Une PME peut avoir des tableaux de bord impeccables et rester exposée pour une raison très simple : le travail réel vit dans les contournements. Le commercial qui partage un identifiant parce que c’est plus rapide. La responsable finance qui débloque un accès sur WhatsApp. Le technicien qui lance une sauvegarde “au cas où” sans jamais tester la restauration. Tout cela ressemble à de l’efficacité jusqu’au jour où cela devient un incident.
La vraie question n’est pas de savoir si votre entreprise “a de la cybersécurité”, mais si elle peut continuer à fonctionner quand un compte, un ordinateur portable ou une sauvegarde tombe en panne.
En octobre, avec le Mois européen de la cybersécurité, c’est le bon moment pour quitter les généralités et vérifier quatre contrôles qu’une PME peut examiner cette semaine. Il ne faut pas un vaste programme de transformation ; il faut une conversation un peu inconfortable, un contrôle technique simple et une décision nette sur qui agit quand quelque chose casse. ENISA décrit cette campagne comme l’initiative annuelle de l’UE pour promouvoir la cybersécurité auprès des citoyens et des organisations. (enisa.europa.eu)
Le vrai problème est souvent la friction, pas la technologie
Dans beaucoup d’entreprises, le plus grand risque n’est pas une attaque sophistiquée, mais les exceptions du quotidien. L’accès temporaire devenu permanent. Le mot de passe partagé pour “un seul portail”. Le prestataire externe qui conserve encore des privilèges alors que le projet est terminé depuis longtemps. Ce sont de petites décisions prises pour ne pas ralentir le travail, mais elles créent une faille opérationnelle bien réelle.
Il y a ici une leçon pratique : si une mesure de sécurité impose trop de détours, les équipes la contournent. C’est pourquoi il vaut mieux commencer par le contrôle qui touche la routine, pas par le plus joli. Octobre est utile parce qu’il met en lumière les endroits où sécurité et productivité se heurtent chaque jour.
Quatre vérifications qui changent le quotidien
La première, c’est qui a accès et si cet accès a encore du sens. Il ne suffit pas de savoir combien de comptes existent ; il faut savoir combien restent actifs par habitude. Passez en revue les arrivées, départs et accès de tiers. Si une personne change de poste, ses droits changent-ils, ou les exceptions s’accumulent-elles simplement ?
La deuxième, c’est la MFA, authentification multifactorielle. La MFA consiste à demander plus d’une preuve d’identité, par exemple un mot de passe et une application mobile. Ce n’est pas parfait, mais cela réduit fortement l’impact d’un mot de passe volé. Le test pratique n’est pas “avons-nous la MFA ?”, mais “où est-elle activée, et où peut-on encore entrer avec une seule clé ?”.
La troisième, c’est la sauvegarde, mais pas comme rituel. Une sauvegarde qu’on ne peut pas restaurer est une promesse, pas une protection. Le vrai test est simple : restaurer un fichier, un dossier ou un compte dans un environnement de test et mesurer le temps nécessaire. Ce temps de reprise en dit plus long qu’un discours sur la continuité.
La quatrième, c’est la réponse. Qui décide de couper un compte ? Qui prévient l’équipe ? Qui contacte le fournisseur ? Si la réponse dépend d’une seule personne et non d’une procédure minimale, l’entreprise n’a pas un plan ; elle a de la chance.
Un scénario simple : quand le raccourci devient un coût
Imaginons une entreprise de distribution de vingt personnes. L’équipe commerciale utilise un accès partagé au portail client parce que c’est plus simple. La comptabilité reçoit les factures par email et les range dans un dossier partagé. L’informatique, interne ou externe, fait des sauvegardes chaque nuit, mais personne n’a demandé de test de restauration depuis deux ans.
Un lundi, un compte mail est compromis. Le problème ne se limite pas à la boîte mail : depuis là, on accède au dossier partagé, on transfère des factures et une chaîne d’appels internes s’enclenche. La perte financière ne vient pas d’une seule faille, mais d’une série de décisions qui semblaient mineures. C’est la leçon inconfortable : la sécurité casse souvent là où l’entreprise a décidé de ne pas s’interrompre.
Le compromis inconfortable : moins de confort aujourd’hui, moins de chaos demain
C’est ici que la résistance apparaît. “Si on supprime les accès partagés, l’équipe ira moins vite.” “Si on impose une restauration de test, on va perdre du temps.” “Si on ferme les anciens privilèges, quelqu’un sera bloqué.” Tout cela peut être vrai. La question est de savoir si vous préférez une gêne contrôlée maintenant ou une interruption désordonnée plus tard.
Il ne s’agit pas de transformer l’entreprise en bunker. Il s’agit de poser des limites là où le travail improvisé est devenu la norme. Une bonne politique n’est pas celle que personne ne conteste ; c’est celle que l’équipe peut appliquer même un mardi compliqué.
Un petit test pour cette semaine
Plutôt que de lancer un grand projet, essayez ceci pendant sept jours :
- Choisissez un service critique et passez en revue tous les accès actifs.
- Activez ou vérifiez la MFA sur les comptes les plus sensibles.
- Restaurez un fichier ou un dossier depuis la sauvegarde et chronométrez l’opération.
- Écrivez sur une page qui décide et qui communique si un incident survient.
Si ces quatre étapes créent de la surprise, vous avez déjà une carte assez fiable des risques. Si elles n’en créent pas, tant mieux : vous avez peut-être déjà une base solide sur laquelle bâtir.
La vraie question n’est pas de savoir si votre PME peut consacrer une heure à cela. C’est de savoir si elle peut se permettre de ne pas le faire. Chez Codefuente, nous commençons souvent par ces tests simples, parce qu’ils révèlent bien plus qu’un audit abstrait.
Trois actions pour cette semaine : vérifiez les accès d’un service critique, testez une restauration réelle et nommez la personne qui prendrait la première décision demain en cas d’incident.