Dans cet article
La plupart des incidents de sécurité dans une PME ne naissent pas d'une attaque sophistiquée, mais d'un geste qui paraissait normal : le même mot de passe pour la messagerie et le site du transporteur, la « facture » ouverte en pièce jointe, la clé USB apportée de la maison, le mot de passe prêté au nouveau collègue « juste pour aujourd'hui ». Sans règles écrites, personne n'a rien fait de mal. La cybersécurité gérée commence par sept politiques courtes — une feuille chacune — que tout le monde a lues et signées.
Les sept politiques en un coup d'œil
| Politique | Question à laquelle elle répond |
|---|---|
| Mots de passe et MFA | Comment protège-t-on les comptes ? |
| Équipements | Quels appareils accèdent aux données, et comment ? |
| Messagerie et communications | Que faire d'un e-mail suspect ? |
| Accès | Qui voit quoi ? |
| Sauvegardes | Que copie-t-on, où, et comment le teste-t-on ? |
| Réponse aux incidents | Et si cela arrive ? |
| Arrivées et départs | Qu'est-ce qui change quand quelqu'un arrive ou part ? |
Protéger les comptes : mots de passe et authentification
- Phrases longues 14 caractères ou plus, plutôt que des combinaisons courtes avec symboles.
- Un par service Conservés dans le gestionnaire de mots de passe de l'entreprise, jamais envoyés par e-mail ou par messagerie.
- MFA obligatoire Sur la messagerie, les fichiers et tout accès à distance, sans exception pour la direction, cible préférée des attaquants.
- Comptes partagés Le mot de passe change chaque fois que quelqu'un part.
Nous détaillons le pourquoi et le comment dans le gestionnaire de mots de passe en entreprise.
Contrôler les appareils : politique d'équipements
Les équipements de l'entreprise disposent d'une protection installée, de mises à jour automatiques et d'un disque chiffré. Les équipements personnels accèdent à la messagerie et aux fichiers via le navigateur, sans téléchargement sur le disque. Les portables ne restent pas dans la voiture, et une perte ou un vol se signale le jour même pour bloquer l'accès à distance. On n'installe que des logiciels de la liste approuvée — et cette liste existe.
Bloquer les fraudes : messagerie et communications
Un e-mail suspect se transfère à l'équipe IT ; on n'y répond pas et on ne clique pas. Toute demande de changement d'IBAN d'un fournisseur se confirme par téléphone, à un numéro déjà connu, jamais à celui qui figure dans l'e-mail. C'est la défense la plus efficace contre la fraude à la facture modifiée. Les données clients ne circulent ni par messagerie personnelle ni par des applications de messagerie instantanée.
Limiter les droits : politique d'accès
- Accès minimal Chacun ne voit que ce que sa fonction exige.
- Revue semestrielle Droits des dossiers partagés et de SharePoint revus deux fois par an.
- Administration réservée Droits d'administrateur uniquement pour l'équipe IT.
- Prestataires contrôlés Accès individuels, temporaires et journalisés.
- Changement de fonction On retire les anciens accès, on n'ajoute pas seulement les nouveaux.
C'est le principe du moindre privilège appliqué en pratique, comme nous l'expliquons dans Zero Trust en 4 étapes pour les PME.
Garantir la restauration : les sauvegardes
La politique définit ce qui est copié, à quelle fréquence, où et pendant combien de temps. Au moins une copie se trouve hors du bâtiment et est immuable, pour résister aux rançongiciels. Les tests de restauration ont une date fixée et un résultat consigné, et il est défini qui reçoit les alertes d'échec et en combien de temps il les traite. Découvrez le fonctionnement de la sauvegarde gérée et ce qu'apporte un plan de reprise après sinistre et de continuité d'activité.
Préparer le pire jour : réponse aux incidents
Une page qui répond à « et si cela arrive ? » :
- Qui prévient qui — et dans quel ordre.
- Ce qu'on isole d'abord — le poste touché, pas le serveur entier.
- Qui communique — avec les clients et les fournisseurs, et qui ne parle pas.
- Notifications obligatoires — à la CNPD sous 72 heures lorsqu'il y a des données personnelles ; au Centro Nacional de Cibersegurança pour les entités couvertes par NIS2.
- Contacts sur papier — du prestataire IT et de l'assureur, car le jour de l'incident la messagerie peut être hors service.
Les quatre phases d'une cyberattaque aident à comprendre où s'inscrit chaque action.
Fermer les portes : arrivées et départs
Arrivée : compte avec les droits de la fonction, MFA dès le premier jour, équipement remis avec enregistrement et 30 minutes de présentation de ces politiques. Départ : compte désactivé le dernier jour, pas la semaine suivante ; transfert de messagerie défini ; équipement restitué et vérifié ; mots de passe partagés modifiés ; accès de prestataires au nom de cette personne révoqués. Les comptes d'anciens collaborateurs encore actifs figurent parmi les failles que nous trouvons le plus souvent lors des audits.
Du document à la pratique
Chaque politique tient sur une demi-page. Partez de ce que l'entreprise fait déjà bien, ajoutez ce qui manque et évitez les interdictions que personne ne respectera — une règle ignorée affaiblit toutes les autres. Faites approuver par la direction, présentez lors d'une courte séance, recueillez les signatures et révisez une fois par an.
Dans les contrats de cybersécurité gérée de DataRoad, nous fournissons des modèles de ces sept politiques adaptés à l'entreprise et vérifions, dans le rapport mensuel, ce qui est techniquement respecté : MFA actif, comptes désactivés, sauvegardes testées. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité.
Questions fréquentes
Une entreprise de 12 personnes a-t-elle vraiment besoin de politiques écrites ?
Elle a besoin des mêmes sept, en plus court. Les risques sont identiques ; seul change le nombre de personnes qui les lisent. Dans une petite entreprise, le compte oublié d'une personne partie pèse même davantage.
Ces politiques respectent-elles le RGPD et NIS2 ?
Elles font partie des mesures techniques et organisationnelles que les deux exigent. Elles ne remplacent pas le registre des traitements du RGPD ni l'analyse de risques de NIS2, mais elles en constituent la base.
Qui signe ?
Tous ceux qui accèdent aux systèmes, y compris les stagiaires, les intérimaires et la direction. La signature est ce qui permet d'en exiger le respect.
Quand les réviser ?
Une fois par an et à chaque changement important : nouveau logiciel de gestion, télétravail généralisé, incident ou évolution légale.
Prochaine étape : les sept politiques adaptées à votre entreprise
Nous fournissons les modèles, les adaptons à votre réalité et configurons la partie technique — MFA, accès, sauvegardes — pour que le papier corresponde à la pratique. Découvrez la cybersécurité gérée de DataRoad et demandez une proposition sans engagement.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950* ou écrivez à sales@dataroad.pt.
*Appel vers un fixe portugais.
