Cybersécurité au cours des déplacements : recommandations en matière de sécurité

Objet

Ce document est un complément à la page La cybersécurité en voyage. Il donne aux voyageurs des renseignements sur le type de menaces cybernétiques auxquelles ils peuvent être exposés à l’étranger. Il contient également des conseils visant à se prémunir contre de telles menaces.

Contexte

Les personnes comptent de plus en plus sur un accès rapide aux informations numériques, même au cours de leurs déplacements. En règle générale, l'accès à distance aux informations professionnelles est facilité par l'utilisation d'appareils électroniques portatifs qui peuvent offrir au voyageur des services de communication et un accès aux informations, même lorsque ces dernières sont stockées dans l'infrastructure informatique interne de l'organisation. Ces appareils comprennent les assistants numériques personnels, les téléphones cellulaires, les téléphones intelligents, les ordinateurs portatifs et les tablettes électroniques. Les employés doivent être tenus informés des risques que peut présenter, pour eux et pour les informations qu'ils transportent, l'utilisation de ces appareils au cours de leurs déplacements, ainsi que des mesures qu'ils peuvent appliquer pour atténuer ces risques. Le présent document contient des informations générales relatives à la cybersécurité en vue de mieux sensibiliser les voyageurs aux risques potentiels liés à l'utilisation d'appareils électroniques au cours de leurs déplacements.

Les informations que les voyageurs transportent avec eux ou les données auxquelles ils accèdent au cours de leurs déplacements peuvent être compromises par des auteurs de menaces et utilisées contre eux et l'organisation qu'ils représentent. Les auteurs potentiels de menaces comprennent des services de renseignement hostiles et étrangers, des criminels et des concurrents. Les informations visées par les auteurs de menaces peuvent être d'ordre technique, politique, militaire, financier ou personnel. La compromission de ces informations peut procurer aux auteurs de menaces un avantage politique, stratégique, économique ou concurrentiel. Les risques associés à la divulgation potentielle d'informations varient selon la nature ou le degré de sensibilité de celles-ci.

Les consommateurs et les dépositaires d'informations exclusives et sensibles doivent être conscients des risques potentiels en cas de perte ou de vol de ces informations. Les risques sont plus grands au cours des déplacements. Pour ne pas perdre ou compromettre ses informations, quelques précautions s'imposent : il faut éviter de les transporter avec soi et d'y accéder à distance. Il faut également éviter de rapporter des fichiers de données ou des dispositifs externes et de les intégrer aux systèmes d'information de l'organisation. Toutefois, il n'est pas toujours possible d'appliquer ces mesures préventives. Par conséquent, une bonne compréhension par l'organisation des risques auxquels font face les voyageurs, une plus grande sensibilisation des voyageurs et la mise en œuvre de mesures techniques et de procédures pour atténuer les risques associés à la perte, au vol, à la compromission ou à la corruption d'informations et d'appareils numériques sont des éléments essentiels à l'atteinte des objectifs de l'organisation ou de la mission.

Considérations générales liées à la sécurité

Les points généraux suivants ont été transmis par le Centre de la sécurité des télécommunications Canada (CSTC), à qui le gouvernement du Canada a confié la responsabilité de fournir des avis, des conseils et des services pour aider à protéger les informations électroniques et les infrastructures d'information importantes pour le gouvernement :

• Les personnes occupant des postes de cadres supérieurs au sein du gouvernement et celles qui travaillent avec de l'information importante courent davantage de risques que leurs appareils mobiles soient ciblés.
• Les auteurs de menaces possèdent des capacités leur permettant :
• de repérer et cibler un appareil mobile;
• de transmettre du code malveillant à l'appareil;
• d'utiliser les connexions réseau de l'appareil (p. ex., sans fil, Bluetooth, etc.) à leurs propres fins;
• de se servir de l'appareil pour infecter d'autres réseaux;
• d'accéder à l'appareil pour trouver son emplacement (p. ex., GPS);
• d'activer le microphone de l'appareil;
• d'intercepter les communications transmises par voie électronique.
• Dans certains pays, les centres d'affaires et les réseaux téléphoniques des hôtels sont surveillés et, à certains endroits, les chambres d'hôtel peuvent même être fouillées. En règle générale, on ne doit s'attendre à aucun respect de la vie privée dans les bureaux, les hôtels, les cafés Internet ou tout autre endroit public.
• Les appareils mobiles sont des cibles de choix pour les voleurs, qui pourraient accéder aux informations qu'ils contiennent et les utiliser à des fins malveillantes.

Évaluation

Voici la liste non exhaustive des aspects de la cybersécurité dont une organisation doit tenir compte avant, pendant et après le déplacement d'un employé. 

• 1.0 Sécurité des appareils portatifs et mobiles
  • 1.1 Téléphones portatifs et téléphones intelligents
    • Accès sans fil
    • Accès Bluetooth
  • 1.2 Tablettes électroniques et ordinateurs portatifs
  • 1.3 Appareils prêtés
• 2.0 Points d'accès sans fil : points d'accès publics à Internet
• 3.0 Cafés Internet, kiosques et autres points d'accès publics à Internet
• 4.0 Chiffrement des données : protection des biens numériques
• 5.0 Sécurité des mots de passe au cours des déplacements
• 6.0 Attention aux courriels ciblés reliés à un événement
• 7.0 Copie de sécurité des fichiers de données essentiels avant le départ
• 8.0 Cadeaux publicitaires remis à une conférence : prudence!

1.0 Sécurité des appareils portatifs et mobiles

Au cours d'un déplacement, les utilisateurs peuvent transporter diverses plusieurs plateformes informatiques et appareils dont la compromission ou le vol pourrait faire du tort à leur organisation. Il existe deux types d'appareils avec lesquels les utilisateurs se déplacent : les téléphones portatifs et les téléphones intelligents, ainsi que les tablettes électroniques et les ordinateurs portatifs.

1.1 Téléphones portatifs et téléphones intelligents : Plusieurs types de téléphones portatifs et de téléphones intelligents comportant un certain nombre d'options, chacune dotée de diverses applications et fonctions, sont proposés aux utilisateurs. Ces types d'appareils représentent autant de cibles potentielles de vol, autant de l'appareil lui-même que des données. Pour un auteur de menace, ces appareils présentent une source centralisée d'informations, personnelles et professionnelles, ayant trait au propriétaire et à l'organisation qu'il représente. La majorité des téléphones portatifs et des téléphones intelligents comportent diverses fonctions de connectivité, notamment l'infrastructure numérique du fournisseur de services (comme les réseaux DMA, GSM et LTE), l'accès sans fil, communication en champ proche (NFC) et l'accès Bluetooth. Ces options de connexions sont souvent accessibles à d'autres appareils informatiques avec des modules matériels associés, comme des tablettes et des ordinateurs portatifs.

Accès sans fil(Wi-Fi) : Plusieurs appareils permettent de se connecter à Internet au moyen de points d'accès sans fil. Ces derniers présentent divers niveaux de sécurité, et les utilisateurs doivent savoir que les informations qui transitent par le réseau auquel ils se connectent peuvent être interceptées par un auteur de menace motivé et compétent. Parfois, des points d'accès gratuits à Internet sont établis à des fins malveillantes et sont nommés intentionnellement de manière à donner l'impression de points d'accès de confiance.

Par exemple, un hôtel peut avoir établi le point d'accès « HotelABC Internet ». Un auteur de menace peut établir à proximité de cet hôtel un point d'accès malveillant appelé « SecureHotelABC Internet ». La puissance du signal de ce dernier peut être supérieure à celle de l'hôtel. L'utilisateur croira alors qu'il s'agit de la connexion à choisir de préférence. Le voyageur devrait donc vérifier auprès de l'établissement d'hébergement le nom du point d'accès légitime.

Accès Bluetooth : Bluetooth est un protocole de communication sans fil de faible portée qui permet d'établir la connexion entre deux appareils. La technologie Bluetooth permet, parmi ses utilisations courantes, la communication mains libres au volant. Certains appareils permettent la connexion automatique; autrement dit, les autres appareils Bluetooth peuvent établir une connexion sans autorisation et, ainsi, potentiellement accéder à des informations vulnérables, comme les listes de contacts. Les paramètres Bluetooth peuvent être gérés à partir de l'appareil pour atténuer les risques. Idéalement, Bluetooth devrait être désactivé avant le déplacement par l'administrateur de l'appareil.

Les mesures de précaution suivantes devraient être prises en considération dans le cas d'un déplacement avec un téléphone et un téléphone intelligent :

• Activer un mot de passe sur l'appareil et le modifier avant le déplacement. S'assurer que le mot de passe est conforme aux exigences de complexité définies dans la politique de sécurité de l'organisation. Modifier le mot de passe périodiquement et une fois le déplacement terminé.
• Afficher les informations relatives à la propriété dans une zone visible ou accessible du téléphone. Par exemple, activer un économiseur d'écran qui contient un nom et un point de contact en cas de perte de l'appareil.
• Activer le paramètre qui permet d'effacer toutes les données stockées sur l'appareil en cas de saisie erronée du mot de passe après un certain nombre de tentatives de connexion.
• Certains téléphones et téléphones intelligents offrent des options de localisation automatique et un logiciel antivol. Se familiariser avec ces options et envisager la possibilité de les activer.
• Conserver en tout temps l'appareil avec soi. Si cela n'est pas possible, retirer la batterie, l'extension mémoire et les cartes SIM, et les conserver avec soi.
• Certains appareils ne fonctionnent pas dans des lieux géographiques particuliers. Communiquer avec son fournisseur de services ou le service de la TI de son organisation avant le déplacement.
• Désactiver Bluetooth.
• Éviter de charger un appareil en le connectant au port USB d'un ordinateur non connu ou non fiable.

Remarque : Certains pays disposent de lois qui leur permettent de surveiller les informations transmises sur leurs réseaux. Les utilisateurs doivent toujours faire preuve de vigilance à l'égard des informations qu'ils transmettent au moyen de réseaux étrangers et être conscients des répercussions que peut avoir pour eux et l'organisation qu'ils représentent la compromission des données.

1.2 Tablettes électroniques et ordinateurs portatifs Les tablettes électroniques et les ordinateurs portatifs sont également des cibles de choix pour les auteurs de menaces. Voici quelques conseils pour sécuriser de tels appareils au cours d'un déplacement :

• Activer un mot de passe sur l'appareil et le modifier avant le déplacement. S'assurer que le mot de passe est conforme aux exigences de complexité définies dans la politique de sécurité de l'organisation. Modifier le mot de passe périodiquement et une fois le déplacement terminé.
• Mettre à jour le logiciel antivirus avant le déplacement.
• Installer et activer un coupe-feu sur l'appareil.
• Installer les mises à jour logicielles qui s'appliquent au système d'exploitation et aux applications de l'appareil. En cas d'utilisation d'un ordinateur portatif ou d'une tablette d'entreprise, consulter le service de la TI pour s'assurer que ces mises à jour sont appliquées.
• Désactiver les connexions sans fil (Wi-Fi, liaison infrarouge et Bluetooth) lorsqu'elles ne servent pas.
• S'assurer que tout le matériel et tous les logiciels nécessaires sont installés pour éviter d'avoir à les acheter ou à les télécharger au cours du déplacement.
• Éviter de connecter à la tablette ou à l'ordinateur portatif des appareils USB et des supports de stockage obtenus auprès de sources inconnues.
• Chiffrer les données stockées sur l'appareil. À noter que certains pays n'autorisent pas l'entrée d'un appareil contenant des données chiffrées sur leur territoire. Vérifier cette information avant le déplacement.
• Si possible, régler le paramètre de sécurité du navigateur Web au niveau le plus élevé.

1.3 Appareils prêtésIl est pratique courante que l'organisation fournisse aux employés des appareils réservés exclusivement à leurs déplacements. Ces appareils « propres » leur permettent de travailler pendant qu'ils se déplacent. Souvent plus âgés ou moins chers, ils offrent des capacités informatiques de base et permettent dans certains cas de se connecter aux réseaux de l'organisation. À destination, les informations stockées sur l'appareil sont supprimées de façon sécuritaire et l'appareil lui-même est parfois détruit. Les organisations qui disposent d'une capacité d'analyse judiciaire évoluée peuvent décider d'examiner l'appareil aux fins de preuve de compromission.

Un appareil prêté peut donner un sentiment de sécurité trompeur. Quel qu'en soit l'état, la personne qui s'en sert doit connaître les risques encourus lorsqu'elle l'utilise dans ses déplacements. Si l'appareil prêté se reconnecte au réseau de l'organisation ou s'il sert à traiter les informations de l'organisation, les risques de compromission demeurent. Il faut donc restreindre son accès aux réseaux essentiels ou sensibles.

2.0 Points d'accès sans fil : points d'accès publics à Internet

Les voyageurs ont accès à divers points d'accès sans fil à Internet, dont certains sont gratuits. Ces services comprennent, par exemple, l'accès gratuit à Internet pour la durée d'un événement, ou encore dans les hôtels, les aéroports ou d'autres lieux publics. Souvent, ces points d'accès sont des réseaux non sécurisés auxquels n'importe qui peut accéder. Un réseau auquel on accède avec un mot de passe n'est pas nécessairement sécurisé. S'il est vrai que toutes les communications sans fil peuvent être interceptées, un système de chiffrement efficace réduira les risques de divulgation d'informations. À titre de pratique exemplaire, il faut éviter d'utiliser une connexion Internet sans fil publique et de transmettre des informations qui ne doivent pas tomber entre les mains de personnes indésirables ou non autorisées.

3.0 Cafés Internet, kiosques et autres points d'accès publics à Internet

Plusieurs installations sont dotées de dispositifs permettant aux voyageurs de se connecter à Internet. On retrouve souvent ce service dans les hôtels et les aéroports. Ces dispositifs ne doivent pas être considérés comme des points d'accès de confiance, mais reflètent simplement les pratiques et les politiques de gestion en matière de sécurité de l'organisation qui fournit le service d'accès. Du matériel et des logiciels malveillants et indétectables par les utilisateurs et le fournisseur peuvent y avoir été installés par inadvertance. Prenons l'exemple d'un enregistreur de frappe, qui consigne les informations tapées par l'utilisateur sur l'ordinateur, comme les mots de passe et les numéros de carte de crédit. Il peut s'agir d'applications logicielles clandestines ou dispositifs physiques reliés aux ordinateurs. Les voyageurs ne doivent pas utiliser ces appareils accessibles au public pour afficher ou transmettre des informations dont la divulgation pourrait faire du tort, à eux ou à leur organisation.

4.0 Chiffrement des données : protection des biens numériques

Au cours d'un déplacement, les utilisateurs peuvent également utiliser des mécanismes de chiffrement pour protéger leurs données. En résumé, le chiffrement transforme les données de manière à les rendre illisibles sans une clé de déchiffrement (le plus souvent, une phrase de passe ou un jeton). Le chiffrement peut être utilisé par les voyageurs pour envoyer des courriels ou pour sécuriser le contenu d'un support de stockage, comme le lecteur de disque dur d'un ordinateur portatif ou une carte mémoire flash USB. Une fois mis en œuvre correctement, le chiffrement protège les données contre le vol et l'interception. Des logiciels de chiffrement des courriels et des fichiers sont offerts sur le marché par plusieurs fournisseurs dignes de confiance. Par exemple, l'outil PGP (Pretty Good Privacy) est couramment utilisé pour chiffrer efficacement les courriels et le contenu des disques durs. Les voyageurs doivent consulter leur service de la TI pour en savoir plus sur les options de chiffrement prises en charge par leur organisation.

Bien que très efficace pour protéger les données, le chiffrement peut ne pas être réversible. Selon le type chiffrement utilisé, il se peut que vous ne puissiez récupérer les données chiffrées si la clé de déchiffrement est perdue.

Remarque : Certains pays disposent de lois qui restreignent l'utilisation et la présence de logiciels de chiffrement. Avant tout déplacement dans un pays étranger, il est conseillé aux utilisateurs de consulter les lois et les règlements ayant trait au chiffrement qui peuvent s'appliquer dans le pays concerné. Pour plus de détails, reportez-vous aux documents de référence de la section Autres ressources.

5.0 Sécurité des mots de passe au cours des déplacements

Compte tenu des risques plus grands inhérents aux déplacements, il est conseillé aux voyageurs de ne pas utiliser les mêmes mots de passe que ceux qu'ils utilisent à leur lieu de travail. Dans l'environnement informatique actuel, les utilisateurs ont souvent plusieurs comptes qui exigent d'entrer un mot de passe aux fins d'authentification. Cette situation peut donner lieu à la réutilisation du même mot de passe pour plusieurs comptes. En cas de compromission du mot de passe, il est possible qu'un auteur de menaces puisse obtenir ainsi un accès authentifié à plusieurs comptes de l'utilisateur. Par conséquent, il est conseillé aux employés d'utiliser un mot de passe différent et unique pour chaque compte au cours de leurs déplacements. En cas de soupçon de compromission d'un mot de passe, tous les mots de passe appartenant à l'utilisateur doivent être réinitialisés et les comptes utilisateur associés doivent être surveillés pour détecter toute activité suspecte.

6.0 Attention aux courriels ciblés reliés à un événement

Les attaques ciblées au moyen de courriels, ou hameçonnage ciblé, reposent sur l'exploitation de la confiance du destinataire concerné. Avant, pendant et après un déplacement lié à un événement planifié, le voyageur peut faire l'objet d'attaques ciblées au moyen de courriels. Ces courriels sont conçus de telle manière qu'ils semblent authentiques et peuvent amener le destinataire à divulguer des informations sensibles, ou installer à son insu des logiciels malveillants sur son appareil au moyen d'une pièce jointe ou d'un lien Web trompeur. Les voyageurs qui participent à des conférences internationales sur des sujets d'importance stratégique et économique touchant, par exemple, l'énergie, l'environnement, la finance et l'armée, sont souvent la cible d'attaques par hameçonnage. Bon nombre de ces attaques seraient associées à des auteurs de menaces sophistiquées et persistantes (Advanced Persistent Threat ou APT). Pour en savoir plus sur l'atténuation des risques liés aux menaces sophistiquées et persistantes et aux stratagèmes employés dans les attaques par hameçonnage ciblés, consultez les documents de référence dans la section Autres ressources.

7.0 Copie de sécurité des fichiers de données essentiels avant le départ

Avant le départ, il est conseillé aux voyageurs de sauvegarder les fichiers de données pertinents sur un appareil qu'ils n'apporteront pas avec eux. L'équipement est parfois exposé aux conditions rigoureuses et aux inconvénients associés à tout déplacement, comme la perte de bagages, le vol de matériel, les dommages subis pendant les correspondances, les défectuosités matérielles, voir les fouilles et la saisie.

Les voyageurs ne doivent jamais transporter avec eux des données essentielles, ni d'une manière qui enfreint les politiques de l'employeur et les lois applicables.

8.0 Cadeaux publicitaires reçues à une conférence : prudence!

Il arrive parfois que des logiciels ou des appareils soient remis aux participants qui assistent à des conférences ou qui reçoivent de la formation. Gratuits ou payés à même les frais de participation à une activité planifiée quelconque, ces produits peuvent contenir des logiciels malveillants, à l'insu ou non des organisateurs de tels événements. À titre d'exemple, des clés USB infectées par des virus au moment de leur fabrication ont été récemment distribuées par inadvertance à une conférence sur la sécurité informatique.

Les voyageurs doivent prêter attention à tous les dispositifs de stockage branchent aux appareils qu'ils transportent. Ils doivent exercer cette vigilance non seulement au cours de leurs déplacements, mais également une fois de retour au bureau. Ils ne doivent relier aucun dispositif reçu dans le cadre d'un déplacement tant que l'équipe de la TI de l'organisation ne l'a pas correctement évalué.

Recommandations

Les menaces à la cybersécurité, physiques et techniques, augmentent considérablement au cours d'un déplacement. En règle générale, le voyageur quitte un environnement connu et relativement sûr pour se retrouver dans un environnement inconnu et ouvert où les auteurs de menaces sont parfois soutenus par le régime en place. Un degré élevé de sensibilisation à la cybersécurité est nécessaire au cours d'un déplacement pour assurer la protection des biens personnels et de l'organisation.

Le CSTC a publié dernièrement un ensemble de pratiques exemplaires que vous trouverez dans les documents de référence de la section Autres ressources.

Voici, reproduites sous forme de liste de vérification, les pratiques exemplaires relevées dans le présent document et une partie de celles que contiennent les documents de référence. Cette liste est destinée aux voyageurs et au personnel de soutien de la TI :