L'épidémie de coronavirus a contraint les entreprises du monde entier à passer rapidement au travail à distance afin de poursuivre leurs opérations. Alors que certaines entreprises étaient mieux préparées à cette transition que d'autres, toutes les organisations ont dû faire face à une augmentation massive du nombre de cyberattaques, de phishing et d'autres problèmes liés à la sécurité pendant la pandémie.
Pour mieux comprendre comment les entreprises ont traité ces problèmes et en savoir plus sur la manière dont les organisations peuvent améliorer leur sécurité, TechRadar Pro s'est entretenu avec Caleb Chen, éditeur et expert en cybersécurité chez Private Internet Access.
Sommaire
En termes de cybersécurité, qu'ont appris les entreprises jusqu'à présent de l'épidémie de coronavirus?
Les entreprises du monde entier ont dû rapidement basculer vers le travail à distance et beaucoup ont découvert qu'elles n'avaient pas mis en place la culture et les pratiques soucieuses de la cybersécurité pour effectuer une transition efficace en toute sécurité. Il y a eu une augmentation des attaques de phishing, et même une intensification des normes de confidentialité pour les outils distants que les employés utilisent pour travailler – tels que Zoom. Je pense que les entreprises et leurs employés ont réalisé à quel point l'utilisation d'Internet est importante et vulnérable sans les protections appropriées.
Quelles mesures les organisations et les particuliers devraient-ils prendre pour améliorer leur posture de cybersécurité pendant l'épidémie?
La mise en place d'une culture et de pratiques axées sur la cybersécurité est le meilleur moyen d'améliorer efficacement la cybersécurité pour les employés pendant l'épidémie. Les meilleures pratiques consistent à conserver des mots de passe forts ou de préférence des phrases secrètes, à rester vigilant pour les e-mails de phishing et à ne pas oublier d'utiliser des logiciels tels que les VPN dans la mesure du possible. Il n'y a aucune raison de ne pas crypter votre trafic Internet à tout moment – cela vous protège des espions potentiels sur votre propre réseau, ainsi que des espions connus de votre FAI.
Comment les entreprises ont-elles géré la transition vers le travail à distance et pensez-vous que de nombreuses entreprises continueront de permettre à leurs employés de travailler à domicile une fois que tout sera terminé?
Compte tenu de la soudaine transition vers le travail à distance dans certains endroits, les entreprises ont extrêmement bien géré le passage au travail à distance. De nombreuses entreprises continueront de permettre à leurs employés de travailler à domicile après la fin de la pandémie.
La tendance actuelle a toujours été de travailler loin d'un bureau. De nombreuses entreprises avaient besoin d'un élan pour tester le travail à distance et collecter des données sur les changements de productivité pour prendre des décisions sur le travail à distance à l'avenir. Pour les entreprises qui ont mesuré une réduction de la productivité, il convient de noter que le travail à distance qui se produit après la pandémie ne sera pas alourdi par les mêmes responsabilités de garde d'enfants pendant la journée de travail que cette pandémie a imposées à de nombreux employés.
Que peuvent faire les entreprises pour s'assurer que leurs vidéoconférences sont privées et sécurisées?
Les entreprises doivent mettre en œuvre des règles strictes sur l'utilisation des vidéoconférences. Les bonnes pratiques de visioconférence incluent l'utilisation d'un mot de passe fort pour sécuriser la vidéoconférence, l'envoi uniquement du lien d'invitation à la vidéoconférence aux participants, la non publication du lien dans les lieux publics et l'utilisation d'autres fonctionnalités intégrées telles que le filtrage des participants avant qu'ils ne soient ajoutés à l'appel ou verrouiller l'appel une fois que tous les participants sont arrivés.
Les outils de visioconférence, comme tout autre logiciel, ne sont aussi sûrs que ceux qui les utilisent. Cependant, certains logiciels de visioconférence présentent des failles de confidentialité ou de sécurité indépendantes de la volonté de l'utilisateur. Tous les logiciels utilisés par les entreprises doivent être évalués en tenant compte de leur historique de confidentialité et de sécurité avant le déploiement.
L'utilisation du VPN a considérablement augmenté, car de plus en plus d'employés travaillent à domicile. Quels conseils donneriez-vous à une petite entreprise cherchant à investir dans une solution VPN pour son personnel distant?
Les petites entreprises peuvent participer à la sécurisation des connexions Internet de leurs employés en investissant dans un Solution VPN. Toutes les petites entreprises doivent s'assurer que leurs employés accèdent à Internet à l'aide d'une connexion cryptée, mais toutes les petites entreprises n'auront pas besoin de fonctionnalités VPN de site à site telles que des solutions coûteuses proposées par des sociétés comme Cisco Systems et Juniper Networks. Il est important de comprendre les différences entre les services VPN de site à site et les services VPN d'accès à distance. Les services VPN de site à site permettent à un employé de se connecter aux serveurs d'une entreprise à l'aide d'une connexion cryptée et sont généralement plus chers et plus ou moins sur la sécurité, pas sur la confidentialité. D'autre part, les services VPN d'accès à distance tels que l'accès Internet privé permettent à un employé de se connecter à Internet plus large de manière plus sécurisée et privée.
Private Internet Access a récemment ajouté dix nouveaux emplacements de serveurs dans le cadre de son plan d'expansion du réseau VPN. Quels sont les critères de choix des partenaires pour les centres de données et l'entreprise prévoit-elle d'étendre son réseau?
Les partenaires du centre de données sont choisis en fonction de leur juridiction, s'ils disposent du matériel et de la connectivité dont nous avons besoin, et de leurs performances historiques en matière de confidentialité, entre autres. Les partenaires des centres de données dans les juridictions qui ont des lois anti-vie privée ou qui nécessitent une journalisation ne sont pas pris en compte même s'ils ont les capacités dont nous avons besoin.
Un facteur que nous examinons en particulier est les actions passées du partenaire du centre de données et son respect de l'État de droit. Si un fournisseur de centre de données s'est révélé coopérer avec les autorités d'une manière qui pourrait compromettre notre engagement d'absence de journalisation, nous le supprimons – cela est arrivé à notre partenariat de centre de données avec LeaseWeb en Allemagne, par exemple.
Private Internet Access évalue toujours de nouveaux partenaires de centre de données à utiliser dans de nouveaux emplacements de passerelle de sortie. Les dix nouveaux emplacements de serveurs créés récemment dans le cadre de notre plan d'expansion du réseau VPN ne sont qu'un début – et PIA prévoit d'étendre son réseau à court et à long terme.
Quels avantages le protocole WireGuard apporte-t-il et quelles protections supplémentaires PIA a-t-il ajoutées pour garantir que ses connexions serveur-client restent privées?
Pour protéger la confidentialité des connexions spécifiques à WireGuard, Private Internet Access a complété le logiciel principal WireGuard sur nos serveurs VPN avec une API RESTful protégée par un certificat RSA qui nous permet de mettre en œuvre les mêmes meilleures pratiques préservant la confidentialité des connexions serveur-client qui sont également présentes dans OpenVPN et IPSec. Nos serveurs VPN, qui disposent tous de WireGuard, ont également un démon qui supprime périodiquement les données de connexion serveur-client chaque fois que des keepalives ne sont plus envoyés pendant trois minutes.
Quel sera l'héritage de l'épidémie de coronavirus en matière de cybersécurité et de confidentialité des données?
L'héritage de la pandémie COVID-19 sur la cybersécurité et la confidentialité des données sera double. D'une part, les internautes du monde entier prennent conscience du fait que la cybersécurité et la confidentialité sont importantes. De l'autre côté de la médaille, nous voyons les gouvernements saisir avec les deux mains et les sociétés de sécurité saliver pour essayer d'augmenter leur capacité à envahir la vie privée de l'utilisateur moyen. Nous espérons que le prieur l'emportera sur ce dernier, et l'internaute moyen finit par comprendre que s'il ne protège pas activement ses droits à la vie privée, son gouvernement finira par les éroder.
Comment les attitudes à l'égard de l'utilisation des données de localisation changeront-elles à la suite de la pandémie? Et quel est le pire scénario en cas d'abus de ce type de données?
Nous craignons que les attitudes des individus à travers le monde ne changent en faveur du bien public présumé plutôt que des libertés civiles individuelles. Maintenant que les gouvernements ont réussi à convaincre les entreprises de télécommunications de partager des données de localisation supposées anonymisées avec des agences gouvernementales sous couvert de recherche de contacts, la barre a été fixée pour les types de crises qui justifient une extension des pouvoirs de surveillance du gouvernement impliquant des données de localisation téléphonique omniprésentes. Au fil du temps, cette barre sera de plus en plus basse et le traçage des données de localisation par le gouvernement pourrait devenir la norme. Le pire des cas est que le public accepte cette érosion de sa vie privée sous couvert de «sécurité publique» et la laisse se produire pendant les crises et la laisse subsister par la suite.
Que diriez-vous que les cybercriminels ont appris de la crise?
Les cybercriminels ont probablement une journée sur le terrain avec la quantité de nouvelles cibles vulnérables qui se sont présentées à leur porte. J'imagine que de nombreux cybercriminels ont beaucoup appris sur eux-mêmes et sur la profondeur de leur dépravation qu'ils couleraient pour cibler le monde pendant une période aussi vulnérable.
Commentaires
Laisser un commentaire