Il existe tellement de langages, de framework et de CMS, que l’on ne peut pas disposer d’une équipe de développeurs experts en tout.
Par le passé, vous, ou votre prédécesseur, avez peut-être fait des choix techniques que vous regrettez aujourd'hui, ou qui ne correspondent tout simplement plus à la stack technologique que vous avez désormais réussi à cadrer.
Cependant, les vieilles applications continuent peut-être de rendre service à votre entreprise, qui compte encore sur elles.
Si c’est le cas, et que vous devez opérer une mise à jour du framework, vous y allez certainement à reculons, et hésitez peut-être même à vous rapprocher d’une agence experte dans ce dernier.
Vous vous interrogez certainement également sur la pertinence de tout re-développer dans un autre framework que vous maîtrisez.
S’engager dans des développements pour refaire à l'identique une application qui fonctionne peut s’avérer compliqué à soutenir auprès des dirigeants. Pourtant, un certain nombre d’arguments peuvent faire pencher la balance du côté de la refonte. Tout comme d’autres peuvent conduire à un statu quo réfléchi.
Dans un souci de cohérence (et de recrutement), votre direction peut vous demander de réduire l’étendue des connaissances nécessaires à votre équipe de développeurs, et de rationaliser votre parc.
En tout état de cause, il faut pouvoir disposer de chiffres, d’arguments, d’analyses fines de la situation. C’est là qu’un audit de sécurité peut vous permettre de séparer le bon grain de l’ivraie en matière de durabilité de vos applications existantes et de la quantité de travail nécessaire pour les sécuriser.
De nos jours, les développements d’applications sérieux reposent sur un framework.
Cependant, il se peut que votre application métier ait été réalisée sans framework, à l’époque où ce concept était balbutiant, voire inexistant.
Malgré les mesures de sécurité que vous avez peut-être mises en place (comme par exemple, l’accessibilité de votre application seulement auprès de certaines adresses IP), vos développeurs ne bénéficient ni de la veille communautaire d’un framework, ni des mises à jour de sécurité liées aux failles régulièrement détectées.
Notre conseil
Posez-vous la question suivante : Quels sont les bénéfices et les risques de maintenir votre solution ?
Quasiment tous les ordinateurs de bureau sont aujourd’hui équipés de nombreux outils bureautiques. Ces applications permettent de pallier des manques dans vos logiciels métier.
Cependant, plusieurs dangers existent. Ces outils peuvent :
Un audit de sécurité permet de détecter des besoins d’évolution de vos logiciels pour préserver le périmètre sécuritaire de votre système d’information.
Le nombre de piratages augmente de plus en plus. L’une des causes principales ? Le besoin croissant d’avoir recours à des mots de passe, et la fâcheuse tendance à opter pour le même mot de passe, facile à retenir, pour différents logiciels.
Pourtant, nous savons tous pertinemment que la sécurité pourrait être renforcée si nous associons tous un mot de passe complexe, à un accès unique.
Question : utilisez-vous des logiciels coffre-fort (tels que 1Password, LastPass ou KeePass) pour stocker et facilement manipuler vos mots de passe ?
L’inventaire de vos différents mots de passe et accès lors d’un audit de sécurité permettrait déjà de poser une première pierre dans la sécurisation des accès de votre entreprise.
Vous devez sans cesse faire évoluer votre SI, en fonction des besoins de vos clients, de vos fournisseurs, partenaires et collaborateurs.
Qui n’a pas connaissance de jeunes entreprises proposant :
Ceci est particulièrement criant du point de vue de l’interconnectivité.
La vague des startups a augmenté le degré d’exigence numérique. Il est, en effet, de rigueur dans les développements numériques modernes de proposer une API afin de rendre accessible la consultation et la modification des données depuis l’extérieur.
C’est malheureusement là où le bât blesse chez les éditeurs historiques qui sont souvent désarmés, car trimbalant une dette technique.
Notre conseil
Posez-vous la question suivante : Quelle stratégie pourriez-vous adopter pour interconnecter de manière sécurisée vos logiciels ?
Nul n’est à l’abri d’un ancien salarié qui voudrait nuire. Les moyens sont variés : destruction de fichiers, prise de contrôle à distance et ransomware, falsification de données, usurpation d’identité, publications diffamatoires sur les comptes des réseaux sociaux de l’entreprise…
Tout cela peut même arriver après le départ en bons termes d’un salarié, qui se trouve lui-même, victime par la suite d’un piratage.
Votre entreprise peut également faire l’objet d’espionnage industriel de la part d’un salarié parti chez un concurrent. Ceci est souvent permis par des accès non révoqués. Qu’il s’agisse d’un oubli lors d’une procédure interne, d’une infaisabilité technique ou tout simplement de l’ignorance même de ces accès, l’impact peut être dramatique pour l’entreprise.
Vous devez impérativement penser à créer des droits différents par typologie d’utilisateurs (degré d’accessibilité aux données sensibles) et des droits personnels pour chaque employé.
Listez et mettez en place des procédures de révocation, de logs et de centralisation des droits d’accès afin de vous prémunir de tels dangers.
Un audit de sécurité doit aussi vous permettre de faire un état des lieux des risques concernant les vols de matériel.
Posez-vous les questions suivantes :
Une bonne sauvegarde est une sauvegarde :
Chaque type de données nécessite une récurrence de sauvegarde appropriée, sur des périodes plus ou moins étendues. L’audit de sécurité peut comporter un volet sauvegarde pour réaliser un état des lieux exhaustif et programmer des étapes de mise en application.
L’audit de sécurité révélera des failles, des manquements ou des erreurs. Quoi qu’il advienne, il est beaucoup plus grave de cacher les vulnérabilités d’un système d’information que de reconnaître ses imperfections.
Une fois que l’audit aura dressé la liste des améliorations à entreprendre pour sécuriser votre SI, vous serez en mesure de proposer un plan à votre direction pour mener les travaux progressivement et par ordre de priorité.
