Cybersécurité
Les 15 mesures de cybersécurité prioritaires pour une PME
Les mesures qui bloquent réellement la majorité des attaques observées, classées par ordre de mise en œuvre, avec ce qu'elles impliquent concrètement.
Protéger les accès en priorité
La très grande majorité des compromissions observées dans les structures de taille moyenne commence par un accès légitime détourné : un mot de passe réutilisé, un compte d'administration exposé, un accès distant non protégé. C'est donc là qu'il faut porter le premier effort.
L'authentification multifacteur sur la messagerie, les accès distants et les consoles d'administration constitue la mesure au meilleur rapport entre effort et bénéfice. Elle neutralise l'essentiel des attaques par vol d'identifiants, y compris celles issues de fuites survenues chez des tiers.
Viennent ensuite la séparation stricte des comptes d'administration et des comptes courants, la suppression immédiate des accès lors des départs, la revue périodique des droits, et l'utilisation d'un gestionnaire de mots de passe d'entreprise. Ces quatre mesures ne coûtent presque rien en licence et beaucoup en rigueur.
Résister à une attaque et se relever
La sauvegarde reste la seule protection réellement efficace contre un rançongiciel. Elle doit suivre la règle des trois copies sur deux supports différents dont une hors ligne ou immuable, et surtout faire l'objet de restaurations testées. Une sauvegarde jamais restaurée n'est qu'une hypothèse.
L'application des correctifs de sécurité dans un délai maîtrisé, en priorité sur les équipements exposés à Internet, ferme la seconde grande porte d'entrée. Un simple calendrier mensuel, complété par une procédure d'urgence pour les vulnérabilités critiques, suffit dans la plupart des cas.
S'y ajoutent la protection des postes par une solution de détection moderne, le filtrage de la messagerie contre l'hameçonnage, la segmentation du réseau pour éviter qu'une compromission ne se propage, et la journalisation centralisée qui permettra de comprendre ce qui s'est passé. Sans journaux, une investigation est impossible.
Organiser et tenir dans la durée
Une procédure de gestion d'incident écrite, tenant sur une page, indiquant qui appeler, dans quel ordre, avec quels numéros et quelles décisions à prendre dans la première heure, vaut plus que n'importe quel outil sophistiqué le jour où l'incident survient.
La sensibilisation régulière des collaborateurs, deux fois par an, avec des exercices d'hameçonnage simulés menés sans logique de sanction, réduit sensiblement le taux de clic. L'objectif est d'apprendre à signaler, pas de piéger.
Le chiffrement des postes portables et des supports amovibles limite l'impact d'une perte ou d'un vol. L'inventaire à jour du matériel, des logiciels et des services en ligne souscrits permet de savoir ce que l'on doit protéger. Enfin, les clauses de sécurité dans les contrats avec les prestataires informatiques, avec des engagements de délai et de notification, cadrent une dépendance souvent critique.
Un ordre de mise en œuvre qui compte
Tout déployer en même temps échoue. Une séquence réaliste consacre le premier trimestre à l'authentification multifacteur, aux sauvegardes testées et à la procédure d'incident. Ces trois mesures couvrent à elles seules une part très importante du risque.
Le deuxième trimestre peut être consacré à la gestion des correctifs, à la protection des postes et au filtrage de la messagerie. Le troisième à la gestion des accès, à la segmentation et à la journalisation. Le quatrième à la sensibilisation, à l'inventaire et aux clauses contractuelles.
Cette progression a un autre avantage : elle produit une trace datée de la démarche. Face à un client, un assureur ou une autorité, une organisation capable de montrer un plan suivi trimestre après trimestre inspire davantage confiance qu'une organisation qui affirme être protégée sans pouvoir l'illustrer.
Une question sur votre situation ?
Évaluez votre niveau de conformité en quelques minutes ou échangez directement avec nous.