• Nos partenaires
  • Support
  • Recrutement
  • français
    • English
    • Deutsch
    • español
    • 한국어
    • português
BeyondTrust
  • Produits

    Privileged Password Management

    Découvrez, gérez, auditez et surveillez les comptes et identifiants privilégiés de tous types.

    • Password Safe
    • DevOps Secrets Safe
    • Privileged Access Discovery Application

    Endpoint Privilege Management

    Instaurez le principe du moindre privilège sur les terminaux Windows, Mac, Linux et Unix.

    • Windows and Mac
    • Unix and Linux
    • Active Directory Bridge

    Secure Remote Access

    Centralisez la gestion des accès distants des services d’assistance, des fournisseurs et des opérateurs.

    • Remote Support
    • Privileged Remote Access
    • Privileged Access Discovery Application

    Cloud Security Management

    Automatisez la gestion des identités et des actifs à travers votre infrastructure multicloud.

    • Cloud Privilege Broker

    BeyondInsight

    Expérimentez la plateforme de gestion des accès privilégiés est la plus complète et innovante de l’industrie.

  • Ressources

    Apprendre

    • Blog
    • Customer Stories
    • Comparatifs
    • Brochures
    • Vidéos
    • Glossary
    • Podcast
    • Livres blancs

    Participer

    • Evènements
    • Go Beyond
    • Formation
    • Webinars

    Support

    • Changelog
    • Services professionnels
    • Documentation technique

    Universal Privilege Management

    Notre approche innovante Universal Privilege Management permet de sécuriser chaque utilisateur, asset et session sur l'ensemble de votre entreprise.

  • Contacter BeyondTrust

On ne vole pas loin sans de bonnes pratiques de sécurité

septembre 8, 2016

  • Blog
  • Archiver
  • Contacts
  1. Home
  2. Blog
  3. On ne vole pas loin sans de bonnes pratiques de sécurité

De nombreuses personnes vivent à proximité de la ville de Tampa, en Floride, pour diverses raisons, l’une d’entre elles étant de pouvoir transiter régulièrement par l’un des meilleurs aéroports des Etats-Unis, le Tampa International Airport (TIA). Malheureusement, comme beaucoup d’autres en ce moment, TIA a récemment fait les frais d’une compromission de sa sécurité informatique. Mais plus que d’autres, comme il s’agit d’un aéroport international, TIA a dû prendre la peine de s’expliquer.

De ce que nous savons des failles constatées, la liste s’apparente à tout ce qu’il ne faut pas faire en matière de sécurité informatique. TIA a recruté une personne pour travailler sur un projet Oracle. Cette personne a communiqué ses identifiants VPN, ses comptes (privilégiés) et ses mots de passe à près d’une dizaine d’autres personnes dont certaines travaillant pour une agence de recrutement, qui se sont connectées au système des dizaines de fois depuis Mumbai et Pradesh, en Inde, des Emirats Arabes Unis et du Cachemire, en Inde.

Ce cas particulier met en scène la collision malheureuse de VPN mal sécurisés, des accès non contrôlés de prestataires et de la non observance des bonnes pratiques de gestion des mots de passe. Plusieurs personnes ont été licenciées, dont le directeur et le responsable informatiques. TIA en est venu à paralyser ses processus métier en prenant la décision radicale, mais probablement nécessaire, de ne plus autoriser l’accès au réseau informatique de l’aéroport qu’aux équipements délivrés par les autorités aériennes compétentes et non plus aux appareils électroniques personnels.

Suite à cette compromission, parce que TIA n’avait pas correctement encadré les conditions d’accès dès le départ, l’aéroport a dû revenir à ses pratiques d’il y a 20 ans.

Or des alternatives existent :

  1. Ne jamais faire aveuglément confiance à des prestataires extérieurs dès qu’il s’agit de la sécurité de VOS informations. Désignez clairement les tierces parties, les prestataires et les consultants qui travaillent pour vous. Les prestataires de services IT et sociétés de conseil ne sont pas réputés pour la rigueur de leur sécurité informatique. Ce n’est pas parce qu’ils détachent des consultants que leur posture de sécurité est nécessairement mature. Vérifiez comment ils recrutent les profils des professionnels qu’ils envoient en mission et s’ils leur dispensent des formations de sensibilisation aux pratiques de sécurité.
     
  2. Pour l’accès des tiers à votre environnement, d’autres solutions existent que de passer par un VPN et de simplement prier pour que chacun observe les bonnes pratiques. Une solution avec une connexion de courtage permet de contrôler qui a accès à vos systèmes IoT, par quel moyen, où, quand et comment. Séparez bien les choses : vous pouvez très bien autoriser des tierces parties à collaborer à vos projets, sans leur délivrer un grappin façon IP pour s’infiltrer sur votre réseau interne.
     
  3. Ne pas accorder d’accès libre sans restriction. Instaurez une procédure mature de traçabilité de vos prestataires du moment où ils font une demande d’accès au moment où vous le leur accordez et où vous le révoquez. Ainsi vous êtes informé et vous faites preuve de responsabilité.
     
  4. Surveiller ce qu’ils font de leur autorisation d’accès. Prévoyez de jeter un œil par-dessus leur épaule chaque fois que vous le souhaitez. Enregistrez toute l’activité. Ce qui est gênant dans le cas du piratage de TIA, c’est que même après les investigations de sécurité, les auditeurs étaient « incapables de dire quelles données spécifiques ont pu être transférées. » L’enregistrement systématique des activités des prestataires qui se connectent à vos réseaux et systèmes permet de toujours savoir qui a fait quoi exactement. C’est une bonne pratique à observer en toutes circonstances, pour une gestion de projet, le suivi de facturation, la conduite d’un audit de sécurité annuel et la gestion post-compromission dans le cas d’un incident comme celui de l’aéroport TIA.
     
  5. Renforcer la sécurit&eaeacute; des mots de passe. Dans le cas particulier de TIA, il semble qu’aucun contrôle des règles de gestion des mots de passe ait été exercé. Une solution de référentiel sécurisé de mots de passe/identifiants peut permettre de régler cette situation rapidement. Vous éliminez le risque lié à des mots de passe dupliqués, faciles à deviner, partagés, ainsi que les menaces que posent les comptes partagés ou intégrés aux systèmes.

Chaque cas de compromission est source d’enseignements, ce sera le cas à long terme pour l’aéroport de Tampa. 

Restez informé

Recevez les dernières informations et actualités de BeyondTrust.. Vous pouvez vous désinscrire à n'importe quel moment.

Je donne mon accord pour recevoir les communications concernant les produits BeyondTrust, tel que cela est détaillé dans la Politique de Confidentialité BeyondTrust et je comprends que je pourrai modifier mes abonnements ou retirer mon consentement à tout moment.

Up next

From 27 juillet, 2016:
Le support IT n’aide-t-il pas les hackers?
From 5 mai, 2017:
Sécurité & Industrie : les opérateurs des systèmes de contrôles industriels, nouveaux pilotes de la sécurité

You May Also Be Interested In:

Whitepapers

Microsoft Vulnerabilities Report 2021

Whitepapers

Checklist des assurances de cybersécurité

Whitepapers

Guide d'Achat Privileged Access Management (PAM)

Restez informé

Je donne mon accord pour recevoir les communications concernant les produits BeyondTrust, tel que cela est détaillé dans la Politique de Confidentialité BeyondTrust et je comprends que je pourrai modifier mes abonnements ou retirer mon consentement à tout moment.

Service client
Contacter BeyondTrust

Produits

  • Endpoint Privilege Management
  • Password Management
  • Privileged Remote Access
  • Dev Ops Secret Safe
  • Remote Support

Ressources

  • Blog
  • Etudes de cas
  • Comparatifs
  • Brochures
  • Glossary
  • Infographies
  • Vidéos
  • Webinars
  • Livres blancs

À propos de BeyondTrust

  • Entreprise
  • Recrutement
  • Contact
  • L'équipe de direction
  • Programme de partenariat
  • Presse
BeyondTrust Logo
  • Facebook
  • Twitter
  • LinkedIn
  • Confidentialite
  • Sécurité
  • Gérer les cookies
  • WEEE Compliance

Copyright © 1999 — 2022 BeyondTrust Corporation. All rights reserved. Other trademarks identified on this page are owned by their respective owners.