Quelle est l'efficacité réelle de l'interdiction des clés USB par IBM ?

(précaire est une chronique hebdomadaire qui aborde le sujet en pleine actualité de la cybersécurité.

Malgré l'utilisation généralisée des services cloud comme Dropbox, une vieille clé USB très pratique constitue parfois le moyen le plus rapide de transférer de grandes quantités de données d'un ordinateur à un autre. Mais imaginez si un jour vous alliez au travail et découvriez que toutes les clés USB ont été interdites dans les locaux? C’est ce qui s’est passé récemment chez IBM.

Une note récemment divulguée indiquait qu'IBM serait interdire à tous les employés d'utiliser des clés USB. Ce genre de réaction peut être compréhensible compte tenu de l’état actuel de la cybersécurité, mais est-ce vraiment la stratégie la plus efficace ?

Une solution rapide à un énorme problème

« C’est le moyen le plus simple de couvrir vos arrières: faites une annonce indiquant que vous interdisez tout ce que vous pouvez montrer. que vous avez mis en place une politique », a déclaré Ruben Lugo, responsable du marketing produit stratégique de Kingston, à Digital Les tendances. En réalité, a-t-il déclaré, ce type de politiques peut nuire bien plus à une entreprise qu’elle ne l’aide.

« Les entreprises ne cherchent pas à mettre en œuvre les bonnes ressources dès le début », a-t-il déclaré. « C’est toujours « quelle est la solution miracle? Dois-je vraiment faire quelque chose ?’ Et généralement, cela tourne autour d’interdire des choses […] Nous avons constaté que cela entrave en fait la productivité et l’efficacité dont la main-d’œuvre mobile a besoin lorsqu’elle est sur le terrain. champ."

Ces dernières années ont été marquées par certains des vols et violations de données les plus importants jamais enregistrés. laissant des centaines de millions d'individus vulnérables au vol d’identité, à l’exploitation et même manipulation politique. Cela a conduit de nombreuses entreprises et particuliers à prendre plus au sérieux la confidentialité et la sécurité des données en ligne et a même amené des politiciens à discuter de la manière dont cela pourrait être amélioré. Mais toutes les pratiques pour y parvenir ne sont pas nécessairement recommandées. L’interdiction des clés USB n’est qu’un exemple d’une telle pratique.

Interdire les clés USB peut sembler un moyen simple d’arrêter les fuites. Cela rend le vol de données beaucoup plus difficile lorsque les personnes travaillant avec les données ne peuvent pas les retirer physiquement de l’endroit où elles sont stockées. Mais certains diront qu’une telle politique ne fait qu’ouvrir des entreprises comme IBM à de nouvelles voies d’attaque et ne s’attaque pas à la racine du problème: la vulnérabilité des données non sécurisées.

Ce sentiment est repris par le vice-président des produits et de la recherche de Malwarebytes, Pedro Bustamante, qui nous a déclaré que « déconnecter les systèmes de l’accès à Internet serait également très efficace. Ce n’est tout simplement pas pratique dans la plupart des cas. Avec l’évolution de la technologie et des vitesses Internet, les clés USB représentent actuellement un risque relativement faible. La frustration des utilisateurs finaux (ou de vos employés) ne vaudra probablement pas la petite amélioration de votre posture de sécurité.

La raison de l’interdiction par IBM du stockage amovible serait de réduire les cas de fuites et de pertes de données, qu’il s’agisse d’une fuite délibérée d’informations ou d’un matériel égaré. Nous avons contacté IBM pour obtenir des commentaires sur l'interdiction, mais nous n'avons pas reçu de réponse.

Quoi qu’il en soit, Lugo de Kingston estime que l’interdiction des disques externes n’empêchera pas les gens d’extraire des données de l’entreprise s’ils le souhaitent ou en ont besoin.

"Quand il y a une volonté, il y a un moyen", a-t-il déclaré. « Les gens vont simplement commencer à utiliser leur propre Dropbox, leur propre Google Drive et puis vous commencez à contourner votre propre pare-feu, votre propre protection et cela ne fait en réalité que créer un autre problème.

Contrôler les médias

Dans l’esprit de Lugo, il serait de loin préférable qu’IBM et les entreprises similaires contrôlent les supports physiques et les données qu’ils contiennent, plutôt que d’essayer d’interdire purement et simplement ces appareils. Il recommande l'utilisation de lecteurs comme L'Ironkey de Kingston dispositifs, qui combinent des protections physiques comme des boîtiers métalliques et des revêtements époxy pour le variateur circuit imprimé, avec un cryptage matériel qui rend les données numériques complètement illisibles pour regards indiscrets.

L'Ironkey se situe à l'extrême extrémité des produits proposés par Kingston, mais quelle que soit la marque ou le fabricant du périphérique, tant qu'il exploite le cryptage matériel, il devrait empêcher presque toute perte de données involontaire entièrement. Peu importe si un employé égare un disque contenant des données sensibles, car même si quelqu'un le trouvait, et essayez d'accéder à ces informations, sans le mot de passe correct, ils trouveraient les données complètement illisibles.

Kingston a également mis en place d'autres mesures pour empêcher l'accès à ces données, comme un nombre maximum de saisies de mots de passe pour empêcher capacités de piratage par force brute et d'effacement à distance – quelque chose qui pourrait empêcher certaines fuites délibérées de personnes mécontentes ou ex-employés.

"Nous disposons d'un logiciel de gestion qui permet la géolocalisation des disques, la possibilité d'auditer les disques pour voir ce qu'ils contiennent et d'appliquer des mots de passe complexes", a déclaré Lugo. "Si quelqu'un devait quitter l'entreprise, était licencié ou mécontent, il est possible d'envoyer un message au disque pour le rendre inutile et nettoyer le disque."

Contrôler le point final

Cependant, le support physique lui-même ne constitue qu’un élément de la protection des données d’une entreprise. Quelque chose qu'un certain nombre de sociétés de valeurs mobilières, notamment Symantec, MalwareBytes, et McAfee, qui se sont développés ces dernières années, est la protection des terminaux.

La protection des points finaux est la pratique consistant à sécuriser un réseau au point de connexion par un appareil. Bien que cela puisse généralement se produire lorsqu'un nouvel ordinateur portable ou téléphone intelligent est connecté à un système, il peut également être appliqué à des disques physiques tels que des périphériques USB. C'est quelque chose que Kingston pense que des entreprises comme IBM pourraient utiliser pour empêcher certains vols de données qu'elle cherche à contrecarrer avec son interdiction pure et simple.

"[Endpoint Protection] permet à l'administration, au service informatique et à toute personne impliquée dans la cybersécurité de reconnaître qui a besoin d'accéder aux ports USB, qui a besoin d'accéder aux données X, Y, Z", a déclaré Lugo. « Ensuite, ils peuvent créer un profil utilisateur, un groupe d'utilisateurs pour ensuite autoriser une seule clé USB spécifique, qu'il s'agisse d'une clé Kingston ou d'une clé USB. autre, de sorte que lorsque cet utilisateur branche une autre clé USB aléatoire, la sécurité des points finaux l'examine et reconnaît qu'il ne s'agit pas d'un problème émis. conduire. Cela ne permet donc pas à l’utilisateur de transporter des données dans les deux sens sur ce disque.

En contrôlant le support physique lui-même et le point de contact qu'elle a avec le réseau interne, une entreprise dispose d'un contrôle bien plus important. sur les données qui entrent et sortent de ses systèmes protégés qu'en interdisant, du moins en apparence, l'utilisation de tous les systèmes physiques. médias.

Une partie du nouveau Législation sur le règlement général sur la protection des données qui a été récemment adoptée implique que les entreprises aient une véritable responsabilité à l'égard des données, contrôlant qui y a accès et comment elles sont stockées. Avoir une politique d'absence de support physique rend impossible pour IBM d'être véritablement responsable si quelqu'un faisait fi d'une telle politique et contournait les garanties internes dont elle dispose contre elle.

La combinaison d'un disque chiffré et d'une sécurité renforcée des points finaux permettrait un audit puissant des appareils physiques, empêchant ainsi le utilisation de supports physiques non autorisés et protection des données supprimées d'un réseau en les rendant illisibles pour tous, mais validées des soirées.

RGPD et au-delà

Maintenant que le RGPD a été mis en œuvre et est pleinement applicable à toutes les entités faisant affaire avec l'UE. clients, de plus en plus d’entreprises doivent prêter attention à la manière dont elles gèrent le numérique information. L'interdiction pure et simple des périphériques USB pourrait offrir une certaine protection contre certaines des amendes les plus sévères et des systèmes d'arbitrage en place, mais comme le souligne Lugo, ils ne donnent pas aux entreprises le contrôle dont elles ont besoin pour véritablement protéger leurs données et celles de leurs employés et utilisateurs.

Quant à IBM, Lugo espère que Kingston pourra renverser la vapeur suite à ses récents changements de politique et est déjà en train d'essayer de le faire.

"IBM est une entreprise incroyable", a-t-il déclaré. "[Mais] certains membres de notre équipe commerciale sont [en contact avec elle] en ce moment, nous verrons donc comment cela se passe."

Il est également important de sensibiliser les employés aux alternatives à l’interdiction d’IBM. Comme nous l’a souligné Bustamante de MalwareBytes, le meilleur moyen de sécuriser un réseau consiste à adopter une stratégie combinée qui rassemble les personnes, le matériel et les logiciels pour verrouiller complètement les données importantes et les réseaux sur lesquels ils sont stockés sur.

« Les entreprises doivent s'assurer qu'elles disposent des processus internes appropriés pour faire face à une violation et garantir que le personnel bénéficie d'une sécurité régulière. formation – après tout, vos employés sont votre première ligne de défense, alors donnez-leur les connaissances nécessaires pour pouvoir repérer un e-mail ou une pièce jointe douteux », il dit. « Les meilleures politiques de sécurité combinent les personnes, les processus et la technologie; l’un n’existe pas sans les deux autres.