Cas d'études pour le Management
Audits de sécurité
Cette section met en avant l’importance de la sécurité informatique pour les Managers et les membres de la Direction d’une société, et démontre la nécessité d’effectuer des audits de sécurité.
De nos jours beaucoup d’entreprises fonctionnent avec l’idée qu’ils n’ont pas d’ennemi ou que leur secteur d’activité n’est pas exposé aux menaces informatiques.
L'étude de cas suivante illustre parfaitement le danger relatif à une politique de sécurité trop laxiste.
Etude de cas : L'économie qui induit des pertes
Une banque de l’Europe de l'Ouest a décidé d'économiser de l'argent en négligeant les audits de sécurité et les tests de pénétration permettant d'évaluer de manière indépendante, intègre et impartiale la sécurité de leur infrastructure informatique. La Direction de la banque a préféré utiliser cet argent de manière "plus efficace", en renouvelant par exemple une partie de son parc informatique. Toutefois les résultats de cette économie ont causé des dégâts déplorables.
N’ayant pas pu trouver les failles durant les audits de sécurité internes, le département IT était convaincu que leurs systèmes étaient très bien protégés et qu’il était impossible de les pirater, osant établir des rapports à l'attention de la Direction mentionnant un très haut niveau de protection de tous leurs systèmes. Les membres du département IT, fort de leur succès, avaient également réalisé des statistiques mensuelles affirmant l’échec de toutes les attaques de pirates informatiques.
Qu’elle n’a pas été la désagréable et stupéfiante surprise de la Direction de la banque lorsqu'elle apprit dans la presse que certains comptes bancaires de ses plus importants clients avaient fait l'objet d'une attaque informatique. Bien que quelques plaintes de disparitions d’argent de certains comptes aient été déposées depuis longtemps par les clients, personne n’avait cru que des Hackers en avaient été la cause. Le département IT avait affirmé à maintes reprises qu’il était impossible que les systèmes de la banque aient été compromis, et que ces problèmes n’avaient aucun lien avec la sécurité informatique.
Lors d'une enquête externe et indépendante, les experts ont décelé plusieurs intrusions dans des systèmes sensibles, à différentes dates. Au cours de cette période, les Hackers ont collecté différentes informations allant de données bancaires nominatives à des numéraux de cartes de crédit en passant par des courriels sensibles en provenance du Top Management de la banque.
Les pertes ont été considérables et ont causé de graves problèmes financiers. Les pirates ont non seulement publié sur internet les mails confidentiels de certains cadres supérieurs de la banque, mais ils les ont en outre distribués à tous les contacts existants dans les carnets d’adresses de leurs victimes.
La confiance des clients, qui avaient été soigneusement développée durant de nombreuses années, a été perdue instantanément et pour longtemps. En voulant économiser plusieurs centaines de milliers de dollars, la banque a essuyé une perte estimée en centaines de millions de dollars, et a vu sa réputation détruite en beaucoup moins de temps qu'il n'en avait fallu pour la construire.
Solution
A fin de minimiser les risques inhérents aux systèmes d’informations et de prévenir les incidents de sécurité, High-Tech Bridge suggère d’effectuer des audits de sécurité régulièrement.
Les audits de sécurité indépendants sont très utiles et permettent de repérer tous les points faibles de votre infrastructure informatique. L’audit de sécurité interne est un excellent complément au test d’intrusion et permet souvent d'identifier des problèmes d’architecture IT qui peuvent ne pas être détectés lors de ce dernier. Néanmoins, une analyse extérieure effectuée par le biais d’auditeurs spécialisés objectifs et indépendants peut permettre d’éliminer les conflits d’intérêts potentiels au sein des différents départements afférents à la sécurité informatique globale du client. Veuillez nous contacter ou nous laisser vos coordonnées pour recevoir une offre d'audit de sécurité personnalisée.
