Cybersécurité pour PME : les bases incontournables

Beaucoup de PME pensent être trop petites pour intéresser un attaquant. C’est une erreur dangereuse : précisément parce que moins protégées, les petites entreprises sont des cibles faciles. Une attaque réussie peut bloquer l’activité, exposer les données des clients et coûter des sommes qu’une PME a du mal à absorber. La bonne nouvelle, c’est que 80 % du risque se couvre avec des mesures de base, non avec un budget de grande entreprise. Voici les fondations, par ordre de priorité.

Les mots de passe et l’accès : la première ligne

La plupart des violations passent par des identifiants faibles ou réutilisés. Avant toute autre chose, mettez de l’ordre dans les accès.

• Mots de passe longs et uniques pour chaque service : un mot de passe réutilisé compromet tous les comptes liés.
• Authentification à deux facteurs (2FA) sur la messagerie, la banque, les logiciels de gestion et les portails : même si le mot de passe est volé, l’accès reste bloqué.
• Gestionnaire de mots de passe : élimine l’habitude de les noter ou de les réutiliser.
• Révocation immédiate des accès lorsqu’un collaborateur quitte l’entreprise.

Ce seul bloc de mesures élimine une part énorme du risque, à coût quasi nul.

Les sauvegardes : votre filet de sécurité

Si un rançongiciel chiffre vos données, la seule vraie défense est d’avoir une copie intacte. Les sauvegardes ne sont pas un luxe, ce sont l’assurance sur la continuité.

• Appliquez la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site (ou sur un cloud distinct).
• Vérifiez que les sauvegardes soient automatiques : celles qui dépendent de la mémoire de quelqu’un finissent tôt ou tard par sauter.
• Testez la restauration : une sauvegarde que vous ne savez pas restaurer n’est pas une sauvegarde. Essayez périodiquement de récupérer les données.
• Gardez au moins une copie inaccessible depuis le réseau, ainsi une attaque ne peut la chiffrer avec le reste.

Mises à jour : fermer les portes ouvertes

La plupart des attaques exploitent des vulnérabilités connues pour lesquelles un correctif existe déjà. Ne pas l’appliquer revient à laisser la porte ouverte.

• Activez les mises à jour automatiques sur les systèmes d’exploitation, les navigateurs et les logiciels de gestion.
• Remplacez les systèmes qui ne sont plus pris en charge : un logiciel qui ne reçoit plus de correctifs est une faille permanente.
• Maintenez à jour aussi les appareils « oubliés » : routeurs, imprimantes réseau, appareils connectés.

Le facteur humain : la défense la plus importante

La technologie arrête beaucoup d’attaques, mais le hameçonnage vise les personnes, non les systèmes. Un employé qui clique sur le mauvais lien peut contourner n’importe quel pare-feu.

• Formez l’équipe à reconnaître les courriels suspects : expéditeurs anormaux, urgences artificielles, demandes d’identifiants ou de paiements.
• Établissez une procédure de vérification pour les paiements : un changement de coordonnées bancaires par courriel doit toujours être confirmé par un second canal.
• Créez une culture où signaler un doute est normal, non un motif de gêne. Une attaque signalée à temps se contient.

La protection des données n’est pas seulement technique

Une PME suisse traite des données de clients et d’employés, et la réglementation sur la protection des données impose de les protéger de manière adéquate. La cybersécurité a donc aussi une dimension de conformité :

• Savoir quelles données vous possédez et où elles sont conservées.
• Limiter l’accès aux données à qui en a réellement besoin.
• Être prêt à gérer une éventuelle violation, qui peut entraîner des obligations d’annonce.

Un plan minimal, par ordre de priorité

Si vous partez de zéro, voici la séquence qui couvre le plus de risque avec le moins d’effort :

1. Activez la 2FA sur tous les comptes critiques.
2. Sécurisez et testez les sauvegardes.
3. Activez les mises à jour automatiques partout.
4. Formez l’équipe au hameçonnage.
5. Définissez les rôles et les accès aux données.

Nul besoin de tout faire tout de suite, mais il faut bien faire ces choses.

Comment nous travaillons

Chez SIH ONE, la sécurité des données fait partie intégrante de la façon dont nous gérons votre administration. Les documents et les données que vous nous confiez sont chiffrés, avec des accès personnels et de la traçabilité, conservés dans des lieux connus et de manière conforme à la réglementation suisse. Notre portail et nos systèmes sont conçus pour que la protection soit la règle, non une option à configurer.

Vous voulez un bilan des bases de sécurité de votre PME ? Parlons-en ensemble.