Cybersécurité : les 10 réflexes du château fort numérique

La cybersécurité d’une TPE-PME repose d’abord sur des mesures simples et coordonnées : connaître ses actifs, contrôler les accès, mettre à jour, sauvegarder hors ligne, sensibiliser l’équipe et préparer la réaction à l’incident.

Imaginez votre entreprise comme un château fort. Les données sont le trésor, les collaborateurs les habitants, les ordinateurs les bâtiments et Internet la route qui relie le domaine au monde extérieur. Une muraille seule ne suffit pas : il faut des portes solides, des gardes attentifs, des réserves et un plan en cas d’attaque. L’ANSSI souligne que quelques bonnes pratiques réduisent déjà très significativement le risque.

Guide de référence : ANSSI / MesServicesCyber.

1. Faire l’inventaire du royaume

On ne protège bien que ce que l’on connaît. Listez les postes, téléphones, logiciels, comptes en ligne, boîtes mail, site, sauvegardes et prestataires. Identifiez ensuite les éléments dont l’indisponibilité bloquerait les ventes, la production ou la facturation. Cet inventaire tient sur un tableau simple ; il doit comporter un responsable et une date de mise à jour.

2. Renforcer les portes avec des mots de passe uniques

Chaque service doit avoir un mot de passe long et unique, stocké dans un gestionnaire de mots de passe. Réutiliser le même secret revient à fabriquer une clé qui ouvre toutes les portes. Supprimez aussi les comptes d’anciens salariés et limitez les droits d’administration.

3. Ajouter un second garde : la double authentification

Activez l’authentification multifacteur en priorité sur les messageries, outils financiers, réseaux sociaux, stockage cloud et comptes administrateurs. Un code ou une validation supplémentaire bloque une grande partie des prises de compte, même si le mot de passe a été volé.

4. Réparer les brèches : les mises à jour

Les mises à jour corrigent des vulnérabilités connues. Activez-les automatiquement pour les systèmes, navigateurs, téléphones, logiciels métiers et équipements réseau. Si un logiciel n’est plus maintenu, planifiez son remplacement : il devient une porte condamnée en apparence, mais fragile en réalité.

5. Préserver le trésor : la stratégie de sauvegarde

Appliquez la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors ligne ou isolée. Une sauvegarde connectée en permanence peut être chiffrée par un rançongiciel. Testez chaque trimestre la restauration d’un fichier et, au moins une fois par an, la reprise d’une activité essentielle.

6. Former les sentinelles

Les collaborateurs doivent reconnaître un message urgent, une fausse facture, un changement de RIB ou une demande inhabituelle du dirigeant. Instaurez un réflexe simple : interrompre, vérifier par un autre canal et signaler sans crainte. Une culture punitive cache les erreurs ; une culture de signalement les limite.

7. Séparer les zones du château

Utilisez des comptes distincts pour l’administration et le travail quotidien. Séparez le Wi-Fi invité du réseau interne. Accordez uniquement les droits nécessaires. Cette segmentation ralentit un attaquant et réduit l’étendue des dégâts lorsqu’un compte est compromis.

8. Surveiller les fournisseurs et accès distants

Un prestataire informatique, un logiciel de caisse ou une solution cloud peut accéder à des ressources critiques. Documentez les accès, imposez la double authentification et prévoyez leur révocation. Demandez où résident les données, comment elles sont sauvegardées et comment le prestataire vous alerte.

9. Préparer la réaction avant la crise

Écrivez une fiche réflexe avec les numéros du prestataire, de l’assureur, de la banque et de Cybermalveillance.gouv.fr. Précisez qui décide d’isoler un poste, qui communique, où se trouvent les sauvegardes et comment travailler en mode dégradé. En cas d’incident, ne payez ni ne réinstallez dans la précipitation : conservez les preuves et faites-vous accompagner.

10. Vérifier régulièrement les défenses

Une fois par trimestre, contrôlez les comptes, mises à jour, sauvegardes et incidents. Une fois par an, simulez un scénario : messagerie indisponible, poste chiffré ou fraude au virement. La cybersécurité est une routine de gestion, pas un achat ponctuel.

Un plan de 30 jours

1. Semaine 1 : inventaire et comptes critiques.
2. Semaine 2 : double authentification et mises à jour.
3. Semaine 3 : sauvegardes isolées et test de restauration.
4. Semaine 4 : sensibilisation et fiche de crise.

Le château fort n’est jamais invulnérable. Il devient résilient lorsque ses défenses se complètent et que chacun connaît son rôle.

FAQ

Les trois réponses à retenir