Section 5 : Assurer la sécurité des appareils et des accès
Dans cette section, vous apprendrez à :
Assurer la sécurité des appareils et des accès
Les ordinateurs portables, téléphones et tablettes utilisés par votre association permettent d'accéder à des informations, à des comptes et à des services. La protection de ces appareils contribue à protéger le travail que vous effectuez grâce à eux.
De nombreuses mesures de sécurité utiles sont déjà intégrées à vos appareils et à vos logiciels. Il n'est pas nécessaire de comprendre chaque paramètre pour commencer. La première étape consiste à savoir quelles protections existent, pourquoi elles sont importantes et qui vérifiera qu'elles sont bien utilisées.
Veillez à ce que vos logiciels soient pris en charge et mis à jour
Les mises à jour permettent de corriger les failles de sécurité et d'améliorer le fonctionnement des logiciels. Cela vaut pour les systèmes d'exploitation, les navigateurs, les applications et les logiciels de sécurité.
Les mises à jour automatiques permettent de réduire le risque de passer à côté de correctifs importants. Certaines mises à jour nécessitent toutefois un redémarrage ou l'intervention d'une personne pour finaliser l'installation ; convenez donc de qui se chargera de cette démarche.
Un logiciel « pris en charge » signifie que son développeur continue de fournir les mises à jour et les correctifs de sécurité nécessaires. Un appareil peut continuer à fonctionner après la fin du support, mais les failles récemment découvertes risquent de ne pas être corrigées.
Avant d'accepter du matériel donné ou de continuer à utiliser un appareil ancien, vérifiez s'il est compatible avec les logiciels pris en charge. Si ce n'est pas le cas, prévoyez son remplacement ou une autre solution viable dans votre planification.
Comprendre les mesures de protection disponibles
Verrouillage de l'écran
Cela permet d'empêcher quiconque d'accéder à un appareil laissé sans surveillance. Utilisez un code PIN, un mot de passe ou toute autre méthode de déverrouillage appropriée.
Chiffrement des appareils
Contribue à protéger les informations stockées en cas de perte ou de vol d'un appareil. Cette fonctionnalité est particulièrement utile lorsque quelqu'un pourrait, sans cela, accéder au contenu stocké sans s'identifier.
Logiciel de sécurité intégré
Il permet de détecter et de bloquer de nombreux fichiers ou activités malveillants. Vérifiez qu'il est bien actif et qu'il reçoit les mises à jour.
Pare-feu
Permet de contrôler les connexions réseau vers et depuis un appareil. De nombreux appareils en sont équipés.
Comptes utilisateurs distincts
Permet de séparer les fichiers et les droits d'accès de chaque utilisateur sur un appareil partagé.
Accès administrateur restreint
Limite le nombre de personnes autorisées à installer des logiciels ou à apporter des modifications ayant une incidence sur l'ensemble de l'appareil ou du service.
Autorisations de l'application
Vous permet de contrôler l'accès à certaines fonctionnalités telles que l'appareil photo, le microphone, la localisation et les fichiers. Accordez l'accès lorsque cela est nécessaire au bon fonctionnement de l'application.
Ces mesures de sécurité fonctionnent de concert. Le chiffrement permet, par exemple, de protéger un appareil perdu, mais n'empêche pas quelqu'un de consulter les informations stockées sur un appareil déjà déverrouillé.
Commencez par vérifier les garanties dont vous disposez déjà avant d'acheter d'autres produits.
N'accordez aux utilisateurs que les droits d'accès dont ils ont besoin
Les utilisateurs doivent disposer des droits d'accès suffisants pour effectuer leur travail. Ils ne doivent pas bénéficier automatiquement d'un accès à tous les dossiers, comptes ou paramètres. Par exemple :
Vous avez peut-être déjà entendu parler du principe du « privilège minimal ». Cela consiste à limiter l'accès à ce dont une personne a besoin dans le cadre de ses fonctions.
Les droits d'administrateur méritent une attention particulière, car ils permettent de modifier les paramètres de sécurité, de créer des comptes ou d'accorder des droits d'accès à d'autres utilisateurs. N'y recourez qu'en cas de nécessité. Dans la mesure du possible, la personne chargée de la gestion d'un système devrait utiliser des droits d'accès standard pour ses tâches quotidiennes et les droits d'administrateur pour les tâches administratives.
Sachez ce qui est en train d'être installé
Les nouvelles applications, extensions de navigateur et outils d'assistance à distance peuvent créer des points d'accès supplémentaires à vos appareils et à vos informations.
Mettez en place une procédure d'approbation simple avant d'installer des outils destinés à faciliter le travail au sein de l'organisation. Vérifiez les points suivants :
Les logiciels d'assistance à distance peuvent s'avérer utiles, mais ils peuvent permettre à une autre personne de voir ou de contrôler un appareil. Convenez ensemble qui est habilité à autoriser leur utilisation et quels prestataires sont agréés.
Passez en revue les outils qui ne sont plus utilisés. Avant de les supprimer, assurez-vous que toutes les informations ou tous les services dont votre organisation a encore besoin ont été conservés.
Inclure les appareils personnels et partagés
Les informations de votre association à but non lucratif doivent être protégées quel que soit le lieu d'accès. Veillez à inclure dans vos dispositions les appareils utilisés par le personnel et les bénévoles dans le cadre de leur travail.
Pour les appareils personnels :
Convenir des types de tâches organisationnelles autorisées, des mesures de sécurité de base requises et des emplacements où les informations professionnelles peuvent être stockées. Les collaborateurs doivent comprendre comment leurs droits d'accès aux systèmes de l'entreprise et leurs fichiers seront supprimés à la fin de leur mandat, dans le respect de leurs données personnelles.
Pour les appareils partagés :
Dans la mesure du possible, utilisez des comptes utilisateur distincts. Évitez de laisser des fichiers, des comptes ou des gestionnaires de mots de passe accessibles à la personne qui vous succédera.
Remarque : les ordinateurs publics ou collectifs peuvent offrir moins de contrôle en matière de sécurité. Définissez une procédure approuvée avant de les utiliser pour traiter des informations sensibles ou effectuer des tâches administratives importantes.
Réfléchissez aux lieux où les appareils sont utilisés
Un appareil peut être perdu, prêté ou laissé sans surveillance lors d'un événement, dans un véhicule ou dans un bureau partagé.
Intégrez des habitudes simples dans votre travail quotidien :
Certains appareils et services de gestion proposent des fonctions de verrouillage ou d'effacement à distance. Ces options peuvent s'avérer utiles en cas de perte, mais elles doivent être configurées à l'avance et peuvent nécessiter que l'appareil soit connecté à Internet.
Vérifier les droits d'accès en cas de changement de rôle
Les droits d'accès doivent être modifiés lorsque les responsabilités d'une personne changent, et pas seulement lorsqu'elle quitte l'entreprise. Prévoyez le calendrier de ces changements de manière à ce que les informations importantes soient conservées et que l'organisation puisse poursuivre ses activités. Veillez à inclure les bénévoles, les prestataires et les fournisseurs de services, ainsi que les salariés.
Dans le cadre d'une embauche, d'un changement de poste ou d'un départ :
Adhésion
Convenir ou vérifier : quels appareils et comptes la personne utilisera, de quels droits d'accès elle aura besoin et qui lui expliquera les règles de l'organisation.
L'évolution des rôles
Accepter ou vérifier : quelles autorisations doivent être ajoutées ou supprimées, notamment l'accès aux fichiers partagés et aux fonctions d'administrateur.
Départ
Transférer les tâches essentielles, supprimer les droits d'accès, récupérer les appareils de l'entreprise et passer en revue les identifiants partagés ainsi que les modalités de récupération
Désigner une personne pour vérifier
Il vaut mieux suivre une routine simple que de partir du principe que les mesures de protection sont en place.
La personne responsable n'est pas tenue de tout configurer elle-même. Elle peut vérifier ce qui est activé, demander de l'aide à un prestataire et signaler les problèmes non résolus à la direction.
Réexaminez vos dispositions lorsque vous ajoutez un appareil, qu'un collaborateur change de fonction, qu'un logiciel n'est plus pris en charge ou que votre organisation adopte un nouveau service. Des vérifications périodiques permettent également d'identifier les mesures de protection qui ont été désactivées ou les accès qui ne sont plus nécessaires.
Une proposition de règle de politique générale
Les appareils utilisés dans le cadre des activités de l'organisation doivent être équipés de logiciels pris en charge et à jour, ainsi que de mesures de sécurité adaptées. L'accès doit être autorisé et limité à ce dont chaque personne a besoin dans le cadre de ses fonctions. L'installation de nouveaux logiciels et l'accès à l'assistance à distance doivent respecter la procédure d'autorisation de l'organisation. La perte d'un appareil et tout changement affectant les droits d'accès doivent être signalés sans délai.
Avant d'adopter cette règle, déterminez les mesures de protection nécessaires pour votre travail, qui est habilité à autoriser l'accès et l'utilisation des logiciels, et comment les utilisateurs peuvent obtenir de l'aide.
Vérifiez votre appareil et les modalités d'accès
Sélectionnez quelques appareils ou services dans votre inventaire. Notez ce qui est déjà en place et ce qui doit être confirmé.
Vous n'êtes pas obligé de régler tous les paramètres au cours de cet exercice. “ À confirmer ” est une réponse utile lorsqu'elle permet d'orienter clairement la suite des opérations.
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Nous avons recensé les mesures de protection intégrées dont votre organisation peut se servir.
- Responsable de la vérification des mises à jour et de l'assistance.
- Nous avons vérifié qui a besoin d'un accès standard et d'un accès administrateur.
- Vous avez intégré dans vos dispositions les appareils personnels, les appareils partagés et les changements de personnel.
Vous allez ensuite vous pencher sur la protection des informations sensibles : quelles données vous collectez, où vous les conservez, qui peut les utiliser et quand elles doivent être supprimées.
Section 6 : Protection des informations sensibles
Protéger les informations de votre association, c'est gérer la manière dont elles sont collectées, stockées, utilisées, partagées et supprimées afin d'éviter toute perte accidentelle, divulgation ou accès non autorisé.
English 
French 
Chinese 
Spanish 
Ukrainian 