Dans un effort de consolidation des communications REFAD, ce blogue est lancé pour le Grand rassemblement REFAD du printemps 2021. Il se veut une base publique et ouverte pour la dissémination d’information et l’échange entre les membres.

Compte rendu de l’atelier Cyberswat, à propos de la cybersécurité dans le travail à distance

Par Malaïka Ogandaga

Lors de son atelier-conférence intitulé Enjeux de cybersécurité – Le monde de l’Éducation n’y échappe guère, M. Jean-Philippe Racine, président du Groupe Cyberswat, a présenté un aperçu global des menaces de sécurité pour le monde de l’éducation, notamment dans le contexte du travail à distance.

Un faux sentiment de sécurité:

Beaucoup de personnes et d’organismes ont un faux sentiment de sécurité et de croyances à propos de la sécurité de leurs données. 

J’ai délégué mon informatique à un fournisseur, ce n’est plus ma responsabilité

Toutes mes informations sont dans le cloud, c’est mon fournisseur qui gère ça.

M. Racine nous rappelle que ce n’est pas parce que nos données sont hébergées par des fournisseurs de service qu’elles sont protégées. Il faut aussi distinguer la sécurité du fournisseur de la sécurité de l’organisation. Deux organisations peuvent utiliser le même fournisseur mais ne pas avoir les mêmes configurations de sécurité. Des chercheurs ont consulté les prix demandés pour nos données, dans le dark web index. Une carte de crédit avec une limite de 5000$ coûterait environ 120$! Un passeport? De 100 à 3800$! Nos données valent beaucoup plus qu’on ne le pense!

Les types de cyberattaques:
M. Racine nous présente ensuite quelques types de cyberattaques auxquels nous sommes susceptibles.

  • Le hacktivisme aussi appelé cyberactivisme au Québec.
  • Le cyberespionnage qui a souvent lieu entre pays ou entre entreprises
  • Le loup solitaire ou un individu qui agit plus par intérêt, par défi ou pour se faire une réputation. Par exemple, un étudiant qui pourrait manipuler les données d’une institution pour garantir l’obtention d’un diplôme.

Le crime organisé s’en mêle aussi avec une recrudescence d’engagement au cours des dernières années. Et les brèches de sécurité peuvent également provenir des employés ou même des clients: un courriel envoyé par erreur, un ancien employé insatisfait.

Sacked IT guy annihilates 23 of his ex-employer’s AWS servers

Le déni de service (simulation du trafic sur un site internet causant  une saturation et l’inaccessibilité du site) constitue un autre type d’attaque qui pourrait survenir. Celui-ci est susceptible d’affecter les institutions éducatives et d’empêcher la prestation de cours à distance. Les employés n’ont malheureusement pas de pouvoir sur ce type d’attaque. L’hameçonnage ou phishing est un deuxième type d’attaque. Il s’agit de l’usurpation d’identité d’une personne ou d’une entreprise. Les fraudeurs tentent de capturer vos données en envoyant un courriel d’hameçonnage comprenant peu de texte pour vous inciter à cliquer sur des liens ou des pièces jointes. Le courriel reste la première porte d’entrée pour ce type d’attaques.

Sensibilisation en cybersécurité – Groupe de Cyberswat.

M. Racine présente par la suite une série d’exemples de courriels suspects, de messages textes et de liens qui devraient, si vous en recevez, sonner l’alarme.

Exemple de fenêtres qui montrent que vous êtes victime d’une attaque rançongiciel

Le dernier type d’attaque présenté par M. Racine, est le rançongiciel en anglais ransomware. Le rançongiciel consiste à prendre en otages les données d’un individu ou d’un organisme. Cela peut prendre jusqu’à dix jours à une compagnie pour s’en remettre. Selon le Centre canadien pour la cybersécurité, le nombre de demandes a connu une recrudescence marquée en début de pandémie, en raison de l’utilisation accrue du numérique dans notre quotidien.

Les conseils à suivre pour se protéger de telles attaques

M. Racine nous rappelle de faire attention à nos mots de passe: avoir des mots de passe différents pour le travail et pour la vie personnelle. Ne pas partager nos mots de passe avec nos collègues et éviter l’utilisation de comptes génériques. Il conseille aussi de mettre en place un système d’authentification à deux facteurs. Le courriel ne devrait pas non plus être utilisé pour partager des informations personnelles. Pour ce faire, il faut lui préférer d’autres solutions selon notre contexte (sharepoint, team drive, etc). Les téléphones exigent aussi une attention particulière, car ils constituent un point d’accès de données.

Avant d’utiliser un nouvel outil infonuagique gratuit, il faut veiller à impliquer notre équipe informatique afin que des spécialistes évaluent la fiabilité de l’outil. Si vous êtes en mode télétravail, il vous faut aussi penser à protéger vos données de la maison: quels types de protocole réseau utilisez-vous? Quand avez- vous changé le mot de passe de votre internet sans fil pour la dernière fois? Est-il assez complexe?  Votre routeur est-il à jour? Effectuez une mise à jour régulière de votre équipement de travail. 

Pour tester si vos données sont compromises
Le site Internet Have I Been Pwned? créé par Troy Hunt, est une référence lorsqu’il est question de savoir si vous avez été victime d’une fuite de données.


Outils pour sauvegarder et sécuriser vos mots de passe:

En cas d’attaques rançongiciels: n’éteignez pas votre ordinateur! Débranchez-le plutôt du réseau. Ceci protégera la scène du crime et permettra aux spécialistes de mieux comprendre la nature de l’attaque et l’ampleur des dommages.

La cybersécurité est un processus continu

M. Racine conclut sa présentation en disant que « La cybersécurité est un processus continu. Vous devez être vigilant à tout moment, autant dans votre vie professionnelle que personnelle » .

 

Laisser un commentaire

Commentaire(s)

Il n'y a présentement aucun commentaire pour cette publication.