Cybersécurité en TPE-PME : sept mesures qui tiennent vraiment

Pourquoi une TPE est une cible commode

Une entreprise de dix personnes n'intéresse personne en tant que telle. Elle est atteinte parce qu'elle est atteignable : une adresse de messagerie exposée, un mot de passe réutilisé, un accès distant ouvert sur Internet « le temps du confinement » et jamais refermé. Les attaques qui aboutissent chez nos clients ne sont presque jamais sophistiquées. Ce sont des campagnes automatisées qui balaient tout et s'arrêtent sur ce qui cède.

Conséquence pratique : il ne s'agit pas d'être imprenable, il s'agit d'être plus solide que la moyenne de ce que le balayage rencontre. C'est atteignable avec un budget de TPE.

1. L'authentification à deux facteurs, en commençant par la messagerie

Le premier vecteur reste la boîte mail. Une fois qu'un attaquant y accède, il lit vos échanges, apprend qui paie quoi, et envoie une demande de changement de RIB parfaitement crédible depuis votre propre adresse. C'est le scénario le plus coûteux que nous voyons, et il ne nécessite aucun logiciel malveillant.

L'authentification multifacteur (MFA) coupe court à la réutilisation d'un mot de passe volé. Nous l'activons d'abord sur la messagerie et sur l'espace d'administration, puis sur les accès distants, puis sur les outils métiers qui le permettent. Une application d'authentification sur le téléphone est préférable au code par SMS, plus facile à détourner.

2. Des mots de passe gérés, pas mémorisés

Demander à une équipe d'inventer et de retenir vingt mots de passe différents ne fonctionne pas : les gens les dérivent les uns des autres. Un gestionnaire de mots de passe partagé, avec des coffres par service, règle le problème et résout au passage la question du départ d'un collaborateur : on révoque un accès au lieu de faire le tour des applications.

Il rend aussi visible ce que personne ne veut regarder : le nombre de comptes actifs qui n'appartiennent plus à personne.

3. Un antivirus centralisé plutôt qu'individuel

Sur un parc professionnel, l'intérêt d'une protection n'est pas seulement de bloquer, c'est de remonter. Une console centralisée vous dit quel poste n'a pas reçu de mise à jour depuis trois semaines, lequel a déclenché une détection hier soir, et lequel a été retiré du parc sans qu'on le sache. Sans cette vue, chaque poste est un angle mort.

Nous déployons des solutions de type antivirus centralisé ou EDR selon la taille et le niveau d'exposition, avec les alertes envoyées à un destinataire qui les lit réellement — condition qui paraît évidente et qui est rarement remplie.

4. Les mises à jour, y compris celles qu'on oublie

Les systèmes d'exploitation se mettent à jour à peu près seuls. Ce qui traîne, ce sont les couches intermédiaires : le firmware du routeur, celui du NAS, le navigateur d'un poste rarement allumé, le logiciel métier resté sur une version dont l'éditeur ne publie plus de correctifs. Ce sont ces éléments-là qui figurent dans les campagnes d'exploitation automatisées.

Un cycle de mise à jour piloté, avec une fenêtre planifiée et un retour d'état, transforme cette dette invisible en tâche de maintenance ordinaire.

5. Refermer les portes ouvertes vers Internet

Nous trouvons encore régulièrement des accès de bureau à distance publiés directement sur Internet, des interfaces d'administration de NAS accessibles depuis n'importe où, et des caméras dont le mot de passe est celui d'usine. Chacun de ces points est un service exposé en permanence à un balayage mondial.

La correction est simple et peu coûteuse : un VPN professionnel pour les accès distants, une segmentation entre le réseau bureautique et les équipements techniques, un filtrage sur les adresses autorisées. Le confort d'usage n'en souffre pas, à condition que la mise en place soit faite proprement plutôt qu'ajoutée après coup.

6. Sensibiliser l'équipe sur les cas réels, pas sur des principes

Les formations générales sur « la sécurité informatique » ne changent pas les comportements. Ce qui fonctionne, c'est de montrer à l'équipe les messages qu'elle reçoit vraiment : la fausse facture d'un fournisseur connu, la notification de livraison, la demande urgente signée du nom du dirigeant, le message qui reprend un vrai fil de discussion. Une session courte, sur des exemples internes, avec la consigne claire d'appeler le contact au numéro qu'on connaît déjà avant de valider un virement.

Une règle interne écrite — aucun changement de coordonnées bancaires sans validation par téléphone — coûte zéro euro et neutralise le scénario le plus onéreux.

7. La sauvegarde, en dernier rempart

Les six mesures précédentes réduisent la probabilité de l'incident. La septième réduit son coût. Une sauvegarde conçue selon la règle 3-2-1, avec une copie hors site et des instantanés que le compte de travail ne peut pas effacer, est ce qui fait la différence entre deux jours d'arrêt et une cessation d'activité. Nous détaillons la méthode dans notre article sur la sauvegarde NAS et la règle 3-2-1.

Un point souvent négligé : sauvegarder aussi la messagerie et les données hébergées chez des tiers. Un compte en ligne supprimé ou compromis n'est pas restauré par magie. Et quand la sauvegarde a manqué, il reste le travail d'atelier — la récupération de donnéescôté particuliers —, beaucoup plus long et beaucoup plus cher que la prévention.

Et le RGPD dans tout ça

Le règlement n'impose pas d'outil particulier. Il demande de garantir la confidentialité, l'intégrité et la disponibilité des données personnelles, et de pouvoir en rendre compte. Autrement dit : les sept mesures ci-dessus, plus une trace écrite de ce qui a été mis en place et de qui accède à quoi. Tenir à jour un registre des traitements et une cartographie des accès est moins pénible qu'il n'y paraît quand l'infrastructure est déjà propre.

Par où commencer

Si vous devez ne faire qu'une chose cette semaine : activez la double authentification sur la messagerie de toute l'équipe. Si vous pouvez en faire trois : ajoutez la fermeture des accès distants exposés et un test de restauration de votre sauvegarde. Ce sont les trois gestes au meilleur rapport effort/effet que nous connaissions.

Pour le reste, un audit permet de hiérarchiser plutôt que de tout empiler. Chez IF2M, il consiste à recenser les postes, les comptes, les accès distants, l'état des mises à jour et la sauvegarde, puis à vous remettre une liste ordonnée par gain, avec le coût en face de chaque ligne. Vous décidez ensuite ce que vous traitez tout de suite et ce qui attend.

Faisons le point sur votre parc

Partenaire local, sans plateforme d'appel ni sous-traitance : nous intervenons à Montauban et dans le Tarn-et-Garonne, en atelier comme sur site. Décrivez-nous votre installation depuis la page Informatique PRO ou appelez l'atelier au 05 63 91 01 52. Nous vous proposons un audit de sécurité et un plan d'action chiffré, sans engagement.