Cybersécurité des TPE/PME : bonnes pratiques et réflexes

Les 10 mesures essentielles pour une petite entreprise

Cybermalveillance.gouv.fr résume la base de la protection en dix réflexes : mots de passe solides, sauvegardes régulières, mises à jour de sécurité appliquées dès qu'elles sont proposées, antivirus à jour, applications téléchargées uniquement sur les sites ou magasins officiels, méfiance envers les messages inattendus.

S'y ajoutent la vérification des sites marchands, la maîtrise des réseaux sociaux, la séparation des usages personnels et professionnels, et la prudence avec les WiFi publics, sur lesquels il ne faut jamais réaliser d'opération sensible.

En mobilité, la fiche conseille de privilégier la connexion de l'abonnement téléphonique (3G ou 4G) et, si un WiFi public est inévitable, d'utiliser si possible un VPN. Séparer les usages évite que le piratage d'un accès personnel nuise à l'entreprise, et inversement.

Mots de passe : les règles qui comptent

Un mot de passe différent pour chaque service limite les dégâts en cas de vol. Face aux attaques par « force brute », qui testent des dizaines de milliers de combinaisons par seconde, la fiche retient un minimum de 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux.

Évitez les informations personnelles faciles à retrouver et les suites comme 123456 ou azerty. Un gestionnaire de mots de passe évite les pense-bêtes : KeePassXC est cité comme certifié par l'ANSSI dans sa version 2.7.9. Le mot de passe de la messagerie est l'un des plus importants, car il permet de réinitialiser les autres comptes. Changez aussi les mots de passe par défaut et activez la double authentification.

Sauvegardes : copier, déconnecter, tester

Identifiez les appareils qui contiennent des données, choisissez quoi sauvegarder (ce qui ne pourrait pas être récupéré ailleurs) et planifiez les sauvegardes.

Déconnectez le support après usage : une sauvegarde reliée au réseau peut être détruite par un rançongiciel. Gardez une copie dans un autre lieu, testez la restauration et surveillez l'état des supports. Pour les données personnelles, les sauvegardes relèvent elles aussi du RGPD et de la loi Informatique et Libertés.

Pour un usage professionnel, la fiche rappelle de sauvegarder aussi les logiciels indispensables à l'exploitation des données, lorsque ces données en dépendent.

Le rôle du dirigeant et l'usage de l'IA

La méthode destinée aux dirigeants tient en dix étapes, de l'état des lieux des actifs numériques au contrôle et à l'itération, en passant par la sensibilisation des collaborateurs et la préparation à la crise. Selon la fiche, 80 % des cyberattaques pourraient être évitées par des mesures simples : mots de passe, sauvegardes, mises à jour, droits d'accès.

Pour l'IA, les risques professionnels viennent surtout d'un usage non encadré (fuites d'informations, perte de savoir-faire). La fiche rappelle aussi qu'un résultat affirmé de manière convaincante par une IA peut s'avérer partiellement erroné ou inventé : on parle d'hallucination. Vérifiez donc les réponses sur les sujets à enjeu.

Côté direction, il s'agit de vérifier qu'une charte d'usage de l'IA existe et que les services souscrits respectent des réglementations comme le RGPD.

Frequently asked questions