Cybersécurité TPE PME : les mesures indispensables, dans le bon ordre

Le problème n’est pas que vous ne faites rien

La plupart des dirigeants de TPE et de PME que je rencontre ont déjà fait quelque chose. Un antivirus, une sauvegarde quelque part, un prestataire informatique qui passe de temps en temps. Ce n’est pas de l’inaction.

Le problème est ailleurs : personne ne leur a jamais dit dans quel ordre. On leur vend des solutions, rarement une hiérarchie. Résultat, on trouve des entreprises équipées d’un pare-feu à quatre chiffres dont la messagerie n’a pas de double authentification — c’est-à-dire une porte blindée sur une maison dont la fenêtre est ouverte.

Cet article donne cet ordre. Il est court sur les mesures très visibles et peu utiles, et long sur les trois ou quatre qui font réellement la différence.

Une précision avant de commencer, parce qu’elle dit ce que vous pouvez attendre de la suite. Vous lirez souvent que « 60 % des PME victimes d’une cyberattaque ferment dans les six mois ». Ce chiffre circule partout dans le marketing de la cybersécurité, y compris chez des acteurs sérieux, et personne n’est capable d’en produire la source. Je ne l’utiliserai donc pas. Vous n’avez pas besoin d’un chiffre effrayant pour justifier de sauvegarder vos données.

Par où commencer : les quatre mesures qui protègent vraiment

Ces quatre-là ne se discutent pas. Elles couvrent l’immense majorité de ce qui arrive réellement aux entreprises de moins de cinquante personnes.

1. La double authentification sur la messagerie — à faire aujourd’hui

Si vous ne deviez faire qu’une seule chose, ce serait celle-ci.

La messagerie est la clé de tout le reste. Celui qui entre dans votre boîte mail peut réinitialiser les mots de passe de vos autres services, lire vos échanges avec votre comptable, et surtout écrire à vos clients depuis votre adresse. Le scénario le plus fréquent n’est pas le chiffrement spectaculaire de vos fichiers : c’est un faux changement de RIB envoyé à un de vos clients, depuis votre vraie boîte, dans un fil de discussion existant. Le client paie. L’argent part ailleurs. Et c’est vous qui devrez l’expliquer.

La double authentification — un code temporaire en plus du mot de passe — rend cette attaque très difficile même si votre mot de passe a fuité. Elle est gratuite chez Microsoft 365, Google Workspace, OVH et tous les fournisseurs sérieux. Elle prend dix minutes à activer par personne.

Deux conseils pratiques :

• Privilégiez une application (Microsoft Authenticator, Google Authenticator, FreeOTP) plutôt que le SMS. Le SMS reste très supérieur à rien, mais il est interceptable.
• Activez-la pour tout le monde, pas seulement pour vous. Un attaquant vise le compte le moins protégé, pas le plus important.

2. Des sauvegardes qui survivent à celui qui vous attaque

Tout le monde sauvegarde. Presque personne ne sauvegarde de façon utile.

Une sauvegarde branchée en permanence sur le poste ou le serveur qu’elle protège sera chiffrée en même temps que lui. Un rançongiciel moderne cherche d’ailleurs activement les sauvegardes avant de déclencher le chiffrement — c’est ce qui rend la victime disposée à payer.

La règle qui tient depuis vingt ans s’écrit 3-2-1 :

• 3 copies de vos données ;
• sur 2 supports différents ;
• dont 1 hors de vos locaux et déconnectée.

Pour une entreprise de dix personnes, cela ressemble à : les données sur le serveur ou le cloud de travail, une sauvegarde automatique vers un service en ligne, et un disque externe qu’on branche une fois par semaine et qu’on débranche ensuite. Ce disque débranché est votre véritable assurance.

Et la partie que presque tout le monde saute : restaurez un fichier au hasard, une fois par trimestre. Une sauvegarde jamais testée n’est pas une sauvegarde, c’est une croyance. J’ai vu des entreprises découvrir le jour de l’incident que leur logiciel sauvegardait un dossier vide depuis onze mois.

3. Les mises à jour, y compris celles que vous ne voyez pas

Les intrusions dont on parle le moins sont les plus banales : un composant qui n’a pas été mis à jour, et pour lequel un correctif existait depuis des mois.

Ce qui doit être à jour, dans l’ordre d’oubli le plus fréquent :

• Le site internet et ses extensions — c’est le grand oublié, parce qu’il a souvent été livré par un prestataire qu’on ne rappelle plus.
• Les équipements réseau : box, routeur, pare-feu, NAS. Ils ne se mettent presque jamais à jour seuls.
• Les postes de travail et les téléphones professionnels.
• Les logiciels métier, surtout ceux accessibles depuis l’extérieur.

Un point souvent ignoré : un logiciel qui n’est plus maintenu par son éditeur ne recevra jamais de correctif, quoi qu’il arrive. Continuer à l’utiliser sur une machine connectée à Internet est un choix, pas une fatalité — mais il faut au moins le faire en connaissance de cause.

4. Des mots de passe qu’on ne réutilise pas

Le problème n’est pas la complexité de vos mots de passe. C’est leur réutilisation.

Des milliards d’identifiants issus de fuites passées circulent librement. L’attaque la plus rentable ne consiste pas à deviner votre mot de passe, mais à essayer sur votre messagerie professionnelle celui que vous aviez choisi il y a six ans sur un site de e-commerce qui s’est fait pirater depuis.

La réponse tient en une phrase : un mot de passe différent par service, et un gestionnaire de mots de passe pour ne pas avoir à les retenir. Bitwarden, KeePass, 1Password, Dashlane font tous très bien le travail. Le passage se fait progressivement, en commençant par la messagerie, la banque et les accès administrateur.

Une phrase de passe longue et facile à retenir vaut mieux qu’un mot court truffé de caractères spéciaux : c’est aussi la recommandation de l’ANSSI.

Les trois mesures suivantes, quand les quatre premières sont faites

Protéger votre nom de domaine contre l’usurpation

Sans configuration particulière, n’importe qui peut envoyer un e-mail qui semble venir de votre adresse. Ce n’est pas une faille : c’est le fonctionnement par défaut du courrier électronique.

Trois enregistrements techniques — SPF, DKIM et DMARC — permettent aux messageries de vos destinataires de rejeter ces faux messages. C’est gratuit, cela se configure une fois, et c’est ce qui protège vos clients et vos fournisseurs d’un faux message signé de votre nom. Le sujet mérite un article à lui seul, et il en a un : le guide anti-usurpation SPF, DKIM et DMARC.

Savoir ce que vous exposez sur Internet

Presque toutes les entreprises que j’analyse exposent plus que leur site. Un ancien site resté en ligne, un extranet de test, un webmail, un accès distant installé pendant le confinement et jamais retiré.

Ces machines-là ont un point commun : plus personne ne les met à jour, parce que plus personne ne se souvient qu’elles existent. C’est ce que je retrouve le plus souvent en analysant des domaines, et c’est rarement la vitrine qui pose problème.

Le premier réflexe n’est pas d’acheter un outil, c’est de faire l’inventaire. Listez tout ce qui porte votre nom de domaine et qui répond depuis Internet, et posez pour chacun deux questions : est-ce que ça sert encore ? et qui le met à jour ? Ce qui ne sert plus doit être éteint — c’est la mesure de sécurité la moins chère qui existe.

Former les personnes, mais sur les bons cas

La sensibilisation générale à « faire attention aux e-mails suspects » ne fonctionne pas très bien, parce que les messages dangereux ne sont plus suspects. Ils sont bien écrits, dans un fil existant, et arrivent au bon moment.

Ce qui fonctionne, c’est une règle unique et concrète, connue de tous :

Tout changement de coordonnées bancaires se vérifie par téléphone, à un numéro connu d’avance — jamais à celui indiqué dans le message.

Cette seule règle bloque la fraude qui coûte le plus cher aux petites entreprises. Elle ne demande aucun budget et tient en une phrase à l’accueil et à la comptabilité.

Ce dont vous n’avez probablement pas besoin

Autant le dire, puisque personne n’a intérêt à vous le dire :

• NIS2 ne vous concerne probablement pas. Cette directive vise des entités moyennes et grandes de secteurs déterminés. Une TPE ou une petite PME ordinaire n’entre pas dans son champ. Si on vous vend une « mise en conformité NIS2 » sans vous avoir demandé votre effectif, votre chiffre d’affaires et votre secteur, méfiez-vous.
• Un SOC ou un EDR d’entreprise sont des outils excellents et hors de proportion pour dix personnes, tant que la double authentification n’est pas activée partout.
• Un audit à plusieurs milliers d’euros avant d’avoir fait les quatre mesures de base vous dira surtout que vous n’avez pas fait les quatre mesures de base.

L’ordre compte plus que le montant.

Vos obligations réelles

Elles sont plus légères qu’on ne le croit, mais elles existent.

Le RGPD s’applique à vous, quelle que soit votre taille, dès que vous traitez des données personnelles — ce qui est le cas de toute entreprise ayant des clients ou des salariés. En cas de violation de données, vous devez la notifier à la CNIL dans les meilleurs délais et au plus tard 72 heures après l’avoir découverte — sauf si elle ne présente pas de risque pour les personnes. Vous devez aussi informer les personnes concernées lorsque ce risque est élevé.

Et dans tous les cas, même si vous ne notifiez pas, consignez la violation dans un registre interne : nature de l’incident, personnes touchées, conséquences, mesures prises. C’est ce document que la CNIL demandera en contrôle, et c’est celui que personne n’a.

Depuis avril 2023, si vous êtes assuré contre le risque cyber, l’indemnisation des pertes et dommages causés par une atteinte à vos systèmes est conditionnée au dépôt d’une plainte dans les 72 heures suivant le moment où vous avez eu connaissance des faits. C’est l’article L. 12-10-1 du code des assurances, issu de la loi LOPMI. Il vaut pour toute personne morale et pour toute personne physique agissant à titre professionnel, quel que soit le montant en jeu.

Deux choses à en retenir : ce délai court à partir de la découverte, pas de l’attaque — et déposer plainte à temps ne suffit pas à être indemnisé, cela conditionne seulement le droit de l’être. Le reste dépend de ce que couvre votre contrat. Lisez-le avant d’en avoir besoin.

Que faire le jour où cela arrive

Dans l’ordre, et sans improviser :

1. Isolez la machine touchée du réseau : débranchez le câble, coupez le Wi-Fi. Ne l’éteignez pas — vous détruiriez des traces utiles. Sauf si le chiffrement est visiblement en cours : là, coupez, de préférence par une mise en veille prolongée.
2. Ne payez pas la rançon. Rien ne garantit la restitution des données, et le paiement finance directement la prochaine attaque. C’est la position constante des autorités françaises.
3. Déposez plainte en gendarmerie ou en commissariat, sous 72 heures si une indemnisation est en jeu.
4. Notifiez la CNIL dans les meilleurs délais, sous 72 heures au maximum, si des données personnelles sont concernées — et consignez l’incident par écrit, même si vous ne notifiez pas.
5. Faites-vous aider par un prestataire compétent. La plateforme publique Cybermalveillance.gouv.fr référence des professionnels par département, gratuitement — Mon Rempart y figure.

Et prévenez vos clients si leurs données sont touchées. Ce n’est pas seulement une obligation : c’est ce qui préserve la relation. Ils l’apprendront de toute façon, et mieux vaut par vous.

Le plan des trois prochains mois

Si vous voulez une feuille de route tenable, la voici.

Cette semaine — activez la double authentification sur la messagerie de tout le monde, et branchez un disque externe pour une sauvegarde complète que vous débrancherez ensuite.

Ce mois-ci — installez un gestionnaire de mots de passe, faites le tour des mises à jour en attente, et écrivez la règle de vérification téléphonique des RIB.

Ce trimestre — faites l’inventaire de ce que vous exposez sur Internet, configurez SPF, DKIM et DMARC, et testez une restauration de sauvegarde.

Rien là-dedans ne demande de budget significatif. L’essentiel demande de l’attention, et c’est précisément ce qui manque quand on dirige une entreprise de dix personnes.

Vérifier où vous en êtes

Une partie de ces points est mesurable de l’extérieur, sans rien installer : la protection de votre domaine contre l’usurpation, l’état de vos certificats, les services que vous exposez sans le savoir.

Vous pouvez analyser gratuitement votre domaine en quelques secondes. L’analyse est non intrusive et ne repose que sur des données publiques. Le détail de chaque contrôle effectué — et de ce que chacun ne prouve pas — est publié ici.

C’est un point de départ, pas un diagnostic complet. Mais c’est un point de départ factuel, et c’est mieux qu’une intuition.