Cybersécurité : 7 mesures simples pour protéger son association

385 000, c’est le nombre de cyberattaques réussies contre les organisations françaises en 2022, d’après le cabinet d’études Asterès.

Tout comme les entreprises, les associations sont exposées aux cybercriminels. Elles représentent en effet des cibles de choix, car elles s’avèrent moins professionnalisées que les entreprises, et donc plus faciles d’accès.

Mais rassurez-vous, il existe des moyens simples de protéger votre association.

C’est parti !

Cet article est ouvertement inspiré du programme Cyber For Good*, qui vous accompagne et sensibilise gratuitement sur tous les enjeux cybersécurité. Merci à notre partenaire Latitudes, co-organisateur du programme, pour leur expertise !

1. Ne jamais laisser un ordinateur ou téléphone déverrouillé

Le premier réflexe à adopter est le verrouillage de vos appareils numériques. Ces derniers renferment une multitude de données personnelles, professionnelles et financières, qu’il est important de sécuriser.

Il existe plusieurs moyens de protéger vos appareils. Parmi eux, le verrouillage par mot de passe, empreinte digitale ou reconnaissance faciale sont les plus connus. Ce sont de premiers remparts efficaces face aux menaces potentielles.

Une fois votre moyen de protection choisi, pensez à l’activer, et ce, même pour une courte pause. Il suffit parfois d’un instant d’inattention pour qu’un logiciel malveillant soit installé, ou que vos données soient récupérées.

2. Protéger vos systèmes et installer les mises à jour

Maintenant que vos appareils "physiques" sont protégés, penchons-nous sur vos systèmes informatiques, qui sont au moins aussi importants.

Sur ce point, la solution est simple : installer un antivirus reconnu ou, pour les structures plus importantes, une solution de protection de type "EDR", pour Endpoint Detection & Response. Ces derniers s’avèrent plus poussés et plus efficaces que les antivirus, mais peuvent être disproportionnés pour les associations les plus modestes.

Enfin, pensez à mettre à jour vos dispositifs aussi souvent que possible. Les fabricants actualisent en continu leur sécurité pour s’assurer d’éviter toute vulnérabilité. Ne repoussez donc jamais ces mises à jour à plus tard, et lorsque c’est possible, autorisez les mises à jour automatiques pour plus de tranquillité !

3. Sensibiliser ses membres aux bonnes pratiques

D’après une étude IBM, l’erreur humaine serait en cause dans plus de 95% des cyberattaques. Il est donc primordial de sensibiliser et de former vos membres aux bonnes pratiques à adopter pour limiter les risques au maximum.

Pour ce faire, vous pouvez utiliser différents moyens, notamment :

• Des formations en ligne ;
• Des ateliers ludiques : jeux, mises en situations ;
• Des interventions de structures spécialisées.

Notre partenaire Latitudes propose par exemple l’excellent programme Cyber for Good, qui vise justement à sensibiliser et former les acteurs de l’Économie Sociale et Solidaire aux enjeux de cybersécurité. Nous ne pouvons que vous recommander d’y jeter un œil !

4. Savoir réagir en cas de faille

Le risque zéro n’existant pas, mieux vaut avoir à l’esprit quelques bons réflexes pour limiter l’impact d’une éventuelle attaque. À titre d’exemple, en cas de doute, il est recommandé :

• De déconnecter l’appareil attaqué du réseau internet et informatique pour empêcher la propagation de l’attaque sur d’autres appareils connectés ;
• De ne pas éteindre votre machine, car cela pourrait effacer certains éléments de preuve permettant aux experts d’identifier le problème et de le résoudre ;
• D’alerter rapidement des experts en cybersécurité pour résoudre au plus vite la situation ;
• De ne plus utiliser l’appareil piraté pour ne pas aggraver la situation ;
• D’informer les autres membres de l’association afin qu’ils puissent protéger leur matériel ;
• De se rapprocher des autorités pour porter plainte.

Pensez également à noter l’heure à laquelle l’incident est arrivé, les actions réalisées avant celui-ci, et toute information pouvant aider à comprendre et documenter l’attaque. Ces informations seront précieuses aux autorités et experts en cybersécurité lors de l’enquête.

Pour vous aider à vous prémunir des attaques, mais aussi à réagir si cela arrivait, nous vous recommandons de consulter la liste des ressources mises à disposition par le dispositif cybermalveillance.gouv.fr.

Vous y trouverez un outil de diagnostic, des conseils personnalisés et, si besoin, le contact de prestataires spécialisés. Les "fiches réflexes" sur le phishing et les ransomwares sont par exemple deux incontournables !

5. Sauvegarder vos données régulièrement

Quelles que soient les précautions que vous avez adoptées pour prévenir ces attaques, la sauvegarde régulière de vos données et documents importants reste indispensable pour garantir leur protection et préservation. Pour ce faire, vous pouvez :

• Faire des copies régulières "hors ligne" sur un disque dur, une méthode simple mais efficace ;
• Utiliser la règle "3 / 2 / 1", pour 3 copies : 2 stockées sur des supports différents et 1 copie hors-ligne.

Cyberattaque ou non, il peut arriver que vous perdiez certaines données, ne serait-ce que lors d’une erreur humaine liée à la suppression de fichiers. Dans ce cas, plus vous réalisez des sauvegardes régulières, moins la perte est importante !

6. Gérer ses mots de passe et utiliser l’authentification MFA

Vous l’avez compris, les mots de passe sont un premier bouclier essentiel. Cependant, leur choix n’est pas anodin. Il est ainsi conseillé de générer un mot de passe robuste, avec des minuscules, majuscules, chiffres et des caractères spéciaux.

Il doit être simple à retenir pour vous, mais dur à deviner pour les autres. Évitez donc d’y mettre des informations personnelles. À titre d’exemple, vous pouvez utiliser une expression ou phrase que vous saurez retenir, et ne garder que les premières lettres. 

Lors d’un webinaire, l’équipe Cyber for Good donnait l’exemple suivant : J’Ai Choisi Un Super Mot 2 Passe !, qui deviendrait alors le mot de passe suivant : J’ACUSM2P!

Enfin, pour renforcer "facilement" la sécurité de vos données, vous pouvez aussi utiliser un "MFA", pour multi-factor authentication. Il s’agit d’une méthode de double authentification qui vous demande un mot de passe ET un code à usage unique pour vérifier votre identité. Ce code est généralement envoyé sur votre numéro de téléphone ou sur votre e-mail.

Vous pouvez par exemple utiliser des solutions comme Microsoft Authenticator ou Google Authenticator. Quelle que soit l’option choisie, retenez que cela ne vous dispense pas de changer régulièrement votre mot de passe !

7. Choisir soigneusement ses outils

Quoi de mieux que de travailler en confiance dans un environnement sain ? Pour ce faire, sélectionnez soigneusement vos outils de travail et gérez les droits d’accès de vos membres.

Limitez au maximum l’utilisation d’applications web gratuites lorsque vous manipulez des données importantes et renseignez-vous en amont sur la fiabilité des outils que vous comptez utiliser.

La plupart d’entre eux proposent sur leur site internet des éléments précis sur les mesures de sécurité qu’ils apportent. À titre d’exemple, voici ce qui est mis en place en matière de sécurité des données chez AssoConnect. 

Pour terminer, il est également important de limiter les droits et de n'autoriser l’accès qu’à ce qui est nécessaire à vos membres et bénévoles. Évidemment, pensez à revoir régulièrement les accès à vos comptes et à les actualiser quand une personne quitte votre association. C’est une action simple et rapide qui pourrait vous épargner bien des maux de tête !

Conclusion

Voilà, vous avez désormais toutes les armes en main pour anticiper et protéger votre association des cybercriminels ! Nous espérons que ces informations vous seront utiles et qu’elles vous permettront de travailler plus sereinement dans les mois à venir.

Pour approfondir le sujet et vous renseigner auprès d’experts dans le domaine, nous vous invitons à vous rapprocher de notre partenaire Latitudes.

Avec une communauté de plus de 3 000 membres, Latitudes se mobilise pour créer et défendre une "tech" engagée et responsable. Pour y parvenir, ils mènent des projets de sensibilisation et d’engagement citoyen, tel que le programme Cyber for Good, que l’on ne peut que vous recommander !

* Cyber for Good est un programme co-créé par Latitudes, ShareIT et Advens for People and Planet et est développé avec Advens et BNP Paribas IT Group Cybersecurity & Digital Fraud. Le projet bénéficie du soutien de Tenacy et de Devoteam.