Cybersecurity Starter Kit: Section 2
Dans cette section, vous apprendrez à :
Section 2 : Déterminer qui est responsable
Une fois que vous savez ce qui doit être protégé, déterminez qui prendra les décisions, mettra en œuvre les mesures nécessaires et assurera le suivi.
Dans une petite association à but non lucratif, les tâches liées à la sécurité reviennent souvent, de manière informelle, à la personne qui maîtrise le mieux les technologies. Cette personne peut apporter une contribution précieuse, mais elle a besoin d’attentes clairement définies, d’un soutien et d’un interlocuteur vers qui se tourner lorsqu’une décision dépasse ses compétences.
Vous n'avez pas besoin d'une équipe informatique dédiée pour mettre en place ces dispositions. Commencez par faire appel aux personnes déjà impliquées au sein de votre organisation et mettez-vous d'accord sur les tâches que chacun devra assumer.
Distinguer les décisions des tâches
Le fait d'être responsable d'une décision en matière de sécurité ne signifie pas qu'il faille s'acquitter personnellement de chaque tâche technique.
Par exemple, un directeur exécutif pourrait approuver l'utilisation d'un gestionnaire de mots de passe, un coordinateur des opérations pourrait organiser sa mise en place, et un prestataire pourrait aider à le configurer. Le personnel et les bénévoles suivraient ensuite la procédure convenue pour l'utiliser.
Il convient d'aborder quatre fonctions :
Approuver les décisions
Définir les attentes, approuver les ressources et résoudre les problèmes qui affectent l'organisation.
Qui pourrait s'en charger : le directeur général ou un autre responsable habilité ; le conseil d'administration, le cas échéant
Coordonner les mesures de protection
Assurer le suivi des mesures convenues, tenir à jour la documentation et signaler les lacunes à la direction.
Qui pourrait s'en charger ?: Responsable des opérations, administrateur ou coordinateur désigné
Effectuer des tâches
Gérer les paramètres, mettre à jour les appareils, modifier les droits d'accès ou vérifier les sauvegardes.
Qui pourrait s'en charger ?: Membre du personnel, bénévole agréé ou prestataire de services
Signaler un problème
Signaler les activités suspectes, les erreurs et les difficultés en suivant les procédures convenues.
Qui pourrait s'en charger ?: Tout le monde, par l'intermédiaire d'un interlocuteur clairement désigné
Une même personne peut assumer plusieurs fonctions. L'essentiel est qu'elle comprenne son rôle et qu'elle dispose de l'autorité, du temps et du soutien nécessaires pour s'en acquitter.
Précisez clairement ce dont les personnes sont chargées
Une description de poste aussi vague que “ Sam s'occupe de la cybersécurité ” laisse trop de place à l'interprétation. Décrivez le travail et les limites de ce poste.
Pour les prestataires et les bénévoles, vérifiez ce qui est inclus, ce qui est exclu et à quel moment une aide est disponible. Consignez ces dispositions afin que d'autres puissent y avoir accès.
Affectation vague
Tâche claire
Plan de gestion des absences et de la rotation du personnel
Votre organisation doit être en mesure de poursuivre ses activités essentielles lorsqu'un collaborateur est absent ou quitte l'entreprise.
Pour les comptes et services importants :
– Désignez une personne de remplacement et expliquez-lui dans quelles circonstances elle doit prendre le relais.
– Indiquez où se trouvent les instructions et les coordonnées des personnes de confiance à contacter.
– Vérifier que les comptes de l’organisation sont assortis de dispositions appropriées en matière de propriété et de récupération.
– Organisez la passation de fonctions avant de supprimer les droits d'accès d'une personne qui quitte l'entreprise.
– Accordez à chaque personne les droits d'accès nécessaires à l'exercice de ses fonctions ; un remplaçant n'a pas besoin d'un accès illimité à toutes les données.
Évitez de compter uniquement sur la mémoire d'une seule personne, sur sa boîte de réception personnelle ou sur son appareil personnel comme seul moyen d'accéder aux informations essentielles.
Transformez les responsabilités en règles claires
Les responsabilités précisent qui effectue le travail. Les politiques expliquent ce que votre organisation attend. Les procédures décrivent comment les collaborateurs mettent en œuvre ces attentes.
Politique
Quelles sont nos exigences ?
L'accès aux informations relatives aux clients est réservé aux personnes qui en ont besoin dans le cadre de leur travail.
Responsabilité
Qui l'approuve, le met en œuvre et le contrôle ?
Le responsable du programme approuve les droits d'accès ; l'administrateur des comptes les met en œuvre.
Procédure
Comment s'y prendre ?
Demandez l'accès auprès du responsable du programme et vérifiez-le lorsqu'une personne quitte l'entreprise ou change de poste.
Une consigne utile peut être concise et rédigée dans un langage courant. Elle doit être suffisamment précise pour que chacun sache quoi faire, et suffisamment réaliste pour qu'il puisse la respecter.
Commencez par les priorités identifiées dans votre inventaire. Les sections suivantes de ce guide vous aideront à définir vos attentes en matière de protection des comptes, de gestion des informations, de sauvegardes et de réponse aux incidents.
Un bref exemple de politique
Accès aux informations relatives aux clients
Objectif
Protéger les informations des clients tout en permettant aux personnes autorisées de fournir des services.
Champ d'application
La présente politique s'applique au personnel, aux bénévoles et aux prestataires qui ont accès aux informations relatives aux clients de l'organisation.
Conditions requises
L'accès doit être approuvé par le responsable du programme et limité à ce dont la personne a besoin dans le cadre de ses fonctions. Les informations relatives aux clients doivent être conservées dans des lieux agréés. Tout changement de fonctions ou tout départ doit être signalé sans délai afin que l'accès puisse être modifié ou supprimé.
Responsabilité
Le responsable du programme approuve les droits d'accès et vérifie qu'ils restent pertinents. L'administrateur des comptes applique les modifications approuvées. Toute personne constatant un accès ou un partage inapproprié doit le signaler sans délai à la personne de contact désignée.
Exceptions
Toute dérogation doit être approuvée par le directeur exécutif ou son représentant habilité ; le motif, les mesures de protection ainsi que la date d'expiration ou de réexamen doivent être consignés.
Critique
Réviser cette politique au moins une fois par an et chaque fois que des changements interviennent au niveau des systèmes, des services ou des responsabilités concernés.
Rendre les politiques applicables
Avant d'adopter une règle, vérifiez si les gens peuvent raisonnablement s'y conformer.
Si vous exigez l'authentification multifactorielle (MFA), les utilisateurs doivent disposer d'une configuration fonctionnelle et d'une procédure de récupération. Si vous interdisez le stockage des fichiers clients sur des appareils personnels, proposez un moyen approuvé d'accéder à ces fichiers. Si le personnel doit signaler des problèmes, veillez à ce que les coordonnées soient faciles à trouver.
Présentez les règles dès l'intégration, expliquez leur importance et illustrez-les par des exemples en lien avec le travail de chacun. Donnez au personnel et aux bénévoles la possibilité de poser des questions et de signaler les difficultés pratiques rencontrées.
Encouragez le signalement rapide des erreurs. Une personne qui joint le mauvais fichier ou qui valide une demande de connexion inattendue doit savoir qui contacter immédiatement, même si elle n'est pas certaine de ce qui s'est passé.
Si une règle est régulièrement contournée, cherchez à en connaître la raison. L'organisation a peut-être besoin d'instructions plus claires, d'outils différents, d'un soutien supplémentaire ou d'une révision de la règle.
Se mettre d'accord sur la répartition des tâches
Revenez aux trois priorités que vous avez choisies dans la section 1. Pour chacune d'entre elles, notez une réponse pour chaque priorité dans chaque section.
Discutez des missions avec les personnes concernées. Assurez-vous qu'elles comprennent et acceptent ces missions, qu'elles en connaissent les limites et qu'elles disposent du soutien nécessaire pour les mener à bien.
Choisissez ensuite une priorité pour laquelle une règle écrite est nécessaire.
Rédigez votre première politique
Utilisez ces consignes figurant sur la fiche de travail pour rédiger un premier jet succinct.
Avant de la mettre en application, demandez à une personne concernée par cette politique de la lire. Est-elle capable d'expliquer ce qu'elle doit faire ? Dispose-t-elle de tout ce dont elle a besoin pour s'y conformer ?
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Responsabilités convenues pour vos trois premières priorités.
- Une solution de secours pour les tâches et les décisions essentielles.
- Un interlocuteur clairement désigné pour les rapports, ainsi qu'un remplaçant en cas d'indisponibilité.
- Un bref projet de politique, accompagné d'un plan en vue de son adoption et de sa mise en œuvre.
Vous allez maintenant vous intéresser à l’authentification multifactorielle, l’une des mesures de sécurité que vous pouvez mettre en place pour protéger les comptes de votre organisation.
Section 3 : Protéger les comptes grâce à l'authentification à plusieurs facteurs
Les comptes de votre association permettent à vos membres d'accéder à leurs e-mails, à leurs fichiers, à leurs informations financières et à des services essentiels. Protéger ces comptes, c'est protéger tout ce à quoi ils donnent accès.
English 
French 
Chinese 
Spanish 
Ukrainian 
