Kit de démarrage en cybersécurité: Section 1
Dans cette section, vous apprendrez à :
Sachez ce que vous devez protéger
Avant de choisir des outils de sécurité ou de modifier des paramètres, faites le point sur les éléments dont dépend votre association. Cela inclut les informations, les comptes, les appareils et les services, ainsi que les personnes qui en dépendent.
Vous n'avez pas besoin d'une évaluation technique pour vous lancer. Un échange avec les responsables de vos programmes, de l'administration, des finances et de la communication peut vous permettre d'identifier les priorités et de repérer les lacunes.
Ne vous limitez pas aux ordinateurs
Vous pensez peut-être d'abord à votre site web et aux ordinateurs portables de votre entreprise, mais les informations importantes et les moyens d'y accéder peuvent se trouver à de nombreux endroits différents.
Informations
Dossiers des clients, coordonnées des donateurs, candidatures des bénévoles, fiches de paie, coordonnées bancaires, documents relatifs aux subventions, photographies et formulaires de consentement
Comptes
Courrier électronique, services bancaires en ligne, réseaux sociaux, gestion de sites web, plateformes de collecte de fonds et stockage partagé dans le cloud
Dispositifs
Ordinateurs portables appartenant à l'organisation, téléphones du personnel utilisés à des fins professionnelles, tablettes partagées, disques durs externes et matériel utilisé par les bénévoles
Services
Accès à Internet, gestion des paiements, logiciels de comptabilité, systèmes de planification et outils utilisés pour la mise en œuvre des programmes
Informations relatives à l'accès et à la récupération
Comptes d'administrateur, contacts pour la récupération de compte, codes de récupération pour l'authentification multifactorielle (MFA) et accès au gestionnaire de mots de passe
Tenez compte des appareils et comptes personnels lorsqu’ils sont utilisés dans le cadre du travail de l’organisation. Par exemple, un bénévole peut gérer vos réseaux sociaux via un compte personnel, ou un membre du personnel peut conserver des fichiers relatifs à un programme sur son propre ordinateur portable. Le fait d’identifier ces situations vous aide à mettre en place une protection et une procédure de transfert adaptées.
Posez quatre questions :
1. Qu'est-ce que c'est, et pourquoi en avons-nous besoin ?
2. Où se trouve-t-il, et qui peut y accéder ?
3. Qui en est responsable ?
4. Que se passerait-il si ces informations étaient divulguées, modifiées, perdues ou indisponibles ?
Cette question vous aide à déterminer par quoi commencer. Un prospectus pour un événement public et un dossier client confidentiel nécessitent des niveaux de protection différents.
Pensez aux conséquences pour les personnes concernées
Une information peut être sensible en raison de ce qu'elle révèle sur une personne, et pas seulement parce qu'elle contient un numéro de carte bancaire ou un mot de passe.
Le fait qu'un client soit lié à un service particulier, sa localisation, une photo ou des informations sur sa situation pourraient lui porter préjudice s'ils étaient divulgués. Une liste de diffusion rendue publique pourrait révéler l'identité des personnes bénéficiant du soutien de votre organisation.
Demandez :
- La divulgation de ces informations pourrait-elle mettre en danger la sécurité ou la vie privée d'une personne ?
- Des informations erronées pourraient-elles avoir une incidence sur un versement, une décision relative à un service ou l'accès d'une personne à une aide ?
- La perte d'accès pourrait-elle interrompre un programme essentiel ?
- Un compte pourrait-il être utilisé pour usurper l'identité de votre organisation ou demander de l'argent ?
Pensez également aux incidents accidentels. Un fichier envoyé au mauvais destinataire, un dossier partagé par erreur ou un enregistrement écrasé peuvent avoir de graves conséquences, même si personne n'avait l'intention de nuire.
Déterminez vos priorités
Vous n'avez pas besoin d'accorder la même attention à chaque élément. Commencez par les informations et les systèmes dont la compromission aurait les conséquences les plus graves.
Parmi les priorités communes, on peut citer :
- Données personnelles sensibles, notamment les informations concernant les clients ou les personnes en situation de vulnérabilité.
- Comptes et registres financiers, notamment les opérations bancaires, la gestion des salaires et les validations de paiements.
- Comptes de messagerie et comptes administrateur, ce qui pourrait permettre d'accéder à d'autres comptes ou de modifier les systèmes de l'organisation.
- Informations essentielles sur les programmes et les services, en particulier celles qui sont nécessaires pour continuer à fournir une aide.
Vérifiez également si votre organisation dépend d'une seule personne. Si un seul bénévole peut accéder à votre site web, ou si les messages de récupération de compte sont envoyés à un ancien employé, votre organisation pourrait avoir du mal à récupérer l'accès, même en l'absence de cyberattaque.
Établir un inventaire des mesures de protection
Utilisez la fiche ci-dessous pour noter vos éléments les plus importants. Commencez par en choisir cinq à dix ; vous pourrez en ajouter d'autres au fil du temps.
Notez où sont gérées les identifiants, mais n'indiquez pas de mots de passe, de codes de récupération ni d'informations sensibles sur les clients dans cette feuille de calcul. Limitez l'accès à l'inventaire une fois celui-ci rempli, car il décrit les systèmes et les responsabilités de votre organisation.
Si vous ne connaissez pas la réponse, inscrivez “ à confirmer ” et désignez quelqu’un pour vérifier. Une question restée sans réponse constitue une information utile.
Vérifiez si vous en avez encore besoin
Au fur et à mesure que vous établissez l'inventaire, demandez-vous si votre organisation a encore besoin de chaque compte, copie de fichier ou donnée à caractère personnel.
Un compte inutilisé, un ancien téléchargement ou des informations superflues constituent autant d'éléments supplémentaires à gérer et à protéger. Avant de supprimer des données, vérifiez les obligations de conservation applicables et les engagements de votre organisation. Pour les comptes que vous fermez, assurez-vous au préalable que les fichiers importants, les droits de propriété et les services associés ont bien été transférés.
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Un inventaire initial de vos informations importantes, de vos comptes, de vos appareils et de vos services.
- Un responsable pour chaque point prioritaire.
- Trois priorités à traiter en premier lieu.
- Une brève liste de questions qui nécessitent un suivi.
Ensuite, vous transformerez ces priorités en responsabilités clairement définies, afin que les mesures de sécurité essentielles ne reposent pas sur le fait que chacun parte du principe que quelqu’un d’autre s’en charge.
Section 2 : Déterminer qui est responsable
Une fois que vous savez ce qui doit être protégé, déterminez qui prendra les décisions, mettra en œuvre les mesures nécessaires et assurera le suivi.
English 
French 
Chinese 
Spanish 
Ukrainian 