Le Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 existe depuis 2004. Cette ann\u00e9e, Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9<\/a> a exhort\u00e9 le public, les professionnels et les partenaires de l’industrie \u00e0 \u00ab\u00a0se voir dans le cyber\u00a0\u00bb de la mani\u00e8re suivante\u00a0: <\/p>\n La CISA a d\u00e9crit quatre “choses que vous pouvez faire” pour assurer la s\u00e9curit\u00e9 en ligne des individus et des familles, notamment mettre \u00e0 jour leur logiciel, r\u00e9fl\u00e9chir avant de cliquer, utiliser des mots de passe forts et activer l’authentification multifacteur sur les comptes sensibles.<\/p>\n L’industrie enseigne depuis longtemps des conseils de s\u00e9curit\u00e9 aux employ\u00e9s et au public. Avec tant de m\u00e9dias r\u00e9p\u00e9titifs et d’\u00e9ducation sur la cyber-sensibilisation dans le r\u00e9troviseur, le retour de l’attention d’octobre p\u00e8se sur beaucoup. Voici un tour d’horizon des r\u00e9actions au cybermois et de la traction des th\u00e8mes et des messages de cette ann\u00e9e qui devraient nous dire s’il y a plus dans la campagne qu’un angle de relations publiques. <\/p>\n Les sentiments \u00e0 propos du Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 2022 vont de la pleine conscience \u00e0 la m\u00e9moire, avec des conseils avis\u00e9s et des sarcasmes m\u00e9lang\u00e9s \u00e0 des nouvelles pointues et intelligentes et \u00e0 des articles d’int\u00e9r\u00eat.<\/p>\n Au sommet de la pile se trouve une critique de “La terreur, la sinc\u00e9rit\u00e9 et la com\u00e9die du Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9<\/a>” du Washington Post.<\/p>\n La terreur et la com\u00e9die \u00e9taient pour la plupart des tweets sarcastiques sans reconna\u00eetre le th\u00e8me de cette ann\u00e9e. Ken Westin de Cybereason a tweet\u00e9 que le mois de sensibilisation avait \u00e9t\u00e9 cr\u00e9\u00e9 par Hallmark pour vendre plus de cartes de v\u0153ux. <\/p>\n Il y avait aussi de la m\u00e9disance. Journaliste en cybers\u00e9curit\u00e9 Sean Lyngass a tweet\u00e9 que le mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 regorge d’argumentaires de relations publiques<\/a> capitaliser sur les failles de s\u00e9curit\u00e9. Anne Cutler, responsable des relations publiques chez Keeper Security, a r\u00e9pondu<\/a>“Vous vous trompez. C’est en fait ce qu’on appelle les \u00e9quipes de relations publiques de cybers\u00e9curit\u00e9 qui ne retiendront aucun prisonnier et sensibiliseront, que cela vous plaise ou non. Vous pouvez maintenant vous consid\u00e9rer comme conscient.”<\/p>\n The Register a jet\u00e9 un regard d\u00e9grisant sur le mois de la sensibilisation et ses d\u00e9fis inh\u00e9rents dans le “Programme national de sensibilisation \u00e0 la cybers\u00e9curit\u00e9 18\u00a0ans apr\u00e8s\u00a0: ne cliquez pas dessus<\/a>.”<\/p>\n Cela faisait \u00e9cho \u00e0 la frustration de garder la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 suffisamment technique pour \u00eatre utile mais suffisamment simple \u00e0 comprendre. Les acteurs de l’industrie doivent aller au-del\u00e0 de \u00ab\u00a0r\u00e9fl\u00e9chir avant de cliquer\u00a0\u00bb sans perdre leur public et tout effort que le public fait d\u00e9j\u00e0 pour \u00e9viter le phishing.<\/p>\n Le registre a exprim\u00e9 le besoin de faire des employ\u00e9s ayant peu de connaissances en cybers\u00e9curit\u00e9 davantage des professionnels de la s\u00e9curit\u00e9 \u00e0 part enti\u00e8re. Cela n’arrivera pas de sit\u00f4t. Cependant, lorsque l’histoire a r\u00e9sum\u00e9 l’id\u00e9e ma\u00eetresse de Voyez-vous dans la cybers\u00e9curit\u00e9 – bien que la s\u00e9curit\u00e9 soit complexe, c’est aux individus de la faire fonctionner – cela avait du sens. <\/p>\n Le registre souligne que les personnes sont la solution parce que les personnes sont le probl\u00e8me, avec plus de 80\u00a0% des violations impliquant l’\u00e9l\u00e9ment humain, y compris des personnes victimes d’attaques de phishing.<\/p>\n Selon le registre, Seeing Yourself in the Cyber \u200b\u200bWorkforce rappelle aux organisations qui embauchent du personnel cyber que le financement de la formation augmente. Ils devraient l’utiliser pour les nouvelles recrues et les professionnels qui ont acquis de l’exp\u00e9rience depuis la formation de l’ann\u00e9e derni\u00e8re. <\/p>\n Forbes a r\u00e9v\u00e9l\u00e9 une mine de tendances malheureuses en mati\u00e8re de cyberattaques dans “Pour le mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 (et Halloween) – Quelques statistiques effrayantes sur les cybermenaces.<\/a>“<\/p>\n Le Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 n’a pas eu d’effet mesurable sur les tendances en mati\u00e8re de violation<\/strong>. Les infractions sont de plus en plus fr\u00e9quentes et graves. Le phishing a \u00e9t\u00e9 le pire au deuxi\u00e8me trimestre 2022, avec plus d’un million d’attaques.<\/p>\n Forbes note que les attaques des \u00c9tats-nations ne concernent pas uniquement les infrastructures nationales critiques, 64 % des entreprises affirmant que les \u00c9tats-nations les ont pirat\u00e9es. Pourtant, les syst\u00e8mes de contr\u00f4le industriels et l’OT sont plus menac\u00e9s que les actifs informatiques classiques.<\/p>\n L’initiative “quatre choses que vous pouvez faire” de la CISA pour le mois de sensibilisation \u00e0 la cybers\u00e9curit\u00e9 2022, y compris la mise \u00e0 jour des logiciels, la r\u00e9flexion avant de cliquer pour emp\u00eacher le phishing, l’utilisation de mots de passe forts et l’activation de l’authentification multifacteur a \u00e9t\u00e9 rendue publique dans le but d’influencer le comportement de l’utilisateur final vers de meilleures pratiques de s\u00e9curit\u00e9 . Mais est-ce que des conseils directifs comme celui-ci fonctionnent r\u00e9ellement ? <\/p>\n Le registre<\/a> pr\u00e9cise que le succ\u00e8s ou l’\u00e9chec du Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 d\u00e9pend de la fa\u00e7on dont vous le mesurez. Le cyber mois n’a pas fonctionn\u00e9 si vous vous attendez \u00e0 ce que la cybers\u00e9curit\u00e9 soit r\u00e9solue. Si vous esp\u00e9riez que les gens et les organisations prendraient le cyber plus au s\u00e9rieux, alors le mois de la sensibilisation est un succ\u00e8s.<\/p>\n Le Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 et “les choses que vous pouvez faire” ont assez bien fonctionn\u00e9. La chose la plus pertinente \u00e0 faire \u00e9tait de trouver une solution plus efficace bas\u00e9e sur les personnes pour lutter contre le phishing au-del\u00e0 de “Pensez avant de cliquer<\/a>.”<\/p>\n Sous la surface de l’article du Post, voix sur Twitter<\/a> a pr\u00e9cis\u00e9 que l’\u00e9ducation au phishing, telle que les conf\u00e9rences sur le pointage du doigt et les tests de phishing surprise, n’est pas la bienvenue. <\/p>\n CISA souhaite que les partenaires de l’industrie se consid\u00e8rent comme faisant partie de la solution, travaillant ensemble pour construire un \u00e9cosyst\u00e8me technologique s\u00e9curis\u00e9 et r\u00e9silient. En concevant des produits s\u00e9curis\u00e9s d\u00e8s la conception, ils peuvent collectivement r\u00e9duire les risques et prot\u00e9ger l’infrastructure critique sur laquelle comptent les Am\u00e9ricains. <\/p>\n Dans son Article Forbes<\/a>, Chuck Brooks souligne que, malgr\u00e9 le mois de sensibilisation, le secteur de l’\u00e9nergie et le r\u00e9seau \u00e9lectrique courent un risque important d’attaque. S\u00e9curiser les infrastructures nationales critiques contre les pirates informatiques des \u00c9tats-nations, tels que ceux qui ont attaqu\u00e9 Colonial Pipeline, est un d\u00e9fi. Cela doit \u00eatre une priorit\u00e9 des secteurs public et priv\u00e9, comme l’a approuv\u00e9 la CISA.<\/p>\n Aller au-del\u00e0 du Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 signifie que les organisations sont responsables de la formation de leurs utilisateurs finaux \u00e0 la cybers\u00e9curit\u00e9, mais il y a \u00e9galement des solutions techniques qui peuvent r\u00e9soudre le mauvais comportement de l’utilisateur final<\/a> tout en prot\u00e9geant la s\u00e9curit\u00e9 informatique de votre organisation. Quelques quick wins \u00e0 faire au plus vite : <\/p>\n Les entreprises peuvent consid\u00e9rer les mises \u00e0 jour logicielles comme co\u00fbteuses et nombre d’entre elles \u00e9vitent les mises \u00e0 jour, afin de ne pas casser les applications qui s’ex\u00e9cutent sur le logiciel. Mais pour atteindre les objectifs de cybers\u00e9curit\u00e9 en 2023, les organisations doivent corriger leurs logiciels d\u00e8s que des mises \u00e0 jour sont disponibles.<\/p>\n En analysant Active Directory \u00e0 la recherche de vuln\u00e9rabilit\u00e9s li\u00e9es aux mots de passe avec Specops Password Auditor, les organisations peuvent identifier l’utilisation de plus de 900 millions de fichiers faibles et pirat\u00e9s au sein de leur Active Directory. Les pirates utilisent des informations d’identification vol\u00e9es lors d’attaques contre des infrastructures nationales critiques. Les audits de mot de passe garantissent que ces mots de passe viol\u00e9s ne sont pas utilis\u00e9s dans votre organisation. <\/p>\n Un rapport r\u00e9cent a r\u00e9v\u00e9l\u00e9 que les applications professionnelles populaires pr\u00e9sentaient des lacunes de s\u00e9curit\u00e9 majeures en ce qui concerne les mots de passe et l’authentification MFA. Faites l’inventaire des applications Web auxquelles votre organisation fait confiance et assurez-vous que MFA, ou au moins 2FA, est activ\u00e9 pour vos utilisateurs finaux. <\/p>\n <\/p>\n<\/div>\n\n
Principales nouvelles du Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 cette ann\u00e9e <\/h2>\n
Mise en \u0153uvre des conseils du Mois de la sensibilisation \u00e0 la cybers\u00e9curit\u00e9 2022 <\/h2>\n
Comment pouvons-nous am\u00e9liorer la cybers\u00e9curit\u00e9 en 2023 au-del\u00e0 d’un effort de relations publiques\u00a0? <\/h2>\n
1 \u2014 Patchez votre logiciel<\/h4>\n
2 \u2014 Bloquer l’utilisation de mots de passe connus viol\u00e9s <\/h4>\n
3 \u2014 Auditez le niveau de s\u00e9curit\u00e9 des applications tierces que vous utilisez <\/h4>\n