12 règles essentielles de sécurité du système d'information pour les PME

La réduction des risques induits par l’usage des technologies numériques repose d’abord sur le respect de bonnes pratiques à adopter. À elles seules, ces dix règles d’or vous protègeront de la majorité des risques numériques qui pèsent sur vos usages personnels ou professionnels.

1. Séparez strictement vos usages personnels et professionnels

Avec l’avènement d’Internet et l’évolution des usages, la frontière entre vie professionnelle et vie personnelle devient de plus en plus poreuse. Séparer vos usages réduit les risques de fuite de données professionnelles via des applications ou services personnels et limite l’impact d’une compromission sur l’ensemble de vos activités.

2. Mettez régulièrement à jour vos outils numériques

Un appareil ou un logiciel qui n’est pas à jour devient vulnérable. Après avoir identifié l’ensemble de vos appareils et logiciels : appliquez les mises à jour dès qu’elles vous sont proposées. Téléchargez les mises à jour uniquement depuis les sites officiels des éditeurs. Activez l’option de téléchargement et d’installation automatique des mises à jour, quand elle existe. Chaque système d’exploitation (Windows, MacOS, Android, iOS …), chaque logiciel présente des vulnérabilités.

3. Protégez vos accès : authentification multifactorielle et mots de passe robustes

Il est important d’utiliser un mot de passe différent pour chaque accès (messagerie, banque en ligne, comptes de réseaux sociaux, etc.) afin d’éviter l’effet boule de neige en cas de compromission de l’un de vos comptes. Créez un mot de passe robuste (suffisamment long, complexe et aléatoire) de 12 caractères minimum et contenant des minuscules, des majuscules, des chiffres et des caractères spéciaux ; les phrases de passe (par exemple, une phrase prise au hasard dans un livre) constituent une bonne alternative parfois plus simple à mémoriser. Ne communiquez jamais votre mot de passe à un tiers : aucune organisation ou personne de confiance ne vous demandera de lui communiquer votre mot de passe. À savoir : un coffre-fort de mots de passe permet de stocker de manière sécurisée l’ensemble de vos mots de passe et vous permet d’en générer de manière aléatoire. Protégez vos accès par une authentification double-facteur lorsque c’est possible, ou a minima par des mots de passe robustes.

4. Ne laissez pas vos équipements sans surveillance

Lorsque vous êtes en déplacement, veillez à ne jamais laisser vos appareils sans surveillance. Vous vous exposez au vol, à la manipulation et la compromission desdits matériels et de vos données. Lorsque vous n’utilisez pas votre poste de travail (même au bureau et à la maison), pensez à le verrouiller et placer en lieu sûr l’ensemble de votre matériel informatique (support de stockage, etc.). Évitez de connecter votre appareil à un poste qui n’est pas de confiance.

Lire aussi: Principes et types d'impôts

5. Sécurisez vos connexions sans-fil et évitez les Wi‑Fi publics non sûrs

Très faciles d’accès, ces réseaux peuvent être contrôlés pour intercepter vos informations. Désactivez les connexions sans-fil (Wi‑Fi, Bluetooth, NFC, etc.) lorsque vous ne vous en servez pas pour éviter que vos appareils s’y connectent automatiquement. Préférez le partage de connexion depuis votre mobile ; sécurisez la connexion avec un mot de passe robuste. Si vous n’avez d’autre choix que d’utiliser un Wi‑Fi public, veillez à ne jamais y réaliser d’opérations à caractère sensible (paiement par carte bancaire, déclaration d’impôts, renseignement d’informations confidentielles, etc.) et utilisez, si possible, un réseau privé virtuel (VPN). Ne jamais utiliser le chiffrement WEP décodable en quelques minutes.

6. Accordez le juste niveau de privilèges

Plusieurs personnes peuvent avoir accès au même poste de travail avec un accès plus ou moins restreint, défini selon leurs besoins. Lorsqu’il vous revient d’ajouter des utilisateurs à un appareil ou à un service, et donc de choisir le niveau de permission à leur accorder, appliquez toujours la règle du privilège minimum et assurez-vous que chacun des utilisateurs ait uniquement les permissions dont il a besoin. Par défaut, tous les utilisateurs d’un poste de travail ou d’un serveur doivent avoir un niveau d’accès limité au système d’exploitation et aux informations.

7. Sauvegardez régulièrement vos données

Effectuez des sauvegardes régulières de vos données personnelles et professionnelles sur des supports distincts selon les usages, et placez-les en sécurité. Cela vous protège en cas de panne, de perte, de vol, de destruction de votre matériel ou d'attaque informatique. Utilisez des stockages externes (clé USB, disque dur, etc.) ou optez pour un service de stockage en ligne (cloud). Privilégiez les capacités de stockage mises à disposition par votre entreprise pour vos données professionnelles. Chiffrez le contenu de vos appareils de stockage. Réalisez des sauvegardes non connectées de manière régulière.

8. Protégez-vous des virus et autres logiciels malveillants

Sur Internet, les logiciels malveillants (virus, vers, cheval de Troie, logiciel espion, etc.) représentent un risque réel. Ils sont distribués par de nombreux vecteurs dont vous pouvez vous protéger grâce à : un antivirus dont vous respectez les recommandations (mise à jour des bases virales, suppression ou mise en quarantaine des fichiers suspects) et un pare-feu bien configuré qui bloquera les connexions non désirées depuis et vers votre ordinateur. L’utilisation de ces outils ne sera efficace qu’à condition d’y associer quelques bonnes pratiques : n’utilisez jamais un service ou un équipement inconnu ou abandonné (une clé USB par exemple). Attribuez un usage spécifique à chaque clé USB pour réduire les effets d’une éventuelle contamination. Méfiez-vous des clés USB offertes lors de vos déplacements (salons, réunions, voyages).

9. Sensibilisez et formez vos collaborateurs

La mise en place d’une culture de sécurité est essentielle : la formation et la sensibilisation du personnel permettent d’identifier les attaques comme le phishing, la menace la plus courante visant les TPE et les PME. Des procédures claires (gestion de mots de passe, verrouillage des postes, reconnaissance des e-mails suspects) réduisent le facteur humain dans les incidents de sécurité.

10. Formalisez votre politique de sécurité

Formaliser sa politique de sécurité n’est pas inutile pour une PME. Ces documents ne sont pas uniquement utiles pour encadrer les règles de l’entreprise. Ils jouent également un rôle clé pour informer les nouveaux arrivants, rappeler les procédures à tous les employés et offrir une certaine forme d’autonomie à chacun. La mise en place de ces outils constitue un investissement qui, bien que peut-être initialement perçu comme onéreux, sera rentabilisé en améliorant les processus de l’entreprise sur le long terme.

11. Préparez des procédures de gestion de crise, PRA et PCA

Chaque entreprise, quelle que soit sa taille ou le niveau de son expertise informatique, devrait idéalement être préparée à l’avance pour faire face à une éventuelle faille de sécurité. En adoptant des procédures de sécurité informatique, qu’il s’agisse d’une procédure de gestion de crise, d’un PRA (Plan de Retour à l’Activité) ou d’un PCA (Plan de Continuité d’Activité), il s’agit de s’assurer qu’en cas d’incident, les meilleures pratiques seront en place, minimisant le risque d’erreurs critiques. Pour mettre en place ces procédures de gestion de crise, il est possible de faire appel à ses équipes en interne, mais aussi, de recourir à l’aide ou à l’expertise d’un prestataire spécialisé dans ce domaine. Quelle que soit l’approche choisie, il faudra documenter ces procédures et les tester régulièrement pour garantir leur efficacité.

12. Externalisation et choix de partenaires

Compte tenu du manque potentiel de personnel dédié à la sécurité, de nombreuses PME choisissent d’externaliser certaines fonctions de sécurité, comme la surveillance en temps réel ou l’assistance en cas d’incident. Cette externalisation peut concerner l’ensemble du système informatique, qui peut être infogéré sur site ou externalisé dans le Cloud, dans les datacenter du prestataire. En déléguant la sécurité de votre système informatique à un prestataire externe, vous bénéficiez non seulement d’une expertise de pointe, mais aussi d’une tranquillité d’esprit. Il est essentiel de vérifier le sérieux et la maturité des outils et partenaires sélectionnés. Choisir des outils ou des partenaires solides et expérimentés est un moyen efficace de garantir une certaine expertise côté sécurité informatique.

Compléments pratiques et bonnes habitudes

Les attaques informatiques qui ciblent les PME et les TPE ne sont généralement pas de simples failles techniques : elles peuvent avoir un impact sur la réputation de l’entreprise et, sur le plan juridique, entraîner des poursuites. Quand on les interroge, les TPE/PME indiquent qu’elles manquent de moyens humains et matériels pour mettre en place des mesures de sécurité adéquates. Il est essentiel de noter qu’aucune des mesures évoquées n’est efficace seule, mais qu’elles doivent être combinées pour créer un système robuste. Enfin, rappelons que la sécurité informatique est un processus continu et non un état.

Questions à se poser régulièrement

Connaissez-vous bien votre parc informatique ?
Effectuez-vous des sauvegardes régulières ?
Appliquez-vous régulièrement les mises à jour ?
Utilisez-vous un antivirus ?
Avez-vous implémenté une politique d’usage de mots de passe robustes ?
Avez-vous activé un pare-feu ? En connaissez-vous les règles de filtrage ?
Comment sécurisez-vous votre messagerie ?
Comment séparez-vous vos usages informatiques ?
Comment maîtrisez-vous le risque numérique lors des missions et des déplacements professionnels ?
Comment vous informez-vous ?

Cybersécurité : connaissez-vous bien votre parc informatique ?

Ressources et recommandations

L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a récemment publié un guide à destination des entreprises. Intitulé « La cybersécurité pour les TPE/PME en 12 questions », ce guide a pour but d’orienter les professionnels dans l’évaluation et la mise en œuvre de la sécurité de leur système informatique. Après « Attaques par rançongiciels, tous concernés », ce nouveau guide sous forme de questionnaire est un nouvel incontournable pour les entreprises. TPME, découvrez les 12 questions essentielles à se poser si vous souhaitez évaluer l’état de sécurité du système informatique de l’entreprise. Particuliers, nous vous invitons également à consulter le guide : certaines bonnes pratiques vous permettront également de protéger votre informatique !

Mesure	Objectif	Fréquence
Mises à jour	Corriger vulnérabilités	Dès disponibilité / automatique
Sauvegardes	Restauration après incident	Régulière, non connectée
Antivirus & Pare-feu	Prévenir malwares	Permanent, mises à jour quotidiennes
Formation	Réduire risque humain (phishing)	Périodique, au moins annuel
PRA/PCA	Continuité d’activité	Documenté et testé régulièrement

Demandez un diagnostic pour évaluer votre niveau sécurité, par exemple en déposant votre demande sur le site MesServices.cyber.gouv.fr. Une infographie simple et concise, qui reprend les principales informations à connaître pour anticiper et limiter les arrêts d’activité des professionnels, peut être diffusée en interne pour renforcer la sensibilisation.

En presque 10 ans, la digitalisation des entreprises s’est accélérée, et avec elle, la nécessité de protéger son système d’information et de garantir l’intégrité de ses données. Le numérique offre des opportunités pour développer votre entreprise, mais il s’accompagne aussi de risques concernant la sécurité des données que vous détenez, qu’elles soient personnelles (fichiers clients, employés…) ou non (informations financières, industrielles…).

balises: #Pme