Sécurité
Sécurité informatique : les 10 points à vérifier dans votre PME
Double authentification, mises à jour, sauvegardes, départs de salariés : une liste de dix vérifications concrètes pour réduire l'essentiel des risques, sans budget démesuré.
4 min de lecture
L'essentiel
- La double authentification est la mesure la plus rentable : activez-la en premier.
- Mises à jour, sauvegardes testées et retrait des accès au départ couvrent l'essentiel des risques.
- Une page imprimée suffit pour savoir quoi faire en cas d'incident.
La plupart des incidents de sécurité dans les PME n'ont rien de spectaculaire : un mot de passe réutilisé, un logiciel pas à jour, un email piégé, une sauvegarde qui ne marchait plus. Bonne nouvelle : une dizaine de mesures simples suffisent à éliminer l'essentiel des risques. Voici notre liste, à passer en revue avec votre équipe ou votre prestataire.
Les 10 points
La double authentification partout où c'est possible
Messagerie, outils en ligne, accès à distance, comptes d'administration : un code envoyé sur le téléphone ou une application d'authentification bloque la grande majorité des connexions avec un mot de passe volé. C'est la mesure la plus rentable de cette liste.
Un gestionnaire de mots de passe
Un mot de passe unique et long par service, sans avoir à les retenir. Un gestionnaire d'entreprise permet aussi de partager proprement les accès communs, au lieu d'un tableur ou d'un post-it.
Les mises à jour, sans attendre
Systèmes, navigateurs, logiciels, sites, plugins, équipements réseau : les attaques exploitent en priorité les failles connues et corrigées. Activez les mises à jour automatiques quand c'est possible, et suivez celles des serveurs et des sites.
Des sauvegardes testées
Plusieurs copies, dont une hors site et une hors d'atteinte d'un rançongiciel, et des restaurations testées régulièrement. Notre guide sur la règle 3-2-1 explique comment faire.
Les arrivées et les départs
Une liste des comptes de chaque personne, pour créer les bons accès à l'arrivée et les retirer tous au départ. Les comptes d'anciens salariés encore actifs sont une porte d'entrée classique.
Le moindre privilège
Chacun n'a accès qu'à ce dont il a besoin. Les droits d'administration sont réservés à quelques comptes dédiés, qui ne servent pas à lire ses emails au quotidien.
Des équipes qui savent repérer un email piégé
Faux fournisseur qui change de coordonnées bancaires, faux dirigeant qui demande un virement urgent, faux lien de connexion : une sensibilisation courte et régulière, avec des exemples réels, change vraiment les réflexes. Instaurez une règle simple : tout changement de RIB se vérifie par téléphone, à un numéro connu.
Des postes protégés
Antivirus à jour, disque chiffré sur les ordinateurs portables, verrouillage automatique de l'écran. Un portable volé ne doit pas devenir une fuite de données.
Un inventaire
On ne protège pas ce qu'on ne connaît pas. Listez vos équipements, vos logiciels, vos services en ligne, vos noms de domaine, et qui détient les accès d'administration. Vérifiez que ces accès appartiennent à l'entreprise, pas à une personne ou à un ancien prestataire.
Savoir quoi faire en cas d'incident
Une page suffit, imprimée et connue de tous :
- isoler les postes touchés du réseau, sans les éteindre ;
- prévenir le prestataire ou le référent informatique, avec ses coordonnées ;
- ne pas payer de rançon ;
- porter plainte, et notifier la CNIL sous 72 heures si des données personnelles sont concernées ;
- se faire aider : cybermalveillance.gouv.fr oriente vers des professionnels.
Votre score
Et ensuite ?
Cette liste couvre l'essentiel, pas tout. Un audit de sécurité organisationnel va plus loin : accès, sauvegardes, pratiques des équipes, dépendances, avec des recommandations priorisées et adaptées à votre taille. Pour aller plus loin, lisez aussi notre guide sur l'hébergement des données en France.
Découvrez notre offre d'infogérance et de sécurité, et nos audits de sécurité.