Mesures cyber préventives prioritaires

Paris, le 05/05/2022 - Avec les tensions internationales actuelles, les risques de cybersécurité sont accrus. Nous présentons dans cet article les mesures supplémentaires que nous prenons et proposons à nos clients.

Les préconisations de l'ANSSI

L’ANSSI préconise le périmètre de mesures suivant :

• Renforcer l’authentification sur les systèmes d’information ;
• Accroître la supervision de sécurité ;
• Sauvegarder hors-ligne les données et les applications critiques ;
• Etablir une liste priorisée des services numériques critiques de l’entité ;
• S’assurer de l’existence d’un dispositif de gestion de crise adapté à une cyberattaque.

Les services "critiques" référencés par Arpson

Voici les services numériques critiques référencés chez l’éditeur Arpson :

• Le service hébergement - Le service hébergement est le plus sensible aux attaques cyber. Nous gérons les données de nos clients via un service SAAS et devons nous assurer qu’elles ne se retrouvent pas entre de mauvaises mains.
• Le service développement - Le logiciel que nous fournissons à nos clients peut poser un risque de fuite de données. Nous devons nous assurer que chaque nouvelle version n’apporte pas un risque.
• Le service administratif - Contrats juridiques, ressources humaines.

Les mesures prises par Arpson

En reprenant les trois services critiques référencés précédemment, voici les mesures prises par l’éditeur Arpson pour améliorer leur sécurité :

• Le service hébergement - Une sauvegarde multi-sites complète des données est effectuée automatiquement toutes les nuits et stockée sur au moins trois serveurs sécurisés chez notre hébergeur Scaleway. La procédure est supervisée et des confirmations automatiques sont envoyées pour s’assurer que la sauvegarde s’est bien effectuée et dans le cas contraire demander une intervention humaine. En plus des sauvegardes multi-sites effectuées chez notre hébergeur Scaleway, nous gardons une copie sur un dispositif local, non connecté et chiffré. Pour la gestion de crise, nous disposons d’un plan de continuation d’activité (PCA), toujours efficace en cas de cyber attaque.
• Le service développement - Les deux mesures préventives mises en place pour sécuriser le développement de l’application sont de s’assurer, par une revue systématique du code source, qu’aucune modification non autorisée ne se soit glissée dans le logiciel et d’effectuer un suivi des composants externes utilisés par l’application, pour s’assurer qu’ils soient à jour et ne disposent pas de failles de sécurité connues. Par ailleurs, les codes source étant stockés dans de nombreux endroits sécurisés, le risque de perte de celui-ci est très faible. Pour la gestion de crise, nous gardons un historique sans limitation de durée des modifications effectuées sur le code source du logiciel, ainsi, nous pouvons à tout moment annuler une modification indésirable et ainsi repartir sur de bonnes bases.
• Le service administratif - L’équipe dédiée utilise certains services cloud pour gérer la partie administrative. En plus des sauvegardes effectuées pour les services cloud utilisés, les documents critiques sont également archivés au format papier. En cas de gestion de crise, les archives papiers ainsi que les sauvegardes des services cloud utilisés nous permettent d’envisager une reprise du service satisfaisante.