Les cas présentés dans cet article sont des exemples illustratifs, élaborés à partir de situations que l'on rencontre fréquemment. Ils ne se rapportent à aucune entreprise en particulier.
Imaginez un groupe hospitalier qui se réveille un matin sans ses systèmes : des opérations chirurgicales reportées, des dossiers inaccessibles et une demande de rançon de plusieurs millions de pesos. L'enquête désigne un individu qui connaissait le réseau mieux que quiconque : un ancien responsable de la sécurité de l'entreprise elle-même. C'est un cas extrême, mais il illustre un phénomène que de nombreuses entreprises au Mexique sous-estiment encore : l'attaque ne vient pas toujours de l'extérieur. Parfois, l’agresseur dispose déjà d’un badge d’accès.
La menace la plus courante n'est pas un traître : c'est une négligence
Avant de parler de mauvaise foi, il faut parler de distraction. La menace interne présente deux facettes : la facette volontaire et la facette involontaire. La seconde est, de loin, la plus fréquente, surtout depuis que le télétravail est devenu permanent et que de nombreuses personnes mélangent leur ordinateur personnel et celui du travail.
- Le navigateur n'est pas un coffre-fort. Enregistrer des mots de passe professionnels dans le navigateur d'un ordinateur personnel revient à ouvrir la porte aux « infostealers », ces programmes qui volent discrètement les identifiants. Si l'ordinateur personnel est déjà infecté, l'attaquant entre sans forcer la porte.
- La maison est devenue une extension du bureau. Les fichiers sont copiés sur une clé USB, sur le cloud personnel ou sur le NAS qu’un membre de la famille a installé « parce que la connexion Internet est lente ». Si cet appareil est piraté, les données de l’entreprise disparaissent avec lui.
La solution ne consiste pas à interdire le télétravail, mais à fermer ces portes : des équipements d'entreprise gérés, un stockage autorisé et un gestionnaire de mots de passe d'entreprise.
Cinq profils de la menace volontaire
- La vengeance. Un licenciement mal géré, une promotion refusée. C’est le cas le plus spectaculaire et le plus néfaste lorsque la personne jouissait de privilèges importants.
- L'argent. Vendre des accès à un groupe criminel ou vendre des informations : fichiers clients, propositions commerciales, données stratégiques. Parfois pour des sommes étonnamment faibles.
- L'espionnage industriel. Dans les usines de fabrication et les maquiladoras, le risque est également physique : un intérimaire muni de lunettes ou d'un téléphone portable qui filme les processus de production.
- Le vol d'informations techniques. Plans, données de production, code source. Des secteurs tels que l'énergie, l'automobile et l'aérospatiale en sont des cibles naturelles.
- Celui qui s'en va. Le profil le plus banal et le plus répandu : le commercial ou le responsable qui, sachant qu'il va démissionner, copie les propositions, les fichiers clients et les modèles. Presque un réflexe. Et une partie de l'entreprise se retrouve entre les mains de la concurrence.
Détecter sans surveiller tout le monde : des leurres plutôt que des soupçons
Il ne s'agit pas de se méfier de chaque collaborateur, mais de faire en sorte que tout comportement anormal soit automatiquement détecté. Un bon système combine plusieurs niveaux :
- Une référence du comportement normal. Les journaux de toute l'infrastructure sont centralisés et l'activité réelle est comparée à celle attendue. Lorsqu'un équipement s'écarte de la norme, une enquête est menée. La plupart du temps, il s'agit d'un changement non documenté ; les autres cas méritent une attention particulière.
- Leurre. Des comptes, des dossiers, des documents ou des tableaux factices portant des noms attrayants tels que « paiements », « paie » ou « clients VIP ». Personne n’a de raison légitime de les ouvrir. Si quelqu’un le fait, c’est soit un administrateur trop curieux… soit quelqu’un qui cherche ce qu’il ne devrait pas.
- Analyse comportementale. Un utilisateur qui ouvre habituellement dix fichiers par jour et qui, soudain, en télécharge dix mille en une heure déclenche une alerte. L'apprentissage automatique permet également de détecter les fuites progressives, celles qui extraient un peu d'informations chaque semaine afin de passer inaperçues.
- L'essentiel, automatisé. Un antivirus de nouvelle génération (EDR), une surveillance gérée et un pare-feu prennent en charge les attaques courantes, afin que l'équipe de sécurité puisse se concentrer sur ce qui tente de passer pour légitime.
L'ennemi peut lui aussi réussir l'entretien
Dans les secteurs sensibles (industrie manufacturière, énergie, finance, centres de développement), le front s'est déplacé vers le recrutement. Des cas de faux « informaticiens » ont déjà été rendus publics : identité réelle mais volée, photo retouchée à l'aide de l'IA, entretiens par visioconférence apparemment irréprochables. Le jour où ils reçoivent leur matériel, ils commencent à installer des logiciels malveillants ou à opérer depuis un autre pays.
Quelques mesures simples permettent de réduire considérablement ce risque :
- Au moins un entretien filmé et une vérification d'identité en direct.
- Fourniture d'équipements dotés de privilèges minimaux au cours des premières semaines.
- Soyez attentifs aux indices techniques : connexions provenant d'endroits inattendus, outils d'accès à distance, comportement du clavier qui ne correspond pas à celui d'une personne devant l'ordinateur.
La confiance et le contrôle ne s'opposent pas
La question délicate est de savoir comment surveiller sans trahir la confiance. La réponse réside dans l'équilibre : faire confiance aux gens, mais concevoir les systèmes selon une approche « Zero Trust », où personne ne dispose d'un accès plus étendu que nécessaire et où chaque accès est vérifié. Personne n'est d'emblée suspect ; simplement, celui qui fouine là où il ne le devrait pas finit par se faire remarquer.
Trois pratiques permettent d'accomplir une grande partie du travail :
- Principe du « privilège minimal » : chaque personne n'a accès qu'aux informations nécessaires à l'exercice de ses fonctions, et ces accès sont régulièrement réexaminés.
- Départs définitivement clôturés : les accès sont révoqués le jour même où une personne quitte l'entreprise. Nous expliquons ici la marche à suivre lorsqu'un ancien salarié demande la suppression de ses données.
- Des règles claires et connues : la surveillance doit être mentionnée dans la déclaration de confidentialité et dans le règlement intérieur, et il convient de rappeler les conséquences juridiques du vol d'informations. La sensibilisation freine davantage qu'elle n'empêche, mais elle freine tout de même.
Guide rapide pour votre entreprise
- Peux-tu savoir aujourd'hui qui a téléchargé un volume inhabituel de fichiers la semaine dernière ?
- Les équipements utilisés à domicile sont-ils des équipements d'entreprise et gérés par celle-ci ?
- Combien de temps faut-il pour révoquer tous les droits d'accès d'une personne qui démissionne ?
- As-tu un dispositif qui t'avertit si quelqu'un s'aventure là où il ne devrait pas ?
- Vos nouvelles recrues dans le domaine informatique commencent-elles avec des privilèges limités ?
Si vous avez répondu « non » à au moins deux questions, c'est par là qu'il faut commencer.
Par où commencer ?
Il n'est pas nécessaire de transformer l'entreprise en une forteresse paranoïaque. Il faut savoir qui a accès à quoi et repérer quand quelque chose sort de l'ordinaire. Un audit informatique permet de documenter cela, et nos 15 constatations types dans les filiales montrent ce qui ressort généralement. Pour la partie relative à la protection continue, découvrez notre service de cybersécurité pour les entreprises au Mexique.
Vous souhaitez savoir si vous pourriez détecter une fuite interne aujourd'hui ? Écrivez-nous et nous vérifierons cela avec vous.
Cet article est à titre informatif et ne constitue pas un avis juridique.
Conçu par nos soins. Réalisé par nos soins. Avec l'aide de l'IA.
