« Nous sommes trop petits pour intéresser les pirates. » La phrase rassure, et elle repose sur une idée fausse : la plupart des attaques sont automatisées et visent toutes les portes ouvertes, quelle que soit la taille de l’entreprise derrière. Notre article sur les cyberattaques aux Antilles le montre, faits et sources à l’appui.

En novembre 2022, la Région Guadeloupe a pu couper tous ses réseaux, réunir une cellule de crise et travailler avec l’ANSSI, l’agence nationale chargée de la cybersécurité. Une TPE n’a rien de tout cela. Les dix mesures qui suivent coûtent peu, et elles demandent surtout que quelqu’un, dans l’entreprise, s’en occupe. Nous les avons classées dans l’ordre où nous conseillons de les aborder, et vous trouverez à la fin une liste à imprimer pour faire le point.

1. Sauvegarder selon la règle 3-2-1, et vérifier

Trois copies de vos données, sur deux supports différents, dont une hors de vos locaux. Face à un rançongiciel, à un vol ou à un dégât des eaux, c’est la copie qui vous permet de repartir sans rien payer à personne.

Une sauvegarde n’a de valeur que si elle se restaure. Une fois par trimestre, choisissez un dossier au hasard et restaurez-le depuis la copie hors site. Notez combien de temps cela prend : c’est aussi le délai pendant lequel votre activité serait arrêtée.

À l’antenne · Mesure n° 1

3-2-1

Trois copies, sur deux supports différents, dont une hors des locaux.

La règle 3-2-1, appliquée à une petite entreprise

Copie 1 · l’original

Sur le serveur ou les postes du bureau

Support A : disques des machines
Copie 2 · au bureau

Sur un NAS ou un disque externe, dans une autre pièce

Support B : disque dédié aux sauvegardes
Copie 3 · ailleurs

Dans un service de sauvegarde en ligne, ou un disque rangé hors des locaux

Support B ou C : cloud ou disque déconnecté

Hors site : survit à un incendie, un vol ou un rançongiciel

Et une fois par trimestre Restaurez un dossier au hasard depuis la copie 3. Si la restauration échoue ou prend une journée, vous l’apprenez avant d’en avoir besoin.

Source : règle de sauvegarde recommandée notamment par Cybermalveillance.gouv.fr ; exemple de mise en œuvre Colbi Consulting & Média.

2. Activer la double authentification

En 2025, le piratage de comptes était la première menace signalée par les professionnels au dispositif Cybermalveillance.gouv.fr. Avec la double authentification, un mot de passe volé ne suffit plus : il faut aussi un code reçu sur le téléphone ou une validation dans une application.

Commencez par la messagerie, parce qu’elle permet de réinitialiser tous les autres mots de passe. Continuez avec les outils en ligne (comptabilité, banque, stockage de fichiers) et les comptes d’administration. Sur une messagerie professionnelle courante, l’activation prend quelques minutes par compte.

3. Installer les mises à jour sans attendre

Beaucoup d’attaques passent par une faille que l’éditeur avait déjà corrigée. Activez les mises à jour automatiques sur les postes et les téléphones, et planifiez celles du serveur un soir par mois. N’oubliez pas la box internet, le pare-feu, l’imprimante réseau ou la caméra de surveillance : ces équipements restent souvent des années sans mise à jour, alors qu’ils sont branchés directement sur internet.

Un logiciel que l’éditeur ne met plus à jour (un vieux Windows, un ancien logiciel de caisse) doit être remplacé ou isolé du reste du réseau.

4. Confier les mots de passe à un gestionnaire

Un mot de passe différent pour chaque service, long et impossible à retenir de tête : le gestionnaire de mots de passe s’en souvient à votre place. Il remplit aussi les formulaires de connexion, ce qui évite de taper son mot de passe sur un faux site qui imite le vrai.

Pour une équipe, choisissez une offre professionnelle qui permet de partager certains accès (le compte du fournisseur, le site de la banque) sans les écrire dans un tableur ou sur un papier collé à l’écran.

5. Former l’équipe aux messages piégés

Montrez à vos équipes les messages qui circulent ici : le faux SMS de colis bloqué en douane, que la direction des douanes Antilles-Guyane signale depuis 2024, le faux conseiller bancaire qui demande de valider une opération, le courriel d’un fournisseur habituel qui annonce un changement de RIB. Ce dernier vise directement les entreprises, et il arrive souvent au moment où une facture importante doit être payée.

Une règle simple couvre la plupart des cas : toute demande de paiement, de changement de coordonnées bancaires ou de code reçue par message se vérifie par un appel, au numéro que vous connaissez déjà. Prévoyez une séance d’une heure par an, avec des exemples réels, et reprenez-la à chaque arrivée d’un salarié.

6. Protéger les postes avec un EDR

Un antivirus classique compare les fichiers à une liste de virus connus. Un EDR (pour endpoint detection and response) surveille en plus ce que font les programmes sur le poste, et bloque un comportement anormal, par exemple un logiciel qui se met à chiffrer des centaines de fichiers d’un coup, même quand le virus est inconnu. Installez-le sur chaque poste et chaque serveur, et vérifiez que quelqu’un reçoit ses alertes.

7. Cloisonner le réseau

Commencez par séparer le Wi-Fi des visiteurs de celui de l’équipe : la plupart des box professionnelles le permettent en quelques clics. Viennent ensuite le pare-feu, réglé pour ne laisser entrer que ce qui est nécessaire, et les accès à distance. Pour travailler depuis l’extérieur, passez par un VPN protégé par la double authentification. Un accès « bureau à distance » ouvert directement sur internet fait partie des portes d’entrée les plus utilisées par les rançongiciels.

8. Donner à chacun les accès dont il a besoin

Chaque salarié a son propre compte, avec ses propres identifiants : pas de compte partagé « accueil » ou « compta ». Les droits d’administration servent à installer et à configurer, pas à travailler au quotidien. Et quand un salarié part, ses accès partent le jour même, y compris ceux des outils en ligne qu’on oublie (réseaux sociaux de l’entreprise, plateforme de commande, banque). Tenez à jour une liste des accès de chacun pour ne rien oublier ce jour-là.

9. Chiffrer les ordinateurs portables

Un portable oublié dans une voiture ou volé à l’aéroport de Pointe-à-Pitre ne doit pas devenir une fuite de données. Le chiffrement du disque, intégré à Windows (BitLocker, dans les éditions professionnelles) comme à macOS (FileVault), rend son contenu illisible sans le mot de passe de l’utilisateur. Le RGPD cite d’ailleurs le chiffrement parmi les mesures attendues pour protéger les données personnelles. Conservez la clé de récupération ailleurs que sur l’ordinateur lui-même.

10. Écrire un plan de réponse sur une page

Écrivez sur une page qui appeler dans la première heure, et comment isoler un poste touché : on le débranche du réseau, sans l’éteindre, pour préserver les traces. Ajoutez le numéro de votre prestataire informatique, celui de votre assureur, l’adresse du guichet officiel 17cyber.gouv.fr, et le rappel que la CNIL doit être prévenue sous 72 heures si des données personnelles sont touchées. Affichez cette page près du serveur, et imprimez-en une copie : le jour de l’attaque, vos fichiers ne seront peut-être plus accessibles.

Après ces dix mesures

Ces mesures ne se posent pas une fois pour toutes. Prévoyez un point tous les six mois pour vérifier qu’elles tiennent : les sauvegardes tournent, les nouveaux salariés ont la double authentification, l’EDR est toujours actif. La liste ci-dessous sert à ce point. Une partie de ces mesures protège aussi contre les sinistres physiques : nous le détaillons dans notre article sur la continuité d’activité.

À l’antenne · À imprimer

Si vous cochez moins de six cases, commencez par les trois premières mesures : ce sont celles qui évitent les pertes les plus lourdes. L’audit de système d’information que nous réalisons part de cette même liste.

Vous ne savez pas combien de ces dix mesures sont en place chez vous ? Pendant le diagnostic, nous passons la liste en revue avec vous et nous vous indiquons par laquelle commencer.

Réserver mon diagnostic gratuit

Dix mesures de cybersécurité à prendre en premier dans une PME