Cybersécurité des petites entreprises : guide pratique

Pourquoi les petites entreprises sont-elles ciblées ?

La plupart des attaques ne commencent pas par quelqu’un qui a choisi votre entreprise en particulier. Des scripts automatisés parcourent les sites, les serveurs de messagerie et les services exposés au public à la recherche de logiciels obsolètes, de mots de passe faibles ou de comptes mal configurés.

Une entreprise devient intéressante lorsqu’elle donne accès à de l’argent, à des données clients, à des factures, à des contrats ou à des informations de stock et de vente. Une fois la messagerie compromise, l’attaquant peut surveiller les échanges et envoyer une fausse facture convaincante au bon moment.

La sécurité ne se résume pas au site. Elle doit couvrir Microsoft 365 ou Google Workspace, les ordinateurs, le routeur, les logiciels de comptabilité et l’ERP, la boutique en ligne, les téléphones et les personnes qui les utilisent.

Quelles sont les attaques les plus fréquentes contre les petites entreprises ?

Hameçonnage et mots de passe volés

Vous recevez un e-mail au sujet d’une facture impayée, d’une livraison ou d’un compte bloqué. Le lien renvoie vers une copie d’une page familière qui enregistre le mot de passe saisi. L’attaquant essaie ensuite ce même mot de passe dans la messagerie, l’administration du site et les services bancaires ou de paiement.

Fraude à la facture ou modification des coordonnées bancaires

L’attaquant peut s’appuyer sur une correspondance réelle pour envoyer un message depuis une adresse e-mail compromise. C’est pourquoi toute modification de l’IBAN ne doit pas être confirmée par e-mail uniquement. Appelez le fournisseur ou le client à un numéro de téléphone connu.

Ransomware et perte de fichiers

Un logiciel malveillant chiffre les documents, les dossiers partagés et parfois les sauvegardes lorsqu’elles sont constamment accessibles depuis le réseau. Ne partez pas du principe que le paiement de la rançon permettra de récupérer les fichiers ou de mettre fin à la fuite de données.

Site ou boutique en ligne vulnérable

Un CMS, un plugin, un thème ou une bibliothèque obsolète peut donner accès au panneau d’administration ou à une base de données. HTTPS est indispensable, mais le certificat SSL à lui seul ne corrige pas un code vulnérable et ne protège pas les comptes administrateurs.

Accès accordé par erreur ou toujours actif

Le problème est souvent plus banal : un ancien employé a encore accès, tout le monde utilise le même compte admin ou un prestataire externe voit plus de données qu’il n’en a besoin. Ces failles se corrigent par des processus, pas avec un antivirus supplémentaire.

Quel socle de protection chaque entreprise doit-elle avoir ?

1. 01
   Dressez la liste des systèmes et des données

   Notez les services que vous utilisez : messagerie professionnelle, site, boutique en ligne, ERP, CRM, comptabilité, fichiers, domaine, hébergement, transporteurs et opérateurs de paiement. Pour chaque système, indiquez le responsable, l’administrateur, les données et la méthode de restauration.

2. 02
   Protégez les e-mails et les comptes administrateurs

   Utilisez des mots de passe longs et uniques ainsi qu’un gestionnaire de mots de passe. Activez l’authentification à deux facteurs, en particulier pour la messagerie, le domaine, l’hébergement, les profils sociaux, les comptes publicitaires et les panneaux d’administration. Lorsque le service le permet, préférez une application de génération de codes à usage unique ou une clé matérielle aux SMS.

3. 03
   Séparez les rôles et les accès

   Chaque personne doit avoir son propre compte, et non un mot de passe commun à toute l’équipe. N’accordez que les droits nécessaires : le commercial ne doit pas être administrateur de la base de données et le développeur externe ne doit pas avoir en permanence accès aux fiches clients.

4. 04
   Mettez à jour les logiciels de manière contrôlée

   Maintenez à jour les systèmes d’exploitation, les navigateurs, WordPress, les plugins, les composants serveur et les applications. Pour un ERP ou une boutique en ligne, effectuez d’abord une sauvegarde et un test dans un environnement de préproduction si la mise à jour risque d’affecter les commandes, le stock ou la facturation.

5. 05
   Mettez en place une sauvegarde selon la règle 3-2-1

   Conservez au moins trois copies des données importantes, sur deux types de supports différents, dont une en dehors de l’environnement principal. Une sauvegarde automatique ne prouve pas qu’une restauration est possible. Une fois par mois, restaurez certains fichiers ou une base de données dans un environnement séparé.

6. 06
   Protégez votre site et votre réseau

   Vérifiez HTTPS, les comptes administrateurs, les paramètres du WAF, la limitation des tentatives de connexion et les journaux. Remplacez le mot de passe par défaut du routeur, mettez à jour son firmware et séparez le réseau Wi-Fi invité des appareils de l’entreprise.

7. 07
   Formez vos équipes avec des exemples concrets

   Montrez à quoi ressemble une fausse facture, comment vérifier l’adresse de l’expéditeur et où signaler un e-mail suspect. Convenez d’une règle : tout paiement, changement d’IBAN ou virement urgent doit être confirmé par un second canal.

8. 08
   Rédigez un plan de réponse aux incidents

   Définissez qui déconnecte l’ordinateur compromis, qui change les mots de passe et qui contacte la banque, l’hébergeur et les clients. Conservez les numéros de téléphone en dehors du système principal. En cas de données personnelles, déterminez avec un juriste et le délégué à la protection des données si une notification est obligatoire.

Comment protéger le site, la boutique et le système ERP ?

Pour le site, commencez par maintenir les composants à jour, limiter l’accès à l’administration, utiliser des comptes distincts et effectuer des sauvegardes quotidiennes des fichiers et de la base de données. Pour une boutique en ligne, ajoutez des contrôles sur le prestataire de paiement, les intégrations avec les transporteurs, les clés API et l’accès aux données clients et aux commandes.

Les clés API ne doivent pas apparaître dans du code JavaScript public, un chat ou un tableau accessible à tous. Changez-les lorsqu’un salarié ou un prestataire quitte l’entreprise et notez quelle intégration utilise chaque clé.

Le système ERP doit prévoir des rôles, un historique des modifications et des droits distincts pour le stock, les ventes, la facturation et les paramètres. Pour un système sur mesure, ces règles sont conçues en même temps que les processus. Dans Saitami ERP, par exemple, le CRM, les tickets, l’intégration téléphonique et les automatisations sont réunis ; avec un tel système, il est essentiel de définir à l’avance qui peut consulter et modifier chaque information.

Si la maintenance est confiée à une autre équipe, demandez la liste des accès, le calendrier des mises à jour, la politique de sauvegarde et la procédure en cas d’incident. La reprise d’un site ou d’une boutique créé par une autre entreprise commence par l’examen du code, de l’hébergement, du domaine et des comptes administrateur, et non par un changement de couleurs.

Combien coûte la cybersécurité de base ?

Le prix dépend du nombre d’utilisateurs, des appareils, du volume de données, des exigences de disponibilité continue et du fait que vous disposiez déjà ou non d’une maintenance. Les fourchettes suivantes sont indicatives pour une petite entreprise et n’incluent pas la DDS lorsque le prestataire la facture.

Le certificat HTTPS est souvent inclus dans l’hébergement ou délivré sans frais supplémentaires. Cela ne signifie pas que l’ensemble du site est protégé. Dans le service d’hébergement, vérifiez ce qui est réellement inclus : Cloudflare ou une autre couche de protection, les sauvegardes, la surveillance, le délai de restauration et les personnes disposant d’un accès administrateur.

Comment vérifier que les sauvegardes et la protection fonctionnent ?

Demandez une réponse précise à cinq questions : quand la dernière sauvegarde réussie a-t-elle été effectuée, où est-elle conservée, combien de versions sont stockées, combien de temps prend la restauration et qui a accès aux sauvegardes ? La réponse « nous faisons une sauvegarde tous les jours » ne dit pas si une restauration a déjà été effectuée.

Vérifiez également les accès en pratique. Exportez la liste depuis l’administration de la messagerie, du domaine, de l’hébergement, de la boutique, du système ERP et des comptes publicitaires. Supprimez les anciens profils, changez les mots de passe partagés et notez qui approuve les nouveaux accès.

Pour un site ou une boutique en ligne, vous pouvez commencer par la maintenance et les contrôles, qui comprennent les mises à jour, les sauvegardes et les petites modifications. Dans un environnement plus complexe, il faut un plan distinct de surveillance, de tests et de réponse, et pas seulement l’installation mensuelle des mises à jour.

Que faire en cas de suspicion d’intrusion ?

1. 01
   Stoppez la propagation

   Isolez l’ordinateur ou le compte concerné sans supprimer les fichiers ni les journaux. N’utilisez plus la messagerie compromise pour la coordination.

2. 02
   Protégez les accès critiques

   Depuis un appareil propre, changez les mots de passe de la messagerie, du domaine, de l’hébergement, du système ERP et des services de paiement. Mettez fin aux sessions actives et téléchargez la liste des administrateurs.

3. 03
   Contactez les bonnes personnes

   Prévenez le support informatique, l’hébergeur, la banque en cas de suspicion de fraude, ainsi que l’avocat ou le délégué à la protection des données. Ne négociez pas et ne payez pas de rançon sans évaluation professionnelle.

4. 04
   Restaurez à partir d’une copie saine

   Commencez par déterminer comment l’intrusion s’est produite et vérifiez la sauvegarde. Restaurez les données dans un environnement isolé, mettez les systèmes à jour et changez toutes les clés et tous les mots de passe concernés.

5. 05
   Documentez ce qui s’est passé

   Notez les horaires, les comptes concernés, les messages envoyés, les actions de l’équipe et les décisions prises. Ces informations facilitent la notification, la restauration et la prévention d’un nouvel incident.

Foire aux questions

Un antivirus est-il nécessaire pour une petite entreprise ?

Oui, mais l’antivirus n’est qu’une couche de protection. Il ne remplace ni l’authentification à deux facteurs, ni les mises à jour, ni la limitation des droits, ni la formation, ni des sauvegardes vérifiées.

Un certificat SSL suffit-il pour une boutique en ligne ?

Non. HTTPS protège la connexion entre le navigateur et le site, mais ne corrige ni un code vulnérable, ni un mot de passe administrateur volé, ni une intégration mal configurée avec le transporteur et les services de paiement.

À quelle fréquence faut-il effectuer un contrôle de sécurité ?

Vérifiez chaque mois les accès principaux, les sauvegardes et les mises à jour, et immédiatement en cas de changement de salarié ou de prestataire. Il est recommandé d’effectuer un contrôle plus approfondi au moins une fois par an et après toute modification importante du site, du système ERP ou du réseau.

Que faire lorsqu’un salarié quitte l’entreprise ?

Désactivez la messagerie professionnelle, le VPN, l’ERP, le CRM, l’hébergement et tous les accès partagés au moment du départ. Vérifiez les journaux, changez les mots de passe communs et transférez la propriété des fichiers, du domaine et des comptes publicitaires.

Une petite entreprise peut-elle se protéger sans service informatique ?

Oui, si elle dispose d’une liste claire des systèmes, d’un responsable et d’un support pour les services critiques. Un spécialiste externe peut mettre en place la configuration initiale, mais l’équipe doit respecter au quotidien les règles concernant les mots de passe, les accès et la validation des paiements.