise à mal par un tel incident, il faut savoir que de nombreuses lois régissent le traitement qu’on fait des données personnelles en notre possession.
Et quand on parle de renseignements personnels, on ne parle pas juste de NAS ou données bancaires.
Vous envoyez des infolettres? Vous avez récolté des données sur les personnes dans votre liste.
Vous avez un site web? Vous récoltez des informations sur vos visiteurs.
Vous recevez des CV? Que faites-vous de tous ces renseignements personnels reçus?
Saviez-vous que si vous récoltez des données sur des utilisateurs en Europe, vous êtes soumis aux règles du RGPD (Règlement Général sur la Protection des Données)?
Et oui, d’un point de vue légal, que vous soyez ou non situé en Europe n’a pas d’impact. Le RGPD protège les personnes en territoire européen en général. Donc si vous faites affaire avec eux, vous êtes soumis aux mêmes réglementations qu’une entreprise européenne.
On l’avoue, chez Cyberswat, nous ne sommes pas des experts en RGPD. C’est dans ce contexte que nous avons établi un partenariat stratégique de manière à travailler ensemble à sécuriser les données des entreprises. Dans le cadre des projets informatiques de nos clients, MGSI s’occupera de la portion RGPD et Cyberswat de la partie cybersécurité.
MGSIest située au Canada et au au Luxembourg (en Europe) et se spécialise notamment dans l’accompagnement des entreprises canadiennes dans leur mise en conformité avec le RGPD.
Mélanie Gagnon, CEO & fondatrice chez MGSI, cumule plus de 15 années d’expérience dans la sécurité de l’information et de la protection des données. Grâce à son expérience et expertise multidisciplinaire, elle met en œuvre une approche globale et transversale de la protection des données qui tient compte à la fois des objectifs stratégiques et du profil de risque de l’entreprise.
Si vous avez ce type d’enjeu, on sera ravi de vous mettre en relation avec MGSI pour vous aider.
À titre de client de Cyberswat, vous pourriez même avoir certains avantages 😉
Votre entreprise est soumise aux règles du RGPD?
Vous ne savez pas si vous êtes conformes?
MGSI offre 5 formations thématiques pour votre mise en conformité :
Chaque formation est donnée en ligne et dure 3 heures. Plusieurs dates sont disponibles pour chacune.
Elles se déroulent de 8h30 à 11h30, heure du Québec.
Le coût par formation est de 195 €, soit environ 300$ + taxes (3%).
Cliquez sur chaque thématique pour avoir le détail, les dates et pour vous inscrire:
L’été est derrière nous et on attaque la rentrée en feu! 🔥 (et on espère que vous aussi)
La pandémie aura eu une grosse incidence sur notre vie personnelle mais aussi professionnelle.
Une grande partie d’entre nous s’est retrouvée en télétravail du jour au lendemain sans y avoir forcément été préparée.
Les choses reviennent tranquillement à la normale et certains retournent au bureau. Mais après ce télétravail forcé, beaucoup d’entreprises et de personnes ont été séduites par la formule télétravail et vont la poursuivre même après la pandémie.
Pas forcément à temps plein, mais je pense ne pas trop m’avancer en disant qu’on aimerait tous pouvoir rester chez soi en cas de tempête hivernale ou quand on attend une livraison (promise entre 8h et 16h…).
Bien qu’il ait de très nombreux avantages, il y a toujours 2 côtés à une médaille. Ce nouveau modus operandi offre également son lot de défis.
C’est un événement gratuit et plusieurs professionnels vont donner des conférences pour vous aider à vivre votre télétravail le mieux possible : Conciliation vie pro/perso, santé, etc.
Et bien sûr, il y a un volet cybersécurité!
Jean-Philippe va donner plusieurs conférences le mercredi 16 septembre en matinée :
Protection des données de votre entreprise en mode télétravail ; est-ce un défi réalisable?
Utilisation des outils infonuagique : Risques et opportunités!
Plateforme de visioconférence : Laquelle choisir du point de vue de la sécurité?
Vous pouvez écouter celle qui vous intéresse ou les 3.
Vous aimez ça le télétravail, mais votre patron préférerait vous voir retourner au bureau?
D’après une étude, 44% des PME canadiennes qui pensent arrêter le télétravail le font en raison des risques associés à la cybersécurité et la protection des données.
Parlez-lui de l’événement et ça va peut-être l’aider à changer d’idée 😉
« La pandémie de la Covid-19 aura mis à jour la nécessité, pour nos entreprises, d’accélérer leur virage numérique. Mais qui dit numérisation des opérations, dit également nouveaux risques juridiques, notamment en matière de protection des données et de cybersécurité. »
Votre entreprise récolte-t-elle des données personnelles ou a-t-elle pris un virage numérique?
Si oui, vous devez savoir savoir que votre entreprise a beaucoup d’obligations légales en la matière.
Nous sommes experts en cybersécurité, mais pas juristes. Chacun son expertise.
Vanessa Deschênes de Robic donne une conférence gratuite le mercredi 9 septembre prochain à midi sur le sujet.
Elle va aborder « les enjeux juridiques soulevés par la présence grandissante des technologies de l’information et des communications. Nous ferons un survol de la législation applicable au Québec, au Canada et sur le plan international, et nous vous ferons part des bonnes pratiques à adopter afin de respecter vos obligations légales et mitiger vos risques. »
En tout cas, notre équipe va y assister avec beaucoup d’intérêt et je pense que toutes les entreprises auraient intérêt à inscrire quelqu’un à cette webconférence.
Lors de mon dernier voyage, je l’avoue, j’aurais pu y laisser ma peau! Est-ce que j’exagère? Peut-être un peu… mais il demeure que c’était dans le domaine du possible…
Lors de mon expédition en janvier dernier pour aller grimper l’Aconcagua en Argentine, j’étais exposé à divers risques. Il demeure qu’à près 7,000 mètres, soit à 80% de la hauteur de l’Everest, tout peut arriver!
Une roche qui me tombe dessus, un début de mal aigu des montagnes, un pied dans une crevasse, ce sont toutes des choses qui me sont déjà arrivées dans le passé.
Tout ça pour me rendre à mon objectif d’atteindre les plus hauts sommets et d’ultimement réaliser mon rêve de faire les 7 sommets!
C’est un peu comme les risques en cybersécurité!
L’entreprise a une mission et définit des objectifs, elle accumule des données, et définitivement elle prend des risques. Mais, pour se rendre à destination, il faut mettre en place un ensemble d’éléments pour éviter que le pire survienne.
Chaque personne a sa propre tolérance au risque et chaque organisation également. De plus, un risque pour certains peut représenter une opportunité pour d’autres.
De votre côté, avez-vous une aversion au risque ou bien un appétit pour le risque? Certains posent plutôt la question: Quelle est votre appétence au risque?
De mon côté, en tant qu’entrepreneur et aventurier à la fois, j’ai tendance à prendre des risques; des risques oui, mais ils sont calculés.
Mais qu’est-ce que le risque exactement?
À quoi bon parler de risque si nous ne sommes pas certains de sa définition? Pour les besoins de la cause, nous utiliserons la définition suivante de l’Office québécois de la langue française;
« Un évènement futur qui, premièrement, peut ou non se réaliser ou dont la date de réalisation est incertaine et qui, deuxièmement, peut occasionner une perte ou un préjudice »
Ainsi, basé sur cette définition, nous pourrions établir différents scénarios de risque en montagne tel que :
Se fouler une cheville;
Attraper une gastro;
Une roche nous tombe dessus et nous blesse;
Une tempête de plusieurs jours se produit;
Subir le mal aigu des montagnes;
Tomber dans une crevasse;
Etc.
Si je refais le lien avec le domaine de la cybersécurité, on parlera plutôt :
Une modification non autorisée des adresses de livraison de nos clients;
Accès non autorisé au système de caméras de l’entreprise;
Etc.
Mais comment évaluer son risque?
La manière la plus reconnue de mesurer un risque est en fonction de la probabilité et de l’impact (ex. la normeISO/IEC 27005 suggère cette façon de faire). Par conséquent, lors de mes différentes expéditions, je me pose toujours une série de questions afin d’évaluer quels sont les scénarios les plus risqués.
Évaluons ici la probabilité de différents scénarios de risque liés à un groupe d’expédition de montagne.
Voici les 4 niveaux de probabilité que je vous propose:
Ensuite, il nous faudra évaluer le niveau d’impact (conséquences), que cela peut avoir sur les personnes du groupe si le scénario venait qu’à se produire. Ici, on le présentera aussi en 4 niveaux:
Prenons maintenant une expédition que j’ai réalisée en 2018 pour atteindre le sommet du Denali.
Expédition du Denali en 2018
Avant de m’aventurer là-bas, j’ai réalisé pendant de nombreuses années différentes expéditions allant du Kilimandjaro en Afrique jusqu’au mont Carstenszen Papouasie Nouvelle-Guinée. J’ai pris de l’expérience pendant toutes ces années, mais j’étais alors toujours guidé par une agence de voyages spécialisée dans le domaine (Terra Ultima pour être plus précis). Ce n’est pas pour rien que je faisais affaire avec eux; n’ayant pas beaucoup d’expérience au début, c’est le moyen que j’ai pris pour gérer mon risque.
Cette fois-ci pour mon expédition au Denali, j’ai décidé que j’étais fin prêt pour réaliser une aventure sans guide et j’ai trouvé d’autres passionnés de montagne, ayant une bonne expérience, prêts à y aller avec moi. Il fallait alors planifier le tout de A à Z.
Je dois cependant l’avouer, une partie de la décision était pécuniaire : il n’y a que 6 agences de voyages américaines autorisées à guider sur le Denali et il en coûte facilement 10,000$ US par personne pour faire l’expédition de cette manière. En le faisant par nous même, cela allait nous coûter FACILEMENT le tiers du prix… une vraie aubaine (ou presque) à comparer à l’utilisation des services de ces spécialistes!
Situé en Alaska, le Denali fait tout de même 6200m et est la plus haute montagne en Amérique du Nord. Cette montagne étant très au nord, le froid vient augmenter le niveau de difficulté, d’autant plus que la pression barométrique est plus faible lorsque l’on se rapproche des pôles et vient raréfié davantage la quantité d’oxygène. La montagne est très isolée (ravitaillement et évacuation par avion sur skis), on doit transporter environ 125 lbs de matériel chacun et en plus, il y a un nombre important de crevasses!
Voici donc une partie de la réflexion que j’ai faite sur différents scénarios de risque:
Pour évaluer les différents risques, j’ai dû contacter des gens qui avaient déjà fait la montagne, j’ai lu des livres, j’ai regardé des vidéos sur YouTube, j’ai consulté d’autres collègues qui avaient de l’expérience sur de hautes montagnes, etc. Le nombre d’heures que j’ai dû y passer est faramineux. Sur la base de ce tableau, on voit clairement qu’il y a des scénarios de risque à prendre plus au sérieux! Comment pallier à tout ça? En fait, j’ai mis en place différentes mesures telles que:
Amener de la crème solaire FPS 60 qui contient un écran physique;
Sélectionner des vêtements plus chauds (duvet 800, etc.);
Suivre des cours de sauvetage en crevasse;
Réaliser un plan d’ascension réaliste avec des jours de repos d’expédition de plus (en cas de tempête);
Calculer le plus précisément possible la quantité de nourriture et de gaz nécessaire pour faire à manger pendant l’expédition, tout en prévoyant des réserves supplémentaires à mettre à des endroits stratégiques sur la montagne;
Etc.
Le but ultime ici est de rendre ces risques à un niveau acceptable. Puisque nous avons tous une tolérance au risque un peu différente, il faut savoir qu’un risque qui n’est pas acceptable pour une personne pourrait l’être pour une autre! C’est d’ailleurs un processus similaire qui se passe dans une organisation lorsque l’on parle de cybersécurité! Quelle est la tolérance au risque de la vôtre? Évaluer cela n’est pas toujours évident et c’est pour cela que des spécialistes sont là pour faire cet accompagnement.
Malgré la mise en place d’un ensemble de mesures de sécurité; est-ce que le risque zéro existe?
Malheureusement non, le risque zéro n’existe pas. De mon côté, une succession d’évènements, incluant des conditions météo qui n’étaient pas favorables, nous ont finalement obligés à rebrousser chemin après près de 2 semaines d’expédition. Notre méconnaissance de la montagne, malgré toute notre préparation, a fini par avoir raison de nous. Notamment, nous avions mal planifié notre gestion de la nourriture et l’utilisation du gaz qui nous était nécessaire pour la faire cuire. Je vous rassure, même si j’ai mis le pied dans une crevasse à un certain moment, je n’ai pas eu peur d’y laisser ma peau 😉. C’est d’ailleurs afin de ne pas nous mettre en danger que nous avons rebroussé chemin.
En conclusion, que pouvons-nous tirer de cette expérience?
Si nous avions fait notre expédition avec une agence autorisée à guider sur cette montagne, nous aurions augmenté notre probabilité de réussir notre expédition. À tout de moins, les erreurs que nous avons commises de notre côté ne se seraient pas produites. C’est pour cela que depuis ce temps, j’ai pris la décision de recommencer à faire des expéditions guidées. Bien que cela puisse coûter plus cher, on augmente nos chances de réussite et on diminue la probabilité et l’impact des différents scénarios de risque.
C’est la même chose en entreprise lorsque vient le temps de protéger son information. Certes, cela demande un investissement de temps et d’argent, mais il faut se demander quelles seront les conséquences, par exemple, d’une fuite de données ou d’un arrêt de production? Pouvons-nous nous le permettre?
Pour les PME qui désireraient faire évaluer leur niveau de risque, sachez que nous réalisons depuis maintenant plusieurs années un diagnostic qui permet de rapidement savoir quels sont les scénarios de risque les plus probables et d’avoir un plan pour y remédier.
Ascension de l’Aconcagua – janvier 2020
Pour les passionnés de montagne, sachez que je donne parfois des conférences sur mes expéditions. Vous n’avez qu’à nous suivre sur les réseaux sociaux ou via notre liste de distribution par courriel et vous serez informé lors de la prochaine conférence 😉
Finalement je me permets de vous faire une suggestion de film dans lequel j’y figure (un peu). Il s’agit d’un film ayant un regard intérieur sur les motivations, les défis et les difficultés de l’ascension de l’Aconcagua en Argentine. Cette expédition s’est déroulée en janvier 2016 avec l’agence Terra Ultima. Les 2 premières semaines de l’année 2016 ont été marquées par le dérèglement climatique El Niño qui a frappé les Andes centrales… Ce film a été réalisé par David Lamontagne, cinéaste et grimpeur lors de cette expédition.
Note: Cet article a été rédigé initialement le 14 avril 2020 et mis à jour le 23 avril 2020. Zoom met régulièrement en place des correctifs de sécurité qui peuvent régler certaines des problématiques abordées dans cet article et dans le webinaire.
L’application de visioconférence Zoom est devenue TRÈS populaire depuis le début de la pandémie de COVID-19. Pour preuve, la plateforme aurait atteint en mars plus de 200 millions de participants aux réunions quotidiennes. L’application en comptait 10 millions en décembre dernier. Finalement, sa valorisation boursière a plus que doublé depuis le mois de janvier.
Mais voilà, maintenant que la plateforme est adoptée, on est à se demander si elle est véritablement sécuritaire. En quelques jours seulement, plusieurs vulnérabilités ont été découvertes et ont été relayées par les médias. Certains se plaignent également que des malfaiteurs ont réussi à s’inviter dans des salles virtuelles et ont proféré des obscénités. Devons-nous changer de plateforme? Est-ce adapté au télétravail? Mardi 7 avril dernier, nous avons donné un webinaire gratuit pour répondre à ces questions.
Ce webinaire s’adressait à toute personne en entreprise qui se demande si elle peut continuer à utiliser la plateforme ou bien si elle doit migrer vers une autre. Nous avons également mis de l’avant des actions qui peuvent être faites dès maintenant du côté des utilisateurs et des administrateurs TI pour favoriser une utilisation sécuritaire de la visioconférence, quelle que soit la plateforme.
Cette conférence a mis en scène Jean-Philippe Racine, Président de Groupe Cyberswat, ainsi que Clément Gagnon Propriétaire de Tactika inc. Nous avons décidé de vous offrir un résumé sommaire des points qui ont été abordés lors de ce webinaire pour faciliter la mise en place de bonnes pratiques.
Les plateformes de visioconférences sont en pleine expansion
Avec la pandémie mondiale et donc, une explosion du télétravail dans le monde, les plateformes de visioconférence ont connu une expansion sans précédent. Comme c’était prévisible, des personnes malveillantes ont cherché à profiter de cet outil populaire pour mettre le bordel dans des conférences ou encore se faire de l’argent par divers moyens. Des chercheurs ont également étudié davantage le fonctionnement de la plateforme. Plusieurs failles de sécurité, ou encore des problèmes de configurations, ont alors été découvertes sur Zoom.
Pour plus d’information sur la nature de ses failles et les risques qui en découlent, nous vous invitons à écouter notre webinaire où nous prenons le temps de les expliquer une par une.
Les 10 choses à mettre en place maintenant si vous utilisez Zoom:
Mot de passe pour rejoindre une réunion (proposé désormais par défaut)
Activation de la salle d’attente
Bloquer la réunion lorsque tout le monde est en ligne
Ne pas utiliser la fonction « numéro de salle personnel »
Bloquer le clavardage si pas nécessaire
Limiter le partage d’écran à l’organisateur de la réunion
Mettre à jour le client Zoom
Prioriser l’enregistrement vidéo « en local »
Configurer l’authentification en 2 étapes pour les détenteurs de licences Zoom
Configurer une clé d’hôte de 10 chiffres au lieu de 6
Voici des plateformes alternatives à Zoom:
Même si c’est Zoom qui fait la une de la presse depuis quelques semaines, cela ne veut pas dire que les plateformes suivantes sont 100% sécuritaires. Nous vous recommandons d’être toujours vigilent peu importe les outils utilisés. Et n’oubliez pas ; une bonne partie de la sécurité en place dépend de comment vous configurez et utilisez la plate-forme.
PQM studio cast (Orienté webinaire et entreprise de Rimouski)
Peu importe la plateforme utilisée, certaines actions peuvent être faites pour sécuriser vos visioconférences d’affaire:
Chaque participant pourrait s’identifier (ouvrir la caméra) pour s’assurer qu’il s’agit de la bonne personne
Éviter de communiquer et de partager des renseignements personnels et confidentiels
Demander la permission avant d’enregistrer
Utiliser un casque d’écoute ou être dans une salle fermée
En conclusion, utiliser Zoom : OUI mais pas pour discuter d’informations confidentielles (enfin, pour l’instant!)
Zoom n’est pas devenu leader sur le marché pour rien. Cette plateforme est très bien construite et permet notamment de proposer des webinaires pouvant accueillir des milliers de personnes et ce, de façon efficace. Zoom dispose aussi de l’une des interfaces les plus facile d’utilisation, ce qui n’est pas un avantage négligeable.
Aussi, Zoom offre très régulièrement des mises à jour pour corriger les failles de sécurité qui ont été identifiées donc sa posture en sécurité devrait s’améliorer dans les prochaines semaines; enfin, on l’espère!
De plus, il faut aussi faire une distinction claire entre la version gratuite et la version payante; cette dernière donne accès à davantage de fonctionnalités et permet d’avoir un meilleur contrôle sur la configuration de sécurité à mettre en place dans un contexte corporatif.
En prenant en compte tous ces aspects, nous tirons la conclusion suivante : vous pouvez continuer d’utiliser Zoom pour vos réunions et webinaire MAIS uniquement si vous ne discutez pas d’informations confidentielles.
Par exemple, utiliser la plateforme Zoom pour :
Donner des webinaires ouverts aux grands public: Oui
Faire des appels vidéo avec sa famille, des amis: Oui
Faire des réunions d’affaires pour discuter de besoins, recommandations et autre information « interne » qui ne sont pas nécessairement confidentielles: À évaluer à l’aide d’un expert
Pour discuter de propriété intellectuelle, de demande de brevets, renseignements personnels d’employés ou clients et autres renseignements sensibles de cette catégorie: Déconseillé
Si voulez approfondir le sujet et (ré)écouter notre webinaire complet sur le sujet, nous vous invitons à cliquer sur le lien ci-dessous: Accéder au webinaire. Chaque point de cet article y est discuté de façon bien plus approfondie et nous avons aussi pris le temps de répondre à de nombreuses questions des participants sur le sujet. Peut-être est-ce les mêmes questions que vous vous posez présentement?
Avec ce qui se passe en ce moment, la probabilité de travailler à distance va en augmentant si ce n'est pas déjà le cas.
Chez Cyberswat, on a décidé d'apporter notre pierre à l'édifice et de vous aider à la hauteur de nos compétences dans ce défi. Le télétravail fait peut-être déjà partie de votre quotidien mais, pour beaucoup, c'est une nouveauté.
Jeudi 19 mars dernier, nous avons donné un webinaire en direct GRATUIT d’une heure qui parlait de la cybersécurité en contexte de télétravail.
Avec plus de 600 inscrits, nous avons décidé de le rendre disponible en rediffusion pour ceux qui n’ont pas pu y assister.
On va vous donner des actions concrètes à poser pour sécuriser votre entreprise.
Hormis la cybersécurité, travailler à distance présente des défis de motivation, concentration, productivité, confort physique et équilibre mental.
Voici quelques trucs et astuces pour des séances de télétravail plus efficace :]
1 – Établir une routine et faire comme si vous alliez au travail
Se vêtir comme si vous alliez au travail (le pyjama c’est confo, mais on se sent moins d’attaque!)
Déterminer ses tâches, faire une liste pour rester focus (le goût d’aller faire un tour dans le frigo ou de faire une brassée de vêtement est si vite arrivé)
Prévoir des pauses au moins aux 60 à 90 minutes (utile pour enfin aller faire un tour dans le frigo et partir la fameuse brassée). L’important est de quitter l’écran des yeux quelques instants
Manger à des heures normales, mais ne mangez pas dans votre zone de travail
2 – Organiser son environnement de travail
Prenez le temps de bien vous installer, ça évitera les courbatures et les «- ites » (ex. tendinite)
La table de la cuisine n’est probablement pas l’endroit le plus stratégique et ergonomique
Pour plus de confort, connecter un clavier, une souris et un écran à votre portable
Si possible, travaillez dans une pièce fermée dédiée : vous pourrez fermer la porte et rester concentré
Établir les règles, déterminer votre horaire de travail et sensibiliser vos proches : ce n’est pas parce que vous travaillez de la maison que vous êtes disponible en tout temps pour surveiller les enfants, répondre aux questions de votre conjoint ou passer au dépanneur pour une pinte de lait
Réduire les distractions environnantes en mettant de la musique de concentration, du white noise ou une trame de fonds (p. ex. le bruit de la pluie)
3 – Utiliser les outils
Teams est fameux pour échanger avec des collègues si vous avez Office 365, sinon il existe également Google Hangout et Zoom qui est bien populaire!
Un courriel c’est long à écrire : un appel téléphonique ou une visioconférence, ça permet d’avoir un certain contact humain!
4- Conserver son équilibre mental, car travailler de la maison sans/peu d’interactions humaines peut être difficile à la longue
Prévoir un appel avec votre collaborateur plutôt que d’écrire un long courriel
Parler à votre chat 🐱
Écouter une émission parlée (radio/podcast) lors de pauses
Sortir de la maison lors de votre pause (aller pelleter, chercher le courrier, sortir le chien, etc.)
Manger sainement
Réaliser des activités physiques
Dormir à des heures régulières
La supervision
Faire confiance
Bien communiquer
Fixer les attentes en termes de livrables et de délais
Ne pas micromanager les autres
Nous espérons que ces quelques conseils vous aideront à passer au mieux cette période de télétravail forcé.
Nous vous rappelons que vous pouvez (re)voir notre webinaire gratuit :
« Télétravail et cybersécurité font-ils bon ménage? Quelles sont les choses à mettre en place rapidement dans cette situation hors norme! »
Nous parlons de la cybersécurité en mode télétravail et vous donnons des actions concrètes à poser (tant pour les gestionnaires que pour les employés).
Pour l’écouter: Accéder au webinaire sur la cybersécurité en télétravail. Si cet article vous concerne, c’est que vous avez la chance de pouvoir vous isoler et donc vous protéger pendant cette pandémie. Nous adressons une pensée particulière aux personnes qui n’ont pas ce luxe et surtout à nos équipes de santé qui vont vivre des semaines très difficiles. Rester au maximum chez nous est le meilleur moyen que nous avons pour les aider et diminuer leur charge de travail.
Qui aurait cru que le meilleur moyen de sauver des vies serait de simplement rester chez soi?
Tout le monde a, au moins une fois, entendu l’histoire de quelqu’un qui s’est fait « cloner » sa carte de crédit. Souvent, les clonages des cartes de débit et de crédit proviennent d’une technique frauduleuse appelée « skimming »; un dispositif (skimmer) est ajouté par-dessus un terminal de paiement et celui-ci récupère toutes les informations de la carte que vous utilisez, incluant le PIN. Et s’il existait un procédé semblable en ligne? Serait-il possible d’ajouter un « skimmer » sur un site web de commerce électronique afin de récupérer les informations de carte de crédit à l’insu du consommateur et du commerçant?
Avec l’aide de Nicolas, l’un de nos spécialistes, nous avons décidé de vous expliquer les enjeux de cette menace car elle nous concerne tous:
À titre de consommateur :
Comprendre comment ce stratagème s’opère pourrait vous éviter de longues heures d’attente et de démarches avec votre institution financière, votre compagnie de carte de crédit et/ou le commerçant en ligne avec qui vous avez fait affaire.
À titre de spécialiste en TI ou de commerçant :
Vous serez à même de comprendre ce stratagème qui affectera votre site de commerce électronique un jour ou l’autre sans même que vous vous en doutiez. Il sera important d’y être attentif afin d’éviter de subir des pertes directes qui affecteront votre marge bénéficiaire ou celle de votre employeur, soit « la ligne du bas » comme on dit souvent dans le domaine de l’entrepreneuriat.
Qu’est-ce que Magecart et qu’est-ce que cela permet?
La vulnérabilité Magecart tire son origine de la plateforme d’achat open-source PHP Magento (soit la combinaison de « Mage » de Magento et de « cart » pour « panier d’achat »). Magento est un module qui est utilisé par plus de 300 000 sites web afin de permettre aux commerçants de réaliser de la vente en ligne directement aux consommateurs. Acquise pour la modique somme de 1.68 Millard USD par Adobe en 2018, la plateforme aura de grands changements à faire sur la sécurisation de son code pour les années à venir à la suite des événements qui ont entaché sa réputation dans les dernières années. Ce problème n’est pas nouveau et existe depuis 2010. Il a seulement plus l’attention des fraudeurs actuellement. La logique est simple; s’ils trouvent une faille pour un module de paiement en ligne sur un seul site, il est possible que cette même vulnérabilité affecte des milliers d’autres sites également!
Quel est le problème exactement?
Le problème? C’est que le Module Magento a déjà eu de nombreuses vulnérabilités dans le passé et en aura fort probablement d’autres dans le futur. À tire d’exemple, l’une des vulnérabilités découvertes affecte la version 2.3.2 de Magento et permet à un attaquant distant d’ajouter du code informatique malicieux dans le site web attaqué sans même à avoir eu à s’authentifier! On peut alors facilement imaginer des pirates tenter de retrouver tous les sites web utilisant cette version de Magento pour y injecter du code malicieux dans le but d’y récupérer les informations de carte de crédit de toutes les transactions réalisées sur le site de l’entreprise qui en sera victime. Des chercheurs ont déjà trouvé que des pirates avaient réussi à infecter avec du code JavaScript plus de 960 sites web vulnérables en moins de 24 heures.
D’ailleurs, à cet effet, RiskIQ nous rapporte via bleepingcomputer.com, une recrudescence des instances Magecart vulnérables, ce qui rend tous ces sites des cibles certaines de ce type d’attaque. Ces attaques ne sont pas des incidents isolés; elles ont déjà fait des milliers de victimes; c’est seulement que la nature de ces attaques n’était pas définie par un concept clair auparavant.
Bleepingcomputer.com ; RiskIQ ; Observation du nombre de sites vulnérables utilisant une version désuète de Magento
sansec.io; Willem de Groot ; 4.2% of all Magento stores globally are currently leaking payment and customer data
Est-ce que toutes les plateformes de paiement en ligne sont à risque?
La réponse est oui et non. Comme vous le savez, le risque zéro n’existe pas. Cependant, il y a tout de même des endroits où l’on risque moins d’être victime en tant que consommateur. Vous êtes généralement protégé lorsque vous achetez sur les grands vendeurs comme Amazon puisqu’ils utilisent une plateforme maison peaufinée avec plus de 20 années d’existence et révisée par de nombreux spécialistes en sécurité – mais qui sait?
Ce qu’il faut bien comprendre, c’est que l’effet Magecart s’étend à plus grand que Magento, comme le rapporte Yonathan Klijnsma de RiskIQ lors de son entrevue avec Darknet Diaries. Les chercheurs de RiskIQ sont en mode écoute sur toutes les plateformes d’achats pour prévenir et identifier à l’avance les prochaines vagues d’attaque de type Magecart.
À titre de commerçant, si vous utilisez des versions non à jour de Magento ou encore une vieille version d’un module de commerce en ligne dans Drupal ou même OpenCart, vous serez bientôt au courant des risques et devrez mettre à jour votre plateforme dans l’urgence! On constate donc que le gros du problème, c’est que d’autres plateformes peuvent également être à risque.
Savez-vous si votre système est à risque? Vous ne voulez pas qu’il vous arrive la même chose qu’à Ticketmaster? Sinon, dépêchez-vous à poser la question à des spécialistes en cybersécurité!
Qu’est-ce que l’on peut faire exactement pour se prémunir de Magecart?
Voici nos recommandations sur le sujet si vous êtes un consommateur:
Achetez toujours d’une plateforme reconnue: les sites web qui se spécialisent dans une seule catégorie d’objet et qui n’ont aucune notoriété sont à éviter.
Vérifiez si le site d’achat est fiable: 30 secondes de vérification sur Google vous éviteront le pire (ex : nomdusiteweb + fraude)
Activez la protection d’achat en ligne: avec votre institution financière ou service de carte de crédit, il est parfois possible de mettre une limite pour les achats en ligne exclusivement ce qui permet d’éviter le pire. Certaines compagnies permettent même d’activer/désactiver votre carte temporairement via un portail web.
Ne vous fiez plus aux cadenas dans l’adressage web: bien que ce fut une réalité il y a quelques années, il n’est maintenant plus possible de se fier au petit cadenas à gauche de votre adresse de navigation. Ceci est dû à la plus grande disponibilité de fournisseurs de certificats cryptés qui, avec la loi du marché, a eu raison de sa qualité et de sa fiabilité.
Faites vos paiements via une plateforme intermédiaire fiable: PayPal, Stripe, Square, Amazon Pay, pour n’en nommer que quelques-uns.
Voici nos recommandations sur le sujet si vous êtes un spécialiste en TI responsable d’un site transactionnel ou si vous êtes un commerçant:
Comme nous l’avons déjà vu dans un autre de nos articles, il est important de réaliser une veille de nos vulnérabilités et de mettre à jour nos systèmes régulièrement (notamment notre site web). Donc il est important de savoir quels sont les modules de commerce électronique utilisés sur son site web et faire une veille quotidienne des nouvelles vulnérabilités afin de mettre à jour nos systèmes le plus rapidement possible.
Vous ne gérez pas vous-même votre site et vous avez délégué sa gestion à un tiers? Vous en êtes quand même responsable! À ce moment, vous devez demander des comptes à votre fournisseur, prévoir dans le contrat d’hébergement qu’il devra faire cette veille régulièrement, etc. Il faudra ajouter des clauses contractuelles avec des pénalités dans l’éventualité où il arriverait quelque chose.
Réutiliser des modules de paiement de plateforme fiable; dépendamment de la grosseur de votre site Internet et de sa complexité, il pourrait être possible de réutiliser des modules de paiement tels que Paypal, Stripe et Square pour ne nommer que ceux-là. L’utilisation de ces modules est susceptible de diminuer les chances d’avoir un problème pour ce type de fraude.
Validation de l’intégrité de votre site web: l’un des moyens est d’avoir des mécanismes de sécurité qui valideront l’intégrité du module de paiement de votre site web. Ainsi, si une vulnérabilité affecte votre site et qu’une personne fait des modifications sur celui-ci, un mécanisme l’empêchera ou vous avertira qu’un changement non autorisé a eu lieu.
Faites valider la sécurité de votre site web par un tiers indépendant: Bien sûr, avoir un avis de la part d’un expert indépendant sera toujours de mise. On connaît justement une bonne entreprise pour cela 😉
Chez Cyberswat, nous sommes en mesure de faire des tests d’intrusion sur votre site web, de faire une surveillance continue de votre site web pendant toute l’année ou encore de vous donner les outils nécessaires pour mettre en place l’ensemble des bonnes pratiques de sécurisation pour éviter ce fléau à en devenir! Ne pas hésiter à nous contacter pour en savoir davantage.
Depuis quelque temps, nous assistons à une recrudescence de vols massifs de données partout dans le monde. Notamment, Revenu Québec s’est fait voler cette année les données personnelles de 23,000 personnes (employés et prestataires de services); un employé les ayant sortis de l’organisation par un simple courriel. Et ce n’est malheureusement qu’un exemple parmi tant d’autres. Fort de ce constat amer, en tant que professionnels en cybersécurité, nous avons jugé utile de mettre en lumière la problématique de ce fléau que vivent plusieurs organisations. À travers ce présent article, Martin Soro vous présentera quelques vecteurs d’attaques susceptibles de favoriser le vol de données et l’impact subi par les entreprises victimes d’un tel vol. Finalement, il vous présentera des mesures de mitigations applicables dans ce contexte.
Martin Soro est titulaire d’une Maîtrise en ingénierie de l’Université du Québec à Rimouski. Il cumule maintenant une dizaine d’années d’expérience en réseau et en sécurité de l’information. Il est certifié SSCP de (ISC) 2, CCNP et CCNA CyberOps.
Qu’est-ce qu’une fuite de données et comment cela arrive-t-il?
C’est le résultat d’une attaque qui consiste à exfiltrer les données d’une organisation et à les rendre publiques et/ou accessibles à des personnes non autorisées. Il en existe deux sortes : les fuites de données provenant d’attaques externes et celles provenant d’attaques internes.
Les fuites de données provenant des attaques externes
Ce sont des attaques perpétrées depuis l’extérieur de l’organisation par des cybercriminels. L’exfiltration est généralement l’une des dernières étapes d’un long processus d’attaque savamment orchestré par un ou plusieurs pirates.
Pour mener une cyberattaque, le cybercriminel, à l’instar d’une armée, commence par une reconnaissance de la cible. À cette première étape, il va recueillir le maximum d’informations lui permettant d’identifier les vulnérabilités de l’organisation cible.
Une fois des vulnérabilités découvertes, il procède à l’armement. Ainsi, il va créer ou utiliser des outils ou codes malicieux capables d’exploiter la vulnérabilité (ex. un poste de travail mal configuré ou qui n’est pas à jour).
Ensuite, il recherche un canal de transmission pour la livraison du code malicieux à la victime. Cela pourrait être, par courriel (ex. lors d’une attaque d’hameçonnage), via un site web, une clé USB ou tout autre canal de transmission. Dans le cas d’une attaque d’hameçonnage (phising), l’attaquant pourrait viser un ensemble de personnes de l’organisation, un sous-groupe ou bien une personne en particulier. Lorsque le code malicieux est livré avec succès à la victime, la vulnérabilité va assurément être exploitée et le système sera infiltré.
Après l’infiltration du système, l’attaquant voudra demeurer aussi longtemps que nécessaire dans le système. Il va possiblement implanter une porte dérobée qui permet de rester dans le système même après le redémarrage des ordinateurs.
Ensuite, il prend le contrôle à distance du système de la victime à partir d’un centre de commandement et de contrôle. Une fois la prise de contrôle à distance réussie, il va réaliser son objectif final. Par exemple, détruire ou altérer des données, rendre le système indisponible, chiffrer les données et demander une rançon ou exfiltrer des données sensibles.
Le présent article est focalisé sur l’exfiltration de données. Ci-dessous quelques vecteurs d’attaque :
DNS tunneling
Cette attaque exploite le protocole DNS pour transférer les données via un tunnel illégitime. En effet, le protocole DNS permet de faire une résolution de noms et ne devrait pas être utilisé pour du transfert de données. Pour cette raison, ce protocole est rarement surveillé par les administrateurs réseaux et le port de communication est en général ouvert vers l’extérieur. Un attaquant peut donc infecter l’ordinateur d’une organisation et faire des requêtes DNS à l’externe en direction de son serveur DNS malicieux. Dans la requête DNS, il ajoute les données confidentielles visées par la fuite de données et celles-ci se retrouvent alors sur le serveur de l’attaquant. Il peut également encoder les données transférées afin de diminuer les chances d’être détecté.
Stéganographie
La stéganographie est une technique qui consiste à dissimuler un message dans un fichier. Par exemple, il est possible par cette technique d’insérer des informations dans un fichier image. Cette méthode est souvent utilisée par les personnes malveillantes pour exfiltrer des données sensibles des compagnies sans être détecté. Une fois le réseau infiltré, ils vont insérer les informations dérobées dans un fichier image et le transmettre à leur centre de commandement et de contrôle. Ainsi, l’attaquant retire l’information liée à l’image afin de ne conserver que les informations confidentielles visées par la fuite de données. Il est peu probable que les contrôles de sécurité en sortie puissent détecter un tel événement. En effet, si l’un des administrateurs réseaux venait à analyser plus en détail l’information sortant de l’organisation, il n’y verra que des images et/ou vidéos.
Server-Side Request Forgery (SSRF)
Une attaque SSRF est une technique permettant à un attaquant d’accéder aux ressources internes d’un site web qui sont considérées inaccessibles de l’extérieur. En pratique, il ordonne au serveur web externe de l’organisation d’effectuer une requête sur un système interne avec qui le site web communique en arrière-plan. Par exemple, le serveur web pourrait sélectionner les données d’une base de données accessible par le serveur web et fournir l’information à l’attaquant. Cette attaque peut se réaliser sur des sites web vulnérables situés dans les bureaux de l’organisation ou bien hébergés dans le cloud.
Accès physique non autorisé
Une personne malveillante peut contourner les contrôles de sécurité d’une organisation en y entrant physiquement pour commettre un vol d’équipements contenant des données tels qu’un ordinateur, un téléphone mobile ou encore une tablette. Si les données stockées ne sont pas chiffrées, elles peuvent être récupérées à des fins malicieuses. Les copies imprimées de documents sensibles exposés dans les locaux (ou par les boîtes de recyclage) peuvent également être volées.
La rémanence de données
Une donnée a beau être supprimée sur un ordinateur, elle ne l’est pas vraiment en réalité. De même, le formatage d’un disque dur n’efface pas réellement les données. Par conséquent, celles-ci peuvent être restaurées avec des outils conçus à cet effet: un criminel peut mettre la main sur les données d’une organisation en récupérant des médias de stockage dont les données n’ont pas été supprimées de façon appropriée. Dans certains cas, le pirate n’a pas vraiment besoin de se casser la tête, car des fuites de données sont déjà survenues suite au rachat de disques durs d’entreprises fait par le biais de Ebay, par exemple.
Les fuites de données provenant des attaques internes
L’une des menaces les plus sous-estimées auxquelles font face les organisations de nos jours est la menace interne. En effet, un employé ou un fournisseur malveillant peut facilement causer des dommages incalculables à l’organisation. Cette menace est facilitée puisque l’employé ou le fournisseur a déjà accès aux ressources de l’organisation et celle-ci lui fait confiance. Ainsi, dans plusieurs cas, il peut copier des données à l’aide d’un périphérique externe tel qu’une clé USB, un disque dur externe ou encore une carte mémoire.
Le courriel est également l’un des moyens les plus faciles pour exfiltrer des données. Plusieurs organisations ne contrôlent pas le contenu des courriels transmis à l’extérieur, ce qui laisse une porte grandement ouverte à la fuite de données.
Les messageries instantanées telles que Skype et Messenger sont également des sources de fuite de données. Ces outils peuvent être utilisés par une personne malveillante pour transférer les documents de l’organisation vers l’extérieur si aucun mécanisme de détection et de prévention n’est en place.
Quelques cas de fuites de données:
Cette année 2019, Desjardins, une institution financière majeure a été victime du plus gros vol de données de l’histoire du Canada; le tout ayant été commis par l’un de ses employés à l’interne. Les données de tous ses clients particuliers, soit environ 4,2 millions de personnes, ont été dérobées.
Cette année également, Capital One a été victime d’un vol de données perpétré par un ex-employés d’Amazone Web Services (AWS). Il a utilisé une faille d’une application dans le cloud où se trouve les infrastructures de la compagnie. Les données de 106 millions de clients ont été exfiltrées.
Sony a été victime d’une cyberattaque en 2014 qui a permis aux cybercriminels d’exfiltrer plusieurs données confidentielles. Les hackers ont réussi à exfiltrer plus de 25 GB de données sur les employés incluant leurs numéros d’assurance sociale, dossiers médicaux et salaires.
En 2014, Home Depot a été la cible de cybercriminels qui ont réussi a volé des informations de cartes de crédit. Home Depot a déclaré que les cybercriminels ont volé 56 millions de numéros de carte de crédit et de débits appartenant à ses clients.
En 2013, Edward Snowden, consultant à la NSA, a exfiltré des documents classés Top secret du gouvernement américain à l’aide d’une carte mémoire. Il s’est ensuite évadé avec les documents qu’il a rendus publics avec l’aide de journalistes américains.
Quel est l’impact d’un vol de données sur une entreprise?
L’impact est majeur si ce sont des données sensibles telles que les informations personnelles, les informations financières, les dossiers médicaux, etc. Une compagnie victime d’un vol de données confidentielles subit une dégradation de sa réputation sur la place publique. Cela résulte en une perte de confiance des clients actuels et potentiels. En conséquence, il s’ensuit une perte financière importante et la pérennité de l’organisation pourrait être remise en question.
Les données volées sont parfois vendues sur le marché noir, communément appelé le darkweb, et s’ensuit éventuellement des vols d’identités ou encore des intimidations. Dans la plupart des cas, la compagnie qui est victime d’un vol de données a l’obligation d’informer les clients dont les informations ont été volées et de prendre des mesures de mitigation adéquates. Pour en savoir plus sur les obligations des entreprises dans ce contexte, on vous invite à relire notre article sur les obligations relatives aux atteintes à la vie privée au Canada.
Comment peut-on mitiger les risques d’une telle attaque?
Il est très important d’aborder la sécurité dans toute sa dimension. Les trois types de contrôles de sécurité fondamentaux doivent être analysés puis éventuellement implémentés afin d’établir ou consolider une bonne posture de sécurité. Il s’agit du trio : contrôles de sécurités techniques, contrôles administratifs et contrôles physiques.
Ci-dessous quelques exemples :
Les contrôles techniques
L’un des contrôles techniques recommandé est l’audit par l’activation de journaux et leur surveillance. Il permet de détecter une éventuelle exfiltration de données et d’identifier le responsable. Il est surtout très important de protéger et préserver l’intégrité des journaux d’accès aux informations sensibles afin de pouvoir judicieusement imputer la responsabilité des actions aux personnes ayant eu l’accès.
Une autre technique recommandée est le chiffrement des données au repos. Ainsi, même si celles-ci ont été exfiltrées, elles seraient inutilisables par la personne malveillante.
En outre, les outils de détection de fuite de données appelés DLP (Data Leak Prevention) sont également conseillés. Il en existe deux sortes: DLP au niveau réseau et DLP au niveau du dispositif (poste, serveur, téléphone, etc.).
DLP au niveau réseau
Il scanne toutes les données en sortie du réseau à la recherche d’un format de données spécifique. En général, ils sont configurés pour détecter des formats de données en sortie tels que des cartes de crédit de format nnnn nnnn nnnn nnnn ou des numéros d’assurances sociales nnn nnn nnn. Si un usager ou un attaquant transmet un fichier contenant des données incluant ce type de données à l’extérieur du réseau de l’organisation, il sera détecté puis bloqué par le DLP.
Prendre note que certains DLP ont des fonctionnalités d’analyse comportementale permettant de prévenir des attaques plus sophistiquées où les données sont chiffrées avant d’être transmises vers l’extérieur ou bien par encapsulation de protocole. Ces DLP créent un profil de trafic normal des communications vers l’extérieur et lorsqu’il y a une déviation, le système la considère comme une anomalie. Un volume important de trafic de données à l’extérieur ou la communication de protocoles inhabituels peuvent être considérés comme des anomalies.
À noter que les cybercriminels de type APT (Advanced Persistent Threat) commandités par les gouvernements procèdent toujours au chiffrement des données avant leur exfiltration afin de contourner les contrôles de sécurité en sortie. Les DLP basés sur l’analyse comportementale sont généralement capables de détecter et prévenir de telles attaques.
DLP au niveau du dispositif
Il scanne tous les fichiers transmis à partir d’un poste de travail, serveur, etc. vers un terminal extérieur tel qu’une clé USB ou une imprimante. Avec ce type de DPL, une organisation peut, par exemple, empêcher les usagers de copier des données confidentielles vers tout type de périphérique externe.
Les contrôles administratifs
Les outils technologiques ne peuvent pas assurer la sécurité d’une organisation à eux seuls. Il est possible de mettre en place un programme de rotation des tâches pour les personnes qui ont accès aux informations sensibles. Ainsi, un usager peut travailler pendant une période donnée et être substitué par un autre pour accomplir les mêmes tâches. Implicitement, chacun devient le contrôle de l’autre. Cela peut permettre de détecter un éventuel vol de données.
Une organisation peut également mettre en place une politique de séparation des tâches pour prévenir un éventuel vol de données. Par exemple, pour effectuer une transaction financière importante, plusieurs organisations demandent plus qu’une signature pour approuver la transaction. Ce principe peut alors être mis en place dans le domaine de l’informatique. Cela est aussi valable pour les transactions ou transferts de données importants.
De plus, la formation et la sensibilisation des personnes qui ont accès aux informations sensibles sont également des moyens efficaces pour prévenir le vol de données. Cela permet aux usagers de prendre conscience de la nécessité de la protection des données et des conséquences encourues en cas de mauvaises utilisations.
Les contrôles physiques
Si vous avez les meilleurs outils technologiques de prévention au monde contre les fuites de données mais que le périmètre de sécurité de vos infrastructures physiques n’est pas adéquat, votre entreprise n’est pas en sécurité. En effet, un individu peut furtivement (ou à l’aide d’un faux prétexte) entrer dans les locaux de votre organisation afin de voler des équipements qui contiennent des données sensibles. Il est donc indispensable de renforcer le périmètre de sécurité physique des locaux de votre organisation.
Un système de sécurité d’accès par badge associé à un PIN est une bonne méthode pour mitiger le risque d’intrusion et de vol. Dans certains cas, on pourrait aller jusqu’à engager des gardes de sécurité. Dans les environnements de haute criticité, des systèmes d’authentification biométrique sont nécessaires.
De plus, l’installation de caméras en entrée est recommandée afin de visualiser et détecter des passages frauduleux. Il est surtout très important de stocker les enregistrements vidéo de manière sécuritaire et de les conserver sur une période suffisante permettant de faire des audits et/ou des enquêtes plus tard pour détecter une activité frauduleuse et identifier l’auteur d’un vol.
Conclusion
Il est clair, net et sans équivoque que les données constituent l’actif le plus précieux d’une organisation après les humains. C’est pourquoi les organisations doivent mettre en place des contrôles de sécurité proportionnels à la valeur de leurs données afin de les protéger de façon adéquate. Il est donc très recommandé d’évaluer la maturité des contrôles de sécurité actuels des données et éventuellement procéder à des rehaussements.
Bien entendu, tous les contrôles de sécurité sus mentionnés peuvent difficilement être implantés simultanément dans une organisation au risque de créer de la résistance aux changements et demander des investissements importants. Tout dépend de la sensibilité des informations à protéger, du budget disponible pour la sécurité, de la culture de l’entreprise et de l’expertise des ressources de l’organisation. Chez Cyberswat, nous pouvons vous aider à évaluer tous les paramètres qui vous permettront de mettre en place des contrôles de sécurité appropriés à votre environnement.
Aujourd’hui, plutôt que de vous parler des nouveautés en cybersécurité, nous allons faire le point sur les études et certifications en cybersécurité. Nous aimerions nous adresser aux professionnels du milieu qui désirent atteindre un autre niveau et se positionner comme des experts dans leur domaine. Comme vous le savez, le monde de la cybersécurité est très large et il y a plusieurs corps de métiers différents dans lesquels vous pouvez vous spécialiser.
Vous êtes un analyste voulant en apprendre plus sur un produit, un pen tester, un conseiller en architecture ou en gouvernance? Cet article va vous intéresser!
Dans cet article, vous trouverez de l’information pratique qui vous permettra de mieux vous orienter dans cette jungle que sont les formations académiques et certifications. Pour ceux et celles qui sont autodidactes, ces formations et certifications vous permettront d’officialiser vos compétences! Pour nous aider à y voir plus clair, Jean-Philippe, notre président, répond à quelques-unes de nos questions.
Tout d’abord, pourquoi aborder ce sujet aujourd’hui?
Certains professionnels en sécurité que je rencontre font face à une même problématique: ils travaillent et ont de l’expérience en cybersécurité depuis plus de 5 ans, mais ils y sont arrivés sans formation officielle. Ils sont « tombés dedans » — souvent par intérêt — et ont appris sur le tas, de façon très autodidacte. Il vient un temps où ils aimeraient officialiser leurs compétences afin d’avancer plus rapidement dans leur carrière.
Et il y a également ceux qui ont de 1 à 4 ans d’expérience dans le domaine, ou encore qui désirent se spécialiser à temps plein dans ce créneau. Dans ce cas précis, ils proviennent souvent du domaine des télécommunications ou de l’administration réseau et ils ont eu à faire de la sécurité « par la bande » avec leurs multiples chapeaux. Ils tentent alors de percer en tant qu’analystes ou architectes de sécurité. Mais ils ont de la difficulté à convaincre un employeur de les engager afin de faire de la sécurité à temps plein.
Une question revient donc à chaque fois : « quelles études ou certifications en cybersécurité s’offrent à moi? ».
J’aimerais aujourd’hui leur apporter une réponse.
Peux-tu nous parler de ton parcours à toi?
Quelles formations en sécurité as-tu suivies?
À l’aube des années 2000, j’ai tout d’abord fait une formation collégiale avec une Attestation d’Études collégiales (AEC) en Installation et gestion de réseaux ducollège Multihexa. Comme je n’avais pas de DEC, j’ai rapidement commencé à faire des certifications telles que le MCSE 2000/2003 de Microsoft ainsi que le Cisco CCNA. J’ai alors occupé des postes à titre de spécialiste technique de niveau 1, 2 et 3. À ce moment, je n’étais pas encore spécialisé en sécurité.
Comme je l’ai déjà raconté dans un article précédent, j’ai eu une aventure dans le passé qui m’a quelque peu traumatisé et qui a grandement influencé mon intérêt envers le domaine de la cybersécurité.
J’ai donc eu l’opportunité d’effectuer un premier mandat en sécurité à titre d’analyste en sécurité. Je me suis spécialisé dans les technologies Check Point et Juniper Network. Voulant devenir un peu moins spécifique sur les produits de sécurité et apprendre les techniques plus « générales » du domaine, j’ai par la suite poursuivi les certifications COMPTIA Sécurity+, ISC2 CISSP ainsi que ISACA CISA. J’ai alors pu faire des mandats en architecture de sécurité et en gouvernance de la sécurité dans les années qui ont suivi.
Finalement, ayant toujours mon AEC en poche, il me manquait des qualifications universitaires. C’est dans ce contexte que suite à bien des démarches, j’ai pu être admis au programme de Maîtrise en gouvernance, audit et sécurité des TI (GASTI) de l’Université de Sherbrooke. Plus récemment, j’ai obtenu la certification CCSK du CSA qui traite spécifiquement de la sécurité de l’infonuagique.
Maintenant à la tête de Cyberswat, je consacre un peu plus mes efforts à parfaire mes connaissances à titre de décideur d’entreprise et de gestionnaire… Mais qui sait? J’aime tellement la sécurité que je vais probablement suivre à nouveau un cours ou une certification dans mon domaine de prédilection 😉
Wow! Cela fait beaucoup d’acronymes!
Peux-tu nous en dire plus sur ces certifications?
Bien sûr! Je vais entrer un peu plus dans le détail dans les formations qui, selon moi, sont les plus prometteuses pour l’avancement d’une carrière en sécurité.
Pour celui qui a entre 1 et 4 ans d’expérience, les principales certifications qui sont intéressantes sont les suivantes:
1- La certification CompTIA Security +
S’il fallait commencer par une certification, ce serait celle-ci. Cette certification a une approche globale et permet de valider les compétences de base d’une personne se destinant à une carrière en cybersécurité. Plusieurs sujets sont abordés tels que les menaces, les types d’attaques, les vulnérabilités, la gestion du risque, la cryptographie et la gestion des identités et des accès. Afin d’obtenir la certification, un examen de 90 minutes doit être réalisé.
2- La certification SSCP – Systems Security Certified Practitioner
Reconnue globalement et entérinée par ISC2, cette certification est un excellent moyen de faire avancer sa carrière en attestant de sa capacité à sécuriser davantage les actifs critiques de son entreprise. Je vois beaucoup d’analystes en sécurité qui commence par cette certification en vue de faire éventuellement le CISSP.
La certification permet de démontrer que l’on possède des compétences techniques poussées. Elle démontre aussi qu’on a les connaissances pour mettre en place, monitorer et gérer une infrastructure de TI, tout en s’assurant de respecter les meilleures pratiques et procédures de sécurité. Elle ne requiert pas d’expérience préalable, mais demandera d’aller faire un examen chez Person Vue et il y aura des frais annuels de maintenance de la certification. Généralement ton employeur va accepter de payer les frais de maintien de la certification; en tout cas,c’est le cas chez Cyberswat😉
3- La certification CompTIA Cybersecurity Analyst+ (CySA+)
Je n’ai jamais fait l’examen du CySA+, mais je vois de plus en plus de personnes certifiées; signe d’une popularité croissante. Attention, ce n’est pas la même certification que le CISA de ISACA, elles n’ont pas du tout le même niveau de difficulté. Fait par CompTIA tout comme le Security+, il est vu comme étant la suite de cette première certification. Security+ est un peu plus technique sur les protocoles de sécurité, cryptographie, etc. CySA+ sera davantage orienté vers les malwares, le piratage, etc. dans le but de faire partie de la fameuse « blueteam ». Comme le Security+, c’est une bonne première certification à aller chercher.
4- Les certifications CEH de EC-Concil et OSCP de Offensive Security
La certification CEH est très populaire auprès des gens qui désirent en savoir plus sur les techniques de tests d’intrusion et de balayages de vulnérabilités. Donc contrairement au CySA+, on se retrouve davantage du côté de l’attaque, soit dans la « redteam ». Malgré son nom, il ne faut pas croire qu’une personne certifiée est déjà toute prête pour faire des tests d’intrusion avancés. Il faudra des années d’expérience dans le domaine avant de pouvoir prétendre le faire. Cependant, c’est un bon moyen pour s’orienter dans le domaine du pen test et pour démontrer, à des employeurs potentiels, son désir de continuer dans cette lignée. Pour obtenir la certification, il faudra faire un examen de 4h chez Person VUE qui totalise 125 questions.
Ok! Peux-tu nous en dire plus sur les certifications plus avancées?
Oui, je vais les présenter. Bien qu’il soit possible pour des personnes débutantes dans le domaine d’aller faire les examens de certification ci-dessous, elles sont davantage pour les personnes ayant 5 ans et plus d’expérience en sécurité. Les principales certifications qui sont intéressantes sont les suivantes:
1- La certification CISSP (Certified Information Systems Security Professional)
Beaucoup de « généralistes » en sécurité désirant démontrer leur expertise choisissent le CISSP de l’organisme ISC2. Il s’agit de l’une des certifications les plus connues et réputées du domaine qui n’est pas spécifique à un manufacturier précis. Pour ceux ayant réalisé le SSCP, il s’agit de la suite logique. Par contre, il n’est pas nécessaire de faire le SSCP avant.
Ce qui distingue cette certification des autres présentés plus tôt, c’est qu’après avoir fait l’examen, il faut passer par un processus de « Certification ». Le candidat devra prouver qu’il détient bien 5 années d’expérience dans un ou plusieurs des domaines de connaissance du CISSP.
C’est une étape très importante; je vois souvent des personnes qui ont réalisé l’examen et qui malheureusement n’ont pas pris le temps de faire la seconde étape de la certification. C’est dommage, car à ce moment, on n’a pas le droit de s’afficher en tant que personne certifiée. Cela a bien sûr des impacts dans la perception des employeurs et des clients qui engagent des spécialistes en sécurité.
De mon côté, j’ai fait cet examen en 2007 et je dois avouer que c’est l’examen le plus stressant que j’ai eu à faire de ma vie! Cet examen de 6 heures avait plus de 250 questions à l’époque. Il se déroulait dans une grande salle avec des dizaines d’autres personnes. Nous n’avions même pas le droit d’avoir une barre tendre à notre bureau. Quelqu’un nous suivait jusqu’à l’entrée des toilettes pour s’assurer que nous n’essayions pas de tricher! La formule a légèrement changé depuis, mais la nature des questions demeure la même; c’est un examen relativement technique et il y a tout de même pas mal de par cœur. C’est d’ailleurs un volet qui est critiqué dans cette certification. Elle n’est pas gage de tout: la certification atteste d’un certain niveau de connaissance, mais elle ne garantit pas le bon sens des gens 😉
2- La certification CISA (Certified Information Systems Auditor)
La certification CISA faite par ISACA est une certification très prisée des auditeurs en sécurité. Reconnue mondialement, elle représente un standard de réussite auprès de tous les intervenants en sécurité qui participent à la vérification, au contrôle et à l’évaluation des systèmes TI d’une entreprise ou organisation. Moins technique que le CISSP, c’est une très bonne certification pour une personne qui désire confirmer son expertise dans le domaine.
Contrairement à la certification CISSP qui visent uniquement les professionnels en TI, le CISA attire également les gens provenant du domaine financier et de la comptabilité. Cette certification est très demandée par les clients et employeurs qui veulent faire auditer leurs systèmes informatiques.
Comme pour le CISSP, il faut prouver son expérience (5 ans) dans le domaine de la sécurité et de l’audit une fois que l’on a réussi l’examen. ISACA-Québec offre du coaching pour faire la certification, c’est ce que j’avais fait à l’époque pour l’obtenir.
3- La certification CISM (Certified Information Security Manager)
Cette certification est également faite par ISACA et le processus pour l’obtenir est similaire. La différence avec le CISA est principalement qu’elle est axée sur la gestion de la sécurité au lieu de l’audit. Elle est populaire chez les gens qui désirent démontrer leur expertise du domaine et qui visent un poste de direction.
Mais maintenant, qu’en est-il de la formation académique de niveau universitaire? Est-ce que ça vaut la peine?
Oui certainement. J’ai beaucoup mis de l’avant les certifications, mais il demeure que d’obtenir des diplômes officiels du Ministère de l’Éducation est un must! Le niveau de scolarité obtenu est important pour les employeurs et pour les clients provenant des grandes entreprises. Alors, c’est définitivement un chemin qu’il faut suivre. Voici quelques exemples:
1- HEC – Microprogramme en sécurité informatique des systèmes (1er cycle)
Cette formation, qui permet de cumuler 15 crédits universitaires, peut s’effectuer à temps partiel et sur une année.
Elle vous préparera à la certification CISSP tout en vous donnant un aperçu de la gestion des systèmes d’information : architecture, gouvernance, gestion des risques, développement, cadre réglementaire, normes, sécurité physique, sécurité des infrastructures et des applications, analyse des processus et exploitation de la sécurité. Avec ce certificat en poche, vous pourrez éventuellement devenir spécialiste en sécurité TI, analyste en cybersécurité ou encore conseiller en sécurité de l’information.
2- Université de Sherbrooke – Maîtrise en administration – GASTI – Gouvernance, audit et sécurité des technologies de l’information
Cette maîtrise est unique au Québec. Elle permet d’acquérir non seulement toutes les notions nécessaires pour devenir gestionnaire spécialisé en TI, mais aussi celles nécessaires pour réussir l’examen CISA d’ISACA. C’est cette maîtrise que je suis allé chercher à l’époque. Ce fut un long processus puisque que les cours étaient de soir et fin de semaine. Mais je n’ai pas eu à quitter le marché du travail pour la compléter, ce qui a été un très grand avantage. Dans ce contexte, cette formation est spécialement conçue pour les professionnels en exercice. Elle est donnée à temps partiel à Longueuil, mais il est possible de suivre les cours en ligne depuis la maison.
3- Certificats et BAC en cybersécurité de la Polytechnique de Montréal
La polytechnique de Montréal offre 3 certificats en cybersécurité:
Cyberenquête
Cyberfraude
Cybersécurité des réseaux informatiques
Ces certificats ont le gros avantage d’être des programmes en ligne avec possibilité de le faire à temps partiel, donc les étudiants peuvent les suivre sans devoir arrêter de travailler pour étudier. La particularité de ce programme, outre qu’il offre vraiment un tour complet des enjeux en cybersécurité, est qu’il permet d’obtenir un bac par cumul si on réussit les 3.
Ce cursus est très populaire en ce moment, on voit beaucoup de professionnels du marché qui ont étudié ou étudient actuellement pour ces certificats. Ils sont aussi bien reconnus par les employeurs et les clients. Ce programme permet de voir autant des volets techniques que de la gestion donc il est très complet. C’est un bon moyen d’aller chercher un diplôme universitaire qui fait la différence sur le marché, surtout à Québec.
J’ai choisi de parler de ces 3 programmes universitaires, car ce sont ceux que je connais le plus personnellement. Cependant, la cybersécurité est vraiment un domaine qui prend de l’ampleur ces dernières années donc les formations se multiplient. Le Serene Risc a fait une compilation de tous les programmes en cybersécurité au Québec: https://www.serene-risc.ca/fr/repertoire-des-programmes-en-cybersecurite
Selon toi, quel est le programme ou la certification la plus pertinente à faire pour être en phase avec la transformation numérique en cours?
S’il n’y avait qu’une seule certification à faire pour les enjeux futurs, ce serait:
La certification CCSK ou la CCSP
La CCSK est axée sur le cloud computing (infonuagique) et est entérinée par le Cloud Security Alliance (CSA) . Avec elle, vous pourrez valider vos compétences et connaissances tout en prouvant votre capacité à développer un programme de sécurité infonuagique qui respecte les standards de l’industrie. Outre l’examen, elle ne demande pas de faire un processus de certification formel, mais elle vous donnera clairement un avantage compétitif sur un marché grandissant. Pour en savoir plus
Sachez qu’il y a également une autre certification cloud qui fait sa place dans le marché, soit le Certified Cloud Security Professional (CCSP) entériné par ISC2. Ayant été fait en collaboration avec le CSA, il est probable qu’elle ait un bon potentiel.
As-tu quelque chose à rajouter sur les formations en cybersécurité en général?
Aujourd’hui plus que jamais, les formations en cybersécurité prennent tout leur sens. En plus, nous n’avons même pas eu le temps d’aborder les formations et certifications en lien avec les normes ISO comme ISO/IEC 27001 Lead Implementer, ISO/IEC 27001 Lead Auditor ou encore ISO/IEC 27005 Risk Manager qui sont très pertinente également.
Finalement, il faut retenir que de nombreux emplois sont créés chaque année afin de protéger les entreprises contre les risques liés aux TI. Si on parle juste de l’année 2019, avec les gros incidents de sécurité qui ont fait la une des journaux depuis quelques mois, la cybersécurité a pris une place au-devant de la scène. Tout le monde en parle et cette prise de conscience collective se répercute inexorablement sur les entreprises. Aucun dirigeant ne veut voir son entreprise épinglée pour un incident de cybersécurité donc les professionnels du domaine sont de plus en plus recherchés.
En effet, on estime que d’ici 2020, à l’échelle internationale, on manquera de 1,5 million d’experts en cybersécurité. Au Canada, on parle de dizaines de milliers.*
L’expérience dont vous disposez est un sérieux atout. Une certification ou un diplôme pour l’appuyer fera de vous un candidat très prisé. En effet, les employeurs se basent souvent sur les diplômes et les certifications pour évaluer le niveau d’un candidat.
*Benoît Dupont, de la chaire de recherche du Canada en cybersécurité à l’UdeM
Groupe Cyberswat est très fier de s’associer à l’organisme Extra Formation du Cegep La Pocatière. Ensemble, nous proposons des formations professionnelles pour sensibiliser et former tous les corps de métier d’une entreprise aux enjeux de la cybersécurité.
Un simple clic sur le lien envoyé dans un courriel frauduleux et c’est votre entreprise au complet qui peut se retrouver paralysée! En effet, même si tout le monde connait le principe du hameçonnage, la majorité des entreprises victimes de rançongiciels le sont car un employé a cliqué là où il ne fallait pas. Et ce n’est qu’une technique parmi tant d’autres : fraude du président, vol de mots de passe, clé USB infectée, etc. Les pirates ont accès à une multitude de moyens pour vous voler de l’argent ou des informations sensibles. L’humain est encore aujourd’hui l’une des principales failles de sécurité pour une entreprise.
Nous voulons vous aider à faire de vos employés un rempart supplémentaire contre les cyberattaques.
Extra formation a compris que la cybersécurité est devenue un enjeu majeur en entreprise. Ils ont donc décidé d’en faire une spécialité majeure dans leur offre de formations. Outre les 3 cours de 45 heures de niveau collégial qui serviront de tremplin pour le futur AEC du Cégep La Pocatière, ils veulent également sensibiliser tous les professionnels et former les gestionnaires à ces enjeux. Chez Groupe Cyberswat, nous sommes aussi convaincus que la formation et la sensibilisation de tous les employés sont le premier rempart à un incident de sécurité informatique. En effet, nous offrons depuis le début des ateliers de sensibilisation ainsi que des conférences en cybersécurité. Nous avons donc vu ce partenariat comme une belle opportunité de continuer à éveiller les consciences sur ces enjeux encore trop sous-estimés.
Saviez-vous que 2/3 des atteintes à la sécurité informatique ont pour origine des négligences ou actes de malveillance de salariés?*
* Willis Towers Watson
Plus concrètement, pourquoi suivre une formation en cybersécurité?
Apprendre quelles sont les menaces pour mieux les identifier et les éviter
Découvrir des techniques faciles à mettre en place pour se protéger au quotidien
Comprendre les impacts que peut avoir un incident de sécurité sur son entreprise et/ou sa vie privée
Se préparer à réagir face à un incident de sécurité et minimiser les conséquences
Obtenir des conseils et outils pour sensibiliser ses collaborateurs à la cybersécurité
La cybersécurité concerne tous les corps de métier
Comme chaque fonction dans l’entreprise implique des enjeux de cybersécurité différents, nous proposons trois formations pour répondre à chaque situation:
La cybersécurité, l’affaire de tous
Une initiation de 8 webinaires destinée à tout le monde. Cette formation permet de comprendre les grandes lignes de la cybersécurité pour sa vie professionnelle, mais aussi privée. En plus, cette formation est subventionnée par Emploi Québec et ne coûte que 25$ si vous répondez aux critères d’éligibilité! Profitez-en!
Formation en cybersécurité pour les gestionnaires, directeurs et cadres
« Un grand pouvoir implique de grandes responsabilités »: on vous propose une formule adaptée aux enjeux de cybersécurité que vous devez connaître. On vous aide à vous préparer pour gérer la sécurité de votre entreprise.
Formation en cybersécurité pour les équipes techniques
On pousse un peu plus dans le volet technique avec vous pour vous donner des moyens concrets pour protéger votre entreprise.
Oublier la cybersécurité, c’est « rouler à 200 km/h à moto sans casque »
N’hésitez plus et inscrivez-vous à la formation qui vous correspond!
EXTRA Formation du Cégep de La Pocatière est un leader en formation à distance dite en mode hybride permettant de se perfectionner ou d’étudier à partir de chez soi ou de son lieu de travail. Depuis 2015, Extra Formation a développé et mis en œuvre, avec la vision «Se former pour se protéger», une expertise unique au Québec avec des formations en «stratégies et gestion en cybersécurité». En partenariat avec une compagnie experte européenne: IT‑OPSLINK, spécialisée dans la formation en cybersécurité des chefs d’entreprises et d’organismes publics, Extra Formation a ouvert son propre Centre de simulation en cybersécurité à La Pocatière. En 2019, Extra Formation s’associe à la firme québécoise réputée pour son expertise en cybersécurité: Le Groupe Cyberswat.
Gérer le consentement aux cookies
Pour offrir les meilleures expériences, nous utilisons des technologies telles que les cookies pour stocker et/ou accéder aux informations des appareils. Le fait de consentir à ces technologies nous permettra de traiter des données telles que le comportement de navigation ou les ID uniques sur ce site. Le fait de ne pas consentir ou de retirer son consentement peut avoir un effet négatif sur certaines caractéristiques et fonctions.
Fonctionnel
Toujours activé
Le stockage ou l’accès technique est strictement nécessaire dans la finalité d’intérêt légitime de permettre l’utilisation d’un service spécifique explicitement demandé par l’abonné ou l’utilisateur, ou dans le seul but d’effectuer la transmission d’une communication sur un réseau de communications électroniques.
Préférences
Le stockage ou l’accès technique est nécessaire dans la finalité d’intérêt légitime de stocker des préférences qui ne sont pas demandées par l’abonné ou l’utilisateur.
Statistiques
Le stockage ou l’accès technique qui est utilisé exclusivement à des fins statistiques.Le stockage ou l’accès technique qui est utilisé exclusivement dans des finalités statistiques anonymes. En l’absence d’une assignation à comparaître, d’une conformité volontaire de la part de votre fournisseur d’accès à internet ou d’enregistrements supplémentaires provenant d’une tierce partie, les informations stockées ou extraites à cette seule fin ne peuvent généralement pas être utilisées pour vous identifier.
Marketing
Le stockage ou l’accès technique est nécessaire pour créer des profils d’utilisateurs afin d’envoyer des publicités, ou pour suivre l’utilisateur sur un site web ou sur plusieurs sites web ayant des finalités marketing similaires.
Vous êtes courtier en assurance et la cybersécurité est l’une de vos préoccupations? Vous cherchez à mieux comprendre les enjeux de sécurité de vos clients afin de mieux les conseiller? Nous pouvons :
Former le cabinet de courtiers à l’assurance en cyberrisque
Rehausser sécurité du client avant d’obtenir une assurance
Évaluer le niveau de risque du client pour le communiquer à l’assureur
Si vous avez une entente avec nous :
Évaluer le niveau de sécurité de l’entreprise pré et post incident
Identifier la source de l’incident et les couvertures d’assurance applicables
Gérer l’incident de sécurité du client afin de revenir à la normale rapidement
Collaborer avec les parties prenantes liées à l’incident (courtier, assureur, services juridiques, service de gestion de crise et de communication avec les médias, etc.)
Gestion d'incidents de sécurité
Vous voulez être prêt en cas d’incident de sécurité dans votre entreprise? Vous cherchez un accompagnement dans la mise en place d’un plan de gestion d’incident afin d’en minimiser au maximum les conséquences? Nous pouvons :
Évaluer l’impact des incidents qui vous guette (fuite de données, rançongiciel, etc.)
Mettre en place un plan de gestion d’incidents
Pour nos clients avec contrat de service:
Gérer l’incident de sécurité afin de revenir à la normale rapidement
Réaliser l’enquête de type forensique
Référer à nos partenaires en cas de besoins en matière juridiques, communication avec les médias, notification, etc.
Assurance en cyberrisque
Vous êtes courtier en assurance et la cybersécurité est l’une de vos préoccupations? Nous vous aidons à comprendre tous les enjeux de sécurité chez vos clients pour que vous puissiez leur offrir le meilleur service possible.
Client :
Accompagnement pour le choix de la formule en assurance avec votre courtier
Évaluation des risques les plus pertinents à couvrir
Mise en place des requis en sécurité pour être couvert par une assurance
Mise en place d’un plan de gestion d’incidents en incluant l’assureur
Courtier :
Évaluer le niveau de risque de vos clients
Sensibiliser vos clients à la cybersécurité pour baisser la probabilité d’un incident
Vous aider à mettre en place un plan de gestion des incidents de sécurité pour vos clients
Vous aider à mettre en place un plan de gestion des incidents de sécurité pour vos clients
Sécurité des services infonuagiques
Ne prenez pas à la légère les enjeux de sécurité du Cloud! Avec nous, vous bénéficierez de la souplesse du Cloud tout en diminuant les risques. Vous et vos clients serez rassurés de savoir vos données en sécurité.
Élaboration d’ententes de sécurité pour les fournisseurs
Formation des décideurs sur les enjeux du cloud
Révision des configurations d’outils infonuagiques en mode SaaS (Office 365, Google Suites, etc.)
Révision des configurations d’outils infonuagique en mode IaaS (Amazon web services, Microsoft Azure, Google Cloud Platform)
Aide à la migration sécuritaire de vos services vers le Cloud
Gouvernance de la sécurité
La sécurité informatique doit faire partie des préoccupations de la direction de votre entreprise. La mise en place d’une politique de sécurité et de la catégorisation des actifs sont notamment des éléments importants d’une stratégie efficace en cybersécurité.
Catégorisation des actifs
Élaboration et révision d’architectures de sécurité
Élaboration de processus de sécurité (p. ex. : gestion des incidents de sécurité et catégorisation des actifs)
Rédaction de politiques, de directives et de cadres de gestion de la sécurité
Élaboration de plans d’action et de plans directeurs de sécurité
Élaboration d’ententes de sécurité pour les fournisseurs
Évaluation de maturité de pratiques de sécurité
Sensibilisation à la sécurité
Saviez-vous que l’hameçonnage est le vecteur n°1 pour réaliser des fraudes dans les entreprises? Diminuez les risques d’être victime d’incidents de cybersécurité grâce à nos ateliers de sensibilisation spécialement conçus pour vos employés.
Atelier de sensibilisation, sur place ou à distance, adapté à chaque corps de métier (employé, direction ou équipe technique)
Campagne de sensibilisation pour vos employés
Test d’hameçonnage (phising)
Mise à disposition d’une plateforme de formation à la cybersécurité en mode asynchrone.
Nous mettons toujours l’accent sur la vulgarisation des concepts et des enjeux de sécurité
Service-conseil en cybersécurité
Votre entreprise recherche un accompagnement à plein temps pour la gestion de la cybersécurité? Faites appel à nous! L’un de nos précieux talents se fera un plaisir de venir travailler dans votre entreprise au quotidien.
Correction des failles découvertes après un test d’intrusion
Accompagnement de projets visant le respect du cadre normatif de sécurité
Élaboration et révision d’architectures de sécurité
Élaboration de processus de sécurité (p. ex. : gestion des incidents de sécurité et catégorisation des actifs)
Mise en place d’une méthode d’analyse de risques dans votre organisation
Accompagnement à la sécurité d’une plateforme de gestion des appareils mobiles (BYOD)
Notre équipe est composée de conseillers en architecture de sécurité, d’analystes en sécurité, de conseillers en gouvernance, de spécialiste en Gestion des Identités et des Accès, de spécialiste en test d’intrusions, etc.
Sécurité des services infonuagiques
Ne prenez pas à la légère les enjeux de sécurité du Cloud! Avec nous, vous bénéficierez de la souplesse du Cloud tout en diminuant les risques. Vous et vos clients serez rassurés de savoir vos données en sécurité.
Aide à la sélection d’un fournisseur infonuagique
Évaluation du niveau de sécurité d’un fournisseur en infonuagique
Élaboration d’ententes de sécurité pour les fournisseurs
Évaluez les risques de votre entreprise
Protégez vos données les plus importantes et épargnez les coûts d’un incident de sécurité. Cyberswat vous aide à identifier les situations à risque et vous donne des recommandations concrètes et faciles à mettre en place.
