Débuter en cybersécurité : 10 mesures à cocher dans votre entreprise

La plupart des checklists de cybersécurité se cochent trop vite. « Sauvegardes : oui. » Jusqu’au jour où l’on découvre que le disque de sauvegarde était branché en permanence sur le serveur, et qu’il a été chiffré avec le reste. Une mesure n’est en place que si l’on peut prouver qu’elle fonctionne.

Cette liste s’appuie sur le guide de l’ANSSI La cybersécurité pour les TPE/PME en 13 questions, rédigé avec la Direction générale des entreprises. Pour chaque mesure, vous trouverez pourquoi elle compte, comment la mettre en place, et un critère précis : « c’est fait quand… ». Une mesure par semaine, et le tour est fait en dix semaines.

1. Lister ce qui compte

Pourquoi : on ne protège pas ce qu’on ne connaît pas. C’est la première question du guide de l’ANSSI.

Comment : un tableau avec le matériel (postes, téléphones, serveur, box, NAS), les comptes en ligne (messagerie, banque, facturation, site, réseaux sociaux), les données critiques et les prestataires qui ont un accès à distance.

C’est fait quand chaque compte critique a un responsable nommé, et que vous savez qui détient les droits d’administration.

2. Activer l’authentification multifacteur sur les comptes critiques

Pourquoi : le piratage de compte est la première menace signalée par les entreprises et associations à Cybermalveillance.gouv.fr en 2025 (21 % des demandes d’assistance). Une étude de Microsoft Research sur des comptes professionnels mesure une baisse de 99,22 % du risque de compromission pour les comptes protégés par un second facteur.

Comment : commencez par la messagerie, la banque en ligne, le logiciel de facturation et les accès à distance. Préférez une application d’authentification au SMS quand l’outil le permet.

C’est fait quand aucun compte de votre liste critique ne se connecte avec un simple mot de passe, y compris ceux de la direction.

3. Un mot de passe unique par service

Pourquoi : quand un site se fait voler sa base de mots de passe, les attaquants testent les mêmes identifiants ailleurs. La réutilisation d’un mot de passe figure parmi les causes de piratage de compte relevées par Cybermalveillance.gouv.fr.

Comment : l’ANSSI recommande au moins 9 caractères pour un service peu critique et au moins 15 pour un service critique, sans élément personnel. Une phrase de passe faite de mots tirés au hasard est plus facile à retenir. Un coffre-fort de mots de passe, de préférence certifié par l’ANSSI, évite d’avoir à les mémoriser.

C’est fait quand chaque salarié utilise un gestionnaire de mots de passe et que la messagerie professionnelle n’a jamais le même mot de passe que la messagerie personnelle.

4. Mettre à jour, en commençant par ce qui est exposé

Pourquoi : pour les professionnels, les rançongiciels entrent le plus souvent par une faille sur un accès externe ou un équipement de bordure (VPN, bureau à distance, NAS, pare-feu), selon Cybermalveillance.gouv.fr.

Comment : mises à jour automatiques sur les postes et les téléphones. Pour le pare-feu, le VPN, le NAS et le site web, demandez à votre prestataire un délai de correction des failles critiques, par écrit.

C’est fait quand vous connaissez la date de la dernière mise à jour de chacun de vos équipements exposés sur internet.

5. Sauvegarder selon la règle 3-2-1, et tester

Pourquoi : le jour d’un rançongiciel, seules des sauvegardes intactes permettent de redémarrer sans dépendre des attaquants.

Comment : l’ANSSI recommande trois copies des données (la production et deux sauvegardes), sur deux supports différents, dont une hors ligne, débranchée de tout réseau. N’oubliez pas les logiciels et leurs configurations, pas seulement les fichiers.

C’est fait quand vous avez restauré un dossier réel depuis la copie hors ligne au cours des trois derniers mois, et noté le temps que ça a pris.

6. Donner les droits au plus juste

Pourquoi : un compte piraté ne peut faire que ce que son propriétaire avait le droit de faire. Un salarié qui a accès à tout donne accès à tout.

Comment : des comptes d’administration réservés à l’administration, jamais utilisés pour lire ses mails. Un tri des dossiers partagés (Drive, OneDrive, serveur) : la paie et les dossiers RH ne sont ouverts qu’aux personnes concernées, et aucun fichier client ne reste en « lien public ».

C’est fait quand les accès d’une personne qui part sont fermés le jour même, et que vous pouvez dire qui a accès au dossier de paie.

7. Écrire la règle anti-fraude au virement

Pourquoi : la fraude au virement est entrée en 2025 dans les trois premières menaces pour les entreprises, en hausse de 93 % selon Cybermalveillance.gouv.fr. Elle suit le plus souvent le piratage d’une messagerie, celle du client ou celle du fournisseur.

Comment : une règle d’une ligne, affichée en comptabilité : « Tout changement de RIB et tout virement inhabituel se confirment par un appel au numéro déjà connu, jamais à celui qui figure dans la demande. » La direction s’y soumet aussi : c’est elle que les escrocs imitent.

C’est fait quand la personne qui paie les factures peut réciter la règle, et sait qu’elle sera soutenue si elle retarde un virement « urgent » pour vérifier.

8. Séparer les usages pro et perso

Pourquoi : le guide de l’ANSSI y consacre une question entière. Un jeu téléchargé par un enfant sur l’ordinateur professionnel, une clé USB personnelle, une boîte mail perso ouverte sur le poste de travail : autant de portes qui échappent à vos protections.

Comment : un poste professionnel réservé au travail, des comptes nominatifs pour chacun, aucune transmission de fichiers d’entreprise vers une messagerie personnelle.

C’est fait quand la règle est écrite dans la charte informatique ou le règlement intérieur, et expliquée à chaque nouvel arrivant.

9. Sécuriser les déplacements

Pourquoi : hôtels, gares, salons, cafés : les réseaux Wi-Fi publics et les regards par-dessus l’épaule exposent les données que vous transportez.

Comment : sur un réseau public, l’ANSSI conseille de préférer le partage de connexion 4G ou 5G de votre téléphone. Pour accéder aux ressources de l’entreprise, passez par un VPN. Chiffrez le disque des ordinateurs portables et ne les laissez jamais sans surveillance.

C’est fait quand les personnes qui se déplacent savent activer le partage de connexion et que leur portable demande un code au démarrage.

10. Préparer la fiche réflexe incident

Pourquoi : les premières heures décident souvent de l’ampleur des dégâts, et personne ne pense clairement quand plus rien ne fonctionne.

Comment : une page imprimée avec les consignes de l’ANSSI et de Cybermalveillance.gouv.fr :

• déconnecter du réseau les machines touchées, sans les éteindre ;
• ne pas payer de rançon ;
• tenir une main courante (heure, action, personne) ;
• appeler le prestataire, et le service public 17Cyber si besoin ;
• prévenir l’assureur et porter plainte dans les 72 heures, condition de l’indemnisation par une assurance cyber (article L12-10-1 du Code des assurances) ;
• notifier la CNIL sous 72 heures si des données personnelles sont touchées.

C’est fait quand la fiche est affichée ou rangée hors de l’ordinateur, et que les numéros du prestataire et de l’assureur y figurent.

Les pièges du débutant

• Cocher sans vérifier. Chaque critère « c’est fait quand » doit pouvoir se montrer : une restauration réussie, une liste d’accès, une fiche affichée.
• Commencer par acheter. Un nouvel outil sans inventaire ni règles écrites ajoute de la complexité, et rarement de la sécurité.
• Exempter la direction des règles de paiement ou d’authentification.
• Attendre une attaque pour s’y mettre. Les mesures 2 et 7 se mettent en place en quelques heures et visent deux des trois menaces les plus signalées par les entreprises : le piratage de compte et la fraude au virement.

Pour commencer cette semaine

Imprimez cette liste, notez en face de chaque mesure « fait », « en cours » ou « pas commencé », et choisissez la première à traiter. Si vous hésitez, commencez par la mesure 2 sur votre propre messagerie, puis la mesure 7 avec la comptabilité. Pour un regard extérieur, l’ANSSI propose MonAideCyber, un diagnostic gratuit d’environ 1 h 30 qui débouche sur six recommandations prioritaires. Côté équipes, le module gratuit SensCyber de Cybermalveillance.gouv.fr donne un socle commun en trois modules.

Pour passer de la liste à une démarche tenue dans le temps, la formation Intégrer la cybersécurité dans son entreprise travaille l’analyse des risques, la protection des données et des accès, les sauvegardes et la sensibilisation des équipes, avec des exercices pratiques. Pour les salariés qui veulent d’abord mieux maîtriser leurs outils, partages et accès, la formation Gestion de l’outil informatique pose les bases.

Formations liées à cet article

• Intégrer la cybersécurité dans son entreprise (14 h, présentiel ou distanciel)
• Gestion de l’outil informatique (14 h, présentiel ou distanciel)