6.2.1.4 Mesures de
sauvegarde des données sur les ordinateurs et appareils mobiles et
gestion des privilèges
Nous savons que malgré tous les débats et les
formations au sujet des pirates et des intrus, les violations de
sécurité au sein de l'entreprise restent nombreuses. Les
employés peu honorables et mécontents sont une menace constante.
Aussi nous pouvons souligner que la négligencesouvent est
considérable, notamment chez les personnes fréquemment en
déplacement qui transportent avec elles des ordinateurs portatifs et des
disques amovibles. Les cadres dirigeants et les administrateurs qui
bénéficient de droits d'accès pratiquement non
contrôlés sont presque impossibles à arrêter. De
même, le personnel de livraison, les employés temporaires et
même les concierges sont trop souvent autorisés à circuler
librement dans les services de l'entreprise.
Ainsi s'il est impossible de garantir une protection totale,
il existe tout de même quelques mesures que la banque peut prendre pour
réduire les risques. Premièrement, elle peut vérifier la
distribution des systèmes et privilèges pour s'assurer que
personne ne dispose d'un trop grand contrôle par le biais d'un service de
sécurité de l'information. Ensuite, la banque peut
répertorier l'emplacement de stockage des sauvegardes, archives et
copies des bases de données utilisées pour les tests et la
résolution des logiciels. Ecobank CI peut aussi mettre un place un
système de cryptage des enregistrements précis des personnes qui
utilisent les appareils informatiques portatifs et veiller à ce que les
employés sachent comment protéger leurs appareils et leurs
données lorsqu'ils sont en déplacement. Pour la menace des
formules BYOD, la banque pourrait se tourner vers des solutions
spécialisées créées par des entreprises
spécifiques.Elles offrent généralement la
possibilité d'obtenir des périphériques mobiles
intelligents de réseau pour l'authentification des appareils sur le
réseau ou encore l'installation de périphériques mobiles
en mode agent - sur chaque appareil mobile - afin de s'assurer que les
terminaux connectés disposent des bons logiciels, droits d'accès
et paramètres de sécurité avant de les autoriser à
se connecter au réseau.
Ce que nous recommandons également pour une meilleure
gestion des privilèges et badges d'accès, c'est que cette tache
soit attribuée à une direction autre que la direction du
contrôle interne. Cela permettra à cette dernière d'avoir
un meilleur contrôle sur cette activité et de maintenir son
objectivité. Selon que l'indique la norme ISO 27000, cette
activité devrait revenir au responsable de la sécurité de
l'information pour un meilleur suivi.
| 
