Pour préserver ces informations, il existe quelques règles simples, des précautions basiques, mais qui assurent déjà un niveau minimum de sécurité qui fait bien souvent défaut : - Ne jamais discuter avec une personne qui n'est pas clairement identifiée des informations dites « sensibles ». - Ne pas disperser les documents importants en les emportant à la maison, en vacances, ou encore en les laissant dans son véhicule. - Assurer une traçabilité des documents sensibles, en mettant en place par exemple une codification discrète (1) pour les documents qui ne doivent en aucun cas quitter l'entreprise. - Ne pas enregistrer de données sensibles sur des supports informatiques susceptibles d'être égarés, ou oubliés. - Mettre sous clefs dans des pochettes clairement identifiées les documents importants. - Limiter l'accès aux documents confidentiels et identifier sur les documents les personnels qui en ont reçu possession par leurs initiales. - Limiter la photocopie des documents confidentiels ou comportant des données sensibles. - Inciter ses collègues et collaborateurs à effectuer régulièrement du rangement dans les documents et ne pas conserver de documents inutiles qui doivent être détruits. - Installer un broyeur et inciter le personnel à l'utiliser. - Ne jamais jeter à la poubelle de documents comportant des informations sensibles, ce sera le premier endroit visité par les curieux en quête d'informations. Pour la plupart des organisations de taille moyenne, la sécurité informatique est souvent le maillon faible de la chaîne de sécurité. La multiplicité des zones de stockage et des points d'entrée dans le système conduisent trop souvent à une dématérialisation de l'information. Ce caractère « volatile » la rend plus difficile à protéger et à conserver en sécurité. Dans le meilleur des mondes, si la taille de votre structure le permet, il conviendrait d'avoir une personne chargée de la sécurité informatique qui prendrait en charge la gestion des accès au réseau et de la délivrance des codes d'accès aux membres du personnel. Des chiffres, des lettres, un code Au sujet justement des codes d'accès, le principal reproche qui est fait par les utilisateurs de réseaux aux administrateurs est la difficulté qu'ils ont à retenir les codes d'accès, d'où une fâcheuse tendance à retrouver ces codes inscrits sur des Post-It, quand ce n'est pas sur un papier collé à même le bord de l'écran... Dans la mesure du possible, pour éviter cette baisse critique de la sécurité, il conviendrait de laisser - dans les limites du respect du niveau de sécurité requis (2) - l'utilisateur choisir lui-même un code personnalisé qu'il lui sera aisé de retenir. Malheureusement, la plupart des utilisateurs, sous estimant le danger, se contentent d'utiliser un mot de passe facile à retenir (par exemple leur identifiant, le prénom de leur époux ou leur date de naissance). Pourtant, l'accès au compte de l'utilisateur peut constituer une porte ouverte vers les données sensibles du système. Evidemment, le mot de passe « Administrateur » a d'autant plus d'importance qu'il autorise l'accès au système tout entier, mais aussi à tous les profils utilisateurs. Sa découverte par un individu mal intentionné peut se révéler réellement catastrophique ! D'où l'importance du mot de passe. Un mot de passe de 4 chiffres offre 10 000 possibilités différentes, un nombre de possibilités que le moindre ordinateur actuel peut casser en quelques minutes. Avec un mot de passe de 4 lettres, il existe déjà 456 972 possibilités. On comprend alors aisément qu'un mot de passe mêlant chiffres et lettres, voire des caractères spéciaux sera encore plus difficile à casser. Les mots de passe à éviter absolument sont les suivants : l'identifiant, le nom ou le prénom de l'utilisateur, ou encore sa date de naissance. Bien entendu, le prénom de votre animal de compagnie ou de toute personne de votre connaissance sont à proscrire absolument. Enfin, il ne faut jamais utiliser un mot de passe unique pour différents usages, car sa découverte en est grandement facilitée et le « cassage » de ce code permettrait d'obtenir l'accès à l'ensemble des accès codés auxquelles vous l'avez affecté. Pour finir, on ne peut que conseiller aux responsables informatiques qui en ont le temps de procéder eux-mêmes à des tests sur le système en tentant de casser les mots de passe mis en places par le personnel et identifier ainsi les éventuels points faibles du système. Concluons en précisant que ces quelques conseils ne doivent pas amener celui qui les suit à considérer la sécurité comme une situation acquise et « fixée » de façon définitive, et si un expert en sécurité n'est pas indispensable à chaque structure, le bon sens, lui, ne doit jamais faire défaut...