Cybersécurité d'une PME : les mesures de base

L'ANSSI a écrit pour les petites structures un guide court, « La cybersécurité pour les TPE/PME en 13 questions » (version de décembre 2024). Il complète son « Guide d'hygiène informatique » de 42 mesures, plus technique, qui s'adresse d'abord aux entreprises dotées d'un service informatique. Sa question d'ouverture résume l'enjeu : si vos données disparaissent et que votre informatique s'arrête, êtes-vous prêts à retourner au papier et au crayon ?

1. Savoir ce que l'on a

C'est la première des treize questions : connaître son parc informatique et ses actifs métier. Quels postes, quels serveurs, quels logiciels, quels comptes, et surtout quelles données font tourner l'entreprise. On ne protège bien que ce que l'on connaît. Le guide d'hygiène demande aussi de tenir à jour la liste des comptes qui ont des droits d'administration et d'organiser l'arrivée et le départ des salariés : un compte resté ouvert après un départ est une porte ouverte.

2. Appliquer les mises à jour

Pour l'ANSSI, il est indispensable d'installer dès que possible les mises à jour des systèmes et des logiciels quand l'éditeur publie un correctif de sécurité, et d'activer les mises à jour automatiques proposées. Tout matériel ou logiciel qui ne peut plus être mis à jour doit être désinstallé et remplacé : un vieux poste sous un système abandonné ou un logiciel plus suivi reste vulnérable pour toujours.

3. Des mots de passe solides et la double authentification

De nombreuses attaques sont facilitées par des mots de passe trop simples ou réutilisés d'un service à l'autre, rappelle l'ANSSI. Un mot de passe différent par service, long, et rangé dans un gestionnaire de mots de passe règle une bonne partie du problème. Il faut aussi changer les mots de passe par défaut des équipements (box, imprimantes, caméras, routeurs).

Surtout, activez l'authentification à plusieurs facteurs partout où elle est proposée, à commencer par la messagerie et la banque. Le guide va plus loin pour les PME : idéalement, un facteur physique comme une clé ou une carte. Un mot de passe volé ne suffit plus alors à entrer.

4. Des sauvegardes, dont une hors ligne

Les sauvegardes font l'objet de la deuxième question du guide. Une sauvegarde déconnectée du réseau et testée est ce qui permet de repartir après un rançongiciel sans négocier. Nous y consacrons un article : appliquer la règle 3-2-1.

5. Antivirus et pare-feu

Le guide demande un antivirus à jour sur chaque poste, de préférence avec une protection contre l'hameçonnage, et un pare-feu dont on connaît les règles de filtrage. Le guide d'hygiène ajoute d'activer le pare-feu de chaque poste de travail, et de sécuriser le Wi-Fi en séparant celui des invités de celui de l'entreprise.

6. Séparer les usages et limiter les droits

Un salarié n'a pas besoin des droits d'administrateur pour travailler : le guide d'hygiène demande de les limiter au strict besoin. Un logiciel malveillant ouvert par erreur a alors bien moins de prise. Le guide des 13 questions recommande aussi de séparer les usages personnels et professionnels, et de prévoir les déplacements : poste chiffré, connexion protégée hors du bureau.

7. Protéger la messagerie et former les équipes

La messagerie est la porte d'entrée la plus fréquente : faux livreur, fausse facture, faux dirigeant qui demande un virement urgent. Les deux guides de l'ANSSI consacrent une mesure à la sécurité de la messagerie et une autre à la sensibilisation des utilisateurs. Quelques minutes pour apprendre à reconnaître un message piégé, et une règle simple (toute demande de virement ou de changement de RIB se vérifie par téléphone, au numéro habituel) évitent beaucoup de dégâts.

8. Préparer la suite : assurance, réaction, prestataires

Les dernières questions du guide portent sur ce qui se passe le jour où l'attaque réussit : votre assurance couvre-t-elle le risque cyber ? Savez-vous comment réagir ? Qui appeler, quels postes débrancher, où sont les sauvegardes, qui prévient les clients : mieux vaut l'avoir écrit avant. Si vous utilisez des services en ligne, vérifiez qu'ils proposent la double authentification, des sauvegardes et des alertes en cas d'accès inhabituel. Enfin, le guide d'hygiène rappelle de maîtriser les risques de l'infogérance : votre prestataire informatique doit appliquer les mêmes règles que vous.

Par où commencer cette semaine

• Activer la double authentification sur la messagerie et la banque.
• Vérifier que les mises à jour automatiques sont actives sur tous les postes et serveurs.
• Vérifier qu'une sauvegarde hors ligne existe et la restaurer une fois.
• Retirer les droits d'administrateur des comptes de travail courants.
• Fermer les comptes des personnes parties.
• Écrire sur une page qui appeler et quoi faire en cas d'attaque.

Nous pouvons vous aider à mettre ces mesures en place : sécurité de l'infrastructure (pare-feu, protection des données, antivirus), maintenance des postes et serveurs, et audit de cybersécurité pour savoir où vous en êtes.