Parcours
Qu’est-ce que la cybercitoyenneté responsable?
Développement de votre cyberprudence
Être une ou un cybercitoyen responsable, c’est jouer un rôle dans la protection de ses données et de celles de son organisation. C’est un état d’esprit qui repose sur la cyberhygiène, l’adoption d’une stratégie de protection globale, la reconnaissance des cyberrisques, et la priorisation de la résilience pour se protéger et protéger les autres. C’est ce que nous avons décidé d’appeler la cyberprudence.
Voici quelques exemples de pratiques pour faire preuve d’une cyberhygiène irréprochable :
Matériel informatique et réseaux :
- Activez le pare-feu et le logiciel antivirus
- Automatisez le téléchargement et l’installation des mises à jour et des correctifs sur les logiciels, le matériel, le système d’exploitation et tout ce qui est connecté à Internet
- Utilisez un réseau privé virtuel (RPV)
pour protéger les données confidentielles lorsque vous les transmettez sur des réseaux publics
L’Office québécois de la langue française recommande les acronymes RPV (réseau privé virtuel) ou RVP (réseau virtuel privé) plutôt que l’acronyme anglais VPN (virtual private network). (Vitrine linguistique)
Systèmes et données :
- Utilisez des mots de passe forts, idéalement des phrases, contenant au moins 12 caractères avec des lettres, des chiffres et des symboles
- Activez l’authentification à deux facteurs
- Sauvegardez vos données régulièrement et tester les copies de sauvegarde pour vous assurer qu’elles fonctionnent
- Verrouillez votre ordinateur lorsque vous quittez votre poste de travail
- Rangez les documents papier confidentiels dans des endroits sécurisés et détruisez-les de manière sécurisée lorsqu’ils sont désuets
- Examinez attentivement chaque courriel ou message texte suspect avant de cliquer sur un hyperlien ou d’ouvrir une pièce jointe
Comptes en ligne, y compris les réseaux sociaux :
- Vérifiez vos paramètres de confidentialité pour les comptes en ligne
- Évitez de partager des informations confidentielles ou professionnelles pouvant être utilisées à des fins malveillantes
- Configurez vos profils en mode privé lorsque possible
Connaissances en cybersécurité :
- Suivez périodiquement des formations sur la cybersécurité
- Surveillez l’évolution des cybermenaces qui pourraient vous affecter en vous abonnant à des alertes de cybersécurité provenant de sources fiables
Comment prouver votre identité sans avoir à saisir un mot de passe?
Le mot de passe représente un facteur de connaissance, c’est-à-dire quelque chose que vous connaissez. Or, ce facteur est particulièrement vulnérable : il peut être volé via des attaques d’hameçonnage, deviné via des attaques par force brute ou exposé lors de fuites de données.
Pour atténuer ces risques tout en simplifiant l’expérience utilisateur, des alternatives plus robustes s’offrent à vous. L’authentification sans mot de passe désigne des méthodes qui vous permettent d’accéder à un compte en ligne, à un service informatique ou à un appareil en vous appuyant sur des facteurs comme vos caractéristiques physiologiques, vos habitudes et comportements, les objets que vous possédez, votre géolocalisation ou un compte déjà validé par une organisation réputée.
Définition
Ce type d’authentification est basé sur une de vos caractéristiques physiques uniques, comme votre empreinte digitale, vos traits du visage, votre iris ou votre voix. La biométrie physiologique repose sur « ce que vous êtes ».
Avantages
- Sécurité élevée, difficile à usurper
- Aucune information à retenir
- Expérience utilisateur rapide et fluide
Inconvénients
- Risques de faux positifs/négatifs
- Dysfonctionnement possible (lumière, doigts sales, etc.)
- Données sensibles non révocables en cas de fuite
- Préoccupations liées au respect de la vie privée
Exemples
Reconnaissance faciale ou de l’empreinte digitale
- Déverrouillage d’un téléphone intelligent
- Autorisation d’un paiement avec une carte de crédit enregistrée sur un téléphone intelligent (p. ex. : Apple Pay, Google Pay)
- Vérification de l’identité par la voix pour accéder à un compte bancaire dans certaines institutions financières
Reconnaissance de l’iris
- Contrôle d’identité dans certains aéroports
Définition
La biométrie comportementale repose sur l’analyse de la manière dont vous interagissez avec un appareil ou un système : votre vitesse de frappe, vos mouvements ou habitudes de navigation. Elle permet une authentification continue et passive, réalisée en arrière-plan, sans intervention active de votre part. Elle se base sur « ce que vous faites ».
Avantages
- Expérience fluide : vous n’avez rien à faire
- Détection proactive des comportements suspects
Inconvénients
- Fiabilité réduite en cas de fluctuation de votre comportement
- Complexité de collecte et de traitement des données
- Questions éthiques en jeu (profilage)
Exemples
Habitudes et comportements liés aux activités
- Détection d’une prise de contrôle d’un compte bancaire
Habitudes et comportements liés à la manière de se connecter à un compte en ligne
- Détection d’une usurpation d’identité
Habitudes et comportements liés à la voix (intonation, rythme, pauses)
- Détection d’une usurpation vocale (p. ex. lors d’une connexion via un service téléphonique)
Définition
Cette méthode repose sur la vérification d’un objet physique que vous possédez, comme un téléphone, une carte à puce ou un jeton de sécurité. L’accès est accordé si cet objet ou dispositif est reconnu comme légitime par diverses approches techniques, notamment la cryptographie symétrique ou asymétrique.
Avantages
- Simplicité et rapidité
- Authentification forte et généralement multifacteur
- Accès à Internet pas nécessairement requis pour les objets physiques conçus pour l’authentification
Inconvénients
- Appareils
- Risque de perte ou d’oubli
- Objets physiques conçus pour l’authentification
- Cout et logistique de distribution
- Risque de perte ou d’oubli
- Objets numériques
- Dépendance à un canal tiers (réseau téléphonique, Internet, nuage informatique, etc.) et à un appareil (téléphone intelligent, ordinateur, etc.)
- Risque d’attaque par un excès de notifications qui incitent à accepter des connexions provenant d’entités malveillantes
Objets d’authentification courants
Appareils (permettant de recevoir et de générer des codes d’accès, de valider des notifications, d’accéder aux certificats numériques, etc.)
- Téléphone intelligent
- Ordinateur ou tablette
- Montre connectée
Objets physiques spécialement conçus pour l’authentification
- Jeton d’authentification matériel (p. ex. YubiKey, Titan Key)
- Carte à puce/carte d’accès (contact avec le lecteur)
- Carte d’identité (sans contact avec le lecteur, c’est-à-dire proximité de la carte au lecteur en utilisant la technologie RFID (radiofréquence) ou la technologie CCP (communication en champ proche)
Le sigle anglais RFID [est] largement répandu en français pour former des syntagmes (ex. : clavier RFID, étiquette RFID, puce RFID, etc.) (Vitrine linguistique)
Objets numériques
- Notification poussée
Celle-ci est envoyée via une application d’authentification (par exemple, Microsoft Authenticator, Duo, etc.) installée sur votre appareil mobile. Lors d’une tentative de connexion ou d’une opération sensible, vous recevez une notification vous demandant d’approuver ou de refuser la demande directement dans l’application. L’accès n’est accordé que si vous approuvez explicitement la notification, prouvant ainsi votre identité. - Code à usage unique
Ce code est une valeur numérique qui vous est envoyé par différents canaux (messagerie texte, courriel, application d’authentification ou notification sur un appareil enregistré). Il expire généralement après quelques minutes et ne peut être utilisé qu’une seule fois. - Certificat numérique
Un certificat numérique est comme une carte d’identité, délivrée par une autorité de confiance. Il est stocké sur votre appareil. Lors de la connexion à un service en ligne, votre appareil présente votre certificat numérique et signe numériquement la demande d’accès d’une manière unique, qui vous est propre. Le service vérifie alors votre identité en validant cette signature à l’aide des informations cryptographiques de votre certificat numérique.
Exemples
- Paiement d’un achat avec votre téléphone intelligent
Utilisation d’un appareil comme votre téléphone intelligent, de l’application mobile de votre banque, d’une application de paiement mobile comme Apple Pay ou Google Pay et de la technologie CPP (communication en champ proche)
- Paiement d’un achat avec votre carte de crédit
Cartes de crédit fonctionnant avec un contact (en utilisant la puce) et sans contact (en utilisant la technologie CPP) avec le lecteur
- Connexion aux services de l’imprimante au bureau pour démarrer l’impression des documents confidentiels
Utilisation d’une carte à puce ou de votre carte d’employé(e) (carte d’identité)
- Accès à des salles, édifices et autres infrastructures physiques de votre organisation
Utilisation d’une carte à puce ou d’une carte d’identité
- Connexion au réseau de votre organisation lorsque vous travaillez à distance
Utilisation d’un certificat numérique contenant une clé privée qui authentifie votre ordinateur portable. Une fois l’identité vérifiée, l’accès au réseau de l’organisation est accordé. Cette approche correspond également aux réseaux privés virtuels (RPV), qui sécurisent la connexion tout en garantissant que seul un appareil autorisé peut se connecter. - Connexion à une application ou à un service en ligne
- Exemple 1
Méthode d’authentification robuste requérant l’utilisation de deux types de facteurs, par exemple, un mot de passe (facteur de connaissance) et un code à usage unique, généré localement sur votre téléphone intelligent par une application d’authentification comme Google Authenticator (facteur de possession) - Exemple 2
Méthode d’authentification robuste requérant l’utilisation de deux types de facteurs, par exemple, un mot de passe (facteur de connaissance) et une notification poussée envoyée sur votre téléphone intelligent par une application comme Microsoft Authenticator ou Duo (facteur de possession)
- Exemple 1
Définition
Cette méthode d’authentification repose sur des éléments contextuels comme l’appareil utilisé, l’adresse IP, la position géographique ou l’heure de connexion. Le système évalue si le contexte « où vous vous trouvez » correspond à vos habitudes.
Avantages
- Authentification discrète, sans action requise de votre part
- Possibilité de bloquer des accès suspects de manière proactive
- Utilisation répandue comme méthode complémentaire
Inconvénients
- Risque de faux positifs (voyages, changement d’appareil)
- Accès à des données sensibles requis (localisation, appareil)
Exemples
- Connexion refusée depuis un pays inhabituel
- Accès facilité si l’utilisateur utilise son téléphone habituel à son domicile
- Alerte déclenchée si la connexion a lieu à une heure ou dans un lieu inhabituel
Définition
Cette méthode d’authentification permet de vous connecter à un service en utilisant un compte existant, déjà validé par une organisation réputée.
Avantages
- Aucun nouveau mot de passe à créer
- Réduction du nombre de mots de passe à mémoriser
- Appui sur un système jugé comme robuste et bien sécurisé
Inconvénients
- En cas de compromission du compte principal, compromission potentielle de l’ensemble des accès qui y sont liés
- Forte dépendance à une grande organisation et à ses règles de sécurité
Exemples
- Connexion à un compte en ligne via Google, Apple, Facebook, etc.
- Connexion à votre compte de l’Agence du revenu du Canada ou de Revenu Québec via un partenaire de connexion (comme une institution financière)
Pour une cyberhygiène renforcée
Fyscillia Ream, coordonnatrice scientifique
Chaire de recherche en prévention de la cybercriminalité de l’Université de Montréal
Une stratégie de protection efficace combine des outils technologiques, les êtres humains, les structures et processus organisationnels, et l’environnement physique. L’union fait la force! Par exemple, en plus d’adopter des solutions techniques (authentification à deux facteurs, antivirus, pare-feu, etc.), vous devriez régulièrement suivre des formations sur la cybersécurité.
Il est également important que les organisations encouragent des comportements adéquats et mettent en place des mesures de protection. Par exemple, pour éviter que vos documents confidentiels ne trainent sur l’imprimante à la vue de gens non autorisés, l’impression devrait démarrer uniquement lorsque vous en autorisez le démarrage d’une certaine façon. Cette mesure devrait s’accompagner d’un article dans la politique de protection des données confidentielles qui stipule que l’on doit rester à côté de l’imprimante jusqu’à la fin de l’impression.
Vous devez apprendre à reconnaitre les cyberrisques pour pouvoir réagir adéquatement face aux cybermenaces émergentes, ou lors d’un nouvel incident de cybersécurité. Quels sont les scénarios probables qu’une cybermenace exploite l’une de vos vulnérabilités entrainant ainsi une perte? La question se pose autant pour l’individu que pour l’organisation.
Si un risque identifié dépasse le niveau acceptable, décidez s’il vaut mieux l’atténuer pour réduire sa probabilité d’occurrence ou en minimiser les conséquences éventuelles. Atténuer un cyberrisque implique de mettre en œuvre des mesures de sécurité.
Attention
Malgré les mesures de sécurité, le risque n’est jamais nul; on n’est jamais protégé à 100 %. Le risque qui subsiste s’appelle risque résiduel. Il faut chercher à le réduire à un niveau acceptable, dont les conséquences sont gérables.
Éliminer le risque résiduel peut représenter un cout trop important par rapport aux pertes qu’il serait possible d’éviter en cas d’incident.
Exemple
Même quand on apprend à reconnaitre les messages d’hameçonnage, il demeure possible d’être victime d’hameçonnage.
La formation et les mesures de sécurité n’empêchent pas un tel incident de se produire (risque résiduel), mais grâce à ces mesures, les conséquences sont considérées comme étant acceptables et gérables. En d’autres mots, on a la capacité financière nécessaire pour absorber la perte subie par une attaque par hameçonnage.
La cyberrésilience repose sur trois piliers complémentaires qui permettent de mieux prévenir, détecter et surmonter les incidents de sécurité :
- Adoptez une stratégie proactive qui prévoit l’analyse régulière de vos comptes pour détecter des activités inhabituelles. Il est aussi impératif de vous adapter aux changements constants liés aux menaces et aux moyens de protection. Remettez en question l’efficacité et la robustesse de ses systèmes et de ses moyens de protection : sont-ils capables de résister à une cyberattaque?
- Développez des pratiques de cybersécurité qui respectent les valeurs éthiques comme l’intégrité et la confidentialité. Par exemple, n’utilisez pas d’outils de sécurité pour espionner les autres, camoufler des activités frauduleuses, contourner la loi ou empiéter sur la vie privée d’autrui.
- Contribuez à la cyberrésilience collective afin d’aider votre organisation à prévenir un incident de sécurité et, le cas échéant, à s’en relever rapidement.
Questions de réflexion
- Pourquoi la cyberhygiène est-elle essentielle dans votre quotidien personnel et professionnel? Quels sont les impacts d’un manque de cyberhygiène sur vos données et celles de votre organisation?
- Quelles mesures de sécurité pouvez-vous adopter dès aujourd’hui pour améliorer votre stratégie de protection? Ou pour renforcer son caractère global?
- Comment pouvez-vous sensibiliser les autres à l’importance de la cybercitoyenneté sans partager des informations fausses ou nuisibles?
