Plan d'action cybersécurité selon la taille de votre entreprise

La plupart des conseils en cybersécurité s’adressent à une entreprise qui n’existe pas : celle qui dispose d’un informaticien, d’un budget dédié et d’un peu de temps. Une entreprise de quatre personnes n’a rien de tout cela, et une entreprise de soixante n’a pas les mêmes problèmes qu’elle.

Voici trois parcours distincts, selon votre effectif. Chacun indique quoi faire, dans quel ordre, et sur quelle durée. Suivez celui qui correspond à votre situation, et ignorez les deux autres jusqu’à ce qu’ils vous concernent.

Qu’est-ce que la taille change vraiment ?

Ce n’est pas le nombre d’employés qui compte, c’est ce qu’il implique.

En dessous de dix personnes, il n’y a généralement personne dont l’informatique est le métier. Le dirigeant décide, exécute et oublie, parce qu’il a autre chose à faire. Les mesures qui tiennent sont celles qui fonctionnent toutes seules une fois activées.

Entre dix et cinquante, un seuil est franchi : vous ne connaissez plus par cœur qui a accès à quoi. Des collaborateurs arrivent, partent, changent de fonction. Un prestataire informatique intervient, sans que ses limites soient toujours claires. Le sujet cesse d’être technique pour devenir organisationnel.

Au-delà de cinquante, le problème n’est plus de mettre en place les mesures, mais de garantir qu’elles tiennent dans le temps. Sans responsable désigné ni trace écrite, une configuration correcte se dégrade en dix-huit mois sans que personne le remarque.

Parcours 1 : de 1 à 9 personnes

Votre contrainte est le temps, pas le budget. Tout ce qui suit se fait soi-même, avec des outils que vous possédez déjà pour l’essentiel.

Les trois premières lignes sont non négociables. Elles couvrent les scénarios qui détruisent réellement une petite entreprise : le rançongiciel qui chiffre tout, le compte de messagerie volé, la faille connue laissée ouverte pendant des mois. Le détail de la sauvegarde est expliqué dans notre article sur la règle 3-2-1.

La dernière ligne mérite un mot. Dans une petite structure, une demande de virement urgente venue d’une adresse ressemblant à celle du patron passe facilement, parce que personne n’ose vérifier. Une règle simple, connue de tous, suffit à casser ce mécanisme : tout changement de coordonnées bancaires se confirme par téléphone, sur un numéro connu à l’avance. C’est le cœur de la fraude au président.

Parcours 2 : de 10 à 49 personnes

À cette taille, les mesures du premier parcours restent la base. Elles ne suffisent plus, parce que le risque s’est déplacé vers les personnes et les processus.

Deux points méritent d’être développés.

Les départs. C’est l’angle mort le plus fréquent à cette taille. Un collaborateur parti depuis huit mois dont la messagerie fonctionne encore, dont l’accès au serveur de fichiers est resté ouvert, dont le compte figure encore dans l’outil de gestion. Ce n’est presque jamais malveillant, c’est simplement que personne n’était chargé de fermer. Une procédure d’une page règle le problème définitivement.

Le prestataire. Beaucoup de dirigeants pensent que leur informaticien externe s’occupe de la sécurité. Souvent, son contrat couvre le maintien en fonctionnement, pas la protection. La question n’est pas de le mettre en cause, mais de savoir précisément où passe la frontière, et qui s’occupe du reste. Les risques liés à cette dépendance sont détaillés dans notre article sur les attaques par les fournisseurs.

Parcours 3 : 50 personnes et plus

Vous avez probablement déjà la plupart des mesures techniques. Le travail consiste désormais à les rendre durables et démontrables.

À cette taille, la conformité devient un sujet en soi. La loi sur la protection des données impose des mesures appropriées, sans en dresser la liste, et exige d’annoncer au Préposé fédéral les violations entraînant un risque élevé pour les personnes concernées. La loi suisse ne fixe aucun délai chiffré, elle demande d’agir dans les meilleurs délais, ce qui suppose de savoir à l’avance qui décide et qui rédige. Le détail figure dans notre article sur l’annonce d’une violation de données.

La revue périodique est la mesure la plus sous-estimée de ce parcours. Une politique écrite en janvier et jamais relue devient un document de fiction en deux ans. Ce qui protège, ce n’est pas le document, c’est la date du prochain contrôle inscrite dans un agenda.

La limite de tout plan par taille

Il faut être honnête sur ce que ces trois tableaux valent.

Un plan par effectif donne une trajectoire raisonnable, et suivre celle qui vous correspond vous placera devant beaucoup d’entreprises comparables. Mais ce plan ne connaît ni votre métier, ni la nature des données que vous manipulez, ni vos flux entre outils, ni les prestataires dont vous dépendez sans pouvoir les remplacer, ni ce qui vous ferait le plus mal si cela s’arrêtait demain matin.

Ces plans partagent aussi la faiblesse de toute liste : une mesure cochée n’est pas une mesure qui fonctionne. La sauvegarde qui échoue en silence depuis six mois figure comme réalisée dans le tableau. Le compte d’un ancien collaborateur oublié dans un outil secondaire n’apparaît dans aucune case. Et ce qu’on ignore ne figure jamais dans une checklist qu’on remplit soi-même.

Ce socle constitue donc un point de départ solide, pas une protection achevée. Le transformer en protection réelle demande deux choses : une analyse de ce qui compte réellement chez vous, et une vérification par quelqu’un qui sait où regarder. Ce constat vaut pour les trois parcours, y compris le premier.

Par où commencer cette semaine ?

Si vous ne devez retenir qu’une chose : ouvrez le parcours qui correspond à votre effectif, prenez la première ligne, et fixez-lui une date. Une mesure réalisée vaut mieux que trois mesures planifiées.

Ensuite, prenez trente minutes pour répondre aux trois questions du parcours que la taille ne peut pas trancher : quelles données ne doivent jamais sortir d’ici, quel arrêt vous coûterait le plus, et de qui dépendez-vous sans alternative. Comparez vos réponses à l’ordre du tableau, et réorganisez si nécessaire.

Pour situer votre niveau actuel avant de choisir, le check-up cyber parcourt les mêmes thèmes en quelques minutes et vous indique vos écarts principaux. Si vous cherchez le détail des mesures elles-mêmes plutôt que leur ordonnancement, elles sont décrites une à une dans les 10 mesures essentielles. Les autres articles du pilier Bonnes pratiques complètent chaque étape.