Cybersécurité et SMS Marketing : protégez vos données

Une fois que vous avez terminé votre formulaire d’adhésion, vous êtes prêt à recueillir les données de vos clients. Mais attendez, avez-vous pensé à l’endroit où vous allez stocker toutes ces données ? Quelles mesures allez-vous prendre pour les sécuriser ?

Comme l’indique le RGPD, la protection des données devrait être « par conception et par défaut ». « C’est un principe de la RGPD qui indique que toutes les institutions doivent se conformer dès le début, comme base de leurs processus et mécanismes », expliquent nos avocats Sophie Soubelet-Caroit et Perrine Salagnac de la SSC Avocats. Cela signifie que les institutions doivent être construites avec la RGPD comme une composante essentielle de l’entreprise et non pas seulement comme quelque chose qu’elles « ajoutent » à la fin.

Nous avons consulté Hadi El-Khoury, PDG et fondateur de Sekimia Cybersecurity & Risk Management sur la manière de satisfaire à cette exigence et de sécuriser les données des clients.

Les processus et les connexions sécurisés ne sont pas réservés aux pages de paiement, alors voyons ce que nous pouvons faire pour y parvenir :

• renforcer nos systèmes d’information
• prévenir et reconnaître les violations de données
• faire face à un incident si nous en connaissons un

Quelles sont les cyberattaques les plus courantes ?

« Les plus grandes menaces aujourd’hui sont le phishing et le ransomware », a-t-il déclaré.

• Le phishing est une cybercriminalité dans laquelle une personne prétend être une institution légitime et attire des individus par courrier électronique, téléphone ou SMS dans des données personnelles, comme des mots de passe et des informations bancaires ou de carte de crédit. « Ces informations sont ensuite utilisées pour accéder à des comptes importants et peuvent entraîner un vol d’identité et des pertes financières », comme le précise Phishing.org, un projet de sensibilisation, d’éducation et d’information concernant ce type de menace.
• Ransomware est un type de logiciel malveillant (malware) conçu pour refuser l’accès à un système informatique ou à des données jusqu’au paiement d’une rançon, et il peut être le résultat d’une attaque de phishing, selon l’Agence de cybersécurité et de sécurité des infrastructures (CISA).

Toutefois, ces deux éléments ne sont pas les seuls dont vous devez vous méfier.

« Nous avons beaucoup d’exemples d’organisations qui découvrent qu’il y a 2, 3 ans, elles ont été infestées par des pirates informatiques dans leur système d’information. Pourquoi ? Parce que ces pirates ne s’intéressaient qu’au vol ou à la modification d’informations, ils ne s’intéressaient pas aux demandes de rançon ou aux dénis de service », explique Hadi.

« Vous avez besoin d’indicateurs qui peuvent vous indiquer quand vous êtes compromis, sinon, vous ne pourriez jamais le remarquer », ajoute-t-il.

Comment prévenir les cyber-attaques ?

Il existe de multiples mesures que nous pourrions prendre afin de protéger nos systèmes et nos données contre le vol, la modification ou l’infection, et elles dépendent d’un certain nombre de facteurs tels que la taille de l’entreprise, le modèle, le type de données qu’elle collecte, etc.

On peut dire qu’il existe un modèle de sécurité pour chaque entreprise, et la façon idéale de le déterminer serait de **consulter un spécialiste *avant***.

En attendant, Hadi a suggéré quelques méthodes préventives de base et plus avancées qui peuvent réduire considérablement la possibilité d’un incident.

Mesures de cybersécurité de base :

• Mettez continuellement à jour vos logiciels et vos systèmes. Appliquez des correctifs de sécurité le plus tôt et le plus largement possible, comme les antivirus et les détecteurs de logiciels malveillants.
• Sauvegardez vos données et, ce qui est tout aussi important, déconnectez la sauvegarde. Il est inutile d’avoir une sauvegarde en ligne car si vous subissez une attaque, il est fort probable que le pirate ira pirater votre sauvegarde également.
• Utilisez un gestionnaire de mots de passe – comme LastPass ou 1Password- et activez autant que possible l’authentification à 2 facteurs.

Mesures de cybersécurité plus avancées :

Outils de surveillance des DNS. Ils détectent et surveillent chaque fois qu’une personne enregistre un nom de domaine similaire au vôtre pour faire croire à ses victimes que c’est vous. Si cela se produit, c’est le signe que l’entité pourrait se préparer à une attaque. Ainsi, lorsque vous le détectez grâce à votre moniteur DNS, vous pouvez prendre des mesures et alerter les autorités.

Outils de surveillance des flux sortants. Ils surveillent la destination des URL sur lesquelles vous ou un employé de votre entreprise pourrait cliquer par erreur et ils interceptent le flux sortant s’il l’identifie comme un lien malveillant.

Que faire en cas de piratage ou de violation de données ?

Disposer d’un itinéraire de première intervention pour savoir exactement quoi faire en cas de cyber-attaque devrait être comme disposer d’une trousse de premiers secours. « Chaque jour, je rencontre des clients qui subissent une brèche et ne savent pas qui appeler. Ils passent d’innombrables heures à chercher l’expert ou le conseiller médico-légal approprié », explique Hadi.

Nous lui avons demandé ce que nous pouvions faire en cas de piratage ou d’intrusion et il nous a suggéré trois étapes de base que nous reproduisons ci-dessous.

En cas de cyber-attaque :

1. Déconnectez votre système d’information d’Internet. Cela empêchera les intrus d’aller plus loin dans l’attaque.
2. Recherchez d’où vient la brèche. Pour cela, cartographiez votre système d’information à l’avance, de la manière la plus globale possible.
3. Savez qui appeler. Ayez un dépôt ou les contacts des services de police ou des organisations privées qui pourraient vous aider à répondre à tout incident.

Lutter ensemble contre la cybercriminalité

Plus nous nous unissons, mieux nous pouvons nous battre. Si vous êtes victime de spamming, de phishing, de logiciels de rançon ou de toute autre cyberattaque, signalez-le, agissez, contribuez à rendre l’internet plus sûr pour tous.

« Le site Cybermalveillance est une plateforme publique qui permet aux cyber-victimes d’aller chercher de l’aide et de demander l’assistance de diverses entreprises privées. Vous pouvez aussi appeler les flics pour leur signaler cela et les poursuivre en justice », ajoute-t-il. Au bas de cet article, vous trouverez une liste plus longue de sites à consulter pour signaler la cybercriminalité et obtenir plus d’informations sur la manière de la combattre.

« Le point de départ serait de sensibiliser et de former vos employés à respecter le mantra « arrêter, penser, se connecter ». Donc, en cas de doute, ne cliquez pas. Demandez à quelqu’un de votre entourage. Vérifiez bien », explique Hadi.

Notre engagement chez Octopush

En tant qu’entreprise qui gère non seulement les données de ses clients, mais aussi celles des clients de ses clients, Octopush doit être extrêmement prudente et méthodique en ce qui concerne sa propre cybersécurité.

Nous nous sentons fortement engagés dans la lutte contre la cybercriminalité et dans la sensibilisation à la cybersécurité, pour nous-mêmes et pour nos clients. Pour être en accord avec cette mission,

nous avons décidé de créer une section RGPD et sécurité des données que nous publierons très prochainement.

Restez à l’écoute !