Investir dans la cybersécurité et les pratiques de protection des données peut sembler un défi considérable pour beaucoup de groupes communautaires, peut-être à cause du temps et peut-être à cause des connaissances. Mais les organisations communautaires détiennent beaucoup de données très sensibles, souvent sur des personnes qui sont également vulnérables à d’autres égards. Dans cet article, nous allons vous présenter trois moyens clés pour améliorer vos pratiques en matière de protection des données.

Mots de passe

Vous l’avez certainement déjà entendu, mais vous avez vraiment besoin d’un meilleur mot de passe ! Les attaques par mot de passe sont l’une des menaces les plus courantes sur Internet, et les mots de passe sont la pierre angulaire de l’amélioration des pratiques de sécurité de votre organisation. La plupart d’entre nous imaginent probablement un pirate informatique assis devant son ordinateur, essayant de deviner le nom de l’animal de compagnie adoré de notre enfance, puis saisissant manuellement ses suppositions sur une page de connexion. Mais la réalité des attaques par mot de passe est bien différente. Les attaques par mot de passe sont :

• Automatisé : dans la plupart des attaques, ce sont les ordinateurs qui effectuent les tentatives de deviner le mot de passe.
• Souvent hors ligne : les pirates tentent souvent de déchiffrer un mot de passe brouillé (haché) qu’ils ont récupéré à partir d’une fuite de données ou capturé d’une autre manière. Cela signifie qu’ils n’interagissent pas directement avec la page de connexion et ne sont pas limités par les verrouillages dus à un trop grand nombre de tentatives infructueuses.
• Très rapide : les outils automatisés peuvent effectuer des millions de tentatives par seconde.
• Utilisez des listes de mots et de mots de passe courants : les pirates augmentent leurs chances de deviner le bon mot de passe en utilisant des listes de mots et de mots de passe courants compilées à partir de fuites historiques. 
• Plus facile lorsqu’on réutilise les mêmes mots de passe pour plusieurs comptes : les pirates testeront un mot de passe provenant d’un compte compromis sur tous les autres comptes associés qu’ils pourront trouver.

Des mots de passe forts

C’est pourquoi il est extrêmement important d’utiliser des mots de passe forts pour vos comptes. Un mot de passe fort est :

• Unique
• Généré aléatoirement
• Au moins 16 caractères

Donc un mauvais mot de passe peut ressembler à : Ilovedogs!

Et un bon mot de passe peut ressembler à : =skQ*BkfO6G_q2ml

Gestion des mots de passe

Si tous vos mots de passe comportent au moins 16 caractères et sont générés de manière aléatoire, il deviendra très difficile de vous en souvenir. C’est pourquoi nous vous recommandons d’utiliser un gestionnaire de mots de passe pour les conserver !

Avec un gestionnaire de mots de passe, vous pouvez :

• Générer facilement des mots de passe sécurisés
• Suivre et organiser des mots de passe uniques pour chaque compte
• Enregistrer vos mots de passe en toute sécurité

Il existe également des solutions de gestion des mots de passe pour les organisations (telles que Proton Pass, 1Password et Bitwarden, entre autres), qui vous permettent de créer des groupes de mots de passe que vous pouvez partager avec plusieurs utilisateurices à la fois. Cet outil est utile pour les organisations qui ont beaucoup de comptes partagés, car il vous permettra de :

• Partagez les mots de passe en toute sécurité entre les membres de l’équipe
• Contrôlez quels membres de l’équipe peuvent accéder à quels mots de passe
• Assurez-vous que les membres autorisés de l’équipe disposent des mots de passe à jour chaque fois que les mots de passe partagés sont modifiés

Même si tous vos mots de passe sont stockés dans un gestionnaire de mots de passe et que vous n’avez pas besoin de les mémoriser, vous devrez tout de même vous souvenir du mot de passe de votre gestionnaire de mots de passe. Pour cela, nous vous recommandons d’utiliser un mot de passe fort facile à mémoriser (parfois appelé « phrase secrète »), qui est un ensemble de mots aléatoires plus faciles à mémoriser pour les humains qu’un ensemble de caractères aléatoires, tout en restant difficile à deviner pour les ordinateurs.

En voici un exemple : Stargazer-Spearfish-Flashing-System-Directory

Limiter les comptes partagés

Si votre organisation utilise un service en ligne (tel que Canva, Eventbrite, Zeffy, etc.), vous disposez peut-être d’un seul compte organisationnel et plusieurs personnes utilisent les mêmes identifiants de connexion pour utiliser le service. Évidemment, un mot de passe partagé comme celui-ci représente un risque. Lorsque vous utilisez un compte partagé de cette manière :

• Limitez le nombre de personnes qui utilisent ce compte. Moins il y a de personnes qui partagent le même compte, mieux c’est.
• Les comptes partagés doivent être créés à l’aide d’une adresse courriel organisationnelle (par exemple : info@ ou communications@ plutôt que jane@). Ainsi, si Jane quitte l’organisation et que vous désactivez son adresse e-mail, le compte restera accessible.
• Certains services (comme Canva et Zeffy) permettent la création de comptes organisationnels fédérés, où chaque personne utilisant le service dispose de son propre compte et où un administrateur gère leur accès au compte organisationnel. Créez un compte fédéré chaque fois que cela est possible ! Chaque utilisateur sera responsable de ses propres identifiants et, comme vous n’aurez pas besoin de partager les mots de passe, cela réduira le risque de fuite de mots de passe.
• Assurez-vous que les mots de passe des comptes partagés sont communiqués de manière sécurisée : évitez de simplement les envoyer par courriel !

Mises à jour des logiciels

Tous les logiciels présentent des vulnérabilités, et lorsqu’une vulnérabilité est découverte, les responsables du logiciel déploient des mises à jour pour la corriger. C’est pourquoi il est extrêmement important de maintenir à jour le système d’exploitation de votre ordinateur ainsi que toutes les applications ou tous les programmes que vous utilisez (tels que l’application de Zoom, Office ou vos navigateurs). Beaucoup d’entre nous repoussent ces mises à jour jusqu’à la dernière minute, ce qui affaiblit considérablement la cybersécurité de votre organisation. 

Les mises à jour doivent être :

• Régulières 
• Automatisées dans la mesure du possible

Si un logiciel que vous utilisez ne reçoit plus de mises à jour, il est important de le remplacer par une autre solution. Nous vous recommandons également d’envisager la mise en place d’une procédure claire au sein de votre organisation, précisant qui est responsable de la mise à jour des ordinateurs et à quelle fréquence ces mises à jour doivent être effectuées.

Sauvegarde et récupération des données

Les sauvegardes constituent un élément important de votre défense contre les cyberattaques et autres incidents. Si vous disposez de sauvegardes fiables, il vous sera beaucoup plus facile de vous remettre de tout incident informatique, qu’il s’agisse d’un logiciel malveillant ou simplement d’un ordinateur portable endommagé par du café. Nous vous recommandons de :

• • Sauvegardez régulièrement les données importantes, surtout si elles ne sont pas stockées sur un service cloud. 
  • Si possible, essayez d’automatiser les sauvegardes.
  • Assurez-vous que les sauvegardes sont stockées de manière sécurisée (encryptées).
• Évitez les « points de faille uniques ». Cela signifie que tous les services que vous gérez doivent disposer de plusieurs comptes administrateur et que vous devez avoir un plan de secours au cas où un service essentiel que vous utilisez deviendrait indisponible.

Si vous utilisez un service infonuagique, tel que Google Workspace ou Sharepoint, le fournisseur du service aura mis en place des mesures de sauvegarde pour assurer la sécurité de vos données. Dans ces cas, il est moins important de faire vos propres sauvegardes. Cependant, si vous avez le temps et la capacité de sauvegarder tout ou une partie de vos données (peut-être les informations les plus importantes), nous vous recommandons d’envisager de le faire, car aucun service ne peut garantir à 100 % la sécurité de vos données. Cela pourrait consister à télécharger régulièrement certains documents et à les stocker sur un disque crypté ou un autre service infonuagique.

Autres ressources technologiques pour les groupes communautaires

Nous avons initialement partagé ces informations dans le cadre d’un Ateliers/C intitulé «Réflexions sur les enjeux de cybersécurité dans les organismes communautaires», et nous proposerons peut-être d’autres ateliers sur les technologies destinées aux organismes communautaires !

Vous pouvez toujours nous contacter à l’aide de notre formulaire d’accueil pour obtenir plus d’informations sur le soutien que nous offrons aux organismes qui ont des besoins en matière de technologies.