Protéger l information de son entreprise Bon sens & savoir-faire. Infoguerre.com Septembre 2003

Transcription

1 Protéger l information de son entreprise Bon sens & savoir-faire Infoguerre.com Septembre 2003

2 L information est au centre des entreprises. Elle peut être recherchée pour se développer, elle peut être transmise pour communiquer, mais surtout elle doit être protéger contre les menaces externes. Les informations des entreprises sont en effet la proie de nombreux acteurs. Pour faciliter la lecture, nous appellerons ces acteurs les «attaquants». Ces «attaquants» peuvent être des agences gouvernementales, des instituts de recherche, des entreprises privées, des organisations terroristes ou mafieuses Les informations qu ils recherchent sont de diverses natures : politique, économique, industriel, militaire Les entreprises françaises sont également victimes de cette «collecte» d informations. Pour limiter les acquisitions d informations sensibles, Infoguerre a élaboré ce guide pratique qui met en évidence les méthodes de collecte et les mesures à mettre en place pour s en protéger. L équipe d Infoguerre cherche par ce biais à sensibiliser l ensemble du personnel des entreprises à la sécurité de l information. Les personnes travaillant pour l entreprise sont autant de cibles potentielles en raison des informations qu ils détiennent quelque soit le poste occupé. Ce guide a été élaboré grâce à la capitalisation d expériences de consultants en intelligence économique et à la synthèse de documents déjà existants. Enfin, il se fonde surtout, et avant tout sur du bon sens. Certains conseils pourront paraître évidents ou décalés. La réalité du terrain prouve malheureusement que certains réflexes ne sont toujours acquis. Nous avons essayé d être le plus exhaustif possible. Si vous constatez des manques dans les méthodes de collecte ou dans les procédures de sécurité, n hésitez pas à nous les signaler. 1

3 Les méthodes de collectes Pour obtenir de l information, nous avons identifié 4 types de méthode : - La conversation conduite - La surveillance - L effraction - L agression 1. La conversation conduite Ce type de collecte peut se dérouler à tout moment (en voyage, dans un restaurant, dans l avion, lors d un colloque ). Une personne étrangère entame une conversation avec vous sous quelques motifs (sondage, conversation amicale ). La conversation conduite pourrait faire l objet d un guide en soit afin de comprendre son déroulement (mise en confiance, questions d environnement, questions plus précises, questions sans importance ). La conversation conduite est difficile à déceler, puisque à chaque conversation, vous transmettez toutes sortes d informations. De plus, vous pouvez être victime de ce type de conversation avec des personnes que vous connaissez de longue date. Ces derniers étant eux-mêmes manipulés en tant intermédiaires, soit des «attaquants» qui sont dans votre entourage et dont vous ne vous méfiez plus avec le temps. 2. La surveillance La surveillance est de deux types : les écoutes et l observation. Cette surveillance peut être humaine ou technique. Dans le premier cas de figure, une ou plusieurs personnes se positionnent dans votre environnement pour écouter votre conversation ou votre appel téléphonique, pour observer votre écran d ordinateurs ou des documents étalés sur une table de restaurant ou dans un train. La surveillance via des instruments techniques permet de surveiller les lignes téléphoniques, les transmissions du fax, les échanges d s Votre téléphone portable peut même devenir un micro au service des «attaquants». Le système auditif peut également être complété avec des appareils photo ou vidéo. 3. L effraction Les lieux menacés par l effraction sont divers : le domicile, les bureaux, une chambre d hôtel Lors d une effraction, les «attaquants» cherchent des informations dans l immédiat ou en différé. Dans le premier cas, ils prennent tous les documents, disques durs auxquels ils ont accès ; dans le second cas, ils posent du matériel de surveillance. L effraction peut être invisible (les documents ont été dupliqués, il n y a aucune trace d effraction ) ou visible. Dans ce dernier cas, les «attaquants» peuvent saccager les locaux pour produire un effet psychologique. 4. L agression La plus commune des agressions est le vol sur une personne. Cela comprend les sacoches arrachées dans la rue par des individus en scooter, un vol d ordinateur dans un wagon Vous pouvez également être agressé par un ou plusieurs individus, voire dans des cas plus extrêmes, enlevé et interrogé (mafia, terroristes, services d Etat ). 2

4 Méthodes spécifiques pour protéger l information Les informations que les «attaquants» cherchent à obtenir sont sous trois types de support : - les informations physiques (documents, plaquettes, carnet d adresses ) - les informations électroniques (les ordinateurs, les palm-pilots, les clés USB ) - les échanges entre individus (conversations téléphoniques, par s, discussions ). Chaque personne liée à l entreprise est concernée par ces recommandations, et doit être sensibilisée à ces menaces. 1. Au bureau a. Echanges entre individus Soyez attentif aux informations transmises lors de vos appels téléphoniques avec des personnes connues ou inconnues. Ne diffusez pas d informations sensibles non cryptées par aussi bien sur le réseau interne que vers l extérieur Nous recommandons d équiper l entreprise avec différents logiciels de sécurité (Firewall, outils de cryptologie, anti-spyware ) installés par des professionnels. b. Documents Vous devez disposer d une armoire forte (ou coffre-fort) et d un destructeur de documents. Rangez tous vos documents de travail dans ce coffre lorsque vous quittez votre bureau. Détruisez tous les documents non indispensables (brouillons, fax ). La dernière personne à quitter le bureau se charge de fermer le coffre, de vérifier que tous les accès (portes, fenêtres ) soient fermés, et qu aucun document ne soit directement accessible. c. Les informations électroniques Equipez tous les ordinateurs de code de sécurité pour les allumer (conférer plus loin pour les précisions sur les mots de passe). Complétez cette mesure en ajoutant d autres systèmes, plus ou moins contraignants : clés de sécurité, systèmes de reconnaissance biométrique, disques encryptés Configurez votre ordinateur pour que vos fichiers sensibles ne soient pas partagés. Stockez les informations sensibles sur des disques durs extractibles qui doivent être rangés dans le coffre quand l utilisateur quitte son ordinateur. Orienter les écrans d ordinateurs loin des fenêtres. Lorsque vous quittez votre ordinateur, supprimer toutes les traces de votre navigation sur Internet (cookies, historique ) ou des documents ouverts. De manière générale, nous conseillons que votre local soit équipé d un système d alarme. Les bureaux les plus sensibles doivent pouvoir se fermer à clé. La porte principale doit être blindée. 3

5 2. Lors de vos déplacements / voyages / lieux publics a. Echanges entre individus Avec une personne inconnue, ne donnez pas de réponse descriptive lors de votre conversation. Avec une personne connue externe à l entreprise, soyez vigilant à ne pas être précis car cette personne peut ensuite être questionné par vos «attaquants». Avec une personne de l entreprise, soyez méfiant. Des «attaquants» peuvent se trouver dans votre entourage ou ont pu disposer des appareils d écoute. De manière générale, ne divulguez aucun nom (collègues de travail, affaires en cours ou passées, clients ). Soyez particulièrement vigilant dans les situations suivantes : conversation entre salariés du bureau dans un restaurant, travail avec un ordinateur portable dans le train ou l avion, conversation avec un téléphone portable dans un lieu public b. Documents Ne laissez pas vos documents de travail sans surveillance dans un lieu public (sur une table de train, dans un restaurant ) Lorsque vous marchez, ne tenez pas votre sacoche du côté rue. Sinon vous risquez de vous la faire arracher au passage. Lors de vos voyages, gardez les informations sensibles sur vous. Ne les mettez surtout pas dans vos valises. c. Les informations électroniques En déplacement, le vol est la menace principale, soyez donc particulièrement attentif à vos téléphones portables, palms, ordinateurs portables Nous vous déconseillons de travailler dans un lieu public. Si vous devez travaillez dans un lieu public (train, avion, restaurant ), orientez votre écran d ordinateur pour qu il ne soit pas visible pas un tiers. Lors vos appels téléphoniques, remplacez les noms (clients, fournisseurs, collègues ) par des «noms codes» que vous aurez définis avec vos collègues avant votre départ. 4

6 3. Les hôtels a. Echanges entre individus Idem que pour les lieux publics. N utilisez pas des téléphones, fax, ordinateurs inconnus pour transmettre des informations sensibles. Donnez le minimum d informations au personnel de l hôtel. Lors de vos appels téléphoniques, ayez à l esprit que votre chambre peut être sous surveillance. b. Documents Ne laissez aucun document sensible dans votre chambre. Rangez les dans les coffres de l hôtel. Toutefois, les coffres peuvent être forcés ou ouverts par des membres du personnel de l hôtel pour le compte des «attaquants». Dans la mesure du possible, gardez les documents sur vous lorsque vous êtes au sein de l hôtel. c. Les informations électroniques Comme pour les documents, ne laissez pas sans surveillance vos informations électroniques dans une chambre d hôtel. N utilisez pas votre ordinateur portable dans les parties publiques de l hôtel. Contentez-vous d une chambre. 5

7 4. Domicile Votre domicile peut vous paraître un lieu sûr. Cependant, si vous détenez des informations à votre domicile, ce dernier devient une cible potentielle. a. Echanges entre individus Ayez à l esprit que votre ligne téléphonique peut être sur écoute. De même, des appareils de surveillance (écouteurs, caméras ) peuvent être dissimulés dans votre domicile. b. Documents Généralement, les domiciles ne sont pas dotés de destructeurs de documents. Prenez garde aux documents que vous jetez dans votre corbeille. Si vous disposez d un coffre, rangez y tous vos documents sensibles. c. Les informations électroniques De même pour les informations sous format électronique, rangez vos ordinateurs portables, vos disques durs et autres supports (téléphones portables, palm pilots, clés USB ) dans un coffre. Disposez d une bonne configuration de votre installation informatique : Firewall, anti-virus comme pour votre bureau. D une manière générale, nous vous déconseillons d emmener des informations sensibles à votre domicile, votre sphère privée risquant en cela de devenir une cible. De plus, vous risquez de mettre en danger vos proches. 6

8 Conclusion Ce guide présente des exemples de protection contre une menace «moyenne». Les «attaquants» qui ont d importants moyens peuvent employer des méthodes plus performantes (captation des émissions électromagnétiques ). Faîtes attention aux prestataires externes qui ont accès à vos locaux (sociétés de nettoyage ), mais aussi à d hypothétiques clients ou commerciaux La menace peut également venir de l intérieur. De ce fait, prenez soin au recrutement des stagiaires (faîtes leur signer des clauses de confidentialité, veillez à ce qu ils n aient pas accès aux informations sensibles ). Si vous êtes victimes de ces «collectes» d informations, reportez le aux dirigeants de votre entreprise qui feront les démarches nécessaires auprès des autorités compétentes. 7

9 Annexe Vocabulaire Cookies : Données inscrites par un serveur dans un fichier de votre ordinateur, qui permettent à ce serveur de se configurer en fonction du client qui l appelle. Firewall : Litteralement «mur coupe-feu» que les Français ont traduit par «écluse». Logiciel rempart servant à protéger un système informatique contre les attaques de pirates. Spyware : Traduit par «espiologiciel». Logiciel capable de collecter des informations diverses concernant un internaute, puis de les diffuser jusqu à son concepteur, permettant ainsi l élaboration de fichiers ciblés. Les mots de passe Votre mot de passe doit être composé au minimum de 8 caractères. Mélanger des lettres minuscules, majuscules, des chiffres et des symboles. Choisissez un mot de passe qui n a aucun lien avec votre environnement (pas de prénoms, ni de dates de naissance, ni de lieux de résidence ). Changer régulièrement de mots de passe. Ne laissez pas votre mot de passe autour de l ordinateur (sur un post-it, sous le clavier ). 8