Éléments de la liste pour Questions courantes sur la cybersécurité
Des lois et réglementations régissent la manière dont les organisations doivent traiter et protéger les informations sensibles. Parmi les plus importantes, on peut citer :
Loi de 1996 sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA)
Norme de sécurité des données de l'industrie des cartes de paiement (PCI)
Loi sur les droits à l'éducation et à la vie privée de la famille (FERPA)
Des lois sur la notification des violations de données sont actuellement en vigueur dans quarante-deux États et le District de Columbia. Elles régissent la notification d'une personne dont les informations personnelles ont été divulguées ou pourraient l'être. L'État de l'Iowa a récemment promulgué une loi sur la notification des violations de données, entrée en vigueur le 1er juillet 2008. Cette loi exige que les organisations victimes d'une violation de données impliquant des informations personnelles en informent les personnes concernées. La disposition relative à la notification (énoncée dans le dossier sénatorial 2308) exige que les notifications incluent :
–Une description de la violation
–La date de la violation
– Le type de renseignements personnels divulgués lors de la violation
–Coordonnées des agences d’évaluation du crédit à la consommation
–Conseils pour signaler un vol d’identité
Les organisations et les particuliers doivent prendre des mesures proactives pour minimiser le risque de violation de données. Chaque membre d'une organisation a un rôle à jouer dans la protection des informations. Voici quelques exemples de mesures que vous pouvez prendre pour prévenir la divulgation de données :
Suivez les politiques de cybersécurité et de sécurité de l'information de votre organisation
Sachez comment votre organisation a classifié les informations et adhérez aux contrôles appropriés en place
Suivez les procédures appropriées pour la destruction ou l'élimination des supports contenant des données sensibles
Participer à une formation de sensibilisation à la sécurité.
N'oubliez pas que la cybersécurité est l'affaire de tous. Ne soyez pas le maillon faible de la chaîne.
Le piratage est une méthode permettant d’obtenir des données telles que les numéros de sécurité sociale et les comptes de carte de crédit.
Les attaquants peuvent également utiliser l’ingénierie sociale, le phishing ou d’autres tentatives similaires pour obtenir un accès.
Ces activités peuvent se traduire par des sommes d’argent très importantes pour les acteurs du crime organisé.
Bien que des techniques très sophistiquées soient parfois utilisées pour voler des données sensibles, l’une des menaces les plus courantes vient de l’intérieur même de l’organisation.
Selon l'enquête mondiale sur la sécurité de Deloitte de 2007, 65 % des personnes interrogées ont signalé des violations externes répétées.
Parmi ces incidents, 18 % résultaient d'une fuite de données involontaire. Le rapport indique également que certaines des violations de données étudiées sont passées inaperçues pendant de longues périodes.
La perte ou le vol de données ne se limite pas à la perte de données électroniques ou au piratage informatique.
D’autres possibilités incluent le vol ou la perte d’ordinateurs portables, de cassettes et de clés USB ou l’élimination inappropriée de documents papier et de matériel informatique.
Une violation de données fait généralement référence à des cas où des informations personnelles sont perdues, volées, piratées ou consultées sans autorisation.
Les organisations et les particuliers ont la responsabilité de protéger les informations confidentielles ou sensibles dont ils ont la charge et la conservation appropriée de ces données est essentielle.
Le non-respect de ces règles peut non seulement entraîner une violation, mais également porter atteinte à la réputation, entraîner des amendes importantes ou une perte de revenus, ainsi que d’autres conséquences négatives.
Les violations de données sont trop fréquentes, tant dans les grandes que dans les petites organisations. Les secteurs public et privé ont été touchés par des violations de données.
L’ampleur de ce problème est vaste : plus de 227 millions de dossiers à l’échelle nationale ont été victimes d’une violation depuis février 2005.
Ce chiffre ne représente que les violations signalées ; il peut donc ne refléter qu'une partie des incidents réels. Il s'agit d'un problème dont chacun doit être conscient et prendre des mesures pour l'atténuer.
Outre les préoccupations liées aux violations de données, nous devons également reconnaître que la manipulation des données constitue une menace potentielle.
Si nous ne pouvons pas faire confiance à l’intégrité de nos données et savoir qu’elles n’ont pas été modifiées de manière inappropriée, notre capacité à mener à bien notre mission et à servir nos clients est altérée.
Voici quelques exemples de données qui doivent être protégées : les informations sur les clients/employés telles que les noms, les numéros de sécurité sociale, les numéros de carte de crédit ; les mots de passe et autres informations liées à la sécurité informatique ; la propriété intellectuelle ; les informations financières ; et les dossiers médicaux des individus.
Les fichiers antivirus suppriment les virus et les vers. Certains antivirus peuvent mettre en quarantaine les fichiers infectés afin d'empêcher la propagation d'un virus sur votre ordinateur. D'autres logiciels antivirus peuvent réparer les fichiers infectés afin que vous puissiez les utiliser sans craindre d'endommager votre ordinateur ou de propager un virus.
Sans logiciel antivirus, votre système est exposé à tous les types de bugs, vers et virus hébergés sur Internet. Ces virus peuvent entraîner des dysfonctionnements, des baisses de performances ou le vol de vos informations personnelles identifiables (IPI).
Installez un logiciel antivirus sur votre ordinateur personnel ou familial. Assurez-vous de l'exécuter quotidiennement. De nombreux fournisseurs proposent des logiciels antivirus. Leur coût peut varier. Vérifiez auprès de votre fournisseur d'accès à Internet (FAI) si la protection antivirus est incluse dans votre abonnement.
Un ordinateur correctement équipé d'un logiciel antivirus vous invitera généralement à le mettre à jour de temps à autre. Vérifiez si votre ordinateur possède un logiciel antivirus courant (Symantec, Sophos, McAfee, etc.).
Les données confidentielles sont des informations personnelles identifiables (IPI) que vous ne souhaitez pas que quiconque obtienne sans votre autorisation. Cela peut inclure :
– Numéro de sécurité sociale
– Numéros de téléphone d’amis/famille/collègues/étudiants
–Numéros de permis de conduire
–Numéros de compte bancaire
–Informations fiscales
–Mots de passe ou phrases de passe
–Adresse du domicile ou numéros de téléphone
– Numéro d’identification de l’employé
–Images numériques
– Tout document électronique personnel contenant du texte personnel
Si des informations PII que vous stockez sont volées, l’auteur pourrait modifier ces informations et les utiliser pour commettre un vol d’identité.
Ne stockez des informations confidentielles sur votre ordinateur que si cela est absolument nécessaire.
Rangez tout support portable (CD, clé USB) dans une armoire verrouillée lorsqu'il n'est pas utilisé. Une fois inutilisé, faites-le détruire.
Chiffrer les fichiers contenant des informations personnelles. La plupart des systèmes d'exploitation proposent un chiffrement des données. Consultez les instructions de votre système d'exploitation.
Fixez physiquement votre ordinateur (portable ou de bureau) au bureau sur lequel il se trouve.
Configurez votre ordinateur pour qu'il vous demande un mot de passe de compte lors de la connexion
Désactivez le compte Invité . L'utilisation de ce compte peut être intraçable.
L' hameçonnage (ou « phishing ») désigne une forme de tentative d'acquisition d'informations sensibles. Il est utilisé pour voler des noms d'utilisateur, des mots de passe et des informations de carte bancaire (et parfois, indirectement, de l'argent), souvent à des fins malveillantes, en se faisant passer pour une entité de confiance dans une communication électronique.
Les types de communication les plus courants sont l'e-mail ou le SMS. Il s'agit généralement de demander à l'utilisateur de cliquer sur un lien dans un e-mail ou un SMS, puis de saisir des informations sur une page web.
En règle générale, il n'existe aucune raison légitime de demander un mot de passe, une phrase secrète ou d'autres données sensibles par e-mail ou SMS. Vous ne devez jamais répondre à de tels messages.
Respirez profondément.
Changez vos mots de passe.
Contactez l’organisation qui a été usurpée.
Analysez votre ordinateur à la recherche de virus.
Soyez attentifs aux signaux d’avertissement concernant le vol d’identité.
Déposez un rapport auprès de la FTC.
Protégez-vous contre les futures tentatives de phishing .
En savoir plus sur ce qu’il faut faire si vous avez été victime d’hameçonnage.
Contactez le centre d'opérations de sécurité (SOC) 24h/24 et 7j/7 par téléphone au (515) 725-1296 ou par e-mail à soc@iowa.gov .