Les PME sont des cibles parce qu’elles détiennent des données utiles, effectuent des paiements et disposent rarement d’une équipe de sécurité. La bonne nouvelle : la plupart des incidents courants exploitent des faiblesses connues, que des mesures simples permettent de corriger. Ce guide présente dix pratiques reconnues, à mettre en place par étapes.
1. Activer l’authentification multifacteur partout
Un mot de passe volé ne devrait jamais suffire pour entrer dans vos systèmes. L’authentification multifacteur ajoute une deuxième preuve d’identité, comme un code dans une application ou une clé physique. Commencez par les comptes les plus exposés : courriel, Microsoft 365, accès à distance, banque en ligne, comptes administrateurs.
Privilégiez une application d’authentification ou une clé de sécurité plutôt que les codes par texto, plus faciles à détourner.
2. Appliquer les mises à jour sans attendre
Les mises à jour corrigent des failles que les attaquants connaissent et exploitent. Automatisez les mises à jour des systèmes d’exploitation, des navigateurs et des logiciels courants. N’oubliez pas les équipements souvent négligés : routeurs, pare-feu, imprimantes, caméras et serveurs de fichiers.
Un appareil ou un logiciel qui ne reçoit plus de mises à jour de son fabricant doit être remplacé ou isolé du reste du réseau.
3. Sauvegarder selon la règle 3-2-1 et tester la restauration
Une sauvegarde est votre dernière ligne de défense contre un rançongiciel, une erreur humaine ou une panne. La règle 3-2-1 est une base solide :
- trois copies de vos données (l’original et deux sauvegardes);
- sur deux supports ou services différents;
- dont une copie hors site, idéalement hors ligne ou non modifiable, pour qu’un rançongiciel ne puisse pas l’atteindre.
Les données infonuagiques, comme les courriels et les fichiers Microsoft 365, doivent aussi être sauvegardées. Surtout, testez régulièrement la restauration. Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une protection.
4. Accorder le moindre privilège
Chaque personne devrait avoir accès uniquement à ce dont elle a besoin pour faire son travail. Les employés ne devraient pas utiliser de compte administrateur au quotidien. Les droits d’administration sont réservés à quelques comptes dédiés, protégés par l’authentification multifacteur.
Révisez les accès lors de chaque changement de poste et désactivez les comptes dès le départ d’un employé ou d’un fournisseur.
5. Former l’équipe à reconnaître l’hameçonnage
Le courriel reste une porte d’entrée fréquente. Une courte formation régulière aide l’équipe à repérer les signaux d’alerte : urgence inhabituelle, demande de paiement, lien vers une page de connexion, pièce jointe inattendue. Des simulations d’hameçonnage permettent ensuite de mesurer les progrès sans blâmer personne.
Instaurez une règle simple : tout changement de coordonnées bancaires ou toute demande de virement inhabituelle est confirmé par un appel à un numéro déjà connu, jamais à celui qui figure dans le courriel.
6. Tenir un inventaire des appareils, des logiciels et des données
On ne protège bien que ce que l’on connaît. Tenez une liste à jour des ordinateurs, téléphones, serveurs, services infonuagiques et logiciels utilisés. Notez aussi où se trouvent vos données sensibles : renseignements personnels, données financières, dossiers clients. Cet inventaire sert de base à toutes les autres mesures.
7. Protéger les postes et les appareils mobiles
Installez une solution de protection des postes moderne, capable de détecter les comportements suspects. Activez le chiffrement des disques sur les portables et les téléphones, pour qu’un appareil perdu ne devienne pas une fuite de données. Exigez un verrouillage automatique de l’écran et la possibilité d’effacer un appareil à distance.
8. Sécuriser le courriel et le réseau
Activez le filtrage des pourriels et des pièces jointes malveillantes. Configurez les enregistrements d’authentification de votre domaine de courriel (SPF, DKIM et DMARC) pour compliquer l’usurpation de votre adresse. Côté réseau, séparez le Wi-Fi des invités de celui de l’entreprise et changez les mots de passe par défaut des équipements.
9. Préparer un plan de réponse aux incidents
Quand un incident survient, chaque minute compte. Un plan de réponse, même d’une ou deux pages, évite l’improvisation. Il devrait préciser :
- qui appeler en premier, à l’interne et à l’externe (soutien TI, assureur, conseiller juridique);
- comment isoler un poste ou un compte compromis;
- où se trouvent les sauvegardes et comment les restaurer;
- comment communiquer avec les employés, les clients et, au besoin, les autorités;
- comment documenter l’incident pour respecter vos obligations de déclaration.
Gardez une copie imprimée du plan et des coordonnées importantes : en cas de rançongiciel, vos fichiers pourraient être inaccessibles.
10. Encadrer les mots de passe et les fournisseurs
Un gestionnaire de mots de passe permet d’utiliser des mots de passe longs et uniques pour chaque service, sans avoir à les retenir. Évitez les comptes partagés. Enfin, vos fournisseurs ont souvent accès à vos systèmes ou à vos données : vérifiez quels accès ils détiennent, comment ils les protègent, et retirez ceux qui ne servent plus.
Par où commencer?
Inutile de tout faire en même temps. Pour la plupart des PME, l’ordre suivant donne de bons résultats : authentification multifacteur, mises à jour, sauvegardes testées, puis formation de l’équipe. Les autres mesures s’ajoutent ensuite, au rythme de votre organisation.
La cybersécurité n’est pas un projet ponctuel. Prévoyez une révision au moins une fois par année et après chaque changement important : nouveau logiciel, déménagement, embauche massive ou incident.
