GT NLO

Démystifier l'ITSec et vous préserver d'au moins 95% des attaques informatiques

GT NLO

A propos de GT NLO blog …

gtnlo.icu est un journal en ligne traitant de la sécurité informatique en vue de la démystifier, la rendre accessible au commun des mortels, permettre à chacun de gagner suffisamment en autonomie pour prendre en main et garder la maîtrise de sa sécurité sur le plan digital, celle de son organisation ou de son entreprise.

Le constat à l’origine du problème : à peine deux principes négligés, mais capables de porter à 95 % notre résilience face aux attaques informatiques

D’après certaines recherches menées par IBM, les erreurs humaines s’imposent comme un facteur contributif dans 95 % des failles en cybersécurité. En d’autres termes, 19 sur 20 failles en sécurité informatique impliquent une erreur humaine. Malgré ce chiffre ahurissant, monsieur tout le monde ne semble pas encore avoir compris que la sécurité est désormais un enjeu qui transcende le monde de l’entreprise et des professionnels de la sécurité.

Pourtant, une simple prise de conscience rendrait le monde numérique et les systèmes informatiques quasi-imprenables au moins à 95%, comme l’a relevé IBM. Mais comment y parvenir ? Nous avons à cet effet relevé 2 principes importants en matière de sécurité informatique, ainsi que des recommandations utiles sous forme de lignes directrices pour leur mise en œuvre.  

Principe 1 : le niveau de sécurité d’un système est celui de son maillon le plus faible ; l’humain représente le plus grand risque en matière de sécurité informatique

Une infrastructure correctement sécurisée sur le plan technique ne rend pas un système infaillible. L’homme est le maillon le plus faible de la chaîne et pour comprendre pourquoi, il suffit par exemple de se poser ces quelques questions :

  • Qui écrit ou conserve physiquement ses mots de passe ?
  • Qui utilise la même adresse email et les mêmes mots de passe pour plusieurs comptes internet ?
  • Qui se connecte sur n’importe quel réseau wifi à partir du moment où il permet d’aller sur internet ?
  • Qui clique sans se poser de questions ?
  • Qui utilise les réseaux sociaux et navigue sur n’importe quel site en toute insouciance ?

C’est bien l’humain qui, de surcroît, est un animal social. En d’autres termes, le besoin pour l’Homme de se connecter aux autres, de s’ouvrir, de discuter parfois un peu trop sans mesurer la portée ou les conséquences potentielles, d’avoir des envies ou de vouloir profiter de certaines offres ou opportunités, rend l’humain vulnérable à diverses formes d’ingénierie sociale susceptibles de l’exposer lui, ses actifs numériques, sa vie privée, ses biens, l’organisation pour laquelle il travaille ou son entreprise.

Principe 2 : la défense en profondeur

L’idée derrière le principe de défense en profondeur consiste à combiner plusieurs outils de sécurité couvrant un large éventail de menaces potentielles dans le but de prévenir et détecter les attaques sur les endpoints (terminaux), les données, les applications et les réseaux d’une organisation. Bien que parfois utilisés de manière interchangeable, ces concepts ne se valent pas.

Dans une approche multicouches, les produits utilisés sont combinés pour traiter un seul aspect de la sécurité tel que le filtrage d’emails ou encore la détection des intrusions. Pourtant avec une défense en profondeur, la portée est beaucoup plus affinée car elle intègre l’ensemble des mesures de l’organisation permettant de traiter l’ensemble des risques liés à son système. Nous pouvons donc dire sans risque de nous tromper qu’une défense en profondeur peut intégrer des approches multicouches sur certains aspects, mais la réciproque n’est pas vraie.

Aperçu des types de contrôles mis en œuvre dans une stratégie de défense en profondeur :

  • Les contrôles de sécurité physiques : permettent de défendre les systèmes informatiques, les bâtiments d’entreprises, les centres de données et d’autres actifs contre les menaces via l’usage d’outils de contrôle physiques tels que les caméras de surveillance, les systèmes d’alarmes, les scanners de cartes d’identité, les lecteurs d’empreintes digitales, les systèmes de reconnaissance faciale, etc.
  • Les contrôles de sécurité techniques : sont des matériels et les logiciels utilisés dans l’optique d’empêcher les violations de données, les attaques par déni de service (DDoS), et d’autres menaces qui visent les réseaux et les applications. Les pare-feu, les passerelles web sécurisées (SWG), les systèmes de détection ou de prévention des intrusions (IDS/IPS), les technologies d’isolation des navigateurs, les logiciels de détection et de réponse aux points de terminaison (EDR), les logiciels de prévention des pertes de données (DLP), les pare-feu d’applications web (WAF), les logiciels anti-malwares, et bien d’autres, sont quelques types d’outils couramment utilisés à ce niveau.
  • Les contrôles de sécurité administratifs : font référence aux politiques, plans, procédures, programmes de formation du personnel et toute l’artillerie administrative permettant de s’assurer que les utilisateurs pratiquent une bonne hygiène de sécurité, préservent la confidentialité des données et évitent d’exposer les systèmes, les dispositifs et les applications à des risques inutiles.

Comment tirer parti ou mettre en œuvre ces principes ?

Il faut savoir que la sécurité est loin d’être une fin en soi, c’est un processus continu qui devrait nous accompagner au jour le jour. Ainsi, en tenant compte du facteur de risque critique et imprévisible que représente l’humain, pour lui-même et les organisations auxquelles il appartient, les lignes directrices suivantes peuvent permettre de mieux le contenir et ainsi, se mettre à l’abri de la majorité des attaques informatiques :

  • Une culture aiguisée en matière de sécurité informatique : l’idée à elle seule fait peur à beaucoup. Comme quoi, ce serait une affaire de geeks, « nous autres pauvres mortels » suivons simplement. Eh bien non ! Pour faire un parallèle, comment vous comportez-vous dans des cas de maladies ? N’avez-vous pas connaissance des facteurs de risques qui nous exposent aux hépatites par exemple ? Ne vous donnez-vous pas le maximum de chances pour appliquer les bonnes pratiques et vous mettre à l’abri ? Et même au pire des cas, seriez-vous un patient passif qui laisse sa vie entre les mains des médecins sans être capable de bien les orienter, comprendre ce qu’ils prescrivent, etc. Tout comme vous prenez votre santé en main, vous devez piloter votre sécurité informatique. Le défi réside plutôt dans la méthode : aujourd’hui, on ne réagit qu’en cas d’incident, alors que la prévention devrait être un réflexe de tous les instants.
  • Comprendre les hackers, leur modus-operandi ainsi que la manifestation concrète de leurs exploits : pouvoir se mettre dans la tête d’un attaquant afin de se donner les moyens d’assurer une défense en profondeur effective. Ce n’est pas qu’une affaire de hackers éthiques (spécialistes du domaine) mais de tous comme dans votre maison, vous avez certainement conscience des différents scénarios dont pourraient se servir de potentiels intrus. Vous y avez pensé d’une manière ou d’une autre, il suffit de regarder tout ce que vous avez installé et les mesures de diverses natures (organisationnelles, administratives et même juridiques) que vous avez prises en fonction.  Pour faire tout cela, il aurait fallu que vous pensiez un tant soit peu comme un attaquant. L’efficacité d’une telle approche ne pourrait-elle pas également être la même parlant de numérique ou d’informatique ?

L’idée, élément fondateur de notre ligne éditoriale, est donc simple : vous permettre de devenir le capitaine de votre propre bateau en matière de sécurité informatique. Cela se traduit par une sensibilisation et des programmes de formation en continu à destination du public et des professionnels du domaine.

Ceci est avantageux aussi bien en temps de « paix » lorsque vous n’êtes pas encore pris pour cible, qu’en cas d’incident. Lorsque ce sera tragiquement le cas, vous devriez être à même de pouvoir réagir avec efficacité, ou le cas échéant, d’orienter proprement une expertise plus avancée.

Nos publications tourneront ainsi autour de l’actualité, de conseils et bonnes pratiques informatiques, des vidéos à des fins de démonstration, d’explication et de sensibilisation et aussi, de culture digitale déclinée en différentes thématiques du lundi au vendredi.

L’auteur: Gilbert Thierry NLO, Expert en Sécurité Informatique formé dans diverses universités de premier ordre au Cameroun

Sa structure intellectuelle repose sur de solides bases en ingénierie Systèmes et Réseaux acquises tant sur les plans théorique que pratique à L’Institut Africain d’Informatique (IAI), représentation du Cameroun. Cette école a su inspirer la confiance des Institutions et bénéficié à son inauguration officielle du parrainage du Chef de l’Etat alors en exercice, S.E. Paul BIYA.

Par la suite, il se spécialisera en sécurité en passant par l’Université de Yaoundé I (Sécurité des systèmes d’information) et l’Institut Universitaire de la Côte en partenariat avec 3iL Ingénieurs (Institut d’Ingénierie Informatique de Limoges), pour l’obtention d’un Master en Réseaux, Infrastructures et Sécurité, où il sera par ailleurs distingué comme Major au sein d’une promotion mêlant cours en présentiel et blended-learning.

La richesse et la diversité des curricula suivis dans ces différentes écoles ont contribué à nourrir le socle de cette expertise. Celle-ci se veut résolument dynamique : G.T. NLO est conscient et animé d’un dynamisme pragmatique aligné à son environnement, aux aspects compétitifs et changeants de notre époque.

Au cœur de cette réalité, se trouvent les entreprises. Depuis son premier jalon académique en 2015 à l’IAI, une histoire entrepreneuriale s’écrit. Née comme une startup, la structure grandit et se positionne progressivement comme une entreprise technologique pilotée par la recherche et le développement.

L’un de ses faits d’armes notables et structurants est visible sur ce blog: des publicités contextuelles. Cette plateforme numérique en arrière-plan (https://e.nlo.icu) est une régie publicitaire respectueuse de la vie privée, conçue pour apporter de la complémentarité aux contenus consommés sur internet, sans nuire à l’expérience utilisateur. Embarquée au sein d’un hackathon, la plateforme a eu le mérite de retenir l’attention de la multinationale MTN en 2023 jusqu’au dernier carré-d’as en tant que finaliste à Douala, Cameroun.

De toutes ses expériences, l’entreprise s’enrichit tant en interne qu’à travers ses partenariats. NLOApps pour ne pas la citer, est donc une entreprise qui prend ses marques. Le site d’informations locales mbolocameroon.com, cité par des leaders d’opinion comme une référence en matière de sport au Cameroun, connaît par ailleurs le déploiement de cette régie publicitaire au modèle novateur et porteur dans le continent.

Son nom de domaine https://nlo.icu, fait partie intégrante de l’histoire de ce blog (partageant la même extension .icu) ; il nous rappelle sans cesse des origines lointaines de bâtisseur, les différentes péripéties, ainsi que toute la richesse et la plus-value qu’il incarne.

L’histoire ne fait que commencer… Bienvenue sur GT NLO blog.

Sources complémentaires: