Conseils relatifs à la sécurité des informations

Nous aimons à penser que nous pouvons faire confiance à nos collègues pour faire ce qu'il faut. Malheureusement, ce n'est pas toujours le cas. Certaines personnes deviennent des menaces internes, c'est-à-dire qu'elles utilisent leur accès autorisé aux systèmes pour nuire à leur organisation. Par exemple, quelqu'un peut vendre à un tiers des informations provenant d'une base de données.

Il existe trois types de menaces internes :

1. Non intentionnel - Cette personne DOE n'a pas l'intention de causer une menace, mais elle le fait par négligence. Ils peuvent égarer leur ordinateur portable ou leur clé USB, ne pas mettre à jour les logiciels ou ignorer les instructions lors de la configuration d'un logiciel ou d'un système de stockage en nuage. Leur attention aux détails peut être insuffisante et ils peuvent commettre des erreurs qui nuisent à l'organisation, par exemple en provoquant une violation en envoyant des données par courrier électronique à la mauvaise personne.
2. Intentionnel - Cette personne a l'intention de nuire à son organisation et est souvent appelée "initié malveillant". Il peut s'agir d'un gain financier, d'une vengeance pour un préjudice perçu ou d'une autre motivation. Ils peuvent divulguer des informations à des tiers pour obtenir de l'argent ou des convictions politiques, voler des informations pour faire avancer une activité secondaire ou détruire des données pour saboter l'organisation.
3. Menaces collusoires ou tierces - Lesmenaces collusoires se produisent lorsqu'un initié collabore avec une personne extérieure pour compromettre une organisation. L'outsider peut recruter un initié pour obtenir des informations en vue de commettre une fraude, un vol de propriété intellectuelle, de l'espionnage ou un autre délit. Certains initiés peuvent être manipulés pour devenir une menace et ne pas se rendre compte que ce qu'ils font est nuisible. Menaces tierces se produisent lorsque l'initié travaille pour un entrepreneur ou un fournisseur qui a accès au réseau ou aux installations de l'organisation.

Voici quelques-uns des indicateurs d'une menace intentionnelle émanant d'un initié :

• Changements dans la vie, tels que des problèmes financiers, relationnels, familiaux ou professionnels.
• Changements de comportement, tels que des signes de dépression, de colère ou une éventuelle dépendance à la drogue ou à l'alcool. Toutefois, un collègue qui demande de l'aide fait preuve de discernement.
• Des changements dans les habitudes de travail, comme le fait de travailler pendant le déjeuner, d'accéder ou de poser des questions sur des informations ou des systèmes qui ne font pas partie du champ d'activité du collègue, ou de ne pas respecter les politiques et les pratiques de sécurité.

De nombreux initiés involontaires le sont :

• Peu formés à la cyberhygiène, soit parce que l'organisation DOE ne forme pas le personnel, soit parce qu'ils n'y prêtent pas attention.
• Désorganisé ; perd des ordinateurs portables ou des clés USB.
• Vous n'êtes pas familier avec la technologie ou vous pensez en savoir plus qu'eux et vous ne suivez pas les instructions lors de l'installation d'un nouveau logiciel ou de la mise en place d'un système de stockage en ligne.

Nous commettons tous des erreurs, mais de nombreux initiés involontaires ne font tout simplement pas attention à ce qu'ils font. Le manque d'attention aux détails expose leur organisation à des risques de violations et de logiciels malveillants.

Pour réduire la probabilité d'une menace interne, les organisations doivent élaborer un programme complet qui comprend la connaissance des personnes au sein de l'organisation, l'identification des actifs et la hiérarchisation des risques, ainsi que la mise en place d'une approche opérationnelle éprouvée de détection et d'identification, d'évaluation et de gestion.  Les organisations doivent prendre des mesures supplémentaires pour contrôler les fournisseurs de services tiers afin de s'assurer qu'ils n'ont accès qu'aux systèmes et aux zones nécessaires du bâtiment.

L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) fournit de plus amples informations sur l'atténuation des menaces d'origine interne à l'adresse suivante: https://www.cisa.gov/insider-threat-mitigation.