Guide · Cybersécurité
Un faux courriel qui demande un virement en urgence, une boîte de messagerie piratée qui envoie des messages aux clients, un poste bloqué par un rançongiciel : ces situations touchent les cabinets, les commerces et les sociétés de services installés à Paris comme en proche banlieue. La cybersécurité regroupe les mesures qui réduisent ces risques, de la configuration des postes à la procédure écrite à suivre en cas d’attaque. Cette page présente le sujet : ce qu’il recouvre, quand s’en occuper, comment se déroule un projet et comment comparer les offres.
Sommaire
Cybersécurité, c’est quoi ?
La cybersécurité désigne l’ensemble des mesures qui protègent les postes, les serveurs, la messagerie, les données et les comptes d’une entreprise contre les accès non autorisés, les logiciels malveillants et les pertes de données. Elle ne se réduit pas à un logiciel installé sur chaque ordinateur. Elle combine des réglages, des habitudes de travail, une organisation claire des droits et une part de sensibilisation des équipes.
Pour une petite ou moyenne structure, les menaces les plus fréquentes passent souvent par les personnes. Le hameçonnage, appelé aussi phishing, consiste à envoyer un message qui imite un fournisseur, une administration ou un dirigeant pour obtenir un mot de passe, un paiement ou l’ouverture d’une pièce jointe piégée. Un rançongiciel chiffre ensuite les fichiers et réclame une somme pour les rendre de nouveau lisibles.
Les mesures de base
Quelques mesures couvrent une grande partie des risques courants : double authentification sur la messagerie et les accès distants, comptes administrateurs limités, correctifs de sécurité appliqués, sauvegardes hors des locaux et vigilance face aux faux courriels. Ces bases sont souvent plus utiles qu’un outil coûteux installé sans méthode ni suivi.
Les mesures techniques
Elles viennent en complément : antivirus géré ou solution de détection des comportements suspects (EDR), pare-feu correctement configuré, filtrage de la messagerie, réseau invités séparé du réseau de l’entreprise, journalisation des connexions. Leur niveau dépend de la taille du parc, de l’activité et des exigences des clients. Il doit aussi rester compréhensible pour les personnes qui les utilisent au quotidien.
Quand faut-il s’en occuper ?
Il n’est pas nécessaire d’attendre une attaque. Plusieurs situations rendent la question urgente :
- un client, un assureur ou un donneur d’ordre envoie un questionnaire de sécurité auquel personne ne peut répondre avec des éléments vérifiables ;
- un collaborateur a signalé un message suspect, ou a déjà saisi ses identifiants sur une page douteuse ;
- un ancien salarié ou un ancien prestataire conserve encore des accès ;
- le télétravail s’est développé sans règle écrite pour la connexion à distance ;
- des postes ne reçoivent plus de mises à jour depuis longtemps ;
- l’entreprise manipule des coordonnées bancaires de clients ou de fournisseurs, cible naturelle des faux changements de RIB.
La taille de l’entreprise compte moins que son exposition : ce qu’elle possède, ce qu’elle échange par courriel et les personnes qui se connectent depuis l’extérieur. Une société de quelques postes peut être aussi exposée qu’une structure plus grande si ses comptes ne sont protégés par rien.
Comment se déroule un projet
Un projet de cybersécurité commence presque toujours par un état des lieux. Le prestataire examine les postes, les comptes, les accès distants, la messagerie et les sauvegardes, puis identifie les points à corriger en priorité. Cette étape fait souvent apparaître des comptes oubliés, des droits d’administration donnés sans raison et des services exposés sur internet sans protection.
Vient ensuite la mise en œuvre, dans un ordre qui limite la gêne pour les équipes : sécurisation des comptes et de la messagerie, protection des postes, mise à jour des équipements réseau, puis rédaction de la procédure. Chaque changement doit être expliqué aux utilisateurs, car une double authentification mal présentée est vite contournée ou désactivée.
Enfin, le suivi maintient le niveau dans la durée : surveillance des alertes, revue régulière des droits, application des correctifs et sensibilisation des équipes. Un compte rendu écrit à la fin de chaque étape permet à l’entreprise de suivre l’avancement sans avoir à comprendre chaque réglage technique. Le planning précis et les horaires de surveillance se fixent au devis, puis se retrouvent au contrat.
Ce qui distingue une bonne offre
Une offre sérieuse décrit ce qui est couvert et ce qui ne l’est pas. Elle précise les outils proposés, la façon dont les alertes sont traitées et les personnes qui y ont accès. Elle indique qui reste propriétaire des comptes d’administration et des licences, et comment l’entreprise conserve une copie de ces accès.
Elle prévoit aussi un volet humain : un temps de sensibilisation pour les équipes, des exemples de faux courriels adaptés au métier, et une procédure écrite à utiliser en cas d’incident. Un antivirus présenté comme une protection complète, sans rien de plus, ne répond pas à ces points.
Le prix dépend du nombre de postes, de serveurs et de comptes à protéger, du niveau de surveillance choisi et de l’état de départ du parc. Il n’existe pas de tarif standard. Deux propositions ne se comparent qu’à périmètre identique : mêmes équipements, mêmes horaires de surveillance, mêmes actions de sensibilisation.
Les erreurs fréquentes
La première erreur consiste à croire qu’un antivirus suffit. Il protège contre une partie des logiciels malveillants, mais ne couvre ni les comptes volés, ni les faux courriels, ni les sauvegardes. La sécurité repose sur plusieurs mesures complémentaires, dont aucune ne remplace les autres.
La deuxième consiste à laisser chaque salarié administrateur de son poste. Un logiciel indésirable peut alors s’installer sans que personne ne le remarque, et les réglages de sécurité peuvent être modifiés sans contrôle.
La troisième concerne les sauvegardes. Une copie stockée sur un disque branché en permanence peut être chiffrée par un rançongiciel en même temps que les fichiers d’origine. Une copie hors des locaux, protégée contre l’effacement et testée régulièrement, est bien plus fiable.
La quatrième est l’absence de procédure. En cas d’attaque, les premières actions influencent fortement l’étendue des dégâts, et personne ne sait qui prévenir ni quoi faire si rien n’est écrit. Les bons réflexes tiennent en peu de lignes : isoler le poste touché du réseau sans l’éteindre, changer les mots de passe depuis un appareil sain, prévenir le prestataire et l’assureur, conserver les traces et déposer plainte.
Enfin, les accès d’anciens salariés et d’anciens prestataires restent parfois ouverts pendant des mois. Une revue périodique des comptes évite ce risque, au même titre que la fermeture des accès au départ de chacun.
Les questions à poser avant de signer
Avant de signer, quelques questions permettent de juger le sérieux d’une proposition :
- Quelles mesures sont mises en place en priorité, et pour quelle raison dans cet ordre ?
- Qui surveille les alertes, et à quels horaires ?
- Une procédure écrite en cas d’incident est-elle remise à l’entreprise ?
- Les équipes sont-elles sensibilisées, et selon quelle méthode ?
- Les comptes d’administration et les licences restent-ils la propriété de l’entreprise ?
- Que prévoit le contrat en fin de mission : restitution des accès, de la documentation et des journaux ?
Un état des lieux écrit, réalisé avant toute décision, reste un point de départ solide. Il permet de choisir les mesures à prendre selon le risque réel de l’entreprise, plutôt que selon l’offre la plus visible.