La plupart des cyberattaques qui touchent les petites entreprises ne sont pas des opérations sophistiquées. Ce sont des attaques automatisées qui exploitent un mot de passe faible, un logiciel pas à jour ou un salarié piégé par un faux e-mail. Bonne nouvelle : quelques mesures simples suffisent à bloquer l'essentiel de ces menaces. Les voici, par ordre de priorité.
1. Faire les mises à jour, partout
Systèmes d'exploitation, navigateurs, logiciels, site internet, extensions WordPress, box et routeurs : les mises à jour corrigent des failles connues, que les attaquants recherchent activement. Activez les mises à jour automatiques quand c'est possible, et vérifiez régulièrement les équipements qui ne le font pas seuls.
2. Utiliser des mots de passe solides et uniques
Un mot de passe réutilisé sur plusieurs services est le cadeau idéal pour un pirate : une seule fuite suffit à ouvrir toutes les portes. Utilisez une phrase de passe longue, différente pour chaque service, et un gestionnaire de mots de passe pour ne pas avoir à les retenir.
3. Activer la double authentification
Messagerie, comptes bancaires, réseaux sociaux, outils en ligne, administration du site : activez la double authentification (code par application ou clé de sécurité) partout où elle est proposée. Même si un mot de passe est volé, il ne suffit plus pour entrer.
4. Sauvegarder, et tester la restauration
Les sauvegardes sont votre dernière ligne de défense contre un rançongiciel, une panne ou une erreur de manipulation. Appliquez la règle 3-2-1 et, surtout, testez régulièrement la restauration. Une sauvegarde jamais testée n'est qu'un espoir. Nous détaillons la méthode dans notre article sur la sauvegarde des données en PME.
5. Former l'équipe à reconnaître l'hameçonnage
Le faux e-mail reste la porte d'entrée la plus fréquente. Une courte sensibilisation, avec des exemples réels, change concrètement les réflexes. Voir aussi notre guide pour reconnaître un e-mail piégé.
6. Séparer les usages et limiter les droits
Les salariés n'ont pas besoin d'être administrateurs de leur poste pour travailler. Un compte sans droits d'administration limite fortement les dégâts d'un logiciel malveillant. De même, évitez de mélanger usages personnels et professionnels sur le même appareil.
7. Protéger les postes et le réseau
Antivirus à jour, pare-feu activé, Wi-Fi protégé par un mot de passe robuste, réseau invité séparé pour les visiteurs : ces réglages de base réduisent la surface d'attaque.
8. Sécuriser le site internet
Un site piraté peut diffuser des logiciels malveillants, envoyer du spam ou être bloqué par Google. HTTPS, mises à jour, comptes d'administration protégés, sauvegardes et en-têtes de sécurité sont le minimum. C'est la base de chaque site que nous livrons en création de site internet.
9. Garder la maîtrise des accès
Tenez une liste des comptes et des accès : qui a accès à quoi, avec quels droits. Quand un salarié ou un prestataire part, ses accès doivent être fermés le jour même.
10. Savoir quoi faire en cas d'incident
Préparez une fiche réflexe simple : qui appeler, quels appareils isoler, où sont les sauvegardes. En cas d'attaque, isolez les appareils concernés du réseau sans les éteindre, ne payez pas de rançon, et faites-vous accompagner. Le dispositif public cybermalveillance.gouv.fr (nouvel onglet) propose une assistance et une mise en relation avec des professionnels.
Ces dix mesures ne coûtent presque rien et bloquent l'essentiel des attaques courantes. Le plus dur est de les appliquer de façon régulière, pas une seule fois.
Par où commencer ?
Si vous ne deviez faire que trois choses cette semaine : activer la double authentification sur votre messagerie, vérifier que vos sauvegardes fonctionnent, et lancer les mises à jour en attente. Pour un état des lieux complet de votre entreprise, nous proposons un audit de cybersécurité avec un plan d'action priorisé.
