Leçon 6 : diagnostiquer une petite entreprise et prouver un contrôle
Avant de se précipiter pour acheter des solutions, la doctrine exige un diagnostic : sur quel « terrain » joue l'organisation. Dans cette leçon, on apprend comment les organisations sont classées en catégories A et B selon le dommage financier potentiel, on découvre les « dix commandements » de la c
On commence par comprendre l'ampleur du dommage qu'un incident pourrait causer (catégorie A ou B), et c'est seulement ensuite qu'on choisit un parcours. Les petites entreprises reçoivent une checklist de dix domaines de défense de base.
- Diagnostic
- La première étape de la doctrine : comprendre la situation de l'organisation et son potentiel de dommage avant de choisir des solutions et d'investir dans des contrôles.
- Classification des organisations (A/B)
- Une répartition en deux catégories selon le dommage financier potentiel d'un incident cyber : catégorie A jusqu'à 5 M ₪, catégorie B au-delà de 5 M ₪.
- Les dix commandements
- Une checklist de dix domaines de défense de base que toute petite entreprise (catégorie A) doit mettre en œuvre.
- Responsabilité de la direction
- Le principe selon lequel la cyberdéfense commence au niveau de la direction générale ; « le cyber, c'est le problème de l'informaticien » est une erreur fatale.
- Durcissement
- Réduire les points faibles d'un système — supprimer les services et habilitations superflus et définir une configuration sécurisée.
- Moindre privilège
- N'accorder que les habilitations minimales nécessaires ; par exemple retirer les droits Admin superflus des utilisateurs.
- Continuité d'activité
- Garantir la poursuite de l'activité de l'organisation même après un incident, grâce à des sauvegardes régulières et un plan de reprise après sinistre (DRP).
- Sauvegarde testée
- Une sauvegarde dont la restauration effective a été vérifiée. Une sauvegarde jamais testée à la restauration n'est pas considérée comme fiable.
- Culture de sécurité organisationnelle
- Les normes, habitudes et sensibilisation partagées par les employés à tous les niveaux en matière de sécurité ; elle se construit du sommet, par le leadership de la direction, et ne repose pas uniquement sur l'informaticien.
