Vos ex-employés représentent-ils un risque pour la sécurité des données ?
En règle générale, les personnes qui démissionnent le font pour quitter définitivement l'entreprise. Mais à l'ère du numérique, le départ est souvent plus compliqué. Ces dernières années, différentes enquêtes ont étudié si et comment les anciens collaborateurs accédaient aux espaces numériques de leur ancien employeur après leur départ. Les résultats sont alarmants et montrent qu'il est nécessaire d'agir dans certaines entreprises.
#Security Awareness #Security Risk Assessment #Security Strategy Architecture
Lorsque des ex-employés se baladent dans les sphères numériques de leurs anciens employeurs, cela ne conduit de loin pas toujours à des piratages ou des vols de données spectaculaires. Il en résulte néanmoins un risque de sécurité significatif. Dans certains cas, de telles incursions numériques non autorisées ont fait la une des journaux du monde entier, comme dans le cas de l'entreprise américaine SunTrust Banks, qui a perdu les données personnelles d'un million et demi de clients il y a trois ans[i]. Le coupable : un ancien employé mécontent. L'auteur de l'effacement des serveurs d'un fournisseur d'accès néerlandais après avoir accédé au fichier des clients appartient à la même catégorie[ii]. Un ancien administrateur informatique du fabricant américain de circuits intégrés Allegro a également causé d'importants dommages - son ancien poste lui permettait d'effacer des données dans le département financier, de sorte que le rapport annuel de l'entreprise ne pouvait pas être établi[iii].
Conserver un mot de passe après son licenciement suffit
La dernière étude de l'entreprise de sécurité Beyond Identity sur le thème de l'offboarding montre[iv] que dans 1000 entreprises interrogées (dans le monde anglo-saxon), 83 % des personnes interrogées continuent d'accéder aux comptes de leur ancien employeur après leur départ. 24 % des personnes interrogées ont admis avoir volontairement conservé un mot de passe après leur départ. Conséquence : près des trois quarts des employeurs interrogés ont déclaré avoir déjà été affectés négativement par de telles activités. Lors d'une précédente enquête menée par la société de sécurité OneLogin auprès de 500 décideurs informatiques, un peu moins de la moitié des personnes interrogées ont déclaré être « très confiantes » dans le fait que leurs anciens employés n'auraient pas accès aux systèmes informatiques de leur entreprise. Et 20 % des entreprises interrogées ont admis que la sécurité de leurs données avait déjà été violée par d'anciens employés[v]. Cela n'est pas surprenant si l'on prend en compte le processus de déconnexion de ces employés. L'étude Beyond Identity a révélé qu’un collègue s'était chargé des formalités de départ dans 10 % des cas. Dans seulement 9 % des cas, un spécialiste informatique a été impliqué dans le processus de départ. Seule la moitié des personnes interrogées ont été invitées à restituer les appareils de l'entreprise au moment de leur départ ; plus de la moitié n'ont jamais rendu leurs clés numériques et seul un tiers a supprimé leurs comptes d'employés.
La confiance, c'est bien, le contrôle, c'est beaucoup mieux
Les raisons de protéger les données de l’entreprise contre les collaborateurs qui n'ont plus de lien avec elle sont évidentes - indépendamment du fait que les conséquences d'un vol de données clients, par exemple, peuvent être catastrophiques pour une entreprise. La protection des données est en fin de compte de la responsabilité de l'entreprise.
Alors, comment protéger vos données dans cette situation ? Bien sûr, il est tout d'abord utile (même si ce n'est pas toujours facile) de n'engager que des personnes de confiance. C'est pourquoi la devise suivante s'applique ici aussi : faire confiance, c'est bien, contrôler, c'est mieux.
N'accorder l'accès qu'à ceux qui doivent y accéder
Créez des règles d'accès et n'accordez l'accès aux données qu'aux collaborateurs qui en ont besoin pour leur travail. Informez les nouveaux collaborateurs de votre entreprise qu'en cas de départ de l'entreprise, ils doivent remettre tous les appareils et supprimer leurs données d'accès. Un accord de confidentialité, qui reste valable même après le départ de l'entreprise, peut également faire partie du contrat de travail. En ce qui concerne l'aspect technique, il est facile de mettre en place un système permettant de suivre les accès des utilisateurs aux données de l'entreprise par tous les employés et de les désactiver en cas d'urgence. Dans tous les cas, lorsqu'un employé quitte l'entreprise, les comptes concernés doivent être désactivés le plus rapidement possible. En cas de licenciement, il peut être judicieux de procéder à cette désactivation avant même le départ officiel. Il est important de passer en revue ces aspects de protection des données lors d'un entretien final. Cela implique qu'un responsable informatique identifie et désactive les différents points d'accès existants et s'assure également que tous les appareils de l'entreprise sont remis.
La cybersécurité est une discipline intégrale
Les facteurs de risque décrits ci-dessus, mais aussi le fait que des effectifs hybrides peuvent aujourd'hui accéder à des ressources de n'importe où, nécessitent une nouvelle approche de la gestion des identités et des accès[vi]. SecurID, la plateforme d'identité de RSA, spécialiste mondial de l'identité, peut vous aider à mettre en place les meilleures pratiques en matière d'octroi de privilèges d'accès et de comptes. SecurID MFA offre toute une série de méthodes d'authentification modernes pour l'accès sécurisé aux données et aux applications ainsi qu'aux ressources dans le cloud. L'authentification multifactorielle est essentielle pour réduire le risque d'attaques basées sur l'accès[vii]. SecurID et UMB peuvent vous aider à atteindre cet objectif. UMB est un partenaire RSA Secureworld Titanium. Chez UMB, nous considérons la cybersécurité comme une discipline intégrale dans l'ensemble du paysage informatique et nous comprenons les défis d'un monde en rapide évolution. Chez UMB, la cybersécurité n'est pas considérée de manière isolée, mais comme faisant partie intégrante des concepts IT, Workplace et numériques. N'hésitez pas à nous contacter si vous souhaitez en savoir plus.
[i] SunTrust Banks ex-employee may have stolen 1.5 million customer records | ZDNet
[iii] IT administrator set 'time bomb' malware to torpedo ex-employer's year-end audit (ibtimes.co.uk)
[iv] Survey: The Great Resignation’s Impact on Company Security | Beyond Identity
[v] Why ex-employees may be your company's biggest cyberthreat | TechRepublic
[vi] Identitätsmanagement: Was Sie wissen. Was Sie haben. Was Sie sind. (umb.ch)
[vii] Resources (securid.com)
