Éléments de la liste pour Questions courantes sur la cybersécurité
Des lois et réglementations régissent la manière dont les organisations doivent traiter et protéger les informations sensibles. Parmi les plus importantes, on peut citer :
Loi de 1996 sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA)
Norme de sécurité des données de l'industrie des cartes de paiement (PCI)
Loi sur les droits à l'éducation et à la vie privée de la famille (FERPA)
Des lois sur la notification des violations de données sont actuellement en vigueur dans quarante-deux États et dans le District de Columbia. Elles régissent la notification d'une personne dont les informations personnelles ont été divulguées ou pourraient l'être. L'État de l'Iowa a récemment promulgué une loi sur la notification des violations de données, entrée en vigueur le 1er juillet 2008. Cette loi oblige les organisations victimes d'une violation de données impliquant des informations personnelles à en informer les personnes concernées. La disposition relative à la notification (énoncée dans le dossier sénatorial 2308) exige que les notifications incluent :
–Une description de la violation
–La date de la violation
– Le type de renseignements personnels divulgués lors de la violation
– Coordonnées des agences d’information sur la consommation
–Conseils pour signaler un vol d’identité
Les organisations et les particuliers doivent prendre des mesures proactives pour minimiser le risque de violation de données. Chaque membre d'une organisation a un rôle à jouer dans la protection des informations. Voici quelques exemples de mesures que vous pouvez prendre pour prévenir la divulgation de données :
Suivez les politiques de cybersécurité et de sécurité de l'information de votre organisation
Sachez comment votre organisation a classé les informations et adhérez aux contrôles appropriés en place
Suivez les procédures appropriées pour la destruction ou l'élimination des supports contenant des données sensibles
Participer à une formation de sensibilisation à la sécurité.
N'oubliez pas que la cybersécurité est l'affaire de tous. Ne soyez pas le maillon faible de la chaîne.
Le piratage est une méthode permettant d’obtenir des données telles que les numéros de sécurité sociale et les comptes de carte de crédit.
Les attaquants peuvent également utiliser l’ingénierie sociale, le phishing ou d’autres tentatives similaires pour obtenir un accès.
Ces activités peuvent se traduire par des sommes d’argent très importantes pour les acteurs du crime organisé.
Bien que des techniques très sophistiquées soient parfois utilisées pour voler des données sensibles, l’une des menaces les plus courantes vient de l’intérieur même de l’organisation.
Selon l'enquête mondiale sur la sécurité de Deloitte de 2007, 65 % des personnes interrogées ont signalé des violations externes répétées.
Parmi ces incidents, 18 % résultaient de fuites de données involontaires. Le rapport indique également que certaines des violations de données étudiées sont passées inaperçues pendant de longues périodes.
La perte ou le vol de données ne se limite pas à la perte de données électroniques ou au piratage informatique.
D’autres possibilités incluent le vol ou la perte d’ordinateurs portables, de cassettes et de clés USB ou l’élimination inappropriée de documents papier et de matériel informatique.
Une violation de données fait généralement référence à des cas où des informations personnelles sont perdues, volées, piratées ou consultées sans autorisation.
Les organisations et les particuliers ont la responsabilité de protéger les informations confidentielles ou sensibles dont ils ont la charge et la conservation appropriée de ces données est essentielle.
Le non-respect de ces règles peut non seulement entraîner une violation, mais également porter atteinte à la réputation, entraîner des amendes importantes ou une perte de revenus, ainsi que d’autres conséquences négatives.
Les violations de données sont trop fréquentes, tant dans les grandes que dans les petites organisations. Les secteurs public et privé ont été touchés par ces violations.
L’ampleur de ce problème est vaste : plus de 227 millions de dossiers à l’échelle nationale ont été victimes d’une violation depuis février 2005.
Ce chiffre ne représente que les violations signalées ; il peut donc ne refléter qu'une partie des incidents réels. Il s'agit d'un problème dont chacun doit être conscient et prendre des mesures pour l'atténuer.
Outre les préoccupations liées aux violations de données, nous devons également reconnaître que la manipulation des données constitue une menace potentielle.
Si nous ne pouvons pas faire confiance à l’intégrité de nos données et savoir qu’elles n’ont pas été modifiées de manière inappropriée, notre capacité à mener à bien notre mission et à servir nos clients est compromise.
Voici quelques exemples de données qui doivent être protégées : les informations sur les clients/employés telles que les noms, les numéros de sécurité sociale, les numéros de carte de crédit ; les mots de passe et autres informations liées à la sécurité informatique ; la propriété intellectuelle ; les informations financières ; et les dossiers médicaux des individus.
Les fichiers antivirus sont supprimés en supprimant les virus et les vers. Certains antivirus peuvent mettre les fichiers infectés en quarantaine afin d'empêcher la propagation d'un virus sur votre ordinateur. D'autres logiciels antivirus peuvent réparer les fichiers infectés afin que vous puissiez les utiliser sans craindre d'endommager votre ordinateur ou de propager un virus.
Sans logiciel antivirus, votre système est exposé à tous les types de bugs, vers et virus hébergés sur Internet. Ces virus peuvent entraîner des dysfonctionnements, des performances médiocres ou le vol de vos informations personnelles identifiables (IPI).
Installez un logiciel antivirus sur votre ordinateur personnel ou familial. Assurez-vous de l'exécuter quotidiennement. De nombreux fournisseurs proposent des logiciels antivirus. Leur coût peut varier. Vérifiez auprès de votre fournisseur d'accès à Internet (FAI) si une protection antivirus est incluse dans votre abonnement.
Un ordinateur correctement équipé d'un logiciel antivirus vous invitera généralement à le mettre à jour de temps à autre. Vérifiez si votre ordinateur possède un logiciel antivirus courant (Symantec, Sophos, McAfee, etc.).
Les données confidentielles sont des informations personnelles identifiables (IPI) que vous ne souhaitez pas que quiconque obtienne sans votre autorisation. Cela peut inclure :
– Numéro de sécurité sociale
– Numéros de téléphone d’amis/famille/collègues/étudiants
–Numéros de permis de conduire
–Numéros de compte bancaire
–Informations fiscales
–Mots de passe ou phrases de passe
–Adresse du domicile ou numéros de téléphone
– Numéro d’identification de l’employé
–Images numériques
– Tout document électronique personnel contenant du texte personnel
Si des informations personnelles identifiables que vous stockez sont volées, l’auteur pourrait les modifier et les utiliser pour commettre un vol d’identité.
Ne stockez des informations confidentielles sur votre ordinateur que si cela est absolument nécessaire.
Rangez tout support portable (CD, clé USB) dans une armoire verrouillée lorsqu'il n'est pas utilisé. Une fois inutilisé, faites-le détruire.
Chiffrer les fichiers contenant des informations personnelles identifiables. La plupart des systèmes d'exploitation proposent un chiffrement des données. Consultez les instructions de votre système d'exploitation.
Fixez physiquement votre ordinateur (portable ou de bureau) au bureau où il se trouve.
Configurez votre ordinateur pour qu'il vous demande un mot de passe de compte lors de la connexion
Désactivez le compte « Invité ». L'utilisation de ce compte peut être intraçable.
Le « phishing » (prononcé « fishing ») désigne une forme de tentative d'acquisition d'informations sensibles. Il vise à voler des noms d'utilisateur, des mots de passe et des informations de carte bancaire (et parfois, indirectement, de l'argent), souvent à des fins malveillantes, en se faisant passer pour une entité de confiance dans une communication électronique.
Les types de communication les plus courants sont l'e-mail ou le SMS. En général, l'utilisateur clique sur un lien dans un e-mail ou un SMS, puis saisit des informations sur une page web.
En règle générale, il n’existe aucune raison légitime pour quiconque de demander un mot de passe/phrase secrète ou d’autres données sensibles par courrier électronique ou par SMS. Et vous ne devez jamais répondre à un tel message.
Prenez une grande inspiration.
Changez vos mots de passe.
Contactez l’organisation qui a été usurpée.
Analysez votre ordinateur à la recherche de virus.
Soyez attentifs aux signaux d’avertissement concernant le vol d’identité.
Déposez un rapport auprès de la FTC.
Protégez-vous contre les futurs stratagèmes de phishing .
En savoir plus sur ce qu’il faut faire si vous avez été victime d’hameçonnage.
Contactez le centre d'opérations de sécurité (SOC) 24h/24 et 7j/7 par téléphone au (515) 725-1296 ou par e-mail à soc@iowa.gov .