Guide
Cybersécurité des PME : les vérifications essentielles
Pas besoin d'une équipe de sécurité pour éviter l'essentiel des ennuis. Dans une petite entreprise, la plupart des incidents partent de causes simples. Voici les vérifications à lancer, dans l'ordre, que vous pouvez confier à votre équipe ou à votre prestataire dès ce mois-ci.
Pourquoi une PME est concernée
Les attaques les plus courantes sont automatiques. Des programmes essaient les mêmes portes sur des milliers d'entreprises, sans regarder leur taille : un mot de passe déjà volé ailleurs, un logiciel pas à jour, un email piégé. Une petite structure n'est pas une cible plus intéressante qu'une autre, mais elle est souvent moins protégée, et un incident lui coûte cher : site ou messagerie à l'arrêt, données perdues, clients à prévenir, temps passé à tout remettre en ordre.
1. Les accès
Un mot de passe différent pour chaque service
Quand un site se fait voler sa base de mots de passe, les attaquants essaient ensuite les mêmes identifiants partout ailleurs. Un mot de passe réutilisé ouvre donc plusieurs portes à la fois. Un gestionnaire de mots de passe permet d'en avoir un solide et différent pour chaque service, sans avoir à les retenir.
La double authentification, en priorité sur la messagerie
La double authentification demande, en plus du mot de passe, un code reçu ou généré sur votre téléphone. Un mot de passe volé ne suffit plus. Activez-la d'abord sur la messagerie, car elle permet de réinitialiser tous les autres comptes, puis sur la banque en ligne, l'hébergement du site et son administration.
Le ménage dans les comptes
Listez qui a accès à quoi. Les comptes d'anciens salariés ou d'anciens prestataires doivent être supprimés, et les comptes « admin » partagés par toute l'équipe remplacés par des comptes nominatifs.
2. Les mises à jour
Ordinateurs, téléphones, site, extensions, serveurs : chaque logiciel reçoit des correctifs de sécurité. Une fois une faille publiée, elle est connue des attaquants, et un appareil qui n'est pas à jour reste exposé. Activez les mises à jour automatiques quand c'est possible et, pour le reste, notez par écrit qui s'en charge. Le site et le serveur sont souvent les grands oubliés : personne ne s'en occupe, parce que chacun pense que c'est le travail de l'autre.
3. Les sauvegardes
Une copie hors d'atteinte
Un logiciel de rançon chiffre tout ce qu'il peut atteindre, y compris les sauvegardes branchées en permanence. Gardez au moins une copie séparée : sur un autre service, avec d'autres identifiants, ou sur un support débranché.
Une restauration testée
Une sauvegarde qui n'a jamais été restaurée est un espoir, pas une garantie. Demandez qu'on restaure un fichier, puis le site, au moins une fois, et notez combien de temps il a fallu.
4. Le site et les serveurs
- Savez-vous qui héberge votre site, qui peut s'y connecter, et quand il a été mis à jour pour la dernière fois ?
- Aucune sauvegarde ni fichier de configuration ne doit traîner en accès libre sur le serveur.
- Les journaux du serveur, le registre de toutes les visites, doivent être conservés : sans eux, impossible de savoir ce qui s'est passé après un incident.
- Le code du site ne doit contenir aucun mot de passe ni aucune clé d'accès en clair.
C'est le point le plus difficile à vérifier seul. C'est aussi celui que nous couvrons : la surveillance de sécurité pour vos serveurs, l'audit de code pour votre site ou votre application.
5. Les personnes
Beaucoup d'attaques passent par un simple email : une facture piégée, une demande urgente de virement, un changement de coordonnées bancaires d'un fournisseur. Une règle simple en déjoue beaucoup : toute demande inhabituelle d'argent ou d'accès se vérifie par téléphone, à un numéro que vous connaissiez déjà. Dix minutes en réunion d'équipe pour la rappeler valent mieux qu'une longue procédure.
6. Savoir quoi faire le jour où ça arrive
Notez sur une page, accessible hors de vos ordinateurs : qui appeler, où sont les sauvegardes, comment joindre votre prestataire et votre hébergeur. Le site public cybermalveillance.gouv.fr guide les victimes et recense des prestataires. Si des données personnelles ont pu fuir, le RGPD impose en principe de le notifier à la CNIL dans les 72 heures après en avoir pris connaissance.
Par où commencer
Si vous ne deviez faire que trois choses ce mois-ci : activer la double authentification sur la messagerie, vérifier qu'une sauvegarde se restaure vraiment, et faire la liste de qui a accès à quoi. Vous aurez déjà fermé les portes les plus souvent utilisées.
Vos questions
Je n'ai que quelques salariés : suis-je vraiment une cible ?
Personne ne vous vise forcément. Mais les attaques automatiques ne trient pas les entreprises par taille : elles essaient partout les mêmes portes, et entrent là où elles sont ouvertes.
Mon prestataire informatique s'occupe de tout, non ?
Peut-être. Demandez-lui de vous confirmer par écrit, point par point : qui fait les mises à jour, où sont les sauvegardes et quand elles ont été testées, qui a accès à quoi. Un bon prestataire répond facilement.
Une assurance cyber remplace-t-elle ces vérifications ?
Non. Elle peut couvrir une partie des conséquences financières d'un incident, mais elle ne l'empêche pas. Et le questionnaire de souscription porte souvent sur ces mêmes points, comme les sauvegardes et la double authentification.