On nous demande une « sécurité des données d'entreprise » — par quoi commencer dans une boîte de 10 personnes ?

Le chiffrement des disques doit être la priorité absolue. Activez le chiffrement natif de l'OS sur tous les PC portables de l'équipe. Si un employé oublie son ordi dans un café, les contrats et les données restent illisibles. Bloquez aussi l'usage des clés USB via des règles système de groupe, c'est gratuit et ça élimine la moitié des risques de fuite.

Épluchez attentivement le questionnaire du client. Bien souvent, les grands comptes envoient un formulaire standard à tous leurs sous-traitants. Beaucoup de points sont négociables pour les petites structures. Avant de claquer vos 100 000 roubles demandez à l'acheteur ce qui est strictement bloquant et ce qui relève de la simple recommandation.

On a eu exactement le même cas l'an dernier dans notre équipe de 12 salariés. On a payé un consultant externe 70 000 roubles pour poser une matrice des accès, forcer le 2FA et rédiger une charte d'une page pour les employés. Le grand compte a validé le dossier dès qu'on lui a envoyé le document et les captures d'écran des configurations.

Lundi, première chose à faire, lancez l'utilisation d'un gestionnaire de mots de passe. Empêchez les employés de se connecter aux panneaux partagés avec des mots de passe enregistrés dans le navigateur ou des mots de passe simples. Instaurez la règle que les mots de passe soient complexes et mis à jour tous les trois mois.

Votre client est-il un organisme lié à l'État ou le secteur privé ? Si vous allez vous connecter directement via API à une base de données privée contenant des données personnelles, se peut-il qu'ils imposent côté réglementation des logiciels de sécurité sous licence locale ou une certification ?

N'ayez pas peur. Quand ils nous l'ont dit la première fois on a cru qu'il faudrait des serveurs et du matériel à plusieurs centaines de milliers de roubles. En fait, c'est surtout une question de discipline au bureau plus que d'appareils techniques. Que chacun utilise son propre compte, la règle de ne pas laisser l'écran allumé au poste vous protège déjà de pas mal de risques.

qu'il ne reste pas un seul compte mail sans double authentification. la vraie peur du client c'est que si la boîte mail de votre employé se fait pirater, une attaque de phishing arrive de là vers son propre réseau interne et coupez ça et le reste se règle facilement.

La demande de sécurité de l'information des grandes entreprises découle généralement de procédures de gestion des risques liés aux tiers. Dans la politique de sécurité de l'information que vous préparerez, il faut clairement détailler comment les données sont traitées, où elles sont stockées, qui y accède et comment les processus de destruction des données sont menés.

Je parle du point de vue du fournisseur, c'est mon côté. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger. Bon courage.

La réponse ci-dessus va droit au but. Les décisions hâtives finissent par être corrigées six mois plus tard.

C'est confirmé par l'expérience.

Exactement, et ce n'est pas si connu que ça. Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

Si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard. Je suis aussi curieux de savoir si d'autres font autrement.

J'ai vécu la même chose. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Si vous avez des questions, écrivez-moi je répondrai au mieux.

Je partage mon expérience. L'erreur commise du côté de sécurité de l'information en entreprise est généralement réversible mais coûteuse.

À votre place j'irais par cette voie.

on en parle beaucoup, mais chez nous, cela ne s'est jamais passé ainsi puis tous ceux qui se pressent sur sécurité de l'information en entreprise se heurtent au même obstacle.

si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Merci pour votre retour. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Bien sûr, cela change si votre situation est différente.

je suis dans la même situation, c'est pourquoi je pose la question. la réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

c'est confirmé par l'expérience.

Séparons les concepts, ils sont souvent confondus. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Corrigez-moi si je me trompe.

Il faut faire une distinction ici. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Bon courage.