Cybersécurité d'une TPE : les 10 mesures essentielles, expliquées simplement
Hameçonnage, rançongiciel, compte piraté : les petites entreprises sont des cibles faciles. Les dix mesures essentielles recommandées par le dispositif national Cybermalveillance.gouv.fr, traduites en actions concrètes pour une TPE.
« Nous sommes trop petits pour intéresser les pirates » : c'est l'idée la plus dangereuse en cybersécurité. Les attaques les plus courantes ne visent pas une entreprise en particulier : elles visent tout le monde, et réussissent là où la protection est faible. Un compte de messagerie piraté, un ordinateur chiffré par un rançongiciel ou un faux virement peuvent bloquer une petite entreprise pendant des jours.
Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, publie dix mesures essentielles. Les voici, traduites en actions concrètes pour une TPE.
1. Des mots de passe solides et uniques
Cybermalveillance recommande des mots de passe longs et complexes, différents pour chaque compte, un gestionnaire de mots de passe et la double authentification dès que possible. La CNIL donne comme repère au moins 12 caractères mêlant quatre types (minuscules, majuscules, chiffres, caractères spéciaux).
Action : installez un gestionnaire de mots de passe et activez la double authentification sur la messagerie, la banque et les outils de gestion. Voir Gestionnaire de mots de passe : lequel choisir.
2. Des sauvegardes régulières
Sauvegardez régulièrement vos données et gardez au moins une copie sur un support externe déconnecté après la sauvegarde : c'est elle qui vous sauve en cas de rançongiciel, qui chiffre aussi les disques branchés.
Action : voir la méthode complète dans Sauvegarder ses données : la règle 3-2-1.
3. Les mises à jour de sécurité
Appliquez les mises à jour dès qu'elles sont proposées : elles corrigent des failles que les attaquants exploitent.
Action : activez les mises à jour automatiques sur les ordinateurs, téléphones, navigateurs et, pour votre site WordPress, mettez à jour cœur, thème et extensions.
4. Un antivirus
Utilisez un antivirus à jour et lancez des analyses complètes.
Action : vérifiez que la protection intégrée à votre système est active, ou installez une solution reconnue sur chaque poste.
5. Télécharger uniquement depuis les sources officielles
Les logiciels et applications piratés ou téléchargés sur des sites douteux sont une porte d'entrée classique pour les logiciels malveillants.
Action : interdisez les logiciels « gratuits » de provenance inconnue sur les postes de travail.
6. Se méfier des messages inattendus
Un e-mail, SMS ou message urgent qui demande de cliquer, de payer ou de changer un RIB doit être vérifié par un autre canal (appel au numéro habituel).
Action : règle d'or dans l'entreprise : aucun changement de coordonnées bancaires d'un fournisseur sans confirmation par téléphone au numéro connu.
7. Vérifier les sites marchands
Avant un achat en ligne, vérifiez que le site est authentique et que l'offre est crédible.
Action : achats professionnels sur des sites connus, et carte bancaire dédiée avec plafond si possible.
8. Maîtriser ses réseaux sociaux
Mots de passe uniques, double authentification, visibilité des informations limitée.
Action : sécurisez les comptes de l'entreprise (page professionnelle, compte publicitaire) et vérifiez qui y a accès.
9. Séparer usages personnels et professionnels
Appareils, messageries et espaces de stockage séparés : une faille côté personnel ne doit pas toucher l'entreprise.
Action : une adresse et un stockage professionnels distincts, à votre nom de domaine. Voir Google Workspace ou Microsoft 365.
10. Éviter les Wi-Fi publics
En déplacement, préférez le partage de connexion de votre téléphone ; sur un Wi-Fi public, évitez les opérations sensibles.
Action : partage de connexion par défaut pour consulter la banque ou les outils de gestion hors du bureau.
Par où commencer cette semaine
Si vous ne deviez faire que trois choses :
- Double authentification sur la messagerie et la banque.
- Une sauvegarde déconnectée de vos fichiers importants.
- La règle du rappel téléphonique pour tout changement de RIB ou demande de paiement urgente.
En cas d'attaque
Cybermalveillance.gouv.fr propose une assistance en ligne pour diagnostiquer un incident et trouver un prestataire, ainsi que des fiches réflexes (rançongiciel, compte piraté, faux ordre de virement). En cas de rançongiciel, la fiche réflexe recommande notamment de déconnecter les appareils du réseau. Gardez son adresse à portée de main.
Et votre site internet ?
Un site piraté peut diffuser des logiciels malveillants ou du spam en votre nom. Gardez-le à jour, utilisez des mots de passe forts pour l'administration, et vérifiez que votre hébergeur fait des sauvegardes : voir Choisir un hébergeur web.
En résumé
La cybersécurité d'une TPE repose sur des gestes simples et réguliers : mots de passe uniques et double authentification, sauvegardes dont une déconnectée, mises à jour, méfiance envers les messages urgents et séparation des usages. Commencez par les trois priorités de cette semaine ; le reste suit.
Sources
Consultées entre la rédaction et la dernière mise à jour de l'article. Les tarifs et conditions des éditeurs peuvent changer : vérifiez-les avant de vous engager.
- Cybermalveillance.gouv.fr — Les 10 mesures essentielles pour votre cybersécurité
- Cybermalveillance.gouv.fr — Guide de cybersécurité à destination des dirigeants de TPE, PME et ETI
- CNIL — Les conseils de la CNIL pour un bon mot de passe
- Cybermalveillance.gouv.fr — Rançongiciels : que faire en cas d'attaque ?
Développeur web, fondateur de Kadgen. Conçoit des sites et des outils numériques pour des indépendants et des petites entreprises. En savoir plus. Comment les articles sont rédigés et vérifiés.
Une erreur ou une information dépassée ? Signalez-la : les corrections sont faites sous quelques jours.
