La cybersécurité n’est pas une affaire de taille d’entreprise, mais de dépendance. Si une journée sans accès à vos données coûte cher à votre activité, le sujet vous concerne — quel que soit votre effectif.
La difficulté, pour une PME, n’est pas de comprendre l’enjeu : c’est de savoir par où commencer sans se lancer dans un projet démesuré. Voici l’ordre que nous recommandons.
Commencer par savoir ce qui existe
On ne protège pas ce qu’on ne connaît pas. La première étape n’est pas un achat, c’est un inventaire. Il tient souvent sur deux pages.
- Quels postes et serveurs sont en service, et depuis quand.
- Quels comptes existent — y compris ceux d’anciens collaborateurs et d’anciens prestataires.
- Où sont réellement stockées les données qui font tourner l’activité.
- Ce qui est sauvegardé, à quelle fréquence, et où sont conservées les copies.
Dans la majorité des cas, cet inventaire fait apparaître à lui seul deux ou trois anomalies importantes : un compte administrateur partagé, un accès jamais révoqué, une sauvegarde qui a cessé de tourner sans que personne ne s’en aperçoive.
Traiter les accès avant tout le reste
La grande majorité des incidents que nous constatons chez les PME n’exploitent pas une faille technique sophistiquée : ils passent par un identifiant. Mot de passe réutilisé, compte partagé, accès resté ouvert après un départ.
Trois mesures à fort effet
- Des comptes nominatifs : une personne, un compte. Les comptes partagés rendent toute traçabilité impossible.
- La double authentification sur ce qui compte : messagerie, accès distants, comptes administrateur, banque.
- Une procédure de départ écrite : quand quelqu’un quitte l’entreprise, la liste des accès à couper existe déjà.
Une mesure de sécurité que les équipes contournent ne protège rien. Mieux vaut trois règles tenues que quinze règles affichées.
Vérifier que les sauvegardes fonctionnent vraiment
Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une protection. Le test de restauration est l’étape que presque tout le monde saute — et c’est celle qui révèle les problèmes.
- Restaurez un fichier au hasard et mesurez le temps que cela prend.
- Vérifiez qu’au moins une copie est hors du réseau courant : un rançongiciel chiffre aussi les sauvegardes accessibles.
- Notez ce qui n’est pas sauvegardé. C’est souvent aussi instructif que la liste inverse.
Préparer la réaction, pas seulement la protection
Aucun dispositif n’élimine le risque. Ce qui distingue une entreprise qui repart en quelques heures d’une entreprise arrêtée plusieurs jours, c’est la préparation : qui appelle-t-on, dans quel ordre, avec quels accès.
- Un contact technique identifié, joignable en dehors des heures de bureau.
- Une procédure d’isolement : comment déconnecter un poste ou un serveur suspect.
- La liste des services critiques et l’ordre dans lequel les remettre en route.
Avancer par étapes
Il n’est ni nécessaire ni souhaitable de tout traiter en même temps. Un plan sur douze mois, avec deux ou trois chantiers par trimestre, produit de meilleurs résultats qu’un projet global jamais terminé.
L’essentiel est que l’ordre soit décidé à partir de votre exposition réelle, et non d’un catalogue de solutions.