Le gouvernement du Canada revampe complètement le processus de connexion à ses services en ligne

Le gouvernement fédéral a finalement compris, après 10 ou 20 ans à faire les choses à l’ancienne, qu’émettre des codes d’usagers individuellement par ses divers ministères (sans vérification réelle d’identité ni renforcement) mène à un non-sens, dont en matière de cybersécurité. Oui, à compter de très prochainement, toutes les organisations et entreprises qui veulent interagir avec un ministère ou ses services en ligne devront le faire grâce à une nouveau dispositif.

L’OPIC (l’«Office de la propriété intellectuelle du Canada») donnait justement une formation à ce sujet la semaine dernière, pendant laquelle on nous a exposé l’arrivée du Canada en 2022, quant à la méthode que les usagers devront dorénavant utiliser pour se connecter aux services gouvernementaux, tels que ceux de l’OPIC.

Le nouveau système mettra au rancart le système ISED que les entreprises devaient jusqu’à maintenant utiliser pour se connecter.

Le gouvernement met notamment en place une nouvelle clé (la CléGC) pour chaque usager individuel, laquelle impliquera la vérification de l’identité et de l’existence réelle des individus qui prétendent se connecter à un service gouvernemental pour le compte d’une entreprise. Il va sans dire que chaque usager individuel devra aussi être autorisé pour agir pour une organisation. Ce n’était pas déjà le cas me demanderez-vous? Euh, non, en fait, pas réellement en tout cas. Jusqu’à maintenant, les entreprises se créaient des codes souvent uniques qui étaient utilisés par nombre d’employés ou de dirigeants, en les partageant ainsi sans réelle vérification de qui ils étaient.

Grâce à ce nouveau système, on éliminera donc à l’avenir l’utilisation et la réutilisation des codes d’usagers non-authentifiés. Finit l’époque où les usagers d’une firme de 20 personnes utilisaient tous le même code d’accès. Côté sécurité informatique, disons que c’est assez de base comme façon de fonctionner mais, bon, félicitation le Canada pou r y parvenir finalement.

Autre amélioration absolument normal à mettre en place en 2022, le système emploiera maintenant l’authentification à deux facteurs (2FA), aussi un concept que toute organisation un tant soit peu préoccupée par la cybersécurité devrait employer depuis longtemps. Bravo aussi pour celle-là, même si cela fait partie des pratiques normales ailleurs depuis déjà des années.

Il s’agit donc d’un pas dans la bonne direction, disons-le.

Bref, si votre organisation doit régulièrement interagir avec le gouvernement fédéral ou l’un de ses ministères, je vous recommande fortement d’y voir. D’ailleurs, les anciens codes d’usagers désuets deviendront bientôt obsolètes, incluant la possibilité de vous connecter à plusieurs par l’entremise d’un même compte. La mise en place débute le 28 mars prochain.

Le problème continu des rançongiciels: de pire en pire

J’assistais cette semaine à MAPLESEC, une conférence organisée par IT World Canada afin de parler de la cybersécurité au Canada, sur quelques jours. Super intéressant!

À ce sujet, on  apprenait cette semaine que dans la dernière année, la majorité des entreprises canadiennes qui ont été victimes d’une cyberattaque par l’entremise d’un rançongiciel («ransomware», en anglais) admettent avoir payé la rançon. Comme on peut l’imaginer aisément, cette tendance de payer les malfrats pour récupérer nos données et/ou empêcher leur dissémination s’avère très problématique. Si les victimes paient généralement, les cybercriminels sont incités par la loi du marché poursuivre leurs activités liés aux rançongiciels – c’est tout simplement trop tentant.

Un rapport récent de l’entreprise de cybersécurité Sophos révèle que près du tiers des sociétés interrogées auraient été victime d’une attaque de ce type au cours de la dernière année.

Avec des stats pareilles, pas étonnant qu’un expert en assurance entendu cette semaine à MAPLESEC nous disait que les assureurs sont actuellement en hémorragie à cause des coûts associés aux réclamations attribuables aux rançongiciels. Semble que le coût des primes d’assurance pour assurer ce genre de risque exploseront, afin de permettre aux assureurs de demeurer rentables. Le conseil de l’expert à ce sujet d’ailleurs, était de vous munir de la meilleur couverture d’assurance que vous pouvez vous payer, dès maintenant. N’attendez pas!

Pas très étonnant non-plus, dans un tel contexte, que certaines juridictions, dont les États-Unis, contemplent adopter des lois qui règlementerait le paiement des rançons liées à ce genre d’attaque. Le projet de loi américain déposé récemment (le Ransom Disclosure Act), par exemple, exigerait que les entreprises qui paient de telles rançons en divulguent les détails dans les 48 heures au Department of Homeland Security. On est pas à interdire carrément te tels paiements, mais c’est clair qu’on commence collectivement à y penser, incapable d’endiguer ce déferlement de cyberattaques du genre.

Pas de doute, ce problème continu de nous confronter collectivement avec la réalisation que la négligence collective par rapport à la cybersécurité nous a mené dans un cul-de-sac, dont il faudra maintenant essayer de s’extirper en améliorant considérablement comment on gère tous notre cybersécurité.

Cybersécurité 101 pour votre organisation: faire preuve de gros bon sens peut faire toute la différence

Le blogue Slaw publiait hier matin un bon article fournissant des conseils de base en matière de cybersécurité et s’adressant particulièrement aux firmes de professionnels quant à l’importance de la formation du personnel. On penserait que le fait d’avoir une profession fondée sur le secret professionnel est susceptible de faire des avocats des fans de cybersécurité mais… non. Dans mon expérience, les juristes sont souvent les derniers à vouloir entendre parler de sécurité informatique -comme l’associé qui, un jour, m’a contacté pour de l’aide après avoir inséré une clé USB (infectée par un virus) dans l’ordinateur, tout contrarié par le fait que l’anti-virus bloquait l’accès à ce périphérique.

Je me permets donc de partager avec vous ce matin certains conseils de base en matière de cybersécurité, étant entendu que je crois qu’ils peuvent bénéficier à toutes les organisations. Pensez-y comme des applications du gros bon sens à l’ère numérique:

  • Posez-vous la question quant à la nature de vos données et pourquoi elles pourraient intéresser un tiers et/ou nuire à votre organisation si elle était volées ou verrouillées à votre insu;
  • Faites un inventaire de tout votre matériel informatique, incluant tout ce qui se connecte à vos appareils et votre réseau et avisez votre personnel du risque que vous fait courir chaque nouveau branchement (incluant même simplement brancher une clé USB infectée!);
  • Réalisez que tout ce qui vous branchez à Internet s’avère susceptible d’être compromis, incluant particulièrement tout appareil qui n’est pas pleinement à jour (incluant les mises à jour de toutes ses composantes logicielles et matérielles) – assurez-vous que les mises à jour soit effectuées régulièrement de TOUT votre matériel (en débutant par votre routeur et le système d’exploitation de vos ordinateurs/serveurs);
  • Gérez adéquatement comment votre personnel se branche à distance et envisagez le risque que l’ouverture de cette porte fait courir à l’organisation, dont par exemple quand votre personnel utilise son propre matériel potentiellement infecté/compromis;
  • Mettez fin à la pratique de vous fier uniquement à des mots de passe dont l’usager est en mesure de se souvenir et utilisez plutôt un bon gestionnaire de mots de passe;
  • Faites usage d’authentification à deux facteurs (2FA) quand c’est possible -imposez à vos usagers de l’utilisez avec toutes les applications et tous les services le permettant;
  • Prenez au sérieux la nécessité de former votre personnel quant à la cybersécurité et faites-le réellement périodiquement, au moins une fois l’an pour chaque individu (la stupidité humaine est a l’origine de beaucoup d’incidents de sécurité), en mettant notamment l’emphase sur les classiques de la cybersécurité, dont :
    • Le problème inhérent des mots de passe piètres et/ou réutilisés;
    • Le danger qu’implique le fait de naviguer vers un site piégé ou même de simplement de cliquer sur un lien contenu dans un courriel piégé;
    • Les autres dangers associés au courriel, dont le danger des pièces jointes (combien de fois ai-je eu un employé ou un associé me dire qu’il venait d’activer un fichier piégé?);
    • La pratique du «social engineering» et son rôle dans plusieurs attaques effectuées, en contournant les dispositifs de sécurité parce qu’un humain a été berné par un autre;
  • Sachez d’avance comment vous agirez (l’organisation) s’il arrive un incident de sécurité, incluant qui vous devrez contacter, comment votre personnel devra agir, etc.;
  • N’assumez pas que votre organisation ne vaut pas la peine d’être ciblée – nous sommes tous des cibles potentielles, souvent  même sans que le(s) malfrat(s) n’ait voulu nous cibler spécifiquement.

D’ailleurs, à ce sujet, avec l’adoption récente du projet de loi 64 par le Québec, je vous dirais qu’il n’est pas trop tôt pour commencer à prendre la cybersécurité au sérieux!