RSA – La sécurité de l’IdO répond aux besoins des PME

Quelques conseils que les entreprises peuvent adopter pour améliorer leur sécurité sans se ruiner

Cameron Camp

Au RSA , les petites et moyennes entreprises (PME) sont confrontées à l’énorme tâche de sécuriser l’explosion des appareils de l’IdO, désormais omniprésents dans l’environnement commercial. Dans le passé, l’IdO pouvait être largement ignoré dans un contexte commercial, mais ce n’est plus le cas aujourd’hui. Par exemple, une petite entreprise typique traite maintenant les cartes de crédit sur des appareils de base, et non sur du matériel de sécurité spécialement conçu à cette fin, et c’est un problème.

Alors que les appareils de l’IdO sont de plus en plus présents au sein des PME, il en va de même pour les problèmes de sécurité qu’ils amènent. Vos employés qui apportent leurs appareils de chez eux transportent maintenant des vulnérabilités potentielles pour travailler avec eux.

Pour lutter contre ce problème, comme l’a fait remarquer un fournisseur, le cycle de vie de la sécurité devient maintenant une préoccupation à laquelle les PME doivent s’arrêter. Avec les vulnérabilités potentielles d’une multitude de dispositifs ad hoc qui apparaissent dans les murs de votre entreprise (ou à l’extérieur des murs mais avec accès aux mêmes données), on ne sait pas quels dispositifs peuvent toucher vos données, mais ce ne seront pas simplement les PC d’hier. Qu’il s’agisse d’implémentations Linux ponctuelles via un DVR ou de la dernière version d’un gadget basé sur Android, la surface de sécurité se trouvent désormais partout et sur de multiples plateformes.

Le problème, c’est que la plupart des petites entreprises n’ont aucune idée de ce qu’est un cycle de vie de la sécurité, et encore moins de la façon de le mettre en œuvre ou même de le concevoir en premier lieu. De la découverte à l’intégration, en passant par la sécurisation, l’optimisation et la gestion des dispositifs, c’est une tâche ardue. Voici donc quelques mesures que les entreprises peuvent prendre pour s’améliorer sans se ruiner.

1.      Authentification multifactorielle : Que vous optiez pour des jetons matériels ou un logiciel de gestion de justificatifs d’identité, c’est une solution facile et peu couteuse. Les dispositifs de sécurité USB, par exemple, coûtent moins de 50 $ et sont très efficaces de nos jours. Il en va de même pour les logiciels qui offrent des fonctionnalités similaires, qui ne coûtent pas cher et qui renforceront considérablement la sécurité de votre organisation. De nos jours, le logiciel est beaucoup plus facile à comprendre – vous n’aurez pas besoin d’un diplôme de troisième cycle en cryptographie pour appuyer sur quelques boutons pour le faire fonctionner.

2.      Intelligence réseau : Puisque la majorité des appareils IoT se connectent à votre routeur de petite entreprise, si l’un d’entre eux est piraté à des activités malveillantes, les anomalies de trafic réseau représenteront un bon endroit pour commencer à rechercher les signes suspects. Et bien que vous puissiez théoriquement pirater ensemble quelques « Frankenbox » avec Linux durci dessus, vous n’avez pas besoin de le faire. Divers vendeurs ici ont de petits boîtiers que vous branchez à votre routeur sans fil et qui vous diront ce qu’il y a à faire. Qu’ils soient connectés dans le nuage pour évaluer les dernières menaces ou non, ces dispositifs vous avertiront lorsque quelque chose de douteux se présente et vous donneront un aperçu du comportement [du réseau] de vos dispositifs d’IdO.

3.      Sauvegardes : C’est le genre de mesures évidentes que vous pourriez avoir tendance à délaisser, jusqu’à ce que vous soyez affecté par un rançongiciel ou toute autre activité malveillante ou suspecte. Des sauvegardes simples et efficaces sont une mesure d’une efficacité et d’une simplicité peu commune. Certaines suites logicielles vous donnent même la possibilité de rejouer la suppression, la copie ou l’exfiltration de fichiers pendant une période prolongée, au cas où l’un de vos employés ou entrepreneurs volerait les joyaux de la couronne numérique. Encore une fois, vous n’avez pas besoin d’une vaste offre au niveau de l’entreprise (bien qu’il y en ait beaucoup ici aussi!). Vous pouvez commencer simplement et évoluer au fil du temps si vous en avez besoin. L’important, c’est d’avoir quelque chose. Vous serez heureux de l’avoir fait!

Que vous soyez nouveau dans le milieu de la petite entreprise ou que vous en soyez un vétéran, il y a certainement des leçons et des apprentissages à tirer de RSA, dont ces trois éléments qui contribueront grandement à assurer la sécurité des gens des PME sans amputer votre budget.

https://www.welivesecurity.com/fr/2019/03/06/rsa-ido-pme/

BREXIT:Bereidt u voor op elk scenario en ga aan de slag met digitalisering

   

Het Verenigd Koninkrijk moet de Europese Unie op 29 maart om 23.00 uur verlaten. Nog steeds weten we niet of dit daadwerkelijk gaat gebeuren. Hoe kunnen bedrijven zich voorbereiden met die onzekerheid?

Nu de Brexit rap dichterbij komt, vraagt het bedrijfsleven om meer zekerheid over de voorwaarden waaronder het Verenigd Koninkrijk uit de EU treedt. Maar de aanhoudende discussies over de uittredingsovereenkomst, met name rond de grens in Ierland, en het gedraal en gedraai in het Britse parlement maken de onzekerheid alleen nog maar groter.

Het totale aantal aangiften voor uitvoer zal volgens de Douane met een derde toenemen als de Britten de Europese douane-unie en interne markt verlaten. Naar verwachting stijgt het aantal invoeraangiften met bijna twintig procent. Voor veel Benelux bedrijven die goederen de Britse grens overbrengen, zal het de eerste keer zijn dat ze een aangifte moeten indienen.

De verandering in douaneformaliteiten voor dit enorme aantal transacties heeft een significante impact op supply chains en drijft de kosten verder op. En er is geen tijd meer te verliezen met het treffen van voorbereidingen voor een soepel cross-border proces volgens nieuwe douaneprocedures.

Brexit zorgt voor uitdagingen op meerdere gebieden. Wat kunnen bedrijven doen om de risico’s in hun supply chains te reduceren? Door hun internationale handels- en douaneprocessen te digitaliseren, kunnen ze zich snel aanpassen aan toekomstige veranderingen:

●       Exportcontroles: check goederen voor tweeërlei gebruik

Als het Verenigd Koninkrijk de EU verlaat, wordt het een derde land. Dat betekent dat vergunningen zijn vereist voor handel in goederen voor tweeërlei gebruik. Het implementeren van IT-oplossingen helpt om alle relevante exportcontroleprocedures te automatiseren en alle vergunningen efficiënt te beheren, zodat bedrijven altijd conform de regelgeving handelen.

●       Douanezaken: beheer van aangiften

Als de Brexit een feit is, zal het aantal douaneaangiften gigantisch toenemen. Of een bedrijf nu zijn eigen import- en exportprocedures afhandelt of een douaneagent inschakelt: IT-oplossingen zorgen voor automatisering en integratie van douaneprocessen. Dat leidt tot kostenbesparingen en een flexibele omgeving waarin elke aanpassing succesvol kan worden doorgevoerd.

●       Productclassificatie: bepaal juiste goederencodes

Alle wegen leiden naar Rome en minstens drie naar de juiste goederencode. Met automatische classificatie bespaart u veel tijd. Eenvoudiger kunt u uw medewerkers op de douaneafdeling niet ontlasten. Slimme IT-oplossingen helpen bedrijven hiermee om te gaan.

 Voor meer informatie over IT-oplossingen die hulp bieden in alle Brexit scenario's, bezoek AEB’s Brexit Toolkit voor Benelux bedrijven

Brexit levert serieuze uitdagingen op voor zowel ervaren handelsbedrijven als voor bedrijven die pas recent zijn gestart met exporteren of importeren. Maar in het digitale tijdperk biedt deze situatie ook de kans om de digitaliseringsagenda verder uit te rollen en een flexibel IT-landschap voor internationale handel op te zetten. Dat stelt bedrijven in staat om snel en eenvoudig nieuwe douaneprocedures en nieuwe douaneagenten te integreren. Dat bespaart tijd en geld, ongeacht de afloop van de Brexit.

Contact :

AEB Nederland

Michiel Sengers,

Marketing Manager

E-mail: michiel.sengers@aeb.com

Tel: +31 883131700

Google aims for password-free app and site logins on Android

Tomáš Foltýn

With FIDO2 certification for Android, Google is setting the stage for password-less app and website sign-ins on a billion devices

Android is now certified for the FIDO2 authentication standard, meaning that people who use Google’s mobile operating system may soon be able to forgo passwords when logging into apps and websites on their Android-powered devices, the Fast IDentity Online (FIDO) Alliance and Google announced on Monday.

Instead of passwords, Android users will be able to sign in with their device’s fingerprint reader or with a FIDO-compliant security key, according to the press release issued during the ongoing Mobile World Congress (MWC) in Barcelona, Spain.

“Web and app developers can now add FIDO strong authentication to their Android apps and websites through a simple API call, to bring passwordless, phishing-resistant security to a rapidly expanding base of end users who already have leading Android devices and/or will upgrade to new devices in the future,” reads the announcement, which also notes that “any compatible device running Android 7.0+ is now FIDO2 Certified out of the box or after an automated Google Play Services update”. Support for the FIDO2 authentication scheme is also already integrated into major web browsers.

However, there are additional requirements, starting with app and site developers, who will also need to implement support for FIDO2. Moreover, only the owners of devices running Android 7.0 or higher will be able to use their phones’ biometrics or log in with hardware-based dongles. In fact, many Android users already have experience with biometric authentication in apps, as many apps, for example in the banking sector, already support fingerprint and/or other password-free logins.

That said, there is a lot of room for growth, as around one-half of Android’s two billion users currently utilize Android 7.0 or newer.

Since biometric data can be harder to steal or crack than many passwords, obviating the need for passwords greatly enhances protection from phishing scams and other attacks that rely on pilfering users’ credentials. In addition, the authentication takes place on the device itself, meaning that no authentication data is transmitted to or held by the apps or websites – a benefit also highlighted by Christiaan Brand, an identity and security product manager at Google, in a statement for The Verge:

“The important, often overlooked, part of this technology is actually not allow users to use biometrics to sign in, but rather moving authentication from a ‘shared secret’ model – in which both you and the service you’re interacting with needs to know some ‘secret’ like your password – to an ‘asymmetric’ model where you only need to prove that you know a secret, but the remote service doesn’t actually get to know the secret itself”.

https://www.welivesecurity.com/2019/02/26/google-aims-password-free-app-site-logins-android/?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+eset%2Fblog+%28ESET+Blog%3A+We+Live+Security%29

Escalating DNS attacks have domain name steward worried

Tomáš Foltýn

The keeper of the internet’s ‘phone book’ is urging a speedy adoption of security-enhancing DNS specifications

The Internet Corporation for Assigned Names and Numbers (ICANN) – which supervises the Domain Name System (DNS) – is urging all DNS stakeholders to do their parts in order to enhance the security of one of the internet’s foundations.

The statement, adopted at an emergency meeting late last week, comes on the heels of reports that the DNS servers for a variety of prominent targets across the world have been subject to a rash of attacks known as DNS hijacking attacks. [To learn more about various types of DNS-based attacks, head over to this article.]

According to the organization that oversees the DNS ecosystem, these incidents represent “an ongoing and significant risk to key parts” of the system’s infrastructure. In January of this year, the United States’ Department of Homeland Security also sounded the alarm about the attacks.

By translating human-friendly domain names to computer-friendly IP addresses, DNS is central to the internet’s fabric. In other words, with DNS we only need to remember the name of the site we want to visit, rather than the relevant IP address. If the system’s security is compromised, however, cybercriminals can, for example, divert our traffic to any online venue instead of the intended destination, often with the aim of stealing personal data.

To foil attacks that tamper with the DNS infrastructure, ICANN is now urging domain owners and DNS services to deploy a set of specifications called Domain Name System Security Extensions (DNSSEC). At present, the implementation rate of specifications that ensure the validity of the data by digitally signing it is less than 20 percent, according to information from APNIC.

“Although DNSSEC cannot solve all forms of attack against the DNS, when it is used, unauthorized modification to DNS information can be detected, and users are blocked from being misdirected,” said ICANN.

https://www.welivesecurity.com/2019/02/25/escalating-dns-attacks-domain-name-worried/?utm_source=feedburner&utm_medium=email&utm_campaign=Feed%3A+eset%2Fblog+%28ESET+Blog%3A+We+Live+Security%29

La Suisse offre une récompense pour trouver des failles dans son système de vote électronique Tomáš Foltýn

Tomáš Foltýn

Parce que quiconque ayant des talents de piratage pourrait essayer de parvenir à lire les votes, voire même de carrément truquer le décompte des votes.

La Suisse invite les pirates éthiques (ou white hats) des quatre coins du globe à tenter de compromettre son futur système de vote électronique lors d’une élection simulée qui se déroulera sous peu. L’objectif est de détecter et de supprimer toutes les failles logicielles, avant que le système ne soit bel et bien utilisé.

Ce « test d’intrusion publique » s’amorcera le 25 février et se poursuivra jusqu’au 24 mars, date à laquelle l’urne sera déchiffrée et ouverte, selon l’annonce publiée sur le blog de la Poste Suisse, qui exploite le système.

« Un test d’intrusion est déjà effectué par un organisme accrédité dans le cadre du processus de certification. Le test d’intrusion publique a l’avantage supplémentaire d’inclure un grand nombre de personnes pour tester la sécurité d’un système, » peut-on lire dans la section du site Web consacrée à ce test.

Le site s’occupera également de la soumission des vulnérabilités que l’on peut trouver dans le système de vote électronique. Chaque faille découverte sera analysée par une société indépendante et pourra être récompensé par un montant allant jusqu’à 50 000 francs suisses (environ 50 000 $US), si elle mène à une attaque non détectée de manipulation du vote. Au total, 150 000 francs suisses seront à gagner.

Le test est ouvert à tous, où qu’on se trouve dans le monde. Pour participer, il suffit de s’inscrire sur le site dédié et de télécharger les fausses cartes de vote électronique associées.

La Suisse est connue pour avoir organisé de nombreux votes, en particulier des référendums sur des questions spécifiques. Rien qu’en 2018, les Suisses ont été appelés quatre fois aux urnes, pour un total de 10 référendums. Depuis 2004, la plupart des 26 cantons de Suisse permettent aux Suisses de l’étranger de voter par voie électronique à titre d’essai, et plusieurs cantons offrent la même possibilité aux résidents. Le gouvernement vise à faire du vote électronique un élément de plus en plus important dans le processus électoral du pays comme solution de rechange au vote en personne et au vote par correspondance.

Entre-temps, la sécurité des systèmes de vote électronique (et surtout, ses défaillances) est considérée comme une préoccupation sérieuse dans de nombreux pays. Le rapport des Tendances 2018 d’ESET a lui-aussi abordé les implications possibles pour la démocratie que font planer les faiblesses dans la sécurité des systèmes de vote en ligne.

https://www.welivesecurity.com/fr/2019/02/20/suisse-recompense-vote-electronique/

Siegeware : quand les criminels s’emparent de votre bâtiment intelligent

Stephen Cobb 

Le siegeware provient de cybercriminels combinant le concept des rançongiciels avec les systèmes d’automatisation des bâtiments. Résultat : abus de logiciels de contrôle des équipements pour menacer l’accès aux installations physiques

Supposons que vous soyez responsable des opérations pour une société immobilière gérant une douzaine d’immeubles dans plusieurs villes. Comment réagiriez-vous si vous receviez le message texte suivant sur votre téléphone?

« Nous avons piraté tous les systèmes de contrôle de votre immeuble du 400 Main Street et nous le bloquerons pendant trois jours si vous ne nous payez pas 50 000 $ en Bitcoin dans les 24 prochaines heures. »

Dans le présent scénario, on imagine que l’immeuble visé est l’une des nombreuses cliniques médicales haut de gamme du portefeuille de votre entreprise. Les bâtiments utilisent tous un système appelé BAS (Building Automation System), permettant de gérer à distance le chauffage, la climatisation et la ventilation (HVAC), ainsi que les alarmes et contrôles d’incendie, l’éclairage, les systèmes de sécurité, etc. Jusqu’à huit systèmes différents peuvent être accessibles à distance.

Dans ce scénario, si quelqu’un a en fait pris le contrôle du BAS, il est tout à fait possible que l’expéditeur du message de menace puisse mettre sa menace à exécution. Ce n’est pas qu’un scénario imaginaire. J’ai rencontré quelqu’un qui a reçu un tel message et ce n’était pas un canular. Lorsque sa compagnie a courageusement refusé de payer les attaquants, l’utilisation du bâtiment ciblé a effectivement été perturbée.

Le siegeware, un problème réel

Je n’écrirais pas sur cette forme de cybercriminalité si je pensais qu’on ne parlait que d’un seul incident isolé. Aucun chercheur en sécurité ne veut répandre une peur injustifiée ou donner des idées aux criminels. Mais il s’avère que les agents des forces de l’ordre qui ont été contactés pour obtenir de l’aide par le directeur des opérations dans cette affaire lui ont dit : « On a déjà vu ça avant. » En d’autres termes, ce n’était pas la première fois que des criminels tentaient d’utiliser ce type d’attaque et, à mon avis, il est préférable d’informer les victimes potentielles des menaces afin qu’elles puissent planifier comment se défendre contre elles, plutôt que d’espérer que ces menaces ne se concrétisent pas.

De toute évidence, prendre possession d’un immeuble et demander une rançon avant de redonner l’accès à ce dernier, en tirant parti de sa dépendance à l’égard d’un logiciel fait maintenant partie de l’arsenal croissant de techniques permettant de tirer profit de l’abus de la technologie. D’après mon expérience, le fait de donner un nom à différents types d’attaques permet de les faire connaître et de concentrer les efforts pour se défendre contre elles. Donc, au lieu de parler de « rançonner un immeuble en tirant parti de sa dépendance à l’égard des logiciels », je suggère que nous l’appelions siegeware (formé de la conjonction de « siege » et de « ware »), qu’on pourrait traduire littéralement par logiciel de siège.

Du néolithique jusqu’aux châteaux médiévaux et aux villes fortifiées, les structures humaines ont toujours été la cible d’activités répréhensibles, souvent assiégées par des agresseurs parce que leur accès est essentiel à leur fonctionnalité, que ce soit pour vivre, travailler, rencontrer, commercer, stocker des matériaux ou recevoir des soins médicaux. Aujourd’hui, les fonctionnalités de nombreux bâtiments – comme la possibilité de contrôler la température ambiante, les serrures de porte et les alarmes – sont contrôlées par un système d’automatisation du bâtiment (BAS).

De nombreux avantages pratiques et financiers peuvent découler de l’accès à distance à un BAS, mais lorsque vous combinez une intention criminelle avec un accès à distance mal protégé à un logiciel qui exécute un système d’automatisation de bâtiment, les siegeware sont une possibilité très réelle. En d’autres termes, le siegeware est la capacité codée de faire une demande crédible d’extorsion basée sur une fonctionnalité de bâtiment numérique déficiente.

Lisez le texte complet sur : https://www.welivesecurity.com/fr/2019/02/20/siegewares-batiment-intelligent/

Grootste nonprofit zorgdatanetwerk van Californië biedt zorgaanbieders beter zicht op patiëntinformatie

Manifest MedEx helpt grote zorgaanbieders om via HealthShare value-based zorg te leveren door data-eilanden te verbinden en innovatie te stimuleren

CAMBRIDGE, Massachusetts & SAN FRANCISCO, februari 2019  – InterSystems, een mondiale speler in databeheer voor zorgaanbieders, bedrijven en overheden, maakt bekend dat Manifest MedEx, een zorginformatieplatform dat real-time informatie levert voor de zorg aan miljoenen patiënten, InterSystems HealthShare heeft gekozen als basistechnologie voor haar nonprofit netwerk, het grootste en snelstgroeiende van de staat Californië.

HealthShare bestaat uit een serie gekoppelde oplossingen voor integrale patiëntendossiers en stelt Manifest MedEx in staat haar innovatieve databasemodel te blijven ontwikkelen. Dat model combineert miljoenen klinische en vergoedingsdossiers in een betrouwbare zorginformatietool voor alle aangesloten instellingen. Zorgaanbieders vragen steeds meer naar tools en informatie voor het administreren en helpen van patiënten die deelnemen aan value-based zorgprogramma’s en het leveren van proactieve, preventieve zorg.

Bij Manifest MedEx zijn meer dan 200 zorginstellingen aangesloten, waaronder meer dan 80 ziekenhuizen, en vijf van de grootste zorgverzekeraars van Californië, zoals Blue Shield en Anthem Blue Cross. Het netwerk biedt real-time informatie van meer dan 11 miljoen vergoedingendossiers en meer dan 5 miljoen klinische dossiers.

“Zorgorganisaties hebben behoefte aan een datatool die aansluit bij hun werkprocessen, en ze willen een flexibel, betrouwbaar netwerk, dat de patiënt snel en kosteneffectief ondersteunt. We werken samen met InterSystems aan een totaal nieuwe aanpak van zorginformatie,” zegt Claudia Williams, CEO van Manifest MedEx. “Het koppelen van data-eilanden is nog maar de eerste stap naar zorgvernieuwing en zal uiteindelijk de gezondheid van de patiënt ten goede komen.”

Manifest MedEx heeft drie primaire productlijnen waarmee aangesloten organisaties hun kosten kunnen drukken en de ervaring van patiënt en zorgverlener verbeteren.

·         MX Notify is een instelbare tool voor real-time meldingen van opname, ontslag en verplaatsingen, waarmee zorgleveranciers direct kunnen zien wanneer een patiënt in het ziekenhuis is geweest, zodat ze tijdig hulp kunnen bieden.

·         MX Access biedt een integraal, gebruiksvriendelijk overzicht van klinische en vergoedingsdossiers over een periode van vijf tot zeven jaar. Daarmee kunnen zorgverleners een groot aantal gegevenstypen van uiteenlopende bronnen bekijken, wat resulteert in een completer en betrouwbaarder beeld van de medische historie van patiënten.

·         MX Analyze is een binnenkort beschikbare tool voor risico-inschatting en kwaliteitsmeting voor zorgbeheer van grotere populaties.

Dankzij de nieuwe samenwerking met InterSystems en het gebruik van of HealthShare kan Manifest MedEx nu een brede verscheidenheid aan datatypen van uiteenlopende bronnen combineren en ze in één helder overzicht aan zorgverleners aanbieden.

J2 Interactive was implementatiepartner voor de migratie van het oude systeem naar HealthShare.

“Manifest MedEx is een pionier in het opzetten van systeemkaders voor zorginformatie,” zegt Don Woodlock, Vice President HealthShare van InterSystems. “Hun inspanningen om bruikbare informatie en meldingen te genereren uit enorme hoeveelheden heterogene gegevens is van cruciaal belang voor leveranciers in de frontlinies van de patiëntenzorg.”

Over Manifest MedEx
Manifest MedEx is het grootste nonprofit zorgdatanetwerk van de staat Californië en levert real-time informatie om zorgaanbieders te ondersteunen in hun dagelijkse activiteiten voor miljoenen patiënten. Samen met die zorgaanbieders transformeren we de medische zorg van Californië en versterken we de positie van de staat als leider in betaalbare, proactieve en betrokken medische zorg. Ga voor meer informatie naar www.manifestmedex.org.

Over InterSystems
InterSystems is de informatiemotor achter een aantal van ’s werelds belangrijkste applicatieplatforms. De onderneming is sinds 1978 leveranciers van strategische technologie voor sectoren als gezondheidszorg, financiële dienstverlening, overheid en andere sectoren waarin het over mensen en kwaliteit van leven gaat. InterSystems is een private onderneming met haar hoofdzetel in Cambridge, Massachusetts en kantoren over de hele wereld. De producten van InterSystems worden dagelijks gebruikt door en voor miljoenen mensen in meer dan 80 landen.