Cybersécurité des TPE : les mesures essentielles, par ordre de priorité
Un ordinateur qui refuse de démarrer un lundi matin, une boîte e-mail qui envoie des messages étranges à tous les clients, un fichier de facturation devenu illisible : pour une petite entreprise, l’incident informatique n’a rien d’abstrait. Les attaquants ne visent pas seulement les grands groupes. Une TPE est souvent une cible plus facile, parce qu’elle n’a ni service informatique ni procédure écrite. La bonne nouvelle, c’est qu’une poignée de mesures simples suffit à écarter une grande partie des risques courants.
Pourquoi les petites structures sont concernées
La plupart des attaques ne sont pas ciblées. Elles fonctionnent en masse : des milliers d’e-mails piégés envoyés au hasard, des robots qui testent des mots de passe courants, des logiciels malveillants qui exploitent une faille connue mais non corrigée. Dans ce jeu de hasard, la petite entreprise mal protégée est simplement celle où la porte s’ouvre.
Les conséquences, elles, sont proportionnellement plus lourdes : activité à l’arrêt, données clients perdues, trésorerie entamée par un faux virement.
Les sept mesures à mettre en place d’abord
L’ANSSI (Agence nationale de la sécurité des systèmes d’information) publie un guide des bonnes pratiques destiné aux TPE et PME, consultable sur ssi.gouv.fr. Le dispositif national Cybermalveillance.gouv.fr propose lui aussi des fiches pratiques. Leurs recommandations convergent vers un socle commun, que l’on peut classer ainsi :
| Priorité | Mesure | Ce qu’elle évite |
|---|---|---|
| 1 | Sauvegarder régulièrement, avec une copie déconnectée | Perte définitive des données après une panne ou un rançongiciel |
| 2 | Appliquer les mises à jour (système, logiciels, navigateur, téléphone) | Exploitation de failles connues |
| 3 | Des mots de passe solides et différents, plus la double authentification | Prise de contrôle des comptes e-mail et des outils en ligne |
| 4 | Former l’équipe à repérer l’hameçonnage | Clic sur une pièce jointe piégée, saisie d’identifiants sur un faux site |
| 5 | Séparer les comptes administrateur et les comptes d’usage | Installation silencieuse de logiciels malveillants |
| 6 | Protéger les postes (pare-feu, protection contre les logiciels malveillants activée) | Infection par une clé USB ou un téléchargement |
| 7 | Encadrer le télétravail et les appareils personnels | Fuite de données par un poste non maîtrisé |
1. La sauvegarde avant tout
Si vous ne deviez faire qu’une chose, ce serait celle-ci. Une sauvegarde à jour transforme une catastrophe en contretemps. Elle doit être automatique, vérifiée de temps en temps par une restauration d’essai, et au moins une copie doit être hors de portée d’un pirate : déconnectée du réseau ou stockée de façon à ne pas pouvoir être modifiée. La méthode est détaillée dans notre article sur la règle de sauvegarde 3-2-1.
2. Les mises à jour, sans attendre
Une mise à jour de sécurité corrige une faille souvent déjà publique. Plus on tarde, plus la fenêtre d’attaque reste ouverte. Activez les mises à jour automatiques partout où c’est possible, y compris sur la box, l’imprimante réseau et les téléphones professionnels.
3. Des comptes bien verrouillés
La boîte e-mail est la clé de tout : c’est par elle qu’on réinitialise les autres mots de passe. Elle mérite un mot de passe long, unique, et une double authentification. Un gestionnaire de mots de passe évite de tout retenir. Nous y consacrons un article complet : mots de passe et double authentification.
4. Une équipe qui sait dire « non »
Beaucoup d’attaques commencent par un message bien tourné. Prendre dix minutes en réunion pour montrer à quoi ressemble un e-mail frauduleux, et instaurer une règle simple (on ne change jamais un RIB fournisseur sans rappel téléphonique sur un numéro connu), vaut mieux que bien des outils. Voir notre guide sur l’hameçonnage, la fraude au président et les faux RIB.
Les gestes d’organisation qui ne coûtent rien
La sécurité ne se limite pas aux réglages techniques. Quelques décisions d’organisation font une vraie différence :
- Tenir un inventaire : la liste des ordinateurs, téléphones, comptes en ligne et logiciels utilisés, avec qui y a accès.
- Fermer les accès des départs : un salarié ou un prestataire qui part doit perdre immédiatement ses accès aux outils et aux boîtes partagées.
- Limiter les droits : chacun n’a accès qu’à ce dont il a besoin pour travailler.
- Garder les contacts d’urgence à portée de main, sur papier : prestataire informatique, banque, assureur, et l’adresse de Cybermalveillance.gouv.fr.
- Vérifier son contrat d’assurance : le risque cyber y est couvert, ou exclu.
Et si un prestataire gère votre informatique ?
Externaliser ne veut pas dire déléguer la responsabilité. Demandez-lui par écrit ce qui est sauvegardé, où, à quelle fréquence, et quand la dernière restauration a été testée. Demandez aussi qui détient les mots de passe administrateur et ce qui se passe si vous changez de prestataire. Pour les logiciels en ligne, vérifiez que le contrat prévoit la récupération de vos données.
Se préparer au pire, calmement
Aucune mesure n’offre une protection totale. Préparer la réponse à un incident fait donc partie de la sécurité : savoir qui appeler, comment isoler un poste, où se trouvent les sauvegardes. Le site cybermalveillance.gouv.fr propose un parcours de diagnostic et une mise en relation avec des prestataires de proximité. Si le pire arrive, notre fiche rançongiciel : que faire en cas d’attaque détaille les premières heures.
Le plan en une page
Pour démarrer cette semaine, sans budget particulier :
- Vérifier qu’une sauvegarde automatique existe, et en faire une copie sur un support débranché.
- Lancer toutes les mises à jour en attente.
- Activer la double authentification sur la messagerie de chaque collaborateur.
- Fixer la règle du rappel avant tout changement de coordonnées bancaires.
- Noter sur une feuille les contacts à appeler en cas d’incident.
Ces cinq gestes ne font pas de votre entreprise une forteresse, mais ils la sortent de la catégorie des cibles faciles, et c’est déjà l’essentiel.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.