Travailler en sécurité : les trois habitudes qui changent le plus
La cybersécurité semble réservée aux grandes entreprises dotées d’un service informatique. En pratique, ce sont les plus petites structures qui sont les plus vulnérables.
Pour beaucoup de PME, la cybersécurité semble réservée aux grandes entreprises dotées d’un service informatique. En pratique, ce sont justement les plus petites structures qui sont les plus vulnérables, simplement parce qu’on y consacre moins de temps, de budget et de connaissances. Voici ce que nous rencontrons, et ce qui selon nous fait le plus de différence.
Ce que nous voyons déraper dans les PME
Un seul mot de passe pour presque tout. Le même pour la boîte mail, le logiciel comptable et toutes sortes de comptes en ligne. Dès que ce mot de passe fuite quelque part, par exemple lors d’une fuite de données chez un tiers, la porte est ouverte sur toutes les autres applications.
Pas de vérification en deux étapes. Souvent disponible dans les logiciels déjà utilisés, mais jamais activée parce qu’elle est perçue comme une étape supplémentaire pénible. C’est pourtant cette étape qui fait généralement la différence entre une tentative qui échoue et un compte réellement compromis.
Trop peu de méfiance face aux e-mails. Un message qui paraît urgent et officiel, soi-disant de la banque, d’un fournisseur ou même du gérant, est trop vite considéré comme fiable, surtout quand quelqu’un est débordé. Le phishing joue délibérément là-dessus.
Des mises à jour qui traînent. Les mises à jour de sécurité sont reportées parce qu’un redémarrage tombe mal. Ce sont pourtant souvent celles-là qui comblent des failles déjà activement exploitées à ce moment-là.
Des sauvegardes qui existent, mais n’ont jamais été testées. On part du principe que le système de sauvegarde fonctionne, sans jamais vérifier qu’on peut effectivement restaurer quelque chose. Ce n’est qu’au moment où c’est nécessaire qu’on découvre parfois que cela dysfonctionnait depuis des mois sans que personne s’en aperçoive.
Trop d’accès pour trop de monde. Chacun administrateur de son propre appareil, ou tout le monde ayant accès à chaque dossier partagé, même quand la fonction ne l’exige pas. Plus il y a de personnes qui accèdent à des données sensibles, plus le risque est grand en cas d’erreur humaine ou de compte compromis.
Les trois habitudes qui rapportent le plus
La vérification en deux étapes, partout où c’est possible. De loin la mesure la plus efficace et la moins chère qui existe. Même si un mot de passe fuite, un compte reste protégé tant que cette deuxième étape est active. Nous la recommandons systématiquement comme première mesure concrète.
Réfléchir un instant avant de cliquer, et l’enseigner à toute l’équipe. Pas une mesure technique mais un réflexe : en cas de doute sur un e-mail, un lien ou une pièce jointe, vérifier via un autre canal qu’il s’agit bien du bon expéditeur. Cette habitude ne coûte rien et arrête une grande partie des incidents avant qu’ils ne commencent.
Tester réellement et régulièrement que votre sauvegarde fonctionne. Pas seulement vérifier qu’elle tourne, mais restaurer effectivement un fichier ou un environnement complet, pour être sûr que cela marche le jour où cela compte. Une sauvegarde jamais testée n’est en pratique souvent qu’un faux sentiment de sécurité.
Un exemple concret
Dans une PME d’une dizaine de collaborateurs, une personne du service comptable a reçu un e-mail qui, à première vue, ressemblait à une facture ordinaire d’un fournisseur connu : la même mise en page, le même style d’écriture que les autres messages de ce fournisseur. L’adresse de l’expéditeur semblait presque identique, à un petit détail près que personne n’a remarqué.
La collaboratrice a ouvert la pièce jointe, ce qui a installé un logiciel malveillant en arrière-plan. Le jour même, quelqu’un a tenté de se connecter à sa boîte mail depuis un endroit inhabituel. Cette tentative a échoué, parce que la vérification en deux étapes était bien active sur ce compte.
Sans cette couche supplémentaire, l’intrus aurait probablement eu accès à l’ensemble de la boîte mail, y compris d’anciennes factures et des coordonnées de clients : un matériau parfaitement exploitable pour monter des tentatives de phishing encore plus crédibles chez d’autres.
L’appareil a tout de même dû être vérifié et nettoyé en profondeur, et une journée a été perdue en investigation et en remise en état. Contrariant, mais limité. Sans vérification en deux étapes, le scénario aurait pu être tout autre, avec un accès possible à l’ensemble de la messagerie et le risque de factures falsifiées comportant des numéros de compte modifiés. Ce dernier cas, nous l’avons déjà vu se produire dans d’autres entreprises, avec des dégâts financiers à la clé.
Cet incident illustre d’un coup pourquoi ces trois habitudes comptent : l’e-mail de phishing lui-même était difficile à éviter, le regard critique aurait pu l’arrêter avant que cela dérape, et la vérification en deux étapes l’a stoppé malgré tout une fois que c’était parti de travers.
Vous voulez savoir à quel point votre fonctionnement numérique actuel est sûr ? Contactez-nous pour un diagnostic sans engagement. Quelques ajustements ciblés suffisent souvent à réduire fortement le risque.