Une petite entreprise n’a pas besoin de commencer par des outils complexes. Elle doit d’abord réduire les scénarios les plus courants : vol de compte, fraude par courriel, ransomware, perte de données et exposition d’un service oublié.
Identités et accès
- Activer le MFA sur messagerie, stockage, comptabilité, banque, réseaux sociaux et administration du site.
- Utiliser des comptes nominatifs et supprimer les comptes partagés lorsque la traçabilité est nécessaire.
- Déployer un gestionnaire de mots de passe et interdire la réutilisation des secrets importants.
- Retirer rapidement les accès lors d’un départ ou changement de poste.
- Limiter les administrateurs aux personnes qui en ont réellement besoin.
Postes et logiciels
- Appliquer les mises à jour des systèmes, navigateurs, logiciels, CMS et équipements réseau.
- Inventorier les appareils professionnels et ceux qui accèdent aux données.
- Chiffrer les ordinateurs portables et prévoir le verrouillage automatique.
- Encadrer les installations afin de limiter extensions et logiciels non validés.
Données et continuité
- Appliquer une stratégie de sauvegarde avec une copie séparée et une restauration testée.
- Identifier les données critiques et leur propriétaire.
- Documenter les services essentiels, fournisseurs et contacts de secours.
Messagerie et fraude
- Former aux demandes urgentes, changements de RIB, fausses factures et pages de connexion imitées.
- Faire confirmer les paiements sensibles par un second canal connu.
Préparation à l’incident
- Écrire une fiche réflexe : qui appeler, comment isoler un poste, préserver les preuves, contacter assurance et prestataires, et poursuivre l’activité.
Comment vérifier que les mesures existent vraiment
Ne vous contentez pas d’une case « sauvegardes : oui ». Demandez la date du dernier test de restauration. Pour le MFA, exportez la liste des comptes encore non protégés. Pour les départs, prenez un ancien collaborateur et recherchez ses accès résiduels.
Ordre de mise en œuvre
La première semaine, protégez la messagerie et les comptes administrateurs, mettez à jour les systèmes exposés et vérifiez les sauvegardes. Le premier mois, nettoyez les accès, déployez le gestionnaire de mots de passe et documentez les services critiques. Ensuite, organisez exercices et revues trimestrielles.
La cybersécurité est un entretien régulier. Une liste modeste vérifiée tous les trois mois protège davantage qu’une politique ambitieuse jamais appliquée.
Transformer la checklist en routine
Une mesure de sécurité n’est acquise que si elle possède un responsable, une preuve et une fréquence de contrôle. Pour le MFA, la preuve peut être la liste des comptes protégés. Pour les sauvegardes, conservez le compte rendu du dernier test de restauration. Pour les mises à jour, suivez les appareils encore en retard plutôt que le nombre total de correctifs appliqués.
Chaque mois
- vérifier les comptes administrateurs et les nouveaux utilisateurs ;
- contrôler les alertes de sauvegarde et les échecs de mise à jour ;
- examiner les incidents, courriels suspects et demandes inhabituelles ;
- mettre à jour les contacts techniques et d’assurance si nécessaire.
Chaque trimestre
- tester la restauration d’un fichier puis, périodiquement, d’un service complet ;
- rechercher les anciens comptes, appareils et accès de prestataires ;
- faire un exercice court autour d’un faux changement de RIB ou d’un poste compromis ;
- réviser la liste des données et services indispensables à l’activité.
En cas d’incident, évitez les actions improvisées qui détruisent des traces. Isolez si nécessaire l’équipement concerné, notez les faits et les horaires, contactez les personnes prévues par la fiche réflexe et utilisez les services officiels d’assistance. Le bon réflexe dépend du contexte : une procédure courte et connue est donc plus utile qu’un document volumineux introuvable au mauvais moment.
Attribuer un niveau de priorité
Classez les écarts selon leur effet possible sur l’activité. Un compte de messagerie administrateur sans MFA, une sauvegarde impossible à restaurer ou un service exposé non maintenu demandent une action immédiate. Une amélioration documentaire peut être planifiée si une protection opérationnelle existe déjà.
Ne confondez pas non plus achat d’un produit et réduction du risque. Un outil non configuré, non surveillé ou incompris ajoute parfois une nouvelle surface d’attaque. Chaque dépense doit correspondre à un scénario identifié, à une personne responsable et à une méthode permettant de vérifier son efficacité. Faites valider les choix techniques importants par une personne compétente lorsque l’entreprise ne possède pas cette expertise en interne.
Article informatif. Pour une décision juridique, réglementaire ou de sécurité à fort enjeu, faites valider votre situation par un professionnel compétent.
