Ce Guide de Sécurité sur Internet | Page 1 de 5

Ce Guide de Sécurité sur Internet

Nos 12 conseils regroupent quatre domaines principaux

Ce guide de sécurité sur Internet est destiné aux organismes à but non lucratif, aux associations caritatives et aux ONG.

Vous comptez sur la bonne volonté de vos donateurs, électeurs, et de la communauté pour vous soutenir. Il est donc primordial de protéger vos données et votre infrastructure. Ce guide est destiné à vous aider à les garder en sécurité.

Au bureau

En dehors du bureau Utiliser le cloud en toute sécurité

Utiliser les médias sociaux en toute sécurité

Il existe quelques éléments de base auxquels votre personnel et vous devez penser lorsque vous travaillez au bureau. Apprenez-les avant qu’il ne soit trop tard.

La plupart des employés utilisent plusieurs périphériques (tels qu’ordinateurs portables, téléphones mobiles et tablettes) et les utilisent dans des zones publiques. Prenez-en compte ces conseils utiles lorsque vous êtes en dehors du bureau.

Les sites de médias sociaux sont ceux qui reçoivent le plus de visites en ligne. Soyez conscient de certaines choses à faire et à ne pas faire lorsque vous les utilisez, que ce soit personnellement et professionnellement.

Les applications en ligne stockent vos données sur Internet. Ces conseils aident à garantir que vos données sont en sécurité et non exposées à des risques.

Ce Guide de Sécurité sur Internet | Page 2 de 5

1 Rendez les choses plus difficiles pour les pirates

Soyez intelligent sur les mots de passe. Les mots de passe sont la chose la plus importante à prendre en compte au sujet de la sécurité après la sécurité physique de votre bureau. Utilisez un mot de passe fort comprenant une combinaison de lettres minuscules et majuscules, de nombres et de symboles. Ceci vous aidera à vous défendre contre les pirates qui font des recherches systématiques et aléatoires sur la base des mots couramment utilisés. En outre :

Utilisez des mots de passe différents pour différents sites Web. Utilisez un logiciel de gestion de mots de passe pour vous aider à vous en souvenir.

Pour contrecarrer la récupération non autorisée de mots de passe qui sont souvent basés sur des informations généralement connues (votre date de naissance, le modèle de votre première voiture, ou le nom de votre animal de compagnie), vous pouvez utiliser des réponses connexes, mais moins connues et plus difficiles à deviner. Par exemple, vous pouvez utiliser la ville dans laquelle un enfant est né, le modèle de voiture de votre voisin ou la couleur de votre animal de compagnie.

Mettez vos logiciels à jour. Les pirates exploitent les vulnérabilités trouvées dans les logiciels fréquemment utilisés tels que votre système d’exploitation, votre outil bureautique, et les navigateurs Web. Pour prévenir ce risque, vous devez :

Installez toutes les mises à jour de vos logiciels et réglez ceux-ci sur mise à jour automatique lorsque cela est possible.

Installez un logiciel contre les programmes malveillants (malware) sur tous les ordinateurs. Si vous utilisez de multiples ordinateurs en réseau, utilisez un logiciel qui fournit une sécurité de niveau « entreprise » et qui gère les mises à jour.

Bloquez le spam. Il est essentiel de disposer d’un bon logiciel bloqueur de courriers indésirables. Le courrier indésirable est la voie la plus commune par laquelle vous pouvez être la cible d’une infection par un virus informatique ou « ingénierie sociale ». (l’« ingénierie sociale », est le processus psychologique par lequel les criminels manipulent des personnes de sorte qu’elles divulguent des informations confidentielles)

2 Prévenir la tromperie

Évitez l’ingénierie sociale. Même si vous avez des mots de passe forts, vous pouvez être abusé de sorte que vous fournissiez des informations par l’ingénierie sociale. Pour éviter ces escrocs, souvenez-vous de ce qui suit :

Il ne vous sera jamais demandé de fournir des informations d’identification ou des données personnelles par courrier électronique ou par téléphone. Ne fournissez donc pas ces informations, même si le demandeur semble légitime.

Recherchez des indices pouvant suggérer que le courrier électronique ou le site Web est frauduleux. Soyez suspicieux si vous remarquez des mots mal écrits, des liens vers un site sans rapport, ou des offres qui paraissent trop belles pour être vraies.

Méfiez-vous des rançongiciels (ransomware). Un type de logiciel malveillant, appelé rançongiciel, est conçu pour escroquer les utilisateurs peu méfiants. Il vous convainc que votre appareil est infecté par un virus informatique, et que vous devez payer des frais pour télécharger le logiciel qui va désinfecter votre ordinateur. Faites confiance aux logiciels de sécurité qui sont dignes de confiance, tels que ceux offerts par TechSoup (En France : ADB Solidatech).

Naviguez sur Internet en toute sécurité. Vérifiez qu’une page Web est sécurisée et légitime avant de saisir toute information financière ou personnelle. Un site Web sécurisé disposera d’une adresse URL qui commence par https://. De plus, sur un site Web sécurisé, la barre d’adresse peut également avoir un arrière-plan vert. (l’arrière-plan vert dépend du navigateur que vous utilisez) Envisagez l’opportunité de disposer d’un ordinateur ou d’un profil utilisateur dédié aux transactions financières de votre organisation (pour la paie ou les dons). Un ordinateur ou un profil utilisateur dédié ne dispose idéalement que d’un accès minime à Internet et aucun accès à un courrier électronique.

3 Définissez des politiques pour le personnel et les bénévoles

Tout le personnel et les bénévoles doivent lire ce guide. En outre, ils doivent être informés des risques liés à la sécurité récemment découverts. Aussi :

Mettez en place une politique pour les mots de passe au sein de votre organisation et assurez-vous que le personnel conserve ses mots de passe secrets et hors de vue.

Lors de l’embauche de nouveaux employés ou de bénévoles, formez-les afin que chacun comprenne les risques et les tactiques pour les atténuer.

Mettez en place un politique d’utilisation acceptable pour les ordinateurs et les périphériques mobiles, et demandez aux membres de votre personnel de confirmer qu’ils l’ont lue et comprise. Votre politique doit expliquer ce que les utilisateurs peuvent faire avec ces périphériques, ce qu’il est permis d’installer et de stocker, et ce qui est autorisé en dehors des heures de bureau. La politique doit également définir le remplacement des périphériques perdus ou volés.

Envisagez l’opportunité de mettre en place et de soutenir un réseau discret tel qu’un sous-réseau ou un réseau sans fil pour « invité » avec des contrôles stricts. Si cela n’est pas réalisable, nous ne recommandons généralement pas aux membres du personnel ou aux invités d’utiliser leurs propres périphériques sur le réseau de votre organisation. Si vous autorisez des personnes à se connecter à votre réseau, définissez une politique appropriée au sein de votre organisation.

Au bureau

InPrivate about:InPrivate

New Tab

Private Browsing

Ce Guide de Sécurité sur Internet | Page 3 de 5

4 Sécurisez les périphériques mobiles et les postes de travail distants

Ordinateurs portables, tablettes et téléphones sont facilement perdus ou volés. Ainsi :

Un périphérique mobile ne doit jamais être l’emplacement unique pour des données importantes.

Comme pour les ordinateurs utilisés au bureau, restreignez l’accès à votre périphérique avec un code PIN ou un mot de passe.

Tout périphérique pouvant être perdu ou égaré doit être chiffré. Cette précaution doit comprendre les ordinateurs portables.

Soyez conscient des logiciels malveillants, tels que les applications conçues pour dérober des informations. Réfléchissez à deux fois avant d’installer une application. Ne le faites qu’à partir d’un site (app store) réputé.

N’utilisez le GPS et les fonctions de localisation de votre téléphone ou tablette que lorsque vous en avez besoin. Il est vrai que cette fonction peut être très pratique pour la personnalisation. Cependant, les données de localisation qui sont incluses avec vos messages de statut ou vos images peuvent donner aux pirates des informations supplémentaires qu’ils peuvent utiliser pour de l’ingénierie sociale.

Si votre périphérique est perdu ou volé :

Vous devriez être en mesure de le retrouver en utilisant sa fonctionnalité de radiogoniométrie.

Si vous ne pouvez le trouver, vous devriez être en mesure d’effacer à distance toutes les données du périphérique si celui-ci est en ligne ou à sa prochaine connexion.

5 Soyez vigilant lorsque vous utilisez des ordinateurs publics.

Vous devez considérer tout ordinateur public comme un risque de sécurité. Ceci comprend les ordinateurs publics des aéroports ou magasins, ou les salles informatiques qui fournissent un accès public. Ces ordinateurs doivent déjà être en « mode kiosque » dans lequel les données ne sont pas sauvegardées, mais ne supposez jamais que tel est le cas.

Si vous devez utiliser un ordinateur public :

Ne le faites jamais pour des transactions financières.

Si vous accédez à vos courriers électroniques ou aux médias sociaux, utilisez le navigateur en mode « privé », qui ne stocke aucune information après fermeture du navigateur. Vous pouvez y accéder depuis la barre d’outils principale à partir de laquelle vous avez ouvert un nouvel onglet ou fenêtre.

Dans un espace public, vous devez également être particulièrement vigilant au regard de la sécurité physique :

Ne laissez pas l’ordinateur sans surveillance avec des informations sensibles à l’écran.

Soyez conscient des personnes qui pourraient regarder par-dessus votre épaule.

Ne connectez jamais vos périphériques ou lecteurs à un ordinateur public.

6 Soyez vigilant lorsque vous utilisez un réseau Wi-Fi public.

Vous devez traiter tout réseau Wi-Fi public comme non sécurisé. Cela signifie :

N’utilisez les réseaux Wi-Fi publics que pour de la navigation Internet non essentielle.

Ne réalisez jamais de transactions financières ou personnelles sur un réseau public.

Envisagez des alternatives plus sûres. Voyez si vous pouvez parler à une personne, par téléphone ou en personne quand il ou elle est disponible.

Si vous devez vous connecter à un réseau Wi-Fi public :

Connectez-vous à un réseau qui dispose de certaines sécurités intégrées plutôt qu’un réseau « ouvert ». Ceux-ci disposent du symbole d’un « verrou » ou d’un « bouclier » à côté de leurs noms. Les réseaux les plus sécurisés nécessitent la saisie d’un mot de passe ou votre accord sur certaines conditions d’utilisation avant de pouvoir les utiliser.

Méfiez-vous des réseaux aux noms similaires qui sont conçus pour tromper l’utilisateur de sorte qu’il se connecte dessus. Ces réseaux peuvent espionner votre trafic. Si vous avez un doute, demandez à quelqu’un sur place de vérifier quel réseau est le bon.

Un réseau privé virtuel (VPN ou RPV) peut aider à réduire certains de ces risques lorsque vous utilisez des réseaux publics. Si vous avez du personnel qui travaille à distance ou qui voyage fréquemment, envisagez de mettre en place un VPN.

Mode « InPrivate » sur Internet Explorer

Mode « Incognito » sur Chrome

Mode « Private Browsing » sur Firefox

Utiliser les médias sociaux en toute sécurité

Ce Guide de Sécurité sur Internet | Page 4 de 5

7 Un média social est social (et non « privé »)

Il est important de comprendre que tout ce qui est en ligne est à la fois permanent et transmissible. Tout ce que vous faites sur un réseau social est également accessible aux annonceurs, et est souvent plus accessible au public que vous ne le pensez.

Lorsque vous utilisez un média social, vous devez toujours être vigilant :

Réfléchissez avec attention à la manière dont vous voulez que votre profil et vos informations soient publiques.

Étudiez et évaluez tout site (en particulier ses paramètres de confidentialité) avant de commencer à l’utiliser.

Définissez des limites appropriées sur ce que vous partagez en ligne.

Soyez sélectifs sur les personnes que vous acceptez comme « amis ».

Soyez vigilant lorsque vous rencontrez en personne quelqu’un que vous avez tout d’abord rencontré en ligne, que ce soit pour des motifs personnels ou professionnels. Faites cela dans un espace public et faites connaître aux autres vos déplacements.

Les médias sociaux sont également un point d’entrée courant pour l’hameçonnage (phishing) et l’ingénierie sociale. (l’hameçonnage est une tentative de recueil d’ informations sensibles telles que noms d’utilisateurs, mots de passe et numéros de carte de crédit, et parfois, indirectement, de l’argent. Le pirate se fait passer pour une entité ou une personne digne de confiance dans une communication électronique). Ceci, car les utilisateurs sont par nature plus enclins à croire ce que leurs « amis » postent. Faites preuve du même niveau de vigilance envers les courriers électroniques que pour les sites Web.

8 Limitez les informations personnelles que vous partagez.

Celles-ci peuvent être utilisées pour vous tromper, vous impressionner ou vous trouver. Les choses que vous postez en ligne peuvent également affecter votre prochain emploi, crédit ou assurance et peuvent présenter une mauvaise image de vous pour votre organisation.

Pour garantir que vous protégez votre vie privée, sécurité et réputation lorsque vous utilisez des médias sociaux :

Ne postez que des choses que vous seriez à l’aise d’entendre en public.

Ne postez jamais d’images, de vidéos ou de commentaires inappropriés.

Si vous utilisez un service de localisation, déterminez si vous devez limiter qui peut accéder à cette information. Des informations sur votre localisation peuvent facilement être utilisées à des fins criminelles. Les criminels peuvent vous espionner, vous suivre ou effectuer des vols.

9 Soyez prudent lorsque votre organisation utilise les médias sociaux

Une attention particulière doit être apportée lorsque du personnel ou des bénévoles utilisent des médias sociaux au nom de l’organisation. De même que pour la sécurité, si du nouveau personnel ou de nouveaux bénévoles doivent être actifs sur les médias sociaux, ceux-ci doivent comprendre ce que l’on attend d’eux.

Les membres du personnel doivent être conscients qu’ils doivent poster ou répondre d’une façon qui s’harmonise avec les valeurs de votre organisation. Vous devez disposer d’une politique d’utilisation des médias sociaux pour votre organisation.

Si plusieurs utilisateurs utilisent un compte partagé, il est bon d’établir qui fait quoi et quand.

Certains services offrent différents rôles pour différents niveaux de privilèges. Assignez les rôles au personnel de manière appropriée.

Si vous « étiquetez » ou mentionnez vos salariés ou bénévoles dans unee publication sur un média social, vous pouvez par inadvertance révéler plus d’informations à leur sujet que vous nele pensez, utilisez donc cette fonction avec attention.

À moins qu’une autorisation accorde explicitement l’utilisation des images de vos salariés et bénévoles, floutez leurs visages sur les photos et les vidéos.

En dehors du bureau

Ce Guide de Sécurité sur Internet | Page 5 de 5

Cette oeuvre est protégée sous licence « Creative Commons Attribution-Share Alike 3.0 Unported »

Vous êtes libre

de la partager—de la copier, de la diuser et de la transmettre.

Remanier —adapter l’oeuvre.

Dans les conditions suivantes :

Attribution— vous devez attribuer l’oeuvre à TechSoup Global (mais en aucun cas de façon à laisser penser que nous soutenons l’utilisation que vous en faites).

Partage—si vous altérez, transformez ou complétez cette oeuvre, vous pouvez diuser le travail qui en résulte uniquement dans le cadre d’une licence identique, similaire ou compatible.

Pour consulter la licence complète, allez à la page creativecommons.org/licenses/by-sa/3.0/ ou envoyez un courrier à Creative Commons, 444 Castro Street, Suite 900, Mountain View, CA 94041, États-Unis

La création et la traduction de ce guide a été généreusement pris en charge par Microsoft.

10 Soyez prudent avec les connexions et considérez la possibilité de limiter l’accès aux fichiers partagés

Lorsque votre organisation utilise des services de cloud, quiconque disposant des informations d’identification pourra accéder au service. Chaque membre du personnel ou bénévole doit disposer d’un identifiant de connexion unique.

De nombreux services utilisent une authentification à deux facteurs dans laquelle une connexion requiert d’être contrôlée par un deuxième dispositif tel qu’un téléphone mobile. Activez cette fonctionnalité à chaque fois que possible, particulièrement pour les modifications liées au compte, tels que les mots de passe.

Les utilisateurs doivent également être prudents à propos des personnes avec lesquelles elles partagent des documents et des fichiers en ligne. Les documents et fichiers en ligne sont faits pour être partagés. Confirmez les adresses électroniques à utiliser lorsque vous autorisez l’accès, et prenez en compte si les personnes ont besoin d’un accès en lecture et en écriture du contenu.

11 Familiarisez-vous avec les politiques du fournisseur du cloud

En qualité d’utilisateur de services en cloud, vous devez connaître les politiques du fournisseur au regard de la propriété et de l’emplacement des données.

Si des autorités demandent vos données, le fournisseur de service se conformera vraisemblablement à cette demande et leur fournira vos données. Si votre organisation souhaite protester contre l’ouverture de l’accès à vos données par un gouvernement, alors le cloud n’est pas le bon choix. Les données en cloud peuvent également être ciblées plus facilement par vos concurrents.

Un cloud « privé » ou « hybride », en lieu et place d’un cloud public, est sans doute plus approprié pour vous. Votre décision à ce sujet sera dépendante du besoin d’exclusivité de votre organisation.

12 Conservez des sauvegardes hors-ligne

Soyez préparés à ce que le service de sauvegarde ne soit pas disponible. Ceci est vrai pour les options gratuites comme pour les payantes. Déterminez les données que vous voulez voir dans le cloud, et de quelle manière la capacité à fonctionner de votre organisation est affectée si vous ne pouvez y accéder.

Téléchargez des copies de vos données les plus importantes de sorte que vous puissiez y accéder même si le service du cloud est indisponible. Vos données doivent pouvoir être exportées dans un format commun que vous pouvez utiliser. Si tel n’est pas le cas, envisagez de changer pour un fournisseur qui propose cette option.

Il existe souvent un moyen de vérification des modifications apportées aux documents en ligne. Examinez régulièrement les modifications pour contrôler les comportements inhabituels.

Utiliser le cloud en toute sécurité