Télétravail sécurisé - considérations techniques

Présentation et considérations	Considérations techniques	L’utilisation sécuritaire des outils de collaboration	Considérations relatives aux appareils

Qu’est-ce que le télétravail? À mesure que la technologie en nuage, les applications collaboratives et la connectivité Internet augmentent, le télétravail devient plus répandu que jamais. Le télétravail se fait souvent grâce à l’une des méthodes suivantes: Le tunnel – Utilisation d’un tunnel de communication sécurisé entre un appareil et un serveur d’accès à distance, habituellement au moyen d’un RPV. Le portail – Serveur qui permet d’accéder à une ou plusieurs applications au moyen d’une seule interface. L’accès direct à l’application – Connexion et accès directs à une application sans l’utilisation d’un logiciel d’accès à distance. Le bureau à distance (par protocole RDP ou connexion au réseau virtuel) – Commande à distance d’un ordinateur hôte en particulier en passant par Internet. Menaces et défis posés par le télétravail Lorsqu’on se connecte par Internet à des applications ou à des données potentiellement classifiées ou sensibles, il y a des risques pour la sécurité de cette information. Les questions de sécurité peuvent comprendre ce qui suit : Le manque de sécurité physique – Les appareils peuvent être volés, les lecteurs peuvent être copiés, ou les gens peuvent regarder secrètement l’écran d’ordinateur d’une autre personne. Les réseaux non sécurisés – La connexion à des réseaux non sécurisés comme ceux des cafés et des hôtels, et à d’autres réseaux publics ouverts, transforme les utilisateurs en cibles facilement exploitables. La fourniture d’un accès interne à l’extérieur – Les serveurs sont orientés vers Internet, ce qui augmente le risque potentiel d’être compromis et leur vulnérabilité. Les logiciels désuets – Lorsqu’on utilise des appareils personnels, les mises à jour et les rustines du système de ces appareils ne peuvent être garanties. Mesures d’atténuation et de prévention Étant donné que l’employé se connectera par Internet à des données et à des applications potentiellement classifiées, il est important de prendre des mesures pour réduire le risque d’atteinte à la sécurité. Voici quelques considérations utiles à mettre en œuvre : Imposer l’utilisation de l’authentification multifactorielle. Certaines de ces techniques comprennent l’utilisation d’une application d’authentification, la vérification téléphonique, etc. Élaborer et déployer un système de contrôle d’accès à plusieurs niveaux qui permet de veiller à ce que les autorisations soient séparées. Veiller à ce que les serveurs à distance et les points terminaux des utilisateurs, comme les téléphones intelligents, les tablettes, les ordinateurs portables et les ordinateurs de bureau, intègrent régulièrement les rustines. Sécuriser tous les appareils à distance à l’aide d’un logiciel contre les programmes malveillants et mettre en œuvre des règles de pare-feu rigoureuses. Utiliser un chiffrement validé pour protéger les données. Chiffrer les dispositifs de stockage, comme les disques durs, les clés USB, etc. Élaborer des politiques qui précisent comment un télétravailleur accédera aux applications à distance, ainsi que les applications et les parties du réseau auxquelles il a accès. Désactiver ou limiter la capacité d’installer des applications sur les appareils comme les ordinateurs portables et des téléphones intelligents. Utiliser la cryptographie approuvée par le CST/CCC, le cas échéant. Renforcement du réseau à domicile De plus, la plupart des routeurs ont des mots de passe génériques, sont désuets et contiennent souvent des failles exploitables qui peuvent facilement être utilisées pour intercepter, manipuler et stocker les données qui circulent sur le réseau. Cependant, il y a un certain nombre de mesures que vous pouvez prendre pour atténuer ces problèmes de sécurité à la maison. Voici un extrait d’un rapport de Cyberscoop qui décrit en détail les mesures à prendre pour protéger les réseaux à domicile. Activer les mises à jour automatiques sur les appareils. Non seulement sur les ordinateurs portables et les téléphones intelligents, mais aussi sur le routeur lui-même. Désactiver la gestion à distance et la fonction d’administrateur. Remplacer le mot de passe par défaut du routeur par un mot de passe unique conforme à l’Orientation sur les mots de passe du gouvernement du Canada. S’assurer que tout compte de gestion Web pour le routeur utilise également un mot de passe unique et fort. Placer les dispositifs Internet des objets (IdO) sur un routeur ou un réseau local virtuel distinct. Si possible, vérifier à nouveau les adresses des périphériques connectés au routeur. Pour obtenir de plus amples renseignements, veuillez consulter le rapport sur Cyberscoop. Bouclier canadien L’Autorité canadienne pour les enregistrements Internet (ACEI) a récemment lancé le Bouclier canadien, un service gratuit et protégé de système de noms de domaine (DNS) qui empêche les utilisateurs de se connecter à des sites Web et des hôtes malveillants. Plus de 80 % des cyberattaques utilisent des serveurs de DNS. Si des pirates sont en mesure de connecter votre appareil à leur DNS compromis, ils peuvent commencer à déposer et à installer des logiciels malveillants. Les serveurs de DNS convertissent des adresses lisibles par des humains en adresses lisibles par des ordinateurs. Par exemple, si on tape l’adresse « wiki.gccollab.ca » dans un navigateur Web dans une langue humaine, le serveur de DNS associera cette adresse à une autre adresse lisible par machine sous forme d’un ensemble de chiffres comme « 52.139.83.135 ». Le Bouclier canadien utilise des renseignements sur les menaces et des données pour déterminer quelle demande d’adresse de DNS est envoyée et si elle est susceptible d’être malveillante. Une fois que le Bouclier canadien a déterminé qu’elle est effectivement malveillante, il bloque votre demande pour éviter que votre appareil soit infecté. Le Bouclier canadien est offert sur les postes de travail, les ordinateurs portatifs, les tablettes et les téléphones intelligents qui utilisent iOS ou Android. Critères à prendre en considération lors du choix d’une application de collaboration Lors du choix d’applications grand public à utiliser dans le cadre de votre travail, veuillez tenir compte des questions ci-dessous tirées d’une publication (en anglais seulement) de la National Security Agency. L’application prend-elle en charge le chiffrement de bout en bout? Des normes rigoureuses, reconnues et testables en matière de chiffrement sont-elles utilisées? A-t-on recours à l’authentification à facteurs multiples (AFM) pour confirmer l’identité des utilisateurs? Les utilisateurs peuvent-ils contrôler l’accès aux séances de collaboration? La politique de confidentialité permet-elle au fournisseur de communiquer les données à des tiers ou à des entités affiliées? Les utilisateurs ont-ils la possibilité d’effacer des données du service et de ses dépôts, et ce, au besoin et de manière sécuritaire? Le code source du service de collaboration a-t-il été rendu public (p. ex., s’agit-il d’un code source ouvert)? Le service est-il développé ou hébergé sous la juridiction d’un État dont les lois risqueraient de porter atteinte aux normes et aux politiques du gouvernement? References Bulletin sur le télétravail sécurisé - NIST Guide sur le télétravail d'entreprise, l'accès à distance - NIST PROBLÈMES DE SÉCURITÉ LIÉS AU TÉLÉTRAVAIL LES RÉSEAUX PRIVÉS VIRTUELS Orientation sur la facilitation de l’accès aux services Web - SCT Slack, Zoom, Google Hangouts: Are Your Remote Work Apps Spying on You? Guide de démarrage pour participer un appel Zoom - FR Algorithmes cryptographiques pour l'information non classifié, protégé a et protégé b - ITSP.40.111