Services de cybersécurité au Rwanda

Ce que couvre ce service

Nous envisageons la sécurité en quatre couches, auxquelles correspondent les services.

Connaître son exposition. Une évaluation de cybersécurité est le point de départ de la plupart des projets : un examen structuré de ce que vous utilisez, de sa configuration et des voies d’attaque réalistes. Elle produit une liste de corrections classées, pas un rapport alarmiste.

Protéger le réseau. La sécurité réseau sépare les systèmes pour qu’un appareil compromis ne puisse pas atteindre tout le reste. La configuration de pare-feu renforce la frontière avec la prévention des intrusions, des règles strictes et une journalisation utile. Le volet routage et connectivité du même équipement est traité dans la rubrique infrastructure informatique.

Protéger les appareils et les identités. La sécurité des postes de travail installe une protection gérée sur chaque ordinateur portable, poste fixe et serveur. La gestion des identités et des accès contrôle qui peut accéder à quoi, appliqué par le système plutôt que confié à la mémoire. Microsoft Defender déploie et ajuste la protection que beaucoup d’organisations possèdent déjà avec Microsoft 365.

Maintenir le dispositif. Les politiques de sécurité donnent au personnel des règles courtes et précises qu’il peut suivre. La surveillance de la sécurité guette les signes qu’un pare-feu seul ne détecte pas.

Les obligations que les organisations rwandaises doivent connaître

Ici, la sécurité n’est pas qu’une décision technique, car deux ensembles de règles peuvent déjà s’appliquer à vous.

Protection des données. La loi rwandaise N° 058/2021 relative à la protection des données à caractère personnel et de la vie privée s’applique à toute organisation qui traite des données personnelles. Elle impose aux responsables et sous-traitants du traitement de s’enregistrer auprès de l’Autorité nationale de cybersécurité (NCSA). En cas de violation, le responsable du traitement doit en informer la NCSA dans les 48 heures après en avoir pris connaissance (article 43). En pratique, respecter ce délai de 48 heures est impossible sans journalisation, surveillance et procédure d’incident déjà en place avant la violation.

Règles du secteur financier. Les banques, institutions de microfinance et autres établissements supervisés par la Banque nationale du Rwanda relèvent de son règlement n° 50/2022 sur la cybersécurité dans les institutions réglementées. Ce règlement fixe des attentes en matière de gouvernance, de gestion des risques, de contrôles techniques et de signalement des incidents. Nous alignons les évaluations et plans de correction sur vos obligations, en travaillant avec votre équipe conformité plutôt qu’à sa place.

Nous ne sommes pas juristes et ne donnons pas d’avis juridique. Notre rôle est de nous assurer que les contrôles techniques existent pour répondre à l’obligation que vous indiquent vos conseillers juridiques ou conformité.

Les failles que nous trouvons le plus souvent

D’une évaluation à l’autre, les mêmes problèmes reviennent bien plus souvent que les attaques sophistiquées :

• L’authentification multifacteur non imposée sur la messagerie, si bien qu’un seul mot de passe hameçonné ouvre tout.
• Des comptes administrateur partagés dont le mot de passe n’a pas changé depuis l’installation du système.
• Des systèmes non mis à jour, surtout les serveurs et équipements réseau dont personne n’est responsable.
• Des réseaux à plat, où le Wi-Fi invités peut atteindre le serveur de la comptabilité.
• Des sauvegardes stockées sur le même réseau que celui qu’un attaquant chiffrerait.
• Des comptes d’anciens employés encore actifs des mois après leur départ.

Aucun de ces problèmes n’exige un produit exotique. La plupart demandent simplement que quelqu’un en prenne la responsabilité, modifie la configuration et vérifie qu’elle reste corrigée.

À quoi ressemble une première année réaliste

Pour une organisation type de 20 à 100 personnes sans spécialiste sécurité, la première année se déroule généralement en trois étapes.

Le premier mois comble les failles rapides et importantes : authentification multifacteur sur la messagerie, suppression des comptes obsolètes, changement des mots de passe par défaut des équipements réseau et déplacement des sauvegardes hors de portée d’un rançongiciel.

Les trois à six mois suivants traitent le travail de fond : découper le réseau en zones, déployer une protection gérée sur tous les postes et rédiger les quelques politiques qui font durer les nouveaux contrôles.

Le reste de l’année porte sur la visibilité : centraliser les journaux, mettre en place des alertes que quelqu’un lit réellement et organiser un exercice sur table pour que la procédure d’incident ait été pratiquée avant d’en avoir besoin.

L’ordre compte davantage que la vitesse. Chaque étape rend la suivante moins coûteuse et plus efficace.

Comment se déroule un projet

Évaluer. Nous examinons vos contrôles, systèmes, comptes utilisateurs et incidents passés, même mineurs. Le résultat est une liste priorisée : ce qui est urgent, ce qui est important mais peut attendre, et ce qui présente peu de risque.

Concevoir. La plupart des organisations ne peuvent pas tout corriger en un seul projet et ne devraient pas essayer. Nous planifions les corrections en phases que vous pouvez budgéter, en commençant par les changements qui réduisent le plus de risque par franc dépensé.

Déployer. Nous mettons en œuvre les contrôles convenus dans cet ordre, en testant chaque changement pour que les améliorations de sécurité ne cassent pas les systèmes dont le personnel dépend.

Sécuriser. La sécurité traverse chaque étape plutôt que d’en être une à part. Chaque changement est vérifié par rapport au risque qu’il devait réduire.

Accompagner. La surveillance, des réévaluations périodiques et la révision des politiques suivent l’évolution de vos systèmes et des menaces qui les visent.

À qui s’adresse ce service

Les banques et IMF sont soumises à une réglementation spécifique en cybersécurité et traitent des données activement ciblées par les attaquants.

Les ONG et organisations internationales détiennent des données de bailleurs et de bénéficiaires, souvent au-delà des frontières et dans des conditions de connectivité difficiles.

Les écoles, hôpitaux et cliniques détiennent des dossiers personnels sensibles et fonctionnent souvent avec très peu de personnel informatique.

Les hôtels traitent à la réception les données de paiement et les pièces d’identité des clients.

Les administrations publiques ont des exigences de conformité et sont des cibles fréquentes.

Les PME pensent souvent être trop petites pour être visées. Ce n’est pas ainsi que fonctionnent les attaques automatisées : elles recherchent des configurations faibles, pas une taille d’entreprise.

Ce dont nous aurons besoin de votre part

• Une vision honnête de ce que vous utilisez : pare-feu, antivirus ou outils de protection des postes, et si l’authentification multifacteur est activée quelque part.
• Les incidents passés, même mineurs, comme un compte hameçonné ou un ordinateur infecté.
• La liste des systèmes les plus importants et des données qu’ils contiennent.
• Un interlocuteur habilité à autoriser des modifications sur les systèmes en production, car certaines corrections touchent des outils utilisés chaque jour.
• Si vous êtes réglementé, les conclusions d’audits ou d’examens du régulateur précédents.