Quelles sont les meilleures pratiques pour sécuriser le travail à distance des employés d'une entreprise ?

Les meilleures pratiques pour sécuriser le travail à distance des employés : protéger les comptes par l’authentification multifacteur, garder les appareils chiffrés et à jour, moins dépendre du réseau domestique, former contre l’hameçonnage, sauvegarder les données et prévoir pertes d’appareils et départs. Pas besoin d’une grande équipe TI, et le Centre canadien pour la cybersécurité offre des conseils gratuits.

Quels sont les principaux risques du travail à distance ?

Le travail à distance et hybride déplace les données de l’entreprise vers des réseaux domestiques, des téléphones personnels et des portables qui quittent le bureau. Les risques qui en découlent sont prévisibles :

• Des mots de passe volés ou réutilisés, qui permettent à un attaquant de se connecter comme un employé, de n’importe où.

• Des courriels et textos d’hameçonnage, plus difficiles à vérifier quand personne n’est au bureau voisin pour demander.

• Des appareils non mis à jour ou en fin de vie, y compris des appareils personnels utilisés pour le travail.

• Des portables et téléphones perdus ou volés qui contiennent des fichiers de l’entreprise.

• Des réseaux Wi-Fi domestiques et publics que l’entreprise ne contrôle pas.

Les conseils de sécurité pour les organisations dont les employés travaillent à distance du Centre canadien pour la cybersécurité couvrent chacun de ces risques. Les sections suivantes les transforment en étapes qu’une PME peut suivre.

1. Protéger les comptes avant tout

• Activez l’authentification multifacteur (AMF) pour le courriel, le stockage de fichiers, la comptabilité, l’administration de votre boutique et tout ce qui contient des données de l’entreprise. Les conseils du Centre sur l’AMF recommandent fortement les méthodes FIDO résistantes à l’hameçonnage, comme les clés de sécurité et les clés d’accès. Si vous utilisez une application d’authentification, activez la correspondance des numéros pour que vos employés ne cèdent pas à des demandes répétées; les codes par texto peuvent être hameçonnés.

• Utilisez des phrases de passe longues et uniques. Les pratiques exemplaires sur les phrases de passe du Centre recommandent au moins 4 mots et 15 caractères, et une phrase différente pour chaque compte et chaque appareil.

• Utilisez un gestionnaire de mots de passe pour les connexions courantes, et partagez les accès de l’entreprise par son intermédiaire plutôt que par courriel ou clavardage. Protégez le gestionnaire lui-même par une phrase de passe solide et l’AMF.

• Donnez à chacun seulement les accès dont il a besoin, et révisez-les quand les rôles changent.

Quand nous livrons une nouvelle boutique ou une application Web chez msmtech, nous demandons au propriétaire d’activer l’authentification en deux étapes pour chaque compte d’employé avant le lancement, et nous retirons nos propres accès à la fin du projet. Un accès que personne ne se souvient d’avoir accordé est le plus facile à exploiter.

2. Garder les appareils gérés et à jour

• Activez les mises à jour automatiques du système d’exploitation, du navigateur et des applications, et remplacez les appareils qui ne reçoivent plus de mises à jour de sécurité.

• Chiffrez les portables et exigez un verrouillage d’écran : FileVault sur Mac et BitLocker sur Windows. Les téléphones récents chiffrent leur stockage dès qu’un code est défini.

• Utilisez l’antivirus intégré ou un antivirus d’entreprise, et laissez-le activé.

• Préférez les appareils fournis par l’entreprise. Si vos employés utilisent des appareils personnels, décidez quelles données de l’entreprise peuvent s’y trouver, et utilisez les réglages de vos fournisseurs de courriel et de fichiers pour effacer ces données d’un appareil perdu.

3. Rendre le réseau domestique moins important

• Changez le mot de passe d’administration par défaut du routeur et gardez son micrologiciel à jour.

• Utilisez un réseau invité séparé pour les appareils intelligents et les visiteurs.

• Évitez le Wi-Fi public pour le travail, ou utilisez plutôt le partage de connexion d’un téléphone.

• Préférez des services infonuagiques protégés par l’AMF plutôt que d’ouvrir les systèmes du bureau à Internet. Quand des employés doivent joindre des serveurs internes, exigez un RPV (VPN), protégé lui aussi par l’AMF.

4. Former les employés à repérer l’hameçonnage

L’hameçonnage fonctionne parce qu’il imite les messages que les gens attendent. Apprenez à votre équipe à vérifier l’expéditeur, à ne jamais approuver une demande d’AMF qu’elle n’a pas lancée, et à confirmer tout changement de paiement ou de coordonnées bancaires par téléphone, à un numéro déjà connu. Un court rappel aux quelques mois vaut mieux qu’une longue formation annuelle, et Pensez cybersécurité offre du matériel gratuit à partager.

• Rendez le signalement facile : une adresse ou un canal de clavardage pour « ça me semble louche ».

• Remerciez ceux qui signalent, même les fausses alertes, pour qu’ils continuent.

• Répétez l’arnaque la plus probable dans votre entreprise, comme un faux fournisseur qui demande de changer ses coordonnées bancaires.

5. Sauvegarder et prévoir la reprise

• Gardez des sauvegardes des données importantes à au moins deux endroits, dont un hors ligne ou dans un compte séparé que le rançongiciel d’un portable de travail ne peut pas atteindre.

• Testez une restauration au moins deux fois par année.

• Rédigez un plan d’une page : qui appeler, comment verrouiller les comptes et comment aviser les clients si des données sont exposées.

6. Gérer les arrivées, les départs et les appareils perdus

• À l’arrivée : créez les comptes avec l’AMF, inscrivez l’appareil et passez ces règles en revue.

• Au départ : désactivez les comptes le jour même, transférez les accès partagés et récupérez les appareils.

• En cas de perte d’un appareil : changez les mots de passe utilisés dessus, déconnectez-le de chaque service et effacez les données de l’entreprise.

Que faire après une atteinte à la vie privée au Canada ?

Si des renseignements personnels sont exposés, une entreprise canadienne peut avoir des obligations légales au-delà de la correction du problème. En vertu de la LPRPDE, le guide du Commissariat sur la déclaration obligatoire des atteintes précise que vous devez :

• Déclarer au Commissaire à la protection de la vie privée toute atteinte qui présente un risque réel de préjudice grave pour une personne.

• Aviser les personnes touchées dès que possible.

• Tenir un registre de toutes les atteintes aux mesures de sécurité pendant deux ans, y compris celles que vous n’aviez pas à déclarer.

Le Québec, l’Alberta et la Colombie-Britannique ont leurs propres lois sur le secteur privé, avec des obligations semblables. Ceci est de l’information générale, pas un avis juridique.

Liste de vérification de la sécurité du travail à distance

1. AMF sur le courriel, les fichiers, la comptabilité, les comptes bancaires et d’administration

2. Des phrases de passe uniques, et les connexions courantes dans un gestionnaire de mots de passe

3. Mises à jour automatiques et chiffrement du disque sur chaque appareil de travail

4. Mots de passe des routeurs changés; aucun travail sur Wi-Fi public sans partage de connexion ou RPV

5. Des rappels sur l’hameçonnage aux quelques mois, et un seul endroit pour signaler

6. Des sauvegardes testées, dont une copie hors de portée d’un portable de travail

7. Une procédure le jour même pour les départs et les appareils perdus

Pour un ensemble plus complet, les contrôles de cybersécurité de base pour les petites et moyennes organisations du Centre couvrent 13 domaines, de la réponse aux incidents à la sécurité des sites Web.

Vous exploitez vos propres serveurs pour vos employés à distance ? Lisez ce qu’implique l’hébergement VPS →. Si votre équipe a besoin d’une application Web sécurisée plutôt que de tableurs partagés, voyez les solutions logicielles personnalisées → ou parlez-en à msmtech →

Questions fréquentes

Un RPV (VPN) suffit-il à sécuriser le travail à distance ?

Non. Un RPV protège la connexion à vos systèmes internes, mais il n’arrête ni l’hameçonnage, ni les mots de passe volés, ni un portable non mis à jour. Combinez-le avec l’AMF, des appareils chiffrés et à jour, et la formation des employés.

Les employés devraient-ils utiliser leurs appareils personnels pour le travail ?

Les appareils fournis par l’entreprise sont plus faciles à sécuriser, et c’est pourquoi le Centre pour la cybersécurité les recommande quand c’est possible. Si vous permettez les appareils personnels, adoptez une politique écrite sur les données qu’ils peuvent contenir, et exigez verrouillage d’écran, mises à jour et possibilité d’effacer les données de l’entreprise.

Quelle est la mesure de sécurité la plus importante pour le travail à distance ?

L’authentification multifacteur sur chaque compte qui contient des données de l’entreprise. Un mot de passe volé ou deviné ne suffit alors plus pour se connecter, et l’activer prend quelques minutes.

À quelle fréquence former les employés à distance à la sécurité ?

De courts rappels aux quelques mois fonctionnent mieux qu’une longue séance annuelle. Utilisez de vrais exemples des arnaques que votre entreprise risque de voir, et rendez le signalement d’un message suspect facile.