Protéger les données de votre société, c’est préserver trois choses : leur confidentialité (seules les bonnes personnes y accèdent), leur intégrité (elles ne sont ni modifiées ni corrompues) et leur disponibilité (elles restent accessibles quand vous en avez besoin). Voici les huit étapes que nous mettons en œuvre avec nos clients à Marseille et en région PACA.
1. Évaluer les risques et définir une politique de sécurité
Tout commence par un état des lieux : quelles données sont critiques, où sont-elles stockées, qui y accède, quelles sont les menaces et les vulnérabilités ? Cette analyse débouche sur une politique de sécurité simple, écrite et connue de tous. Un audit de sécurité est le bon point de départ.
2. Contrôler les accès
- des comptes nominatifs, sans identifiants partagés ;
- des droits limités au strict nécessaire pour chaque collaborateur ;
- l’authentification multifacteur sur la messagerie et les accès distants ;
- la désactivation immédiate des comptes des personnes qui quittent l’entreprise.
3. Protéger les données elles-mêmes
Le chiffrement protège les données en transit et au repos, notamment sur les ordinateurs portables. Les sauvegardes doivent être régulières, externalisées, isolées du réseau et testées : c’est la dernière ligne de défense face à un rançongiciel. Pour Microsoft 365, une sauvegarde dédiée est indispensable.
4. Sécuriser le réseau
Un pare-feu professionnel avec prévention d’intrusion filtre le trafic et bloque les menaces. La segmentation du réseau (postes, invités, téléphonie, objets connectés) limite la propagation d’une attaque.
5. Sécuriser les postes et les serveurs
Systèmes et logiciels à jour, correctifs de sécurité appliqués rapidement, protection EDR sur chaque machine : la majorité des attaques exploitent des failles connues ou des postes mal protégés.
6. Former et sensibiliser les équipes
L’hameçonnage reste le premier vecteur d’attaque. Des sessions régulières apprennent à reconnaître un e-mail frauduleux, une fausse demande de virement ou un lien piégé. Des règles claires encadrent aussi les mots de passe et l’usage des appareils personnels.
7. Surveiller et gérer les incidents
Une surveillance continue repère les activités suspectes. Un plan de réponse aux incidents précise qui prévenir et quoi faire, pour réagir vite et limiter les dégâts. Il s’inscrit dans un plan de reprise d’activité.
8. Vérifier la conformité et contrôler régulièrement
Le RGPD impose de protéger les données personnelles et de notifier certaines violations. Des référentiels comme l’ISO 27001 offrent un cadre plus complet. Des contrôles réguliers permettent de corriger les faiblesses avant qu’elles ne soient exploitées.
Par où commencer ?
Si vous ne deviez faire que trois choses cette semaine : activer l’authentification multifacteur partout, vérifier que vos sauvegardes se restaurent réellement, et appliquer les mises à jour en attente. Nous vous accompagnons pour la suite. Découvrez notre approche de la cybersécurité pour les PME.
Les erreurs les plus fréquentes
- des sauvegardes stockées sur le même réseau que les données, donc chiffrées avec elles en cas d’attaque ;
- des comptes d’anciens salariés encore actifs ;
- des mots de passe partagés entre collègues ;
- des postes qui n’ont pas reçu de mises à jour depuis des mois ;
- aucune procédure écrite en cas d’incident.
Questions fréquentes
Quelle est la mesure la plus efficace ?
L’authentification multifacteur, combinée à des sauvegardes isolées et testées.
Le RGPD s’applique-t-il aux petites entreprises ?
Oui, à toutes les entreprises qui traitent des données personnelles, quelle que soit leur taille.
