Sécurité informatique PME : les protections prioritaires

Pourquoi partir des usages plutôt que des outils ?

Par Pierre de Ramel, fondateur d’AldenSync, spécialiste de l’infogérance pour les PME à Paris. Dans une entreprise de 10 à 100 postes, la priorité est de rendre les protections exploitables au quotidien. Un outil installé mais mal configuré, ignoré ou privé de responsable peut donner une impression trompeuse de sécurité.

Commencez par identifier les activités indispensables, les données sensibles et les accès qui permettent de les atteindre. Décrivez les conséquences d’une messagerie bloquée, d’un dossier client divulgué ou d’un logiciel métier indisponible. Ce travail aide à choisir l’ordre des actions et à faire valider les dépenses par la direction, sans promettre une protection absolue.

Comment sécuriser les accès avec le MFA ?

Le MFA ajoute une preuve indépendante au mot de passe. Activez-le sur la messagerie, les accès distants, les comptes administrateurs et les applications sensibles qui le permettent. Privilégiez, lorsque le service le propose, des méthodes résistantes au hameçonnage. Ne considérez pas toutes les méthodes comme équivalentes et encadrez les procédures de récupération.

Le déploiement exige un inventaire des comptes, y compris ceux des prestataires. Supprimez les accès inutiles et séparez les usages administratifs des usages quotidiens. Préparez la perte d’un téléphone et les changements de collaborateurs, sans créer de contournement permanent. Vérifiez enfin les connexions anciennes ou les protocoles qui pourraient échapper à la politique retenue.

Comment articuler sauvegarde hors ligne et EDR ?

Une sauvegarde hors ligne, déconnectée en dehors des opérations prévues, limite l’exposition à un attaquant présent dans le système. Elle doit couvrir les données nécessaires à la reprise et rester accessible par une procédure contrôlée. Ajoutez des tests de restauration : un fichier copié avec succès ne prouve pas qu’une application redémarrera dans des conditions acceptables.

L’immuabilité peut compléter cette organisation, sans être automatiquement synonyme de mise hors ligne. Examinez les droits de suppression, les comptes de stockage et la durée de protection. Conservez les moyens de récupération dans un environnement distinct. Le prestataire doit pouvoir expliquer comment la sauvegarde résiste à la compromission d’un compte administrateur de production.

L’EDR observe les comportements suspects sur les postes et serveurs compatibles. Son intérêt dépend de la couverture du parc, de la configuration et du traitement des alertes. Décidez qui qualifie un signal et qui peut isoler une machine. Sans surveillance organisée, une alerte pertinente peut rester sans réponse au moment où elle serait la plus utile.

Comment maintenir les correctifs et former les équipes ?

Les correctifs réduisent l’exposition aux vulnérabilités connues. Tenez un inventaire des systèmes et applications, définissez les priorités selon l’exposition et vérifiez la réussite des installations. Les équipements réseau et les outils accessibles depuis Internet méritent une attention particulière. Documentez les exceptions et prévoyez le remplacement des produits qui ne sont plus maintenus.

Pour les applications métiers, testez les mises à jour lorsque leur impact le justifie et définissez une procédure de retour arrière. Le risque d’une interruption ne doit pas devenir une excuse permanente pour ne rien corriger. Faites arbitrer les reports par un responsable identifié, avec une échéance et des mesures compensatoires réalistes.

La formation au hameçonnage doit faciliter le signalement, pas culpabiliser les salariés. Travaillez sur des situations concrètes : demande de paiement, partage de document, changement de coordonnées bancaires ou fausse assistance. Apprenez à vérifier une demande sensible par un autre canal connu. Les exercices doivent déboucher sur des améliorations des procédures et un accompagnement adapté.

Que doit prévoir le plan de reprise ?

Le plan de reprise décrit comment reconstruire un fonctionnement acceptable après un incident. Listez les applications prioritaires, leurs dépendances, les personnes habilitées et les ressources nécessaires. Définissez avec les métiers la perte de données tolérable et le délai de reprise visé. Ces objectifs orientent les sauvegardes, les contrats et les tests ; ils ne deviennent pas des garanties par simple inscription dans un document.

Prévoyez un exemplaire accessible lorsque la messagerie et les outils habituels sont indisponibles. L’exercice doit vérifier les accès de secours, la restauration et la coordination entre direction, informatique et prestataires. Documentez les écarts observés. Un plan crédible évolue après chaque changement important de logiciel, de site ou de fournisseur critique.

En cas d’attaque, la reprise ne consiste pas à reconnecter immédiatement une copie des données. Il faut comprendre suffisamment l’incident, protéger les éléments utiles à l’analyse et reconstruire dans un environnement maîtrisé. Identifiez en amont les interlocuteurs techniques, juridiques et assurantiels pour éviter d’improviser leurs rôles sous pression.

Que demandent les assureurs cyber et que change NIS2 ?

Les questionnaires d’assurance peuvent porter sur le MFA, les sauvegardes isolées, les correctifs, la protection des postes et les procédures de réponse. Les critères diffèrent selon les contrats et les risques déclarés. Ne présentez pas cette liste comme une condition universelle de couverture. Répondez selon les dispositifs effectivement déployés et conservez les justificatifs correspondant à chaque déclaration.

Examinez les exclusions, franchises, plafonds, délais de déclaration et modalités d’appel à l’assistance. Certaines interventions peuvent nécessiter un accord préalable selon le contrat. Faites préciser les obligations ambiguës par écrit. Une assurance contribue au traitement financier et opérationnel d’un sinistre dans ses limites contractuelles ; elle ne remplace pas la prévention ni la préparation.

La directive NIS2, notamment son article 21, traite de la sécurité de la chaîne d’approvisionnement. Une PME sous-traitante peut donc recevoir des exigences contractuelles d’un client concerné sans devenir automatiquement une entité réglementée. Son éventuel assujettissement direct doit être évalué séparément selon son activité, sa taille, les exceptions et le droit national applicable.

Consultez le texte officiel : https://eur-lex.europa.eu/eli/dir/2022/2555/oj. Préparez un dossier proportionné décrivant les accès, les mesures, la gestion des incidents et les sous-traitants mobilisés. Vérifiez que les engagements proposés restent réalisables. Une demande commerciale de conformité ne suffit pas à établir votre statut juridique ni à justifier une promesse générale de conformité NIS2.