[ENISA – CERT-EU] Rappel des bonnes pratiques en matière de cybersécurité

Du fait de l’augmentation significative des menaces de cybersécurité au sein de l’Union Européenne, l'ENISA et le CERT-EU viennent de publier un petit guide de bonnes pratiques présentant quatorze recommandations destinées à aider les organisations des secteurs public et privé en matière de cybersécurité.

1. Il convient de s’assurer que les services accessibles à distance nécessitent une authentification multifactorielle (MFA). Il faut éviter d'utiliser des SMS et les appels vocaux et leur préférer des outils résistants au phishing, tels que des cartes à puce.

2. Il faut veiller à ce que les utilisateurs ne réutilisent pas les mots de passe mais utilisent plutôt l'authentification à facteurs multiples (MFA). Les utilisateurs ne doivent donc jamais réutiliser un mot de passe. En outre, ils sont invités à utiliser des outils de « recherche de fuites » de confiance pour voir si leurs adresses électroniques sont compromises et les modifier le cas échéant. L'utilisation d'un gestionnaire de mots de passe d'entreprise doit être encouragée.

3. Il est important de vérifier que tous les logiciels soient à jour. Un processus de gestion des vulnérabilités est également nécessaire afin de déployer les correctifs de gravité élevée et critique aussi rapidement que possible. Il faut également encourager les utilisateurs à mettre à jour régulièrement leurs systèmes personnels.

4. L'accès des tiers aux réseaux et systèmes internes doit être étroitement contrôlé afin d’améliorer la capacité à prévenir et à détecter les attaques potentielles.

5. Il est vital de porter une attention particulière au durcissement des environnements cloud avant de déplacer des charges critiques vers celui-ci.

6. Les stratégies de sauvegarde des données doivent être revues et l'approche dite de la règle 3-2-1 est conseillée. Deux sauvegardes sont ainsi stockées localement mais sur des types de supports différents, et au moins une copie est stockée hors site. L'accès aux sauvegardes doit être contrôlé et la fréquence de celles-ci augmentée pour les données critiques. Les utilisateurs ne doivent sauvegarder les données que sur les dispositifs de stockage autorisés par leur organisation.

7. Il est conseillé de modifier toutes les informations d'identification/authentification par défaut et de désactiver les protocoles qui utilisent une authentification faible.

8. Il convient d’employer une segmentation et des restrictions du réseau pour limiter l'accès à celui-ci.

9. L’organisation régulière de formations est nécessaire afin que les administrateurs aient une solide compréhension des procédures de sécurité interne.

10. L’environnement de sécurité de messagerie doit être résilient avec un filtrage antispam et une passerelle de messagerie sécurisée, configurée pour empêcher les courriels malveillants d'atteindre les boîtes de réception.

11. Les utilisateurs doivent être régulièrement sensibilisés aux techniques de phishing les plus courantes.

12. Il faut veiller à protéger les ressources web contre les attaques par déni de service. L'utilisation d'un CDN (Content Delivery Network) permettra d'étendre l'empreinte des ressources web sur plusieurs serveurs.

13. Les serveurs ou autres dispositifs rarement redémarrés doivent avoir leur accès à Internet bloqué ou fortement limité.

14. Il convient d'avoir les procédures pour joindre et communiquer rapidement avec son CSIRT.

Grâce à l’application de ces bonnes pratiques, l'ENISA et le CERT-EU restent convaincus que les organisations de l'UE seront en mesure d'améliorer leur posture de cybersécurité.