Les enjeux de la cybersécurité pour les entreprises non-technologiques

Pourquoi les entreprises non-technologiques sont des cibles rentables

Les cybercriminels recherchent rarement une entreprise parce qu’elle fabrique des logiciels. Ils cherchent des failles facilement exploitables : une messagerie sans double authentification, un ordinateur non mis à jour, un accès distant mal protégé, une sauvegarde accessible depuis le réseau ou un salarié pressé par une fausse demande urgente. Les attaques sont en grande partie automatisées ; une petite structure peu équipée peut donc être repérée au même titre qu’un grand groupe.

L’enjeu dépasse la confidentialité d’un fichier client. Une indisponibilité de l’outil de devis, de la caisse, de la comptabilité, du planning des équipes ou de la messagerie peut empêcher de travailler et de facturer. Une compromission de compte peut aussi servir à tromper les clients et fournisseurs avec une demande de règlement crédible, envoyée depuis une adresse réelle.

Le risque le plus coûteux est souvent l’interruption d’activité, pas la seule valeur des données volées. Pour une entreprise qui dépend de commandes quotidiennes, quelques jours sans outils opérationnels peuvent désorganiser les livraisons, la paie et la relation commerciale.

Cartographier les données, les accès et les scénarios de perte

Avant de choisir une solution, établissez une carte simple des flux de travail. Listez les logiciels utilisés, les dossiers partagés, les postes, les téléphones professionnels, les comptes de messagerie, les outils de paie, la comptabilité, les terminaux de paiement et les prestataires qui y accèdent. L’objectif n’est pas de produire un document technique : il est d’identifier où se trouvent les informations sensibles et qui peut les modifier.

Classez ensuite les actifs selon trois questions : que se passe-t-il s’ils deviennent indisponibles, s’ils sont divulgués ou s’ils sont modifiés ? Un fichier de prospection peut être moins prioritaire qu’une base de paie, tandis qu’un changement non détecté de coordonnées bancaires fournisseurs peut générer une perte immédiate. Cette analyse permet d’allouer le budget là où il réduit réellement le risque.

La cartographie doit intégrer les « zones grises » : fichiers téléchargés sur des ordinateurs personnels, tableurs envoyés par e-mail, comptes partagés entre collègues, anciennes adresses de messagerie toujours actives et clés USB. Ce sont souvent ces usages pratiques, hors des outils officiellement prévus, qui créent une exposition durable.

À lire aussiComment créer efficacement une zone de chalandise gratuite pour votre entreprise

Respecter le RGPD et vérifier les obligations sectorielles

Le RGPD ne demande pas à chaque entreprise de déployer les mêmes moyens. Il impose de mettre en place des mesures techniques et organisationnelles adaptées au niveau de risque, à la nature des données et aux traitements réalisés. Concrètement, des données de santé, des pièces d’identité, des informations bancaires ou des dossiers de mineurs appellent un niveau de vigilance plus élevé qu’un simple annuaire public.

L’entreprise responsable du traitement doit notamment maîtriser les accès, choisir des sous-traitants présentant des garanties suffisantes, encadrer leur intervention par contrat et conserver une trace des incidents. Un prestataire informatique, un éditeur de logiciel en ligne ou un cabinet de paie ne décharge pas automatiquement le dirigeant de ses responsabilités : il faut savoir quelles données lui sont confiées, où elles sont hébergées et dans quels délais il vous alerte en cas de problème.

Une violation de données personnelles peut résulter d’un vol, mais aussi d’une perte, d’un accès non autorisé ou d’une indisponibilité accidentelle. Lorsqu’elle est susceptible d’engendrer un risque pour les personnes concernées, elle doit en principe être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes touchées peuvent également devoir être informées. Une analyse factuelle rapide, documentée avec l’aide du délégué à la protection des données, d’un conseil ou d’un spécialiste, aide à prendre la bonne décision.

Réduire les risques avec un socle de sécurité proportionné

Pour la majorité des petites et moyennes entreprises, quelques mesures cohérentes apportent davantage de protection qu’un produit complexe mal paramétré. Commencez par les identités numériques. Chaque collaborateur doit avoir son propre compte ; les comptes génériques empêchent de savoir qui a fait quoi et sont difficiles à fermer lors d’un départ.

L’authentification multifacteur, ou MFA, ajoute une preuve d’identité après le mot de passe, par exemple via une application d’authentification ou une clé de sécurité. Elle bloque une grande part des intrusions liées aux mots de passe volés, mais elle ne remplace pas la vigilance : un employé peut encore valider par erreur une connexion frauduleuse. Privilégiez un gestionnaire de mots de passe pour créer des mots de passe longs et uniques plutôt que des variantes mémorisées.

Appliquez le principe du moindre privilège. Une personne doit posséder l’accès nécessaire à sa mission, pas les droits d’administration « au cas où ». Les accès des stagiaires, intérimaires, salariés sortants et prestataires doivent être revus à date fixe, ainsi qu’à chaque changement de poste.

Faire du personnel une défense active contre la fraude

La sensibilisation ne doit pas se limiter à une présentation annuelle. Les fraudeurs exploitent l’urgence, l’autorité supposée d’un dirigeant, une facture attendue ou une pièce jointe qui ressemble à un bon de commande. Une formation utile montre des exemples proches des gestes métiers et indique précisément quoi faire en cas de doute.

Apprenez aux équipes à vérifier l’adresse complète de l’expéditeur, l’URL réelle d’un lien et le contexte d’une demande. Une légère modification dans un nom de domaine, un message envoyé hors horaires habituels ou un changement soudain de coordonnées bancaires sont des signaux d’alerte. La règle la plus protectrice est simple : ne jamais valider une information financière reçue par e-mail en répondant à ce même e-mail.

Prévoyez un canal de signalement très facile, comme une adresse dédiée ou un bouton dans la messagerie. Une culture sans reproche favorise les remontées rapides : un salarié qui a cliqué sur un lien doit le dire immédiatement, car une prise en charge précoce peut limiter fortement les dégâts. Testez aussi les procédures avec des simulations pédagogiques, sans transformer l’exercice en piège humiliant.

À lire aussiQu’est-ce que le chargeback Visa et comment cela peut-il affecter votre entreprise ?

Sauvegarder, segmenter et préparer la reprise après incident

Une sauvegarde n’a de valeur que si elle peut être restaurée dans le délai nécessaire à l’activité. Garder une copie sur un disque connecté en permanence au même réseau ne suffit pas : un rançongiciel peut chiffrer ou supprimer cette copie. La méthode dite 3-2-1 reste une référence pratique : trois copies des données, sur deux supports différents, dont une copie hors site. Ajoutez, si possible, une sauvegarde isolée ou rendue non modifiable pendant une période définie.

Testez la restauration de fichiers, puis d’une application complète, au moins plusieurs fois par an et après un changement majeur. Mesurez le temps réellement nécessaire et vérifiez que les données restaurées sont exploitables. Une sauvegarde techniquement réussie mais trop ancienne ou trop lente peut être insuffisante pour honorer vos commandes, établir vos déclarations ou répondre aux clients.

La segmentation réduit la propagation d’un incident. Les postes de bureau, les serveurs, les équipements de production, le Wi-Fi invité et les sauvegardes ne doivent pas tous communiquer librement. Dans les petites structures, cette séparation peut être progressive et accompagnée par un prestataire ; elle doit être documentée pour ne pas bloquer les usages légitimes.

Les services cloud demandent la même discipline. Vérifiez qui peut créer des liens publics, télécharger des données en masse, inviter des utilisateurs externes ou supprimer des fichiers. Les réglages par défaut et les droits hérités sont une source courante d’exposition involontaire.

Réagir aux premières heures sans aggraver l’incident

Face à un ordinateur suspect, un compte qui envoie des messages inhabituels ou des fichiers devenus inaccessibles, l’objectif initial est de contenir l’incident. Isolez l’équipement concerné du réseau, sans le réinitialiser ni effacer les traces. Alertez la personne désignée, prévenez le prestataire informatique et changez les accès compromis depuis un appareil sain si nécessaire.

Ne négociez pas dans la précipitation et ne payez pas une rançon sans avis spécialisé. Le paiement ne garantit ni le déchiffrement, ni la suppression des données volées, ni l’absence de nouvelle extorsion. Préservez les e-mails, captures d’écran, journaux et horaires connus : ils aideront le spécialiste chargé de l’analyse, l’assureur le cas échéant, les autorités et l’évaluation d’une éventuelle violation de données.

Un plan de réponse peut tenir sur deux pages, à condition d’être clair. Il précise les contacts d’urgence, qui peut arrêter un service, qui contacte les clients, qui évalue les obligations RGPD, où retrouver les contrats et comment accéder aux sauvegardes hors du réseau affecté. Répétez ce scénario une fois par an avec la direction et les personnes clés.

Choisir des prestataires et financer la sécurité sans dépenses dispersées

Un prestataire compétent ne se contente pas d’installer un antivirus. Il explique les risques, établit un état des lieux, documente les accès administrateurs et propose un plan priorisé. Demandez qui surveille les alertes, comment sont gérées les mises à jour, sous quel délai un incident est traité, où sont hébergées les sauvegardes et ce qui se passe si la relation contractuelle prend fin.

Pour un diagnostic initial, comptez en général de quelques milliers d’euros à plusieurs dizaines de milliers d’euros selon le nombre de sites, de postes, de logiciels et la profondeur de l’audit. Un accompagnement externe récurrent peut aller de quelques centaines à plusieurs milliers d’euros par mois selon la surveillance, l’assistance et les outils inclus. Comparez les prestations sur leur périmètre réel, pas seulement sur un prix par poste.

L’assurance cyber peut aider à financer certains frais d’expertise, de restauration, de défense ou de communication, selon le contrat. Elle ne remplace ni les sauvegardes ni les contrôles d’accès, et comporte des exclusions, plafonds et obligations de prévention. Faites relire les garanties au regard de vos risques réels : fraude au virement, interruption d’activité, données personnelles, responsabilité vis-à-vis des clients et dépendance à des prestataires.

La cybersécurité devient durable lorsqu’elle entre dans les routines de gestion : revue trimestrielle des accès, suivi des correctifs, contrôle des sauvegardes, exercice d’incident et échange régulier avec les prestataires. Cette gouvernance légère transforme une dépense subie en protection mesurable de la continuité d’activité et de la confiance commerciale.