Protocoles de sécurité pour les sites web WordPress Procédure opérationnelle standard (POS)

Mesures de sécurité à prendre en compte lors de la gestion d'un site web WordPress

Dans le cadre de votre engagement permanent en faveur de la protection des actifs numériques et de l'amélioration de la sécurité des sites web, nous mettons en œuvre des protocoles de sécurité complets pour la gestion des sites web WordPress. Ces mesures sont conçues pour protéger contre les accès non autorisés et garantir que votre équipe adhère aux meilleures pratiques en matière de sécurité numérique.

Introduction de l'authentification à deux facteurs (2FA)

La pierre angulaire du protocole de sécurité est l'utilisation obligatoire de l'authentification à deux facteurs (2FA). Cette couche supplémentaire de sécurité garantit que l'accès à votre backend WordPress est étroitement contrôlé et n'est accessible qu'au personnel autorisé. Le fait d'exiger un deuxième formulaire de vérification peut réduire considérablement le risque d'accès non autorisé.

Plus de mots de passe dans les navigateurs

Pour sécuriser davantage votre environnement numérique, mettez en place une politique interdisant de sauvegarder les mots de passe des navigateurs. Bien que pratique, cette pratique présente un risque pour la sécurité. Il serait préférable d'encourager l'utilisation de gestionnaires de mots de passe sécurisés pour stocker les mots de passe, afin d'améliorer la sécurité et la commodité sans compromis.

Connexions Web sécurisées obligatoires

Conscient des vulnérabilités associées aux connexions Internet publiques, vous devez exiger de tous les membres de votre équipe qu'ils utilisent des connexions Web sécurisées lorsqu'ils gèrent vos sites WordPress. Cela signifie utiliser des VPN et éviter à tout prix les réseaux Wi-Fi publics. Tout écart par rapport à cette politique fera l'objet de mesures disciplinaires strictes afin de maintenir vos normes de sécurité élevées.

Documentation détaillée du site web

Chaque membre de l'équipe tiendra à jour un document détaillé pour chaque site WordPress qu'il gère. Ce document comprendra une liste complète des plugins installés, des utilisateurs actuels et un journal des analyses mensuelles manuelles, entre autres informations essentielles. Cette initiative vise à maintenir la transparence et à faciliter la gestion efficace de vos sites web.

Installation et gestion des plugins

Dans le cadre de votre engagement à maintenir un environnement WordPress sécurisé, l'installation de nouveaux plugins ou la suppression de plugins existants nécessitera désormais une autorisation écrite expresse. Cette politique empêche les changements non autorisés qui pourraient introduire des vulnérabilités. Les plugins de gestion de fichiers, connus pour leurs risques en matière de sécurité, sont strictement interdits.

S'engager pour la sécurité

Ces améliorations du protocole de gestion des sites web WordPress reflètent votre engagement inébranlable en faveur de la sécurité. En mettant en œuvre ces mesures, vous pouvez viser à protéger vos actifs numériques et l'intégrité des informations qui vous sont confiées, à vous, à vos clients ou aux membres de votre équipe.

Comprenez que l'adaptation à ces changements peut nécessiter une période d'ajustement. Toutefois, les avantages à long terme - une sécurité accrue, une meilleure conformité et une infrastructure numérique plus robuste - l'emportent largement sur les inconvénients initiaux.

Nous avons élaboré une procédure opérationnelle standard (POS) pour le modèle de protocoles de sécurité des sites Web WordPress que vous pouvez télécharger ici au format PDF.

Nous avons également dressé la liste ci-dessous si vous souhaitez faire un copier-coller.

Procédure opérationnelle standard (POS) pour les protocoles de sécurité des sites web WordPress

Contrôle des documents

• Version : 1.0
• Date : 04/08/2024
• Propriétaire du document :
• Approbation :

Objectif

Cette SOP décrit les protocoles de sécurité pour la gestion des sites web WordPress afin de les protéger contre les accès non autorisés et les menaces potentielles à la sécurité. L'accent est mis sur l'activation de l'authentification à deux facteurs (2FA) et sur la prévention de l'enregistrement des mots de passe dans les navigateurs.

Champ d'application

Cette procédure s'applique à tous les membres du personnel qui gèrent, entretiennent ou accèdent au backend du site web WordPress.

Responsabilités

• Administrateurs de sites web : Responsables de l'application des protocoles de sécurité.
• Équipe de sécurité informatique : Elle apporte son soutien et supervise la mise en œuvre des mesures de sécurité.
• Tous les utilisateurs : Respecter les protocoles de sécurité.

Procédure

1. Authentification à deux facteurs (2FA)
   
   • Mise en œuvre :
     1. Installez et activez un plugin 2FA, tel que "Two Factor Authentication" ou "Wordfence Security".
     2. Accédez aux paramètres du plugin et activez le 2FA pour tous les rôles d'utilisateur.
     3. Choisissez la méthode 2FA préférée (par exemple, e-mail, SMS, application d'authentification) et configurez-la en conséquence.
   • Inscription de l'utilisateur :
     1. Informer tous les utilisateurs de l'obligation d'utiliser le 2FA par le biais d'une communication officielle.
     2. Fournir un guide étape par étape ou une session de formation sur la mise en place de 2FA.
     3. Fixez une date limite pour que tous les utilisateurs activent le 2FA sur leurs comptes.
   • Contrôle de conformité :
     1. Vérifier régulièrement les comptes utilisateurs pour s'assurer que la fonction 2FA est activée.
     2. Traiter rapidement les problèmes de conformité ou les difficultés rencontrées par les utilisateurs.
2. Pas de mots de passe enregistrés dans les navigateurs
   
   • Lignes directrices :
     1. Sensibiliser les utilisateurs aux risques liés à l'enregistrement des mots de passe dans les navigateurs.
     2. Encourager l'utilisation d'un gestionnaire de mots de passe sécurisé pour stocker les mots de passe.
     3. Mettre en œuvre des solutions techniques pour bloquer l'enregistrement des mots de passe dans les navigateurs, si possible.
   • Conformité :
     1. Effectuer des audits périodiques pour s'assurer du respect de la présente politique.
     2. Fournir un soutien et des alternatives aux utilisateurs pour une gestion sécurisée des mots de passe.

Autres bonnes pratiques

• Mises à jour régulières : Veillez à ce que le noyau, les thèmes et les plugins de WordPress soient régulièrement mis à jour.
• Mots de passe forts : Obliger l'utilisation de mots de passe forts pour tous les comptes.
• Limiter les tentatives de connexion : Installez un plugin pour limiter les tentatives de connexion et bloquer les adresses IP après plusieurs tentatives infructueuses.
• Gestion des rôles des utilisateurs : Attribuer aux utilisateurs les autorisations minimales nécessaires à l'accomplissement de leurs tâches.
• Certificat SSL : Utilisez un certificat SSL pour crypter les données transmises vers et depuis votre site web.
• Sauvegardes de sites web : Programmez des sauvegardes régulières de votre site web et stockez-les en toute sécurité.
• Audits de sécurité : Réaliser périodiquement des audits de sécurité et des tests de pénétration afin d'identifier les vulnérabilités et d'y remédier.

Exigences en matière de documentation du site web

• Déclaration de politique générale : Chaque membre de l'équipe est tenu de conserver un document détaillé pour chaque site WordPress qu'il gère. Ce document constitue un dossier complet qui comprend, entre autres, les informations suivantes :
  • Plugins : Une liste de tous les plugins installés, leur fonction et la date de la dernière mise à jour. Cette section doit également mentionner toutes les personnalisations ou tous les paramètres spécifiques relatifs au fonctionnement du plugin.
  • Utilisateurs actuels : Une liste à jour de tous les utilisateurs ayant accès au backend de WordPress, y compris leurs rôles et la date à laquelle ils ont été ajoutés. Des audits réguliers doivent être effectués pour s'assurer que seuls les utilisateurs autorisés y ont accès.
  • Mesures de sécurité : Toutes les mesures de sécurité spécifiques mises en œuvre sur le site, y compris les configurations 2FA, les certificats SSL et les règles de pare-feu personnalisées.
  • Analyses mensuelles manuelles : Un journal des analyses mensuelles manuelles effectuées à l'aide d'Immunify ou d'un outil similaire, comprenant la date de l'analyse et toutes les constatations ou mesures prises à la suite de celle-ci.
  • Journal des modifications : Un journal des changements détaillé de toutes les mises à jour, modifications ou actions significatives effectuées sur le site, y compris la date et la personne responsable.

Installation et gestion des plugins

• Déclaration de politique générale : En aucun cas un membre de l'équipe ne doit installer, mettre à jour ou supprimer des plugins sans l'autorisation écrite expresse d'une autorité désignée au sein de l'organisation. Cette politique vise à empêcher toute modification non autorisée susceptible de compromettre la sécurité ou la fonctionnalité du site.
  
  • Procédure d'exception : Les demandes d'installation ou de mise à jour de plugins doivent être soumises par écrit à l'autorité désignée, avec une justification de la demande et une évaluation des implications potentielles en termes de sécurité.
  • Plugins interdits : L'utilisation de plugins de gestion de fichiers ou de tout autre plugin connu pour présenter des failles de sécurité est strictement interdite. Cela inclut, sans s'y limiter, les plugins qui permettent la manipulation directe de fichiers dans le tableau de bord de WordPress.

Conformité et application

• Contrôle et audits : Des audits réguliers garantiront le respect de ces procédures d'exploitation normalisées. Il s'agit notamment d'examiner la documentation du site web pour s'assurer qu'elle est complète, de vérifier l'autorisation des plugins installés et de veiller à ce que des analyses manuelles soient effectuées selon les besoins.
• Non-conformité : Tout écart par rapport à ces procédures d'exploitation normalisées sera traité immédiatement. Le non-respect de cette procédure peut entraîner des mesures disciplinaires, y compris la révocation des privilèges d'accès au site web et un éventuel licenciement.

Formation et sensibilisation

• Formation régulière : Tous les membres de l'équipe recevront une formation régulière sur cette procédure d'exploitation standard, notamment sur l'importance de la sécurité dans la gestion des sites web, sur la procédure à suivre pour les demandes d'installation de plugins et sur la manière de procéder à des analyses manuelles efficaces.
• Campagnes de sensibilisation : Des campagnes de sensibilisation permanentes renforceront l'importance du respect des protocoles de sécurité et de la tenue d'une documentation détaillée sur les activités de gestion du site web.

Exigence d'une connexion web sécurisée

Déclaration de politique générale

Afin de garantir le plus haut niveau de sécurité et de se protéger contre les accès non autorisés et les failles de sécurité potentielles, tous les membres de l'équipe doivent accéder au backend de WordPress ou effectuer toute activité de gestion du site web via une connexion web sécurisée. Les connexions internet publiques, qui sont par nature non sécurisées et vulnérables à l'interception, sont strictement interdites.

Lignes directrices pour une connexion sécurisée

• Utilisation d'un réseau privé virtuel (VPN) : Lorsqu'ils accèdent au site web à distance, les utilisateurs doivent utiliser un réseau privé virtuel (VPN) pour s'assurer que leur connexion est sécurisée et cryptée. Le service informatique peut recommander des services VPN approuvés.
• Sécurité Wi-Fi : Pour ceux qui accèdent au site depuis leur domicile ou un réseau privé, assurez-vous que le réseau Wi-Fi est sécurisé par un cryptage WPA2 ou WPA3 et que le mot de passe du réseau est fort et unique.
• Interdiction des réseaux publics : En aucun cas un membre de l'équipe ne doit utiliser un réseau Wi-Fi public (par exemple, cafés, bibliothèques, hôtels) pour accéder au tableau de bord de WordPress, effectuer des mises à jour ou gérer du contenu. Cela inclut l'utilisation d'un téléphone portable sur les réseaux Wi-Fi publics.

Conformité et application

• Surveillance et détection : L'équipe de sécurité informatique mettra en œuvre des solutions de surveillance pour détecter et alerter sur toute tentative d'accès aux outils de gestion du site web à partir de réseaux non sécurisés ou publics.
• Mesures disciplinaires : Tout membre de l'équipe en infraction avec cette politique fera l'objet de mesures disciplinaires immédiates, pouvant aller jusqu'au licenciement. Cette application stricte est nécessaire pour protéger l'intégrité et la sécurité de nos actifs numériques.

Responsabilité des utilisateurs et rapports

• Responsabilité personnelle : Tous les utilisateurs sont personnellement responsables de la sécurité de leur connexion web lorsqu'ils accèdent au backend du site web. L'ignorance de la politique ou les difficultés techniques ne seront pas considérées comme des excuses valables pour le non-respect de la politique.
• Signalement d'incidents : Les utilisateurs sont encouragés à signaler les incidents où les protocoles de connexion sécurisée au web ont pu être violés, intentionnellement ou non. Un signalement rapide peut contribuer à atténuer les risques potentiels pour la sécurité.

Formation et sensibilisation

• Formation continue : L'organisation fournira une formation continue et des ressources à tous les membres de l'équipe sur la sécurisation de leur connexion internet, les risques associés aux réseaux publics et la manière d'utiliser efficacement les VPN.
• Campagnes de sensibilisation à la sécurité : Des campagnes de sensibilisation seront régulièrement menées afin de renforcer l'importance de cette politique et de tenir tous les membres de l'équipe informés des meilleures pratiques pour maintenir une connexion web sécurisée.