Protocole SOP de sécurité pour site WordPress

Mesures de sécurité que vous devez prendre en compte lors de la gestion d’un site Web WordPress

Dans le cadre de votre engagement continu à protéger les actifs numériques et à améliorer la sécurité des sites Web, nous mettons en œuvre des protocoles de sécurité complets pour la gestion des sites Web WordPress. Ces mesures sont conçues pour protéger contre les accès non autorisés et garantir que votre équipe adhère aux meilleures pratiques en matière de sécurité numérique.

Présentation de l’authentification à deux facteurs (2FA)

La pierre angulaire du protocole de sécurité est l’utilisation obligatoire de l’authentification à deux facteurs (2FA). Cette couche de sécurité supplémentaire garantit que l’accès à votre backend WordPress est étroitement contrôlé et accessible uniquement au personnel autorisé. L’exigence d’un deuxième formulaire de vérification peut réduire considérablement le risque d’accès non autorisé.

Plus de mots de passe dans les navigateurs

Pour sécuriser davantage votre environnement numérique, appliquez une politique interdisant l’enregistrement des mots de passe du navigateur. Bien que pratique, cette pratique présente un risque pour la sécurité. Il serait préférable d’encourager l’utilisation de gestionnaires de mots de passe sécurisés pour stocker les mots de passe, améliorant ainsi la sécurité et la commodité sans compromis.

Connexions Web sécurisées obligatoires

Reconnaissant les vulnérabilités associées aux connexions Internet publiques, vous devez exiger que tous les membres de l’équipe utilisent des connexions Web sécurisées lors de la gestion de vos sites WordPress. Cela signifie utiliser des VPN et éviter à tout prix les réseaux Wi-Fi publics. Tout écart par rapport à cette politique fera l’objet de mesures disciplinaires strictes afin de maintenir vos normes de sécurité élevées.

Documentation détaillée du site Web

Chaque membre de l’équipe maintiendra un document détaillé pour chaque site WordPress qu’il gère. Ce document comprendra une liste complète des plugins installés, des utilisateurs actuels et un journal des analyses mensuelles manuelles, entre autres informations critiques. Cette initiative vise à maintenir la transparence et à faciliter la gestion efficace de vos sites web.

Installation et gestion du plugin

Dans le cadre de votre engagement à maintenir un environnement WordPress sécurisé, l’installation de nouveaux plugins ou la suppression de plugins existants nécessitera désormais une autorisation écrite expresse. Cette politique empêche les modifications non autorisées susceptibles d’introduire des vulnérabilités. Les plugins de gestion de fichiers, connus pour leurs risques de sécurité, sont strictement interdits.

S’engager en matière de sécurité

Ces améliorations du protocole de gestion de site Web WordPress reflètent votre engagement inébranlable envers la sécurité. En mettant en œuvre ces mesures, vous pouvez viser à protéger vos actifs numériques et l’intégrité des informations qui vous sont confiées, ainsi qu’à vos clients ou aux membres de votre équipe.

Comprenez que l’adaptation à ces changements peut nécessiter une période d’ajustement. Cependant, les avantages à long terme (sécurité renforcée, conformité améliorée et infrastructure numérique plus robuste) l’emportent de loin sur les inconvénients initiaux.

Nous avons élaboré une procédure d’exploitation standard (SOP) pour le modèle de protocoles de sécurité de site Web WordPress pour que vous puissiez télécharger ici en format PDF .

Nous avons également répertorié ci-dessous si vous souhaitez copier et coller.

Procédure opérationnelle standard (SOP) pour les protocoles de sécurité des sites Web WordPress

Contrôle des documents

• Version: 1.0
• Date: 04/08/2024
• Propriétaire du document :
• Approbation:

But

Cette POS décrit les protocoles de sécurité pour la gestion des sites Web WordPress afin de se protéger contre les accès non autorisés et les menaces de sécurité potentielles. L’objectif principal est d’activer l’authentification à deux facteurs (2FA) et d’empêcher l’enregistrement des mots de passe dans les navigateurs.

Portée

Cette procédure s’applique à tous les membres du personnel qui gèrent, maintiennent ou accèdent au backend du site Web WordPress.

Responsabilités

• Administrateurs du site Web : Responsable de l’application des protocoles de sécurité.
• Équipe de sécurité informatique : Fournir un soutien et superviser la mise en œuvre des mesures de sécurité.
• Tous les utilisateurs : Respectez les protocoles de sécurité.

Procédure

1. Authentification à deux facteurs (2FA)
   
   • Implémentation:
     1. Installez et activez un plugin 2FA, tel que « Authentification à deux facteurs » ou « Wordfence Security ».
     2. Accédez aux paramètres du plugin et activez 2FA pour tous les rôles d’utilisateur.
     3. Choisissez la méthode 2FA préférée (par exemple, e-mail, SMS, application d’authentification) et configurez-la en conséquence.
   • Inscription de l’utilisateur :
     1. Informez tous les utilisateurs de l’exigence 2FA par le biais d’une communication officielle.
     2. Fournissez un guide étape par étape ou une session de formation sur la configuration de 2FA.
     3. Fixez une date limite pour que tous les utilisateurs puissent activer 2FA sur leurs comptes.
   • Surveillance de la conformité :
     1. Vérifiez régulièrement les comptes utilisateurs pour vous assurer que 2FA est activé.
     2. Traitez rapidement tout problème de conformité ou toute difficulté de l’utilisateur.
2. Aucun mot de passe enregistré dans les navigateurs
   
   • Lignes directrices:
     1. Éduquez les utilisateurs sur les risques liés à l’enregistrement des mots de passe dans les navigateurs.
     2. Encouragez l’utilisation d’un gestionnaire de mots de passe sécurisé pour stocker les mots de passe.
     3. Mettez en place des solutions techniques pour bloquer l’enregistrement des mots de passe dans les navigateurs, si possible.
   • Conformité:
     1. Effectuer des vérifications périodiques pour s’assurer de la conformité à la présente politique.
     2. Fournir une assistance et des alternatives aux utilisateurs pour une gestion sécurisée des mots de passe.

Autres bonnes pratiques

• Mises à jour régulières : Assurez-vous que le noyau, les thèmes et les plugins de WordPress sont mis à jour régulièrement.
• Mots de passe forts : Imposez l’utilisation de mots de passe forts pour tous les comptes.
• Limiter les tentatives de connexion : Installez un plugin pour limiter les tentatives de connexion et bloquer les adresses IP après des tentatives infructueuses répétées.
• Gestion des rôles des utilisateurs : Attribuez les autorisations minimales nécessaires aux utilisateurs pour qu’ils puissent effectuer leurs tâches.
• Certificat SSL : Utilisez un certificat SSL pour crypter les données transmises vers et depuis votre site Web.
• Sauvegardes du site Web : Planifiez des sauvegardes régulières de votre site web et stockez-les en toute sécurité.
• Audits de sécurité : Effectuez des audits de sécurité et des tests d’intrusion périodiques pour identifier et traiter les vulnérabilités.

Exigences en matière de documentation du site Web

• Énoncé de politique : Chaque membre de l’équipe est tenu de maintenir un document détaillé pour chaque site WordPress qu’il gère. Ce document constitue un dossier complet qui comprend, sans s’y limiter, les renseignements suivants :
  • Plug-ins : Une liste de tous les plugins installés, leur objectif et la date de la dernière mise à jour. Cette section doit également noter toutes les personnalisations ou paramètres spécifiques pertinents pour le fonctionnement du plugin.
  • Utilisateurs actuels : Une liste actuelle de tous les utilisateurs ayant accès au backend WordPress, y compris leurs rôles et la date à laquelle ils ont été ajoutés. Des vérifications régulières doivent être effectuées pour s’assurer que seuls les utilisateurs autorisés y ont accès.
  • Mesures de sécurité : Toutes les mesures de sécurité spécifiques mises en œuvre sur le site, y compris les configurations 2FA, les certificats SSL et les règles de pare-feu personnalisées.
  • Analyses mensuelles manuelles : Un registre des analyses mensuelles manuelles effectuées à l’aide d’Immunify ou d’un outil similaire, y compris la date de l’analyse et les résultats ou les mesures prises en conséquence.
  • Journal des modifications : Un registre détaillé des modifications de toutes les mises à jour, modifications ou actions importantes effectuées sur le site, y compris la date et la personne responsable.

Installation et gestion du plugin

• Énoncé de politique : En aucun cas, un membre de l’équipe n’installera, ne mettra à jour ou ne supprimera des plug-ins sans l’autorisation écrite expresse d’une autorité désignée au sein de l’organisation. Cette politique est en place pour empêcher les modifications non autorisées qui pourraient compromettre la sécurité ou la fonctionnalité du site.
  
  • Processus d’exceptions : Les demandes d’installation ou de mise à jour de plugins doivent être soumises par écrit à l’autorité désignée, y compris une justification de la demande et une évaluation de toute implication potentielle en matière de sécurité.
  • Plugins interdits : L’utilisation de plugins de gestionnaire de fichiers ou de tout plugin connu pour présenter des failles de sécurité est strictement interdite. Cela inclut, mais sans s’y limiter, les plugins qui permettent la manipulation directe des fichiers dans le tableau de bord WordPress.

Conformité et application de la loi

• Suivi et audits : Des audits réguliers permettront de s’assurer de la conformité à la présente POS. Cela comprend l’examen de l’exhaustivité de la documentation du site Web, la vérification de l’autorisation des plug-ins installés et la vérification que des analyses manuelles sont effectuées au besoin.
• Non-conformité : Tout écart par rapport à cette POS sera traité immédiatement. Le non-respect de la loi peut entraîner des mesures disciplinaires, y compris la révocation des privilèges d’accès au site Web et le licenciement potentiel.

Formation et sensibilisation

• Formation régulière : Tous les membres de l’équipe recevront une formation régulière sur cette POS, notamment sur l’importance de la sécurité dans la gestion du site Web, le processus de demande d’installation de plug-in et la façon d’effectuer des analyses manuelles efficaces.
• Campagnes de sensibilisation : Des campagnes de sensibilisation continues renforceront l’importance de suivre les protocoles de sécurité et de conserver une documentation détaillée des activités de gestion de sites Web.

Connexion Web sécurisée requise

Énoncé de politique

Pour garantir le plus haut niveau de sécurité et se protéger contre les accès non autorisés et les violations de sécurité potentielles, tous les membres de l’équipe doivent accéder au backend WordPress ou effectuer des activités de gestion de site Web via une connexion Web sécurisée. Les connexions Internet publiques, qui sont intrinsèquement non sécurisées et vulnérables à l’interception, sont strictement interdites.

Directives de connexion sécurisée

• Utilisation du VPN : Lorsqu’ils accèdent au site Web à distance, les utilisateurs doivent utiliser un réseau privé virtuel (VPN) pour s’assurer que leur connexion est sécurisée et cryptée. Le service informatique peut fournir des recommandations pour des services VPN approuvés.
• Sécurité Wi-Fi : Pour ceux qui accèdent au site à partir de réseaux personnels ou privés, assurez-vous que le réseau Wi-Fi est sécurisé par un cryptage WPA2 ou WPA3 et que le mot de passe du réseau est fort et unique.
• Interdiction des réseaux publics : En aucun cas, un membre de l’équipe ne doit utiliser un réseau Wi-Fi public (par exemple, cafés, bibliothèques, hôtels) pour accéder au tableau de bord WordPress, effectuer des mises à jour ou gérer du contenu. Cela inclut le partage de connexion via des réseaux Wi-Fi publics.

Conformité et application de la loi

• Surveillance et détection : L’équipe de sécurité informatique mettra en œuvre des solutions de surveillance pour détecter et alerter en cas de tentative d’accès aux outils de gestion de sites Web à partir de réseaux non sécurisés ou publics.
• Mesures disciplinaires : Tout membre de l’équipe qui enfreint la présente politique s’expose à des mesures disciplinaires immédiates, pouvant aller jusqu’au licenciement. Cette application stricte est nécessaire pour protéger l’intégrité et la sécurité de nos actifs numériques.

Responsabilité de l’utilisateur et rapports

• Responsabilité personnelle : Tous les utilisateurs sont personnellement responsables d’assurer la sécurité de leur connexion Web lorsqu’ils accèdent au backend du site Web. L’ignorance de la politique ou les défis techniques ne seront pas considérés comme des excuses valables pour la non-conformité.
• Rapports d’incidents : Les utilisateurs sont encouragés à signaler les incidents où les protocoles de connexion Web sécurisés ont été violés, intentionnellement ou non. Un signalement rapide peut aider à atténuer les risques de sécurité potentiels.

Formation et sensibilisation

• Formation continue : L’organisation fournira une formation et des ressources continues à tous les membres de l’équipe sur la sécurisation de leur connexion Internet, les risques associés aux réseaux publics et l’utilisation efficace des VPN.
• Campagnes de sensibilisation à la sécurité : Des campagnes de sensibilisation régulières seront menées pour renforcer l’importance de cette politique et tenir tous les membres de l’équipe informés des meilleures pratiques pour maintenir une connexion web sécurisée.