Documents techniques

Aujourd'hui, les petites et moyennes entreprises (PME) sont sous attaque constante de la part de pirates qui trouvent à la fois pratique et profitable de cibler des organisations plus petites plutôt que des grandes. Considérez ce qui suit :

• Selon une étude d'Accenture, 43 % de toutes les cyberattaques dans le monde ciblent désormais les PME.
• Un rapport d'IBM et du Ponemon Institute a révélé que le coût moyen d'une violation de données pour les PME a grimpé à 2,98 millions de dollars par incident.
• Le sondage de Devolutions sur l'état de la sécurité des TI dans les PME en 2023-2024 a révélé que 78 % des PME sont plus préoccupées par la cybersécurité qu'il y a un an, et que 69 % des PME ont subi au moins une cyberattaque au cours de la dernière année.

En effet, pour chaque violation de données dans une grande entreprise qui fait les manchettes internationales, comme le tristement célèbre piratage de SolarWinds en 2019-2020, il y a des milliers de cyberattaques menées contre des PME, allant de coûteuses à carrément catastrophiques. En fait, 60 % des PME cessent leurs activités dans les six mois suivant une violation de données.

EFFICACES, ABORDABLES ET FACILES À GÉRER

Ce document technique met en lumière sept gains rapides pour aider les PME à renforcer leur profil de cybersécurité, réduire la taille de leur surface d'attaque et diminuer leurs chances d'être victimes en 2025 et au-delà. De plus, les sept stratégies présentées dans ce document technique tiennent compte du fait que les PME ne disposent généralement pas des budgets importants en cybersécurité ni des équipes spécialisées internes que l'on trouve dans les grandes entreprises. Ainsi, les conseils et recommandations présentés ici sont non seulement très efficaces, mais aussi très abordables et faciles à gérer pour les PME.

N° 1 — METTRE EN ŒUVRE LA GESTION DES ACCÈS PRIVILÉGIÉS (PAM)

La gestion des accès privilégiés (PAM) désigne une catégorie de solutions qui aident à sécuriser, contrôler, gérer et surveiller les accès privilégiés aux comptes critiques — autrement dit, « les clés du royaume ». Ces comptes peuvent inclure :

• Les comptes d'administrateur de domaine
• Les comptes d'utilisateurs privilégiés
• Les comptes d'administrateur local
• Les comptes d'accès d'urgence
• Les comptes d'application
• Les comptes système
• Les comptes de service de domaine

Chaque fois que ces types de comptes sont accédés, une solution PAM enregistre la session et suit les actions effectuées — et contribue ultimement à s'assurer et à vérifier que seuls les utilisateurs autorisés accèdent aux bons comptes au bon moment.

Lors de l'évaluation et du choix final d'une solution PAM, les PME devraient éviter les solutions qui offrent des fonctionnalités superflues coûteuses et complexes, et plutôt se concentrer sur des solutions qui offrent des fonctionnalités essentielles telles que :

• Gestion polyvalente des comptes : Intégrer Active Directory, Entra ID (anciennement Azure AD), les utilisateurs SSH locaux et les bases de données (MySQL, Oracle, Microsoft SQL).
• Rotation et propagation des mots de passe : Effectuer la rotation des mots de passe et propager les changements à travers les systèmes automatiquement.
• Contrôles d'accès granulaires basés sur les rôles : Appliquer efficacement le principe de moindre privilège (POLP) en définissant des rôles et en les associant à des droits d'accès et des permissions spécifiques. Nous examinerons le POLP plus en détail plus loin dans ce document technique.
• Élévation juste-à-temps (JAT) : Accorder aux utilisateurs des permissions élevées temporaires au sein d'Active Directory ou de groupes Azure pour une tâche ou une période spécifique.
• Processus d'approbation personnalisables : Réguler l'accès avec des exigences d'approbation et des destinataires personnalisables.

Devolutions PAM est une plateforme de sécurité essentielle conçue pour contrôler, surveiller et sécuriser les accès élevés pour les utilisateurs, les comptes, les processus et les systèmes. Cela en fait une solution particulièrement précieuse pour les PME, qui disposent généralement de budgets de cybersécurité plus modestes et manquent de ressources internes ou de spécialistes comparativement aux grandes entreprises. Devolutions PAM se distingue par son caractère abordable, sa facilité d'utilisation et son extensibilité.

N° 2 — UTILISER UN GESTIONNAIRE DE MOTS DE PASSE POUR IMPOSER DES POLITIQUES DE MOTS DE PASSE ROBUSTES

Selon une recherche de LastPass, 81 % des violations confirmées sont dues à des mots de passe faibles, réutilisés ou volés. Et en parlant de mots de passe faibles : NordPass, en collaboration avec NordStellar, a publié l'édition 2024 de la liste des 200 mots de passe les plus courants. Une fois de plus, 123456 occupe la première place. En fait, la grande majorité des mots de passe de la liste peuvent être déchiffrés en moins d'une seconde. Naturellement, les cybercriminels sont conscients de cette énorme vulnérabilité et l'exploitent avec facilité.

Malgré cette menace, de nombreuses PME n'en font pas assez pour établir une visibilité complète sur les mots de passe, ce qui est absolument essentiel pour appliquer les règles d'accès, surveiller la conformité et assurer la gouvernance. Le sondage de Devolutions sur l'état de la sécurité des TI dans les PME en 2023-2024 a révélé que moins de 60 % des PME utilisent des mesures de cybersécurité essentielles telles qu'une solution de gestion de mots de passe.

Une solution robuste de gestion de mots de passe offre aux PME une visibilité complète sur les pratiques de mots de passe de tous les utilisateurs. En même temps, la solution facilite la génération de mots de passe complexes et uniques pratiquement impossibles à percer.

De plus, les utilisateurs ne sont pas accablés par la nécessité de mémoriser de multiples mots de passe longs et difficiles. Au lieu de cela, ils stockent commodément tous leurs identifiants (ainsi que d'autres données sensibles et secrets d'entreprise tels que les codes d'alarme et les clés de licence logicielles) dans des coffres de données sécurisés, auxquels ils accèdent selon les besoins.

Les PME à la recherche d'une solution de gestion de mots de passe devraient se concentrer sur les fonctionnalités et capacités suivantes :

• Sécurité renforcée des mots de passe : Créer, stocker dans un coffre, partager et gérer les mots de passe — sans risque de violations de données, de fuites et de piratage.
• Protection de niveau entreprise : Hautement sécurisée grâce aux dernières normes de chiffrement AES 256 bits et aux meilleures pratiques de sécurité des données (applicable aux PME qui choisissent une solution de gestion de mots de passe infonuagique).
• Ensemble d'outils amélioré : Accès à des outils faciles à utiliser tels qu'un générateur de mots de passe robuste, un accès par navigateur avec injection d'identifiants automatique et un analyseur de mots de passe.
• Rapports complets : Génération rapide de rapports complets à des fins de conformité, de gouvernance et d'audit, incluant les journaux d'activité, les rapports d'utilisation et les journaux d'administration.

Devolutions Hub Business assure une bonne hygiène des mots de passe en fournissant une gestion centralisée des mots de passe sur une plateforme infonuagique hautement sécurisée. De plus, Devolutions Hub Business utilise le chiffrement à connaissance nulle et est bâti avec des schémas et algorithmes de chiffrement qui surpassent ceux de nombreux autres gestionnaires de mots de passe infonuagiques. Et comme toutes nos solutions, Devolutions Hub Business est facilement abordable pour les PME qui ont besoin d'une gestion de mots de passe de niveau entreprise, mais qui ne disposent pas de budgets de cybersécurité de niveau entreprise.

N° 3 — BÂTIR VOTRE FONDATION DE CYBERSÉCURITÉ SUR LE PRINCIPE DE MOINDRE PRIVILÈGE ET LA CONFIANCE ZÉRO

Le principe de moindre privilège (POLP) est une politique selon laquelle les utilisateurs finaux ne reçoivent que le niveau d'accès dont ils ont besoin pour accomplir leur travail. Le principe directeur de la confiance zéro est « ne jamais faire confiance, toujours vérifier ». Chaque utilisateur, appareil et application, peu importe l'emplacement physique, doit être authentifié et autorisé avant que l'accès ne soit accordé. Ces deux concepts sont liés, et on pourrait dire que la confiance zéro est un élément clé du POLP. Ils se complètent mutuellement pour créer une fondation de cybersécurité solide et fiable.

Pour établir et appliquer le POLP, les PME devraient mener les activités suivantes :

• Faire du moindre privilège le point de départ par défaut, et ajouter des accès de niveau supérieur au besoin par l'analyse et en consultation avec les utilisateurs.
• Communiquer l'objectif du POLP à tous les utilisateurs. Les aider à comprendre que ce principe n'est pas destiné à freiner leur productivité, mais plutôt à protéger l'organisation.
• Si un accès privilégié temporaire est requis, utiliser des identifiants à usage unique. Ceux-ci sont accordés au dernier moment, puis révoqués immédiatement après utilisation. Cette approche (appelée « encadrement des privilèges ») peut être utilisée pour les utilisateurs individuels, ainsi que pour les processus et les systèmes.
• Séparer les comptes d'administrateur des comptes standards.
• Séparer les fonctions système de niveau supérieur des fonctions système de niveau inférieur.
• Suivre automatiquement toutes les tentatives de connexion (y compris les échecs) et les activités. Il est essentiel d'avoir une visibilité complète et de voir précisément ce que font les utilisateurs et quand.
• Auditer régulièrement les privilèges des utilisateurs pour s'assurer que les accès sont appropriés.
• S'assurer qu'un processus est en place pour retirer les accès des employés qui quittent l'entreprise. Un sondage de Beyond Identity a révélé qu'un ancien employé sur quatre déclarait pouvoir encore accéder aux comptes de ses emplois précédents — y compris d'anciens membres du personnel des TI et des gestionnaires ayant eu accès à des comptes privilégiés.
• Avoir l'option de révoquer automatiquement les accès privilégiés en cas d'urgence.

Pour établir et appliquer la confiance zéro, les PME devraient mener les activités suivantes :

• Ajouter des technologies infonuagiques prioritaires pour remplacer les anciens services et systèmes non authentifiés.
• Concevoir une architecture à confiance zéro basée sur la façon dont les données circulent à travers le réseau, et sur la façon dont les utilisateurs et les applications accèdent à l'information sensible.
• Vérifier la confiance lors de l'accès à toute ressource réseau en utilisant l'authentification multifacteur en temps réel.
• Étendre les contrôles d'identité au terminal pour reconnaître et valider tous les appareils. La simple vérification des utilisateurs ne suffit pas!
• Organiser les utilisateurs par groupe/rôle pour soutenir les politiques relatives aux appareils. Pour en savoir plus sur la mise en œuvre de la gestion des identités privilégiées (PIM).
• Tirer parti du déprovisionnement automatique, ainsi que de la capacité à effacer, verrouiller et désinscrire les appareils volés ou perdus.
• Mettre à jour régulièrement les droits des utilisateurs finaux en fonction des changements de rôles/postes, ainsi que des changements aux politiques de sécurité en vigueur et aux exigences de conformité.

Remote Desktop Manager et Devolutions PAM de Devolutions permettent aux PME de configurer et de mettre en œuvre des contrôles d'accès granulaires qui soutiennent le POLP et la confiance zéro. Ces solutions sont faciles à utiliser, extensibles, abordables et conçues spécifiquement pour les PME qui ont besoin d'établir une cybersécurité solide, sans compromettre l'efficacité ou la productivité.

N° 4 — AUTOMATISER LA DÉTECTION DES MENACES AVEC L'IA

Les outils de sécurité alimentés par l'IA changent la donne pour les PME, en permettant la détection et la réponse aux menaces en temps réel. Ces outils minimisent la surveillance manuelle tout en améliorant les capacités de détection des incidents. Parmi les applications les plus importantes et impressionnantes, on retrouve :

• L'apprentissage adaptatif qui s'appuie sur des modèles d'apprentissage automatique pour améliorer continuellement les capacités de détection des menaces.
• Des moteurs avancés de reconnaissance de schémas qui analysent de vastes quantités de données à des vitesses remarquables pour identifier les schémas et anomalies des attaquants, y compris les signes subtils d'activité malveillante.
• Le lancement de réponses automatisées pour atténuer et contenir les menaces.
• L'utilisation de l'analytique prédictive pour détecter proactivement les menaces futures en analysant les tendances et les schémas.
• La réduction des faux positifs grâce à une évaluation et une classification plus précises des activités sûres par rapport aux activités malveillantes.

Chez Devolutions, nous travaillons actuellement à l'intégration d'analyses basées sur l'IA dans nos outils pour aider les PME à protéger proactivement leurs actifs sans avoir besoin d'une grande équipe des TI.

N° 5 — ENVOYER LES SECRETS D'ENTREPRISE VIA UNE PLATEFORME DE MESSAGERIE SÉCURISÉE

Pour de nombreuses PME, les applications gratuites de messagerie instantanée telles que Slack, Microsoft Teams et Facebook Messenger sont devenues des outils de communication et de collaboration essentiels. Cependant, bon nombre de ces applications ne chiffrent pas les messages, ce qui signifie que les pirates peuvent les intercepter de manière furtive. Éliminer ce risque est simple : les PME devraient utiliser uniquement un service de messagerie chiffré pour tous les messages et transferts de fichiers privés, confidentiels et sensibles.

Les PME devraient se concentrer sur un service de messagerie chiffré qui correspond aux critères suivants :

• Chiffrement autonome robuste : Le service devrait utiliser XChaCha20Poly1305 avec des nonces aléatoires. De plus, le chiffrement devrait s'exécuter dans le navigateur via un programme Rust sécurisé en mémoire compilé en WASM (WebAssembly). Les charges utiles devraient également être stockées chiffrées au repos et en transit avec TLS1.2+ à travers un ensemble de chiffrements robuste, et GUID (UUID) v4 devrait être utilisé uniquement pour l'unicité des liens.
• Transfert de fichiers sécurisé : Le service devrait faciliter le chiffrement et le transfert de fichiers (y compris les fichiers plus volumineux, par exemple de 10 Mo).
• Sécurité renforcée : Le service devrait offrir aux expéditeurs la possibilité d'ajouter une couche de sécurité supplémentaire avec une phrase de passe. Seules les personnes disposant de la phrase de passe peuvent accéder à votre lien, le protégeant ainsi contre le repartage et le risque de tomber entre de mauvaises mains.
• Personnalisation par l'utilisateur : Le service devrait offrir aux expéditeurs la possibilité de sélectionner la durée de leur message chiffré. Si le message n'est pas récupéré par le destinataire pendant cette période, il devrait expirer automatiquement et définitivement. De plus, les destinataires devraient pouvoir supprimer les messages une fois qu'ils sont lus ou qu'ils ne sont plus nécessaires (les expéditeurs devraient avoir la possibilité d'interdire la suppression s'ils le souhaitent).

Devolutions Send répond à tous ces critères et constitue la façon sûre et intelligente pour les PME de partager de l'information sensible et des fichiers. Devolutions Send est facile à utiliser et disponible en tant que service autonome (Web), ainsi qu'intégré dans plusieurs solutions de Devolutions, incluant Remote Desktop Manager, Devolutions Server, Devolutions Hub Business et Devolutions Workspace. Et les PME soucieuses de leur budget seront heureuses d'apprendre que l'utilisation de Devolutions Send est 100 % gratuite!

N° 6 — MAINTENIR LES MISES À JOUR SYSTÈME ET LA GESTION DES CORRECTIFS

Un logiciel non corrigé est comme une porte ouverte pour les pirates. Un sondage de Sophos mené en 2024 a révélé que 32 % des attaques par rançongiciel ciblant les répondants au cours de la dernière année ont commencé par une vulnérabilité exploitée. Globalement, 60 % de toutes les violations sont attribuables à des vulnérabilités non corrigées, et 50 % des vulnérabilités restent non corrigées après 50 jours — donnant aux pirates amplement le temps et l'occasion de s'implanter dans les réseaux de leurs victimes.

De multiples outils sont disponibles pour aider les PME à rester à jour avec les mises à jour système et la gestion des correctifs. Les outils les plus simples fournissent essentiellement des notifications poussées indiquant qu'une nouvelle mise à jour ou un nouveau correctif est disponible. C'est utile, mais il est important de garder à l'esprit qu'il est toujours nécessaire d'effectuer manuellement la mise à jour ou d'appliquer le correctif. Des outils plus complets — et sans surprise, plus coûteux — analysent proactivement les systèmes réseau et les logiciels pour détecter les mises à jour et les correctifs, et peuvent être configurés pour les télécharger et les installer automatiquement à des jours/heures planifiés.

Remote Desktop Manager de Devolutions permet aux PME de suivre les versions logicielles et d'automatiser les mises à jour et les correctifs. Cette approche proactive garantit que l'infrastructure reste résiliente face aux dernières exploitations.

N° 7 — FORMER RÉGULIÈREMENT LES UTILISATEURS EN CYBERSÉCURITÉ

Les utilisateurs renforcent ou affaiblissent la cybersécurité. De plus, dans de nombreux cas, les événements de cybersécurité ne sont pas motivés par une intention malveillante. En fait, le rapport 2023 de Verizon sur les enquêtes relatives aux violations de données a révélé que 74 % des violations de données connues étaient causées par des erreurs d'utilisateurs, comme cliquer sur un lien d'hameçonnage dans un courriel. En termes simples : offrir aux utilisateurs une formation régulière en cybersécurité est essentiel.

Il n'existe pas de liste définitive de ce qui devrait être inclus dans la formation en cybersécurité, puisque le paysage des menaces évolue constamment. Généralement, au minimum, la formation devrait couvrir les sujets suivants, qu'elle soit dispensée en ligne, en personne ou en combinaison :

• Contrôle d'accès
• Apportez vos appareils personnels (BYOD)
• Services infonuagiques
• Fuite de données
• Vol d'identité
• Signalement des incidents
• Propriété intellectuelle
• Maliciel
• Appareils mobiles
• Risques liés au Wi-Fi ouvert
• Gestion de mots de passe
• Hameçonnage (y compris l'émergence des attaques par hypertrucage alimentées par l'IA)
• Sécurité physique
• Confidentialité
• Protection des données de cartes de paiement
• Rançongiciel
• Utilisation responsable d'Internet
• Piratage psychologique
• Réseaux sociaux
• Voyager en toute sécurité

Devolutions s'associe aux PME pour intégrer des programmes de formation adaptés à leurs environnements spécifiques, afin de s'assurer que les membres de leur équipe deviennent des partenaires actifs d'une cybersécurité solide et fiable.

L'ESSENTIEL À RETENIR

En adoptant ces stratégies à faible coût et à fort impact, les PME peuvent naviguer efficacement dans le paysage des menaces en constante évolution tout au long de 2025 et au-delà. N'oubliez pas, la cybersécurité n'a pas à être écrasante — des gains rapides comme ceux-ci peuvent faire une grande différence!

Vous voulez des gains rapides en cybersécurité pour votre PME? DEVOLUTIONS PEUT VOUS AIDER!

Chez Devolutions, nous donnons aux PME les moyens d'agir grâce à des solutions abordables qui simplifient les défis complexes de cybersécurité et offrent des gains rapides puissants en matière de sécurité, de conformité et de productivité à l'échelle de l'organisation.

Contactez Devolutions dès aujourd'hui à sales@devolutions.net. Des essais gratuits de 30 jours de nos solutions sont également disponibles.