Il y a de fortes chances que votre entreprise dispose à la fois d'une plateforme de commerce électronique et d'un système de gestion de contenu. Peut-être qu'ils sont une seule et même chose. Ensemble, ces technologies dynamisent votre entreprise, responsabilisant vos clients, votre personnel de vente et vos partenaires. Le système de gestion de contenu (CMS) leur donne des informations ; la plate-forme de commerce électronique gère les transactions. Facile.

Cependant, ces technologies peuvent également être une cible, fournissant tout ce qu'un acteur malveillant veut, des secrets commerciaux (tels que les inventaires et les fiches de remise des prix), des listes de partenaires et de fournisseurs, des codes de réduction et même des informations sensibles sur les clients.

Que vos plateformes de commerce électronique et vos CMS soient combinés dans une suite complète tout-en-un, ou qu'il s'agisse de systèmes disparates intégrés ensemble, les risques et les points faibles potentiels sont essentiellement les mêmes. Si vous avez intégré des plateformes de commerce électronique et de CMS, non seulement votre technologie dispose désormais de multiples sources potentielles d'intrusion, mais les points d'intégration eux-mêmes peuvent être vulnérables aux attaques, ou du moins à l'espionnage. Si vous disposez d'un système tout-en-un, une seule vulnérabilité exploitée ou une brèche activée par le phishing pourrait tout donner aux cybercriminels d'un seul coup.

Pour cette discussion, supposons que votre entreprise suit des bonnes pratiques de cybersécurité, comme l'application de correctifs et de correctifs aux systèmes d'exploitation, aux applications, aux pilotes et aux bibliothèques. Défaut de faire ces mises à jour en temps opportun est une des principales causes d'infractions. Supposons également que vous employiez cryptage de pointe pour les données en transit et modifiez tous les mots de passe d'accès et d'administration par défaut pour vos serveurs, routeurs et services.

Avec cela comme base de référence, parlons de sept étapes spécifiques qui sont particulièrement bien adaptées aux CMS et aux plateformes de commerce électronique.

Rassemblez le moins d'informations client possible

Faites ensuite attention où (et comment) vous stockez ces données. Si vous volez les numéros de carte de crédit ou les informations médicales d'un client, l'impact sur le marché, les sanctions civiles et la publicité négative pourraient vous mettre en faillite. Oh, n'oubliez pas les amendes HIPAA et GDPR, selon quoi et où vos données sont volées.

Faites attention à ce que vous stockez sur les serveurs Internet

Oui, votre plate-forme de commerce électronique doit connaître les niveaux de stock et les remises sur les prix afin de faciliter le commerce électronique. Et si les concurrents pouvaient récupérer ces informations dans un ensemble bien rangé ? Ils pourraient être en mesure d'utiliser vos données commerciales contre vous.

Surveiller les listes de menaces du jour zéro et autres vulnérabilités

Vous pouvez commencer par celui publié par des organismes comme le Agence de cybersécurité et de sécurité des infrastructures. Il ne suffit pas de recevoir des rapports d'évaluation des menaces, bien sûr. Ils doivent être lus et mis en pratique. Un problème avec un très grand impact est apparu, par exemple, dans le populaire Bibliothèque Log4j il n'y a pas longtemps. Chaque organisation qui utilise Log4j devait mettre à jour immédiatement vers la version 2.16 ou ultérieure. Y a-t-il quelqu'un dans votre organisation chargé de connaître ce genre d'incident ? Sinon, il y a une vulnérabilité juste là.

Utiliser les outils et services de test d'intrusion

Que votre logiciel soit prêt à l'emploi, adapté par des consultants ou développé en interne, vous ne savez pas à quel point il est sécurisé à moins de tester, tester, tester. Effectuez régulièrement des tests de stylet et à fond ; non seulement les systèmes deviennent moins sécurisés s'ils ne sont pas correctement entretenus (voir le premier point), mais votre paysage de services change également et les attaquants deviennent également plus sophistiqués. Si vous n'avez pas fait de test de stylo récemment ou si vous n'avez pas fait appel à une entreprise spécialisée pour évaluer vos défenses, vous ne savez pas ce que vous ne savez pas.

Vérifiez les fournisseurs de logiciels et insistez pour qu'ils suivent des pratiques de codage sécurisées

Si vous utilisez des services cloud, examinez-les attentivement. Considérez tout. Par exemple, la société CMS pour laquelle je travaille est certifiée au plus haut niveau pour ses pratiques de sécurité, conformément aux protocoles de sécurité ISO 27001. Ces protocoles incluent des révisions régulières du code, un contrôle d'accès strict, la détection des anomalies et des tests de sécurité rigoureux. Vous ne devriez rien attendre de moins de chaque fournisseur.

Vérifiez auprès des banques et des processeurs de paiement pour vous assurer que vous le faites correctement

Il existe de nombreuses pratiques pour travailler avec les transferts ACH et les paiements par carte de crédit. Certaines d'entre elles semblent évidentes, telles que l'utilisation des valeurs CVV sur les cartes de crédit et la vérification que les adresses de livraison correspondent à l'adresse du compte bancaire, mais les plates-formes de commerce électronique peuvent ne pas activer ces niveaux de validation supplémentaires par défaut. Je suggérerais également fortement d'utiliser un service spécialisé dans les transactions de paiement. Ces services seront certifiés selon PCI DSS exigences et vous pouvez vous concentrer sur vos compétences de base.

Enregistrez tout et analysez ces journaux pour détecter les anomalies et les schémas d'attaque

Chaque transaction, chaque connexion privilégiée au CMS ou à la plate-forme de commerce électronique, chaque erreur causée par la saisie d'un mauvais mot de passe par quelqu'un doit être enregistrée. Ne faites pas confiance aux humains pour comprendre ces journaux, soit dit en passant ; les attaques modernes peuvent être à la fois rapides et subtiles, et il y a trop de données à corréler pour les modèles. Utilisez des outils d'apprentissage automatique pour surveiller les événements et les journaux, et comme dans le quatrième point ci-dessus, assurez-vous que quelqu'un est responsable de la réception, de la lecture et du suivi de ces rapports.

Suivez ces sept étapes, et vos plateformes CMS et e-commerce seront plus sécurisées et plus fiables que jamais. Ces étapes sont-elles raisonnables ? Oui. Sont-ils faciles ? Une fois que les systèmes sont en place pour travailler en toute sécurité et fonctionner en toute sécurité, oui. Vos clients, fournisseurs et partenaires veulent que vos systèmes soient sûrs. Mettons-nous au travail.