Télétravail sécurisé - considérations techniques

Présentation et considérations	Considérations Techniques	L’utilisation sécuritaire des outils de collaboration

Qu’est-ce que le télétravail? À mesure que la technologie en nuage, les applications collaboratives et la connectivité Internet augmentent, le télétravail devient plus répandu que jamais. Le télétravail se fait souvent grâce à l’une des méthodes suivantes: Le tunnel – Utilisation d’un tunnel de communication sécurisé entre un appareil et un serveur d’accès à distance, habituellement au moyen d’un RPV. Le portail – Serveur qui permet d’accéder à une ou plusieurs applications au moyen d’une seule interface. L’accès direct à l’application – Connexion et accès directs à une application sans l’utilisation d’un logiciel d’accès à distance. Le bureau à distance (par protocole RDP ou connexion au réseau virtuel) – Commande à distance d’un ordinateur hôte en particulier en passant par Internet. Menaces et défis posés par le télétravail Lorsqu’on se connecte par Internet à des applications ou à des données potentiellement classifiées ou sensibles, il y a des risques pour la sécurité de cette information. Les questions de sécurité peuvent comprendre ce qui suit : Le manque de sécurité physique – Les appareils peuvent être volés, les lecteurs peuvent être copiés, ou les gens peuvent regarder secrètement l’écran d’ordinateur d’une autre personne. Les réseaux non sécurisés – La connexion à des réseaux non sécurisés comme ceux des cafés et des hôtels, et à d’autres réseaux publics ouverts, transforme les utilisateurs en cibles facilement exploitables. La fourniture d’un accès interne à l’extérieur – Les serveurs sont orientés vers Internet, ce qui augmente le risque potentiel d’être compromis et leur vulnérabilité. Les logiciels désuets – Lorsqu’on utilise des appareils personnels, les mises à jour et les rustines du système de ces appareils ne peuvent être garanties. Mesures d’atténuation et de prévention Étant donné que l’employé se connectera par Internet à des données et à des applications potentiellement classifiées, il est important de prendre des mesures pour réduire le risque d’atteinte à la sécurité. Voici quelques considérations utiles à mettre en œuvre : Imposer l’utilisation de l’authentification multifactorielle. Certaines de ces techniques comprennent l’utilisation d’une application d’authentification, la vérification téléphonique, etc. Élaborer et déployer un système de contrôle d’accès à plusieurs niveaux qui permet de veiller à ce que les autorisations soient séparées. Veiller à ce que les serveurs à distance et les points terminaux des utilisateurs, comme les téléphones intelligents, les tablettes, les ordinateurs portables et les ordinateurs de bureau, intègrent régulièrement les rustines. Sécuriser tous les appareils à distance à l’aide d’un logiciel contre les programmes malveillants et mettre en œuvre des règles de pare-feu rigoureuses. Utiliser un chiffrement validé pour protéger les données. Chiffrer les dispositifs de stockage, comme les disques durs, les clés USB, etc. Élaborer des politiques qui précisent comment un télétravailleur accédera aux applications à distance, ainsi que les applications et les parties du réseau auxquelles il a accès. Désactiver ou limiter la capacité d’installer des applications sur les appareils comme les ordinateurs portables et des téléphones intelligents. Utiliser la cryptographie approuvée par le CST/CCC, le cas échéant. Renforcement du réseau à domicile De plus, la plupart des routeurs ont des mots de passe génériques, sont désuets et contiennent souvent des failles exploitables qui peuvent facilement être utilisées pour intercepter, manipuler et stocker les données qui circulent sur le réseau. Cependant, il y a un certain nombre de mesures que vous pouvez prendre pour atténuer ces problèmes de sécurité à la maison. Voici un extrait d’un rapport de Cyberscoop qui décrit en détail les mesures à prendre pour protéger les réseaux à domicile. Activer les mises à jour automatiques sur les appareils. Non seulement sur les ordinateurs portables et les téléphones intelligents, mais aussi sur le routeur lui-même. Désactiver la gestion à distance et la fonction d’administrateur. Remplacer le mot de passe par défaut du routeur par un mot de passe unique conforme à l’Orientation sur les mots de passe du gouvernement du Canada. S’assurer que tout compte de gestion Web pour le routeur utilise également un mot de passe unique et fort. Placer les dispositifs Internet des objets (IdO) sur un routeur ou un réseau local virtuel distinct. Si possible, vérifier à nouveau les adresses des périphériques connectés au routeur. Pour obtenir de plus amples renseignements, veuillez consulter le rapport sur Cyberscoop. Bouclier canadien L’Autorité canadienne pour les enregistrements Internet (ACEI) a récemment lancé le Bouclier canadien, un service gratuit et protégé de système de noms de domaine (DNS) qui empêche les utilisateurs de se connecter à des sites Web et des hôtes malveillants. Plus de 80 % des cyberattaques utilisent des serveurs de DNS. Si des pirates sont en mesure de connecter votre appareil à leur DNS compromis, ils peuvent commencer à déposer et à installer des logiciels malveillants. Les serveurs de DNS convertissent des adresses lisibles par des humains en adresses lisibles par des ordinateurs. Par exemple, si on tape l’adresse « wiki.gccollab.ca » dans un navigateur Web dans une langue humaine, le serveur de DNS associera cette adresse à une autre adresse lisible par machine sous forme d’un ensemble de chiffres comme « 52.139.83.135 ». Le Bouclier canadien utilise des renseignements sur les menaces et des données pour déterminer quelle demande d’adresse de DNS est envoyée et si elle est susceptible d’être malveillante. Une fois que le Bouclier canadien a déterminé qu’elle est effectivement malveillante, il bloque votre demande pour éviter que votre appareil soit infecté. Le Bouclier canadien est offert sur les postes de travail, les ordinateurs portatifs, les tablettes et les téléphones intelligents qui utilisent iOS ou Android. References Bulletin sur le télétravail sécurisé - NIST Guide sur le télétravail d'entreprise, l'accès à distance - NIST PROBLÈMES DE SÉCURITÉ LIÉS AU TÉLÉTRAVAIL LES RÉSEAUX PRIVÉS VIRTUELS Orientation sur la facilitation de l’accès aux services Web - SCT Slack, Zoom, Google Hangouts: Are Your Remote Work Apps Spying on You? Guide de démarrage pour participer un appel Zoom - FR Algorithmes cryptographiques pour l'information non classifié, protégé a et protégé b - ITSP.40.111