Il y a plus d’un an, des millions d’ordinateurs dans le monde étaient infectés par le logiciel malveillant Wannacry. Toutes les données contenues sur les PC étaient subitement cryptées. Pour obtenir la clé de décodage et donc y avoir de nouveau accès, il fallait verser de l’argent aux pirates informatiques C’est le rançonning (ou ransomware), une technique en pleine expansion. En effet, la cybercriminalité atteint dorénavant un niveau industriel. Le nombre de virus explose et les attaques sont de plus en plus subtiles. Désormais, plus personne n’est à l’abri.

Se doter de pare-feu

À défaut de renouveler son système informatique afin de relever le niveau de défense, on peut néanmoins s’appuyer sur quelques outils techniques pour limiter les risques. Les premiers ? L’installation d’un firewall (pare-feu) destiné à filtrer l’accès aux sites Web douteux, et de plusieurs anti-virus, l’un sur le serveur et l’autre sur les postes de travail pour multiplier les chances que les virus, qui mutent en permanence, soient détectés. Dans la foulée, les antivirus doivent être paramétrés afin de vérifier périodiquement le poste de travail.

Sauvegarder régulièrement les données

Autre impératif : la mise en place d’un plan de protection. Il faut prévoir de sauvegarder à intervalles réguliers les informations importantes, par exemple en instituant un enregistrement quotidien et un autre, hebdomadaire ou mensuel. Le prix des solutions de stockage, notamment les disques durs externes, étant très raisonnable, c’est à la portée de toutes les structures.
Il est également possible de recourir à un prestataire local, et même de mutualiser ce type de service entre petits établissements. L’objectif ? Permettre la restauration des données en cas d’attaque. Il est aussi envisageable de faire appel à un hébergeur. Dès lors que l’établissement dispose de données de santé, il doit s’adresser à un prestataire certifié. Depuis le décret n° 2018-137 du 26 février 2018 relatif à l’hébergement de données de santé à caractère personnel, le prestataire doit désormais être certifié HDS (hébergeur de données de santé). Pour cela, il est désormais obligatoirement audité par un organisme indépendant alors qu’auparavant, avec l’agrément, il pouvait ne jamais l’être.

Partager les bonnes pratiques

Aussi performant que soit un système, il ne résistera pas aux tentatives d’intrusion si les utilisateurs, peu ou mal avertis en la matière, facilitent la tâche des pirates. Il est donc indispensable de les sensibiliser aux risques qu’ils peuvent faire courir au matériel et donc au fonctionnement de l’établissement [1]. Par exemple, en organisant des sessions d’information et en diffusant une charte de bonnes pratiques qui peut même être annexée au règlement intérieur. Premier sujet sensible ? La messagerie électronique par laquelle s’introduisent un grand nombre de virus. Il est donc nécessaire de ne pas ouvrir trop rapidement les pièces jointes des mails louches. Des indices ? Ceux qui ne contiennent pas de message ou un texte suspect, avec des fautes inhabituelles ou sans formule de politesse. Et cela, même s’ils semblent venir d’un expéditeur connu.
Mieux vaut aussi rappeler de modifier fréquemment ses mots de passe, en choisissant des combinaisons de chiffres, de lettres et
de symboles pour qu’ils ne soient pas décryptés par des outils automatisés [2]. Interdire le téléchargement de logiciel sans l’autorisation du responsable informatique est tout aussi indispensable. Car c’est également par ce biais que pénètrent les virus.

[1] Lire Direction[s] n° 121, p. 39
[2] Lire Direction[s] n° 118, p. 38

Publié dans le magazine Direction[s] N° 169 - juin 2016