Vous connaissez la maxime « On ne sait pas ce qu’on ne sait pas », et elle se vérifie tout particulièrement en matière de sécurité. Précisément, je voudrais partager avec vous deux anecdotes qui m’ont marqué par l’impact qu’elles ont eu sur les sociétés concernées. Pourtant, leurs conséquences auraient facilement pu être évitées.
La première concerne une petite société possédant un modeste serveur de fichier de type NAS. Un beau jour, la personne en charge des questions informatiques a reçu une alerte par email l’informant de la panne d’un ventilateur. Sans tarder, elle en commande un nouveau, et entreprend de le changer à la réception. Elle retire alors tous les disques pour accéder au ventilateur se trouvant derrière. Mais au moment de tout remonter, elle s’aperçoit que les disques n’étaient pas identifiés individuellement. Or dans un système RAID (qui protège contre un certain nombre de pannes sur les disques), si vous en intervertissez certains, vous perdez instantanément tout votre contenu.
Statistiquement, je vous le donne en mille, c’est ce qui s’est passé. Pas de souci, pense-t-elle, nous avons des sauvegardes sur bandes DAT. Je vais lancer une petite restauration de la dernière sauvegarde, et le problème sera instantanément résolu. Mais surprise, la tête du DAT s’avère incapable de lire quoi que ce soit (ou de lire ce qui n’a pas été écrit lors des sauvegardes). L’entreprise n’avait jamais pris soin de tester les informations une fois écrites. Elle a donc dû reprendre tout de zéro. Bilan : une interruption, des ventes d’une semaine, et des plaintes en pagaille.
Moralité : deux, trois, cinquante… peu importe le nombre de dispositifs de sécurité qui se cumulent, vous n’en aurez jamais trop. Ne péchez jamais par optimisme. Chiffrez donc le prix des dommages éventuels pour décider des mesures à adopter.
Ma seconde anecdote a touché un petit site Web d’une autre PME. Un beau jour, l’entreprise constate que la page d’accueil de son site contient en pagaille des liens pour acheter du Viagra en ligne, et donc qu’elle a tout simplement été piratée. Moyennant quelques billets verts, un consultant en sécurité se charge de faire le ménage. Mais une semaine plus tard, rebelote. Nouvelle visite du consultant pour le même montant, re nettoyage et… re piratage quelques jours après.
De rage, le chef d’entreprise décide de créer entièrement un nouveau site depuis le début. Mais une semaine plus tard, le pirate est de retour avec les mêmes facéties. Maraboutage ? Fatalité ? Que nenni. Le dirigeant avait à son insu hérité sur son ordinateur d’un keylogger, un logiciel espion, lequel renvoyait à son insu au pirate tout ce qui pouvait être tapé sur le clavier du PC du patron. Forcément, les désinfections et changements successifs d’identifiants ainsi que de mots de passe n’y pouvaient rien.
Moralité : Comme dans la « vraie » vie, le vrai niveau de sécurité d’un ensemble est celui de son élément le plus faible. Dans mon cas, il s’agissait de l’ordinateur du dirigeant. Trop de gens se laissent embobiner par une légende urbaine tenace, façon « Windows Defender suffit », ou encore « Il n’y a pas de virus sur Mac ». Anticipez les plus gros risques possibles et protégez-vous.
Articles sur des sujet similaires:
Obtenez votre mini-site en moins de 48h
Ne perdez plus d'opportunités en lassant vos visiteurs avec des vitesses de chargement innacceptables
