Cybersécurité des PME : les pratiques essentielles à mettre en place

Une PME n’a pas besoin de constituer immédiatement une grande équipe spécialisée pour améliorer sa cybersécurité. Elle peut commencer par une question simple : que faut-il protéger et pouvoir remettre en service pour continuer à travailler ? Les comptes essentiels, les données et les responsabilités en cas d’incident sont de bons points de départ.

Les mesures suivantes constituent une base à adapter aux moyens, aux activités et aux engagements de chaque organisation. Elles ne garantissent pas l’absence d’attaque. Le guide de démarrage du NIST pour les petites entreprises aide à structurer cette démarche. nist.gov

1. Repérer les activités et les données indispensables

Recensez les services critiques : messagerie, comptabilité, paiements, site web, applications cloud, dossiers clients et comptes d’administration. Pour chacun, indiquez un responsable, l’emplacement des données, les personnes autorisées et un contact en cas de panne. Définissez ensuite la durée d’interruption et la perte de données acceptables : ces choix guideront les sauvegardes et l’ordre de remise en service.

2. Renforcer l’accès aux comptes

Activez d’abord l’authentification multifacteur (MFA) sur la messagerie, les comptes d’administration cloud, les outils financiers, les accès à distance et les sauvegardes, puis généralisez-la lorsque c’est possible. Privilégiez les solutions résistantes à l’hameçonnage, comme les clés de sécurité FIDO ou les clés d’accès, lorsqu’elles conviennent. Si un outil ne les prend pas en charge, utilisez une autre MFA disponible et prévoyez son évolution ou son remplacement. Vérifiez également les méthodes de récupération du compte. cisa.gov

Utilisez des mots de passe uniques dans un gestionnaire fiable. Attribuez des comptes individuels et limitez les droits aux besoins du poste. Réexaminez régulièrement les accès, supprimez rapidement ceux des personnes parties et, lorsque c’est possible, séparez les comptes d’administration des comptes utilisés au quotidien.

3. Prévoir des sauvegardes réellement restaurables

Sauvegardez les données et configurations critiques à une fréquence cohérente avec la quantité de travail que l’entreprise peut perdre. Conservez au moins une copie protégée et séparée de l’environnement principal, par exemple hors ligne ou dans un service indépendant correctement sécurisé. Limitez les droits d’administration des sauvegardes et testez régulièrement la restauration, en notant les éléments récupérés et le temps nécessaire.

L’historique des fichiers dans le cloud ne suffit pas nécessairement. Vérifiez les protections de chaque fournisseur et conservez au besoin une copie indépendante, comme le recommande le National Cyber Security Centre britannique. ncsc.gov.uk

4. Entretenir les équipements et sensibiliser les équipes

Tenez à jour l’inventaire des ordinateurs, téléphones, équipements réseau et logiciels professionnels. Activez les mises à jour automatiques lorsque cela convient et confiez à une personne le suivi des correctifs urgents et des produits non maintenus. Utilisez le chiffrement des appareils, le verrouillage des écrans et une protection adaptée des postes. Prévoyez le remplacement des systèmes qui ne reçoivent plus de mises à jour de sécurité.

Donnez aux collaborateurs un moyen simple de signaler un message suspect, sans les culpabiliser. Pour une modification de coordonnées bancaires ou une demande sensible, imposez une vérification par un autre canal, par exemple un appel à un numéro déjà connu. La sensibilisation complète les protections techniques : elle ne les remplace pas. Le guide du NCSC pour les petites organisations traite notamment des appareils, des comptes et des fraudes. ncsc.gov.uk

5. Préparer la réponse aux incidents

Rédigez un plan court indiquant qui décide, qui prend le relais et quels prestataires contacter. Conservez les coordonnées et une copie du plan accessibles même si la messagerie est indisponible. Précisez comment signaler un incident, quand isoler un appareil touché, comment préserver les journaux et autres éléments utiles, et qui autorise la restauration.

Exercez-vous sur un scénario concret, comme une boîte mail compromise ou un rançongiciel. Avant la remise en service, recherchez la cause et faites-vous accompagner par des intervenants qualifiés pour éviter de rétablir des systèmes encore compromis. Examinez avec les conseillers appropriés les obligations de notification et les engagements contractuels applicables dans les territoires concernés. Le guide de réponse et de reprise du NCSC constitue un point de départ. ncsc.gov.uk

6. Définir les responsabilités avec les partenaires

Déterminez ce que l’équipe interne peut prendre en charge et les compétences à rechercher à l’extérieur. Former les collaborateurs, renforcer l’équipe avec des spécialistes ou faire appel à un prestataire sont autant d’options. Dans tous les cas, l’entreprise doit conserver un responsable clairement identifié pour les décisions relatives aux risques et aux accès. Le NIST présente ces choix de recrutement et d’externalisation. nist.gov

Avant de contractualiser, demandez qui surveille les alertes, installe les correctifs, teste les restaurations et intervient hors horaires ouvrés. Formalisez le périmètre, les délais de réponse, les limites d’accès, les sous-traitants, les preuves de réalisation et les modalités de sortie : restitution des données et suppression des accès. Le guide du NIST sur l’évaluation des fournisseurs et la liste de contrôle du NCSC pour choisir un prestataire de services managés aident à préparer ces échanges. csrc.nist.gov

Les services d’Altweeb en conseil technologique, développement logiciel et renforcement des équipes informatiques peuvent s’inscrire dans une réflexion technologique plus large. Les responsabilités de sécurité et les besoins éventuels d’expertise spécialisée doivent être précisés avant de définir le périmètre d’intervention.

Une feuille de route pour les 90 premiers jours

• Jours 1 à 30 : désigner un responsable, recenser les services critiques, activer la MFA sur les comptes prioritaires et vérifier l’existence des sauvegardes.
• Jours 31 à 60 : tester une restauration, traiter les mises à jour en retard, supprimer les accès inutiles et consigner les contacts en cas d’incident.
• Jours 61 à 90 : organiser un exercice court, examiner les fournisseurs essentiels et fixer un calendrier récurrent de contrôle des accès, des mises à jour et des restaurations.

Ces étapes sont indicatives : adaptez leur rythme à vos risques et à vos ressources. Suivez quelques indicateurs utiles, comme la couverture MFA des comptes prioritaires, les correctifs critiques en retard et la date de la dernière restauration réussie. Des responsabilités claires et des tests réguliers valent mieux qu’une liste de mesures vérifiée une seule fois.

Pour approfondir ce sujet, découvrez aussi Conseil technologique et transformation digitale.