1. La Charte de sécurité et la Politique de Sécurité des SI (PSSI)

La technologie seule ne peut combler les failles induites par des comportements imprudents. La mise en place d’une culture d’hygiène numérique repose sur un cadre formel et partagé :

• La Politique de Sécurité des Systèmes d’Information (PSSI) : Document stratégique validé par la direction générale qui formalise les objectifs, les périmètres, les règles d’usage et les responsabilités de chacun face aux actifs numériques de l’entreprise.
• La Charte informatique utilisateur : Annexe au contrat de travail régissant l’utilisation des postes de travail, des appareils mobiles professionnels (smartphones, tablettes), du télétravail sécurisé et de l’interdiction du Shadow IT (outils grand public utilisés sans l’aval de la DSI).

2. Déconstruire et neutraliser les campagnes de phishing

L’analyse méthodique d’un courriel suspect nécessite l’examen rigoureux de marqueurs techniques précis :

1. L’en-tête de transport (Headers SMTP) : Vérification de l’adresse de retour réelle (Return-Path), de l’adresse d’expéditeur affichée (From) et des mécanismes cryptographiques d’authentification du domaine émetteur (SPF, DKIM, DMARC).
2. La cohérence des hyperliens : Inspection de l’URL de destination sous-jacente sans cliquer (survol du pointeur ou examen du code source HTML) pour détecter les sous-domaines trompeurs (ex. connexion-ubs.com.attaquant.ch au lieu de ubs.com) ou les attaques par homoglyphes (typosquattage).
3. L’analyse des pièces jointes : Détection des doubles extensions masquées (ex. facture_juin.pdf.exe), des archives chiffrées conçues pour contourner les antivirus de passerelle, et des fichiers Office contenant des macros Visual Basic suspectes.

3. Protocoles d’hygiène au quotidien pour les collaborateurs

Pour immuniser durablement l’organisation, cinq règles d’hygiène fondamentales doivent devenir des automatismes :

• Verrouillage systématique de la session dès que l’utilisateur quitte son poste (raccourci Win + L ou Cmd + Ctrl + Q).
• Interdiction absolue de brancher des supports USB inconnus trouvés dans l’espace public ou les locaux.
• Utilisation exclusive d’un réseau privé virtuel (VPN d’entreprise sécurisé avec tunnel IPsec ou WireGuard) lors des connexions en déplacement sur des réseaux Wi-Fi publics non sécurisés.
• Séparation stricte et hermétique entre usages numériques privés et professionnels.

Exercice pratique : Rédigez une fiche mémo d’une page destinée aux collaborateurs d’une PME romande expliquant la règle des 3 vérifications avant d’ouvrir une pièce jointe inattendue ou de saisir des identifiants sur une page de connexion web.