Maintenir le système d’information à jour #CyberSecMonth

Nous ne sommes plus qu’à quelques jours de la fin du CyberSecMonth 2018. Mais rassurez-vous, il est encore temps d’apprendre et de partager de bonnes pratiques sur la sécurité numérique. C’est d’ailleurs notre ambition avec cette nouvelle infographie sur l’importance de maintenir le système d’information à jour. Ce CyberConseil nous tient tout particulièrement à cœur. En effet, nous avons développé une solution qui répond parfaitement aux enjeux de la maintenance d’un parc informatique. On vous en dit plus juste en dessous !

Maintenir à jour pour garder un parc sécurisé

Il est vrai qu’à notre époque, la transformation numérique ne cesse de gagner en importance, puisque les systèmes d’information ainsi que les logiciels sont en perpétuelle évolution et donc souvent mis à jour. Les raisons principales sont l’ajout de nouvelles fonctionnalités ou l’apport de correctifs. Cependant, tous ces changement engendre une certaine « instabilité » vis-à-vis logiciels. Il n’est donc pas étonnant que des failles de sécurité y soient régulièrement découvertes.

Pour les cyber-attaquants, ces brèches de sécurité sont d’excellentes opportunités pour s’introduire dans le système d’information. Les objectifs étant d’atteindre des données sensibles ou contaminer le réseau. Il est bien evidemment impossible d’empêcher les logiciels d’évoluer. La seule option valable est donc de limiter les risques que représentent la mise à jour fréquente des solutions utilisées au sein d’une organisation.

Comment limiter les risques d’infection du système d’information ?

Mettre à jour les composants du système d’information :

En effet, le seul moyen de prévenir ce risque est de s’informer de la découverte de nouvelles vulnérabilités pour agir rapidement. Le CERT-FR est le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques et assure le rôle de CERT (Computer Emergency Response Team) gouvernemental français. Il réalise donc de la veille technologique et communique sur l’état de l’art des systèmes et logiciels. Cet organisme permet donc de rester informé des différentes failles de sécurité découvertes. Par la suite, il est important d’appliquer les correctifs de sécurité sur l’ensemble des composants du système d’information. Un délai maximum d’un mois après la publication de l’éditeur est à prévoir. Il est également conseillé de définir une politique de mise à jour précisant :

• La manière dont l’inventaire des composants du système d’information est réalisé.
• Les sources d’information relatives à la publication des mises à jour.
• Les outils pour déployer les correctifs sur le parc.
• L’éventuelle qualification des correctifs et leur déploiement progressif sur le parc.

Les composants obsolètes n’étant plus supportés par les fabricants doivent être isolés du reste du système. Cette mesure concerne également le réseau (filtrage strict des flux) mais aussi les secrets d’authentification (dédiés à ces systèmes).

Surveiller l’obsolescence des logiciels utilisés  :

Utiliser un système ou un logiciel obsolète représente un risque supplémentaire de subir une cyberattaque. Dès lors que des correctifs ne sont plus apportés à un système, ce dernier devient vulnérable. Beaucoup d’outils malveillants sur le web exploitent ce manque de correction de sécurité de la part de l’éditeur. Il existe tout de même des précautions pour éviter l’obsolescence de ces systèmes :

• Créer et maintenir un inventaire des systèmes et applications du système d’information.
• Privilégier des solutions dont le support est garanti au minima pour la durée d’utilisation.
• Assurer un suivi des mises à jour et des dates de fin de support des logiciels.
• Conserver l’homogénéité du parc informatique. Le cumul de plusieurs versions d’un logiciel peut entraîner des problèmes et donc compliquer le suivi du parc.
• Limiter les dépendances de fonctionnement d’un logiciel à un autre (adhérences logicielles). En effet, la durée de support de ces solutions n’est pas équivalente.
• Inclure dans les contrats avec les prestataires et fournisseurs des clauses de suivi des correctifs de sécurité et de gestion des obsolescences.
• Identifier les délais et ressources nécessaires à la migration de chaque logiciel en phase de déclin (test de non régression, procédure de sauvegarde et de migration de données, etc).

Faciliter la mise en place de pratiques pour maintenir le système d’information à jour :

S’assurer de la conformité des logiciels :

SUMo (pour Software Update Monitor) est un outil qui est simple d’utilisation et est pourtant très utile. Il permet de détecter automatiquement les nouvelles versions des logiciels installés sur un ordinateur. Tout cela grâce à une analyse du disque dur. De plus, le logiciel est gratuit et disponible en français. Lors d’une analyse, si SUMo découvre une nouvelle version d’un logiciel, la console affichera la version actuellement installée sur le poste et la nouvelle version du logiciel. Un lien pour télécharger la nouvelle version s’affichera également. Il existe également une version payante permettant de télécharger les mises à jour directement sur les sites des développeurs.

WAPT pour une gestion de parc simplifiée :

WAPT est notre solution open source de déploiement de logiciel pour Windows. WAPT a été conçu pour simplifier la gestion des parcs informatiques en centralisant les actions d’administration dans une seule console. Ainsi, il permet de créer, de tester, d’installer, de mettre à jour et de désinstaller rapidement des paquets logiciels ou des configurations sur l’ensemble de votre parc. Les informations remontent directement dans la console. Il est donc possible de connaître l’avancement des actions menées sur le parc en temps réel. Il est également possible de programmer à distance le déploiement de logiciels pour ne pas déranger les utilisateurs. La simplicité du logiciel vous permet de gagner en réactivité et de corriger rapidement les failles de sécurité. Vous pouvez maintenir votre système d’information à jour en quelques clics.

Concernant le déploiement des paquets logiciels, vous disposez de trois options. Premièrement, il est possible de télécharger les paquets sécurisés depuis notre store (disposant de plus de 1000 paquets disponibles). Sinon, il vous est possible de créer vos propres paquets via la console WAPT. Nous utilisons le package wizard et l’environnement PyScripter pour véritablement simplifier la création de paquet. Un exemple vidéo se trouve juste en dessous. Si tout cela vous parait tout de même complexe, il reste possible de nous demander de développer vos paquets pour vous.

L’Agence Nationale de la Sécurité des Systèmes d’Information a reconnu la sécurité et la robustesse du logiciel ! En effet, elle a attribué à la version 1.5 de WAPT Enterprise la qualification de l’ANSSI. Cette version offre plus de flexibilité quant à la gestion des plus grands parcs que ce soit grâce à l’authentification par AD, la séparation des rôles d’utilisation ou la gestion simplifiée de sites distants ou des différents dépôts.

Bénéficiez de notre savoir-faire

Étant les créateurs de WAPT, nous sommes les plus à même de répondre à vos interrogations et de solutionner vos problèmes. Nous avons mis en place des tickets de support ainsi que des formations certifiées qualiopi sur notre logiciel. Nos méthodologies de travail DevSecOps et nos 15 années d’expertise dans la sécurisation du réseau local font de nous des partenaires de confiance pour agir efficacement sur un parc informatique.

Cybersécurité : Visualiser, comprendre, décider

Cette semaine le Cigref, réseau de grandes entreprises et administrations publiques françaises axé sur le numérique, a publié un rapport sur la Cybersécurité. Ce rapport a pour objectif d’aider les organisations dans la prise en compte des enjeux de la cybersécurité. Ainsi le Cigref a identifié et structuré les informations stratégiques et les indicateurs indispensables de manière à fournir un tableau de bord sur la cybersécurité. Ce document comporte plusieurs rubriques (système d’information, vulnérabilité de l’entreprise, etc) et se base sur des données de l’actualité, d’analyses de risques, d’éléments de coûts et d’indicateurs quantitatifs agrégés.

Les articles à ne pas manquer :

• Sécurité Cloud : Comment protéger vos données ? – Mismo
• Le phishing (hameçonnage), gare aux faux sites ! – Police nationale
• La France décroche la seconde place du challenge européen – ANSSI

Retrouvez toutes nos recommandations sur Twitter et LinkedIn et sur les hashtag : #TousSecNum, #CyberSecMonth, #ECSM2018 et #ECSM. Suivez aussi notre hashtag #CyberConseil pour suivre les conseils de Tranquil IT et découvrir les infographies suivantes.