Cybersécurité pour une PME :
par où commencer

Oui, précisément parce qu'elle est petite. Les attaques qui touchent une PME ne la visent pas : ce sont des campagnes massives d'e-mails avec de fausses factures, de faux avis bancaires ou des mots de passe volés sur un autre site, qui tentent leur chance auprès de milliers d'entreprises à la fois. Entre celui qui a la porte la moins bien fermée, et les PME ont les portes les moins bien fermées parce que personne n'en est chargé. L'attaquant ne sait pas qui vous êtes et cela lui est égal : il sait qu'une entreprise de huit personnes sans sauvegardes paiera plus vite qu'une grande entreprise dotée d'un service de sécurité. Les alertes de l'INCIBE, l'institut espagnol de cybersécurité, et les rapports annuels du secteur le répètent chaque année : la plupart des incidents dans les entreprises espagnoles touchent des PME, et la plupart commencent par un e-mail.

Un antivirus bloque sur la machine ce qu'il reconnaît, et il est nécessaire, mais il ne couvre pas ce qui entre le plus souvent. Il n'empêche pas quelqu'un de saisir son mot de passe sur un faux site bancaire, ni de payer une facture dont le numéro de compte a été modifié, ni qu'un Windows non mis à jour présente une faille connue, ni que les sauvegardes se trouvent sur le même disque que celui que le rançongiciel chiffre. Les sept points de ce guide, c'est justement ce que l'antivirus ne fait pas. Ce qui est utile, en revanche, c'est que l'antivirus soit géré : que quelqu'un vérifie à distance qu'il est actif sur tous les postes et ce qu'il a détecté, au lieu de compter sur chacun pour regarder son icône.

Moins cher qu'un seul incident. Les sauvegardes testées, les mises à jour, la double authentification et la revue des comptes relèvent surtout du travail, pas de l'achat : pour une petite entreprise, un gestionnaire de mots de passe et une sauvegarde dans le cloud coûtent quelques euros par utilisateur et par mois. Le véritable investissement, c'est le pare-feu professionnel et, s'il y a un serveur, un onduleur. Ce qui coûte le plus, c'est le temps de le faire puis de l'entretenir, et c'est pourquoi, dans les PME, cela s'inscrit généralement dans un contrat de maintenance, avec un technicien qui vérifie chaque mois. Chez nous, la formule Esencial, avec sauvegardes gérées, antivirus et mises à jour, démarre à 49 € par mois, et la formule Gestionado, avec un technicien attitré et la supervision, à 99 € ; notre article sur ce que doit inclure un contrat de maintenance explique ce qu'il faut exiger dans tous les cas.

Les désactiver le jour même du départ, et vérifier tous les quelques mois qu'aucun n'est resté ouvert. C'est l'une des failles les plus courantes et les plus faciles à éviter : un ancien salarié dont la messagerie est toujours active, l'accès au logiciel de gestion ou le mot de passe du wifi jamais changé. Inutile de soupçonner qui que ce soit ; il suffit que son mot de passe, qu'il réutilisait peut-être sur d'autres sites, apparaisse dans une fuite. Il en va de même pour les fournisseurs et les techniciens extérieurs qui ont eu un accès pour une tâche précise. L'outil, c'est une liste de qui a accès à quoi, revue chaque trimestre ; cela prend une heure.

Plusieurs, qui s'appliquent déjà à toute entreprise, et une qui pourrait arriver. Le RGPD impose de protéger les données personnelles par des mesures appropriées et de notifier toute violation de sécurité à l'AEPD, l'autorité espagnole de protection des données, dans un délai de 72 heures ; une PME qui détient des données clients est donc déjà concernée, et nous le détaillons dans la checklist RGPD pour cabinets et cliniques. La directive européenne NIS2, que l'Espagne est en train de transposer dans sa législation, concerne les moyennes et grandes entreprises de certains secteurs, pas la PME type, mais elle touche certains de ses clients, qui commencent à exiger contractuellement des mesures de la part de leurs fournisseurs. Et si vous traitez des données de santé ou travaillez pour l'administration, des exigences spécifiques s'appliquent. Ce que propose ce guide couvre ce qui est raisonnable pour toute PME ; ce que votre secteur y ajoute, voyez-le avec votre conseiller.

Cela dépend de quoi. S'il s'agit d'un e-mail auquel quelqu'un s'est laissé prendre en donnant un mot de passe, notre article sur ce qu'il faut faire si l'on s'est fait piéger donne l'ordre des deux premières heures : changer les accès, prévenir la banque si nécessaire, porter plainte. Si les fichiers apparaissent chiffrés ou accompagnés d'une demande de rançon, l'article sur les premières heures face à un rançongiciel explique ce qu'il faut faire et ne pas faire : isoler, ne pas éteindre, ne pas payer, prévenir. Dans les deux cas, en Espagne, le 017, numéro gratuit de l'INCIBE, répond aux entreprises comme aux particuliers et les oriente sur les démarches et le dépôt de plainte. Et après l'incident, cette liste de sept points est justement ce qu'il faut revoir, car il y manquait quelque chose.