Quelques minutes peuvent ensuite suffire pour qu'un tiers consulte une messagerie, détourne un paiement, télécharge des documents confidentiels ou bloque les outils de travail de l'entreprise.
La sécurité informatique d'une PME ne consiste donc pas à accumuler des logiciels. Elle consiste à protéger chaque point d'entrée, à limiter les possibilités d'action d'un attaquant et à préserver la continuité de l'activité lorsqu'un incident survient.
Une simple erreur peut provoquer une perte financière
Un collaborateur reçoit un email présenté comme une relance urgente d'un fournisseur. Le message reprend son logo, son nom et la présentation habituelle de ses factures.
Le document joint contient de nouvelles coordonnées bancaires. Le paiement est effectué avant que l'entreprise ne découvre que le message était frauduleux.
Dans une autre situation, un faux message Microsoft 365 invite l'utilisateur à se reconnecter pour consulter un document partagé. La page ressemble au véritable portail, mais les identifiants saisis sont transmis à un tiers.
L'attaquant peut alors :
- consulter les échanges avec les clients et fournisseurs ;
- rechercher les factures en attente ;
- créer une règle qui masque certains emails ;
- envoyer des messages depuis la boîte compromise ;
- demander un changement de RIB ;
- accéder aux documents partagés.
Le problème ne se limite plus au mot de passe d'un utilisateur. Il peut entraîner un virement frauduleux, une fuite d'informations et une perte de confiance difficile à réparer.
Protéger les comptes, première porte d'entrée de l'entreprise
La messagerie, les fichiers cloud, les outils de gestion et les accès distants reposent souvent sur un compte utilisateur.
Lorsqu'un mot de passe est volé, l'attaquant peut tenter de l'utiliser sur plusieurs services. Le risque est encore plus important lorsque le même mot de passe est réutilisé sur un site personnel et sur un compte professionnel.
La protection des comptes repose notamment sur :
- des mots de passe longs et différents pour chaque service ;
- un gestionnaire de mots de passe ;
- l'authentification multifacteur ;
- des méthodes de récupération contrôlées ;
- la limitation des tentatives de connexion ;
- l'analyse des connexions inhabituelles ;
- la séparation entre les comptes courants et les comptes d'administration.
L'authentification multifacteur ajoute une vérification supplémentaire. Elle ne supprime pas tous les risques, mais elle évite qu'un simple mot de passe volé donne immédiatement accès aux outils de l'entreprise.
Sa configuration doit cependant être maîtrisée. Un code communiqué par téléphone, une demande de validation acceptée machinalement ou une méthode de secours trop faible peuvent encore permettre de contourner la protection.
Empêcher qu'un compte compromis donne accès à toute l'entreprise
Tous les utilisateurs n'ont pas besoin des mêmes autorisations.
Un commercial doit accéder à ses dossiers clients, mais pas nécessairement aux documents de paie. Un prestataire doit pouvoir intervenir sur l'outil qui le concerne sans consulter l'ensemble du serveur. Un utilisateur standard ne devrait pas pouvoir modifier la configuration de sécurité de son ordinateur.
Lorsque les droits sont accordés trop largement, la compromission d'un seul compte peut exposer une grande partie des données de l'entreprise.
Une gestion structurée permet d'attribuer les accès selon le rôle de chacun :
- dossiers et espaces partagés nécessaires ;
- applications autorisées ;
- accès à distance ;
- outils d'administration ;
- données confidentielles ;
- possibilités de partage externe.
Cette organisation protège les informations sensibles et réduit l'étendue des dégâts possibles.
Elle évite également les erreurs ordinaires. Un collaborateur ne peut pas supprimer ou déplacer accidentellement un dossier auquel il ne devrait pas avoir de droits de modification.
Un départ mal géré peut laisser une porte ouverte
Le départ d'un salarié, d'un stagiaire ou d'un prestataire ne se résume pas à récupérer son ordinateur.
Son compte peut encore donner accès à la messagerie, aux fichiers cloud, au VPN, aux applications professionnelles ou à des outils administrés par un fournisseur externe.
Des semaines plus tard, personne ne se souvient forcément que cet accès existe toujours.
Une procédure de départ doit permettre de :
- désactiver les comptes au moment prévu ;
- fermer les sessions encore ouvertes ;
- supprimer les accès à distance ;
- récupérer ou transférer les données utiles ;
- révoquer les appareils autorisés ;
- réattribuer les licences ;
- modifier les mots de passe partagés qui ne peuvent pas encore être supprimés ;
- contrôler les règles de messagerie et les délégations.
Cette action protège l'entreprise contre un accès non autorisé et évite de continuer à payer des licences devenues inutiles.
Un ordinateur compromis peut devenir un point d'entrée vers le réseau
Un poste de travail peut être infecté après l'ouverture d'une pièce jointe, l'installation d'un logiciel douteux ou l'exploitation d'une faille non corrigée.
L'ordinateur semble parfois fonctionner normalement pendant que le programme malveillant récupère des mots de passe, analyse le réseau ou communique avec un serveur externe.
Si l'utilisateur possède des droits d'administration, le programme peut désactiver certaines protections, installer des composants supplémentaires ou modifier profondément le système.
La sécurisation des postes comprend notamment :
- les mises à jour de Windows et des applications ;
- un antivirus ou un EDR actif et supervisé ;
- la limitation des droits administrateur ;
- le contrôle des logiciels installés ;
- le chiffrement du disque ;
- la protection du navigateur ;
- le verrouillage automatique des sessions ;
- la surveillance des événements inhabituels.
L'objectif n'est pas seulement de détecter un virus connu. Il faut aussi empêcher qu'un poste isolé puisse servir de point de départ pour atteindre les autres équipements de l'entreprise.
Les mises à jour ne peuvent pas dépendre de chaque utilisateur
Lorsqu'aucun suivi centralisé n'existe, certains ordinateurs sont correctement mis à jour tandis que d'autres accumulent plusieurs mois de retard.
Un navigateur obsolète, un logiciel de lecture de documents ou un outil d'accès à distance peut conserver une faille déjà corrigée par son éditeur.
Attendre que chaque collaborateur accepte les mises à jour lorsqu'une notification apparaît laisse une partie du parc exposée. À l'inverse, déployer un correctif sans contrôle peut provoquer une incompatibilité avec un périphérique ou un logiciel indispensable.
La gestion des mises à jour doit permettre de :
- connaître les versions présentes ;
- repérer les équipements en retard ;
- prioriser les correctifs importants ;
- organiser les redémarrages ;
- traiter les échecs d'installation ;
- vérifier la compatibilité des outils essentiels ;
- identifier les logiciels qui ne sont plus maintenus.
Un ordinateur ancien qui ne peut plus recevoir de correctifs ne représente pas uniquement un problème de performance. Il peut devenir un risque pour l'ensemble de l'environnement.
Le vol d'un ordinateur ne doit pas devenir une fuite de données
Un ordinateur portable oublié dans un train ou volé dans un véhicule peut contenir des contrats, des fichiers clients, des emails ou des identifiants enregistrés.
Le mot de passe Windows ne suffit pas toujours à protéger les informations. Le disque peut être retiré de l'ordinateur et lu depuis un autre équipement lorsqu'il n'est pas chiffré.
Le chiffrement rend les données illisibles sans la clé appropriée. Il doit être accompagné d'une gestion fiable des clés de récupération afin d'éviter que l'entreprise ne se bloque elle-même après une panne ou un changement matériel.
La protection d'un poste mobile doit également prévoir :
- une session protégée ;
- l'authentification multifacteur ;
- la possibilité de révoquer les accès ;
- une sauvegarde des documents professionnels ;
- l'absence de données sensibles inutilement stockées localement ;
- le contrôle des périphériques externes lorsque le risque le justifie.
Ainsi, la perte du matériel reste un incident matériel au lieu de devenir une exposition des informations de l'entreprise.
La messagerie professionnelle doit aussi protéger l'identité de l'entreprise
Les attaques ne nécessitent pas toujours de prendre le contrôle d'une véritable boîte email.
Un fraudeur peut créer une adresse ressemblante ou tenter d'envoyer des messages en utilisant le nom de domaine de l'entreprise. Il cherche alors à tromper les clients, les fournisseurs ou les collaborateurs.
Les mécanismes SPF, DKIM et DMARC permettent d'indiquer quels services sont autorisés à envoyer des messages pour le domaine et de mieux détecter certaines usurpations.
Une configuration incorrecte peut toutefois provoquer l'effet inverse : des messages légitimes peuvent être classés comme indésirables ou refusés par leurs destinataires.
La protection de la messagerie repose donc sur plusieurs niveaux :
- contrôle de l'identité des expéditeurs ;
- filtrage des pièces jointes et des liens ;
- protection du nom de domaine ;
- détection des règles de transfert suspectes ;
- surveillance des connexions inhabituelles ;
- limitation des envois automatiques ;
- procédure de vérification pour les paiements et changements de coordonnées bancaires.
La technique réduit le nombre de messages dangereux. Les règles internes évitent qu'une demande urgente contourne les vérifications habituelles.
Une entreprise ne doit pas dépendre d'un seul réseau sans séparation
Dans un réseau non segmenté, les ordinateurs, imprimantes, caméras, bornes Wi-Fi et autres objets connectés peuvent se retrouver dans le même environnement.
Une caméra ou une imprimante mal sécurisée peut alors communiquer avec des équipements qui contiennent des données professionnelles.
La segmentation permet de créer des zones distinctes :
- postes des collaborateurs ;
- serveurs ;
- équipements d'administration ;
- imprimantes ;
- caméras et objets connectés ;
- Wi-Fi invité ;
- sauvegardes ;
- prestataires externes.
Des règles déterminent ensuite les communications réellement nécessaires entre ces zones.
Un visiteur connecté au Wi-Fi invité peut ainsi accéder à Internet sans voir les ordinateurs de l'entreprise. Une caméra peut communiquer avec son système d'enregistrement sans pouvoir contacter le serveur de fichiers. Un poste utilisateur n'a pas besoin d'accéder directement à l'interface d'administration du firewall.
Cette séparation limite la propagation d'un incident et protège les services les plus sensibles.
Le firewall doit contrôler les échanges, pas seulement fournir Internet
Le firewall se trouve entre l'entreprise, Internet et parfois les différentes parties du réseau interne.
Une règle trop large peut exposer un service à l'extérieur. Un accès temporaire créé pour un prestataire peut rester ouvert après son intervention. Une interface d'administration mal protégée peut être testée automatiquement par des systèmes qui recherchent en permanence des services accessibles sur Internet.
Le suivi du firewall comprend notamment :
- le contrôle des services publiés ;
- la suppression des anciennes règles ;
- la restriction des accès d'administration ;
- la protection des connexions VPN ;
- l'analyse des tentatives bloquées ;
- la mise à jour du système ;
- la sauvegarde de la configuration ;
- la vérification des flux entre les réseaux internes.
Chaque ouverture doit répondre à un besoin identifié, provenir des bonnes sources et donner accès uniquement à la destination nécessaire.
Le but n'est pas de bloquer au hasard, mais de permettre les usages professionnels sans exposer inutilement l'infrastructure.
Les accès à distance doivent rester personnels et contrôlables
Le télétravail et les interventions externes nécessitent parfois un accès aux ressources internes.
Partager un même compte VPN entre plusieurs personnes empêche de savoir qui s'est connecté. Laisser un outil de prise en main à distance actif sans protection suffisante peut créer une porte d'entrée permanente.
Chaque utilisateur ou prestataire doit disposer d'un accès identifiable, limité à son besoin et révocable sans affecter les autres.
Une configuration correcte permet de définir :
- les personnes autorisées ;
- les appareils acceptés ;
- les services accessibles ;
- les horaires ou durées nécessaires ;
- la méthode d'authentification ;
- la journalisation des connexions ;
- la date de suppression d'un accès temporaire.
Lorsqu'un prestataire doit intervenir sur un serveur ou une application, il n'a pas nécessairement besoin de pouvoir parcourir tout le réseau.
Le cloud ne supprime pas les erreurs de configuration
Utiliser Microsoft 365 ou un autre service cloud évite à l'entreprise d'héberger elle-même certains serveurs. Cela ne signifie pas que les comptes, les droits et les partages sont automatiquement adaptés à ses besoins.
Un lien public peut rendre un document accessible sans authentification. Un ancien utilisateur peut conserver une licence et des accès. Un compte administrateur peut être utilisé quotidiennement pour lire ses emails. Une application externe peut recevoir des autorisations beaucoup trop larges.
Le suivi d'un environnement cloud doit notamment porter sur :
- les rôles administratifs ;
- les méthodes d'authentification ;
- les partages externes ;
- les applications autorisées ;
- les appareils connectés ;
- les transferts automatiques d'emails ;
- les comptes inactifs ;
- les événements de connexion ;
- les règles appliquées aux données sensibles.
Le cloud protège l'infrastructure du fournisseur. L'entreprise reste responsable de la manière dont elle configure et utilise ses propres comptes.
Les sauvegardes constituent la dernière protection
Les mesures de sécurité réduisent le risque, mais aucune protection ne peut garantir l'absence totale d'incident.
Une erreur, une panne ou une attaque peut encore rendre des données indisponibles. Les sauvegardes doivent alors permettre de restaurer les informations sans dépendre du système compromis.
Elles doivent être séparées de l'environnement principal, surveillées et protégées par des accès distincts. Au moins une copie doit rester hors d'atteinte d'un programme malveillant capable de parcourir le réseau.
Une restauration testée permet de savoir si l'entreprise peut réellement récupérer :
- un fichier supprimé ;
- une boîte email ;
- un dossier partagé ;
- un serveur ;
- une machine virtuelle ;
- la configuration d'un équipement.
La sauvegarde n'empêche pas l'incident. Elle évite que celui-ci provoque une perte définitive.
Détecter un incident avant que ses effets deviennent visibles
Certaines compromissions restent discrètes pendant plusieurs jours.
Une connexion peut provenir d'un pays inhabituel. Une boîte email peut transférer silencieusement les messages vers une adresse externe. Un poste peut contacter régulièrement un serveur inconnu. Un compte peut tenter d'accéder à des fichiers qui ne correspondent pas à son activité.
Sans suivi, l'entreprise découvre parfois l'incident lorsqu'un client signale un faux email ou lorsque les fichiers deviennent soudainement inaccessibles.
La surveillance permet de repérer des signaux inhabituels :
- échecs répétés de connexion ;
- nouvelles règles de messagerie ;
- désactivation d'une protection ;
- activité anormale sur un compte ;
- équipement qui ne reçoit plus ses mises à jour ;
- stockage soudainement saturé ;
- multiplication des fichiers modifiés ;
- connexion d'un appareil inconnu.
Une alerte ne signifie pas toujours qu'une attaque est en cours. Elle permet toutefois de vérifier la situation avant que le problème ne prenne de l'ampleur.
Savoir quoi faire lorsqu'un incident survient
Lorsqu'un utilisateur pense avoir communiqué son mot de passe, la rapidité d'action est essentielle.
Il faut notamment pouvoir :
- désactiver ou sécuriser le compte ;
- fermer les sessions actives ;
- modifier les méthodes d'authentification ;
- contrôler les règles de messagerie ;
- rechercher les actions réalisées ;
- vérifier les fichiers consultés ou partagés ;
- isoler un poste suspect ;
- prévenir les personnes susceptibles d'avoir reçu un faux message.
Improviser ces actions pendant l'incident fait perdre un temps précieux.
Une procédure simple doit préciser qui contacter, quels équipements isoler, quelles informations conserver et dans quel ordre rétablir les services.
L'objectif est de contenir l'incident avant de remettre les outils en fonctionnement.
Les utilisateurs doivent savoir reconnaître une situation anormale
La sensibilisation ne consiste pas à transformer les collaborateurs en spécialistes de la sécurité.
Ils doivent surtout savoir identifier quelques signes d'alerte :
- demande inhabituelle ou urgente ;
- changement inattendu de coordonnées bancaires ;
- page de connexion ouverte depuis un lien reçu par email ;
- demande de communication d'un code de validation ;
- pièce jointe non attendue ;
- message provenant d'une adresse légèrement différente ;
- notification de connexion qu'ils n'ont pas initiée.
La règle la plus importante reste de signaler rapidement un doute.
Un collaborateur qui prévient immédiatement le support après avoir cliqué permet souvent de limiter l'incident. Celui qui cache son erreur par peur d'être sanctionné laisse davantage de temps à l'attaquant.
Une sécurité adaptée à la PME
Toutes les entreprises n'ont pas besoin des mêmes outils ni du même niveau de contrôle.
Une PME de dix collaborateurs n'a pas les mêmes contraintes qu'une entreprise multisite manipulant des données sensibles. Copier une architecture complexe conçue pour un grand groupe peut ajouter des coûts et des procédures sans traiter les risques prioritaires.
La démarche doit commencer par l'environnement réel de l'entreprise :
- quelles données sont indispensables ;
- quels services sont accessibles depuis Internet ;
- qui possède des droits élevés ;
- quels prestataires interviennent ;
- quels équipements ne sont plus maintenus ;
- comment les utilisateurs travaillent à distance ;
- combien de temps l'activité peut rester interrompue ;
- quelles protections existent déjà.
Les mesures sont ensuite classées selon leur urgence et leur impact : fermer une exposition dangereuse, activer le MFA, sécuriser les sauvegardes, corriger les droits, segmenter le réseau ou remplacer un système obsolète.
Le rôle d'AMGIS
AMGIS accompagne les PME dans la sécurisation du socle informatique nécessaire à leur activité.
L'intervention peut comprendre :
- la protection des comptes et des accès ;
- la mise en place de l'authentification multifacteur ;
- la sécurisation des postes Windows ;
- le chiffrement des ordinateurs ;
- la gestion des mises à jour ;
- la configuration de la messagerie et du nom de domaine ;
- le contrôle des partages cloud ;
- la segmentation du réseau ;
- la sécurisation du Wi-Fi ;
- la configuration et le suivi du firewall ;
- la protection des accès à distance ;
- la vérification des sauvegardes ;
- la surveillance des équipements ;
- la gestion des arrivées et des départs ;
- la préparation des procédures en cas d'incident.
AMGIS intervient sur la sécurité défensive de l'environnement informatique. Les prestations offensives ou hautement spécialisées, comme les tests d'intrusion, la réponse judiciaire à incident ou les investigations avancées, sont confiées à des partenaires spécialisés lorsque la situation l'exige.
Protéger l'activité, pas seulement les ordinateurs
La sécurité informatique ne doit pas être considérée comme une contrainte indépendante du fonctionnement de l'entreprise.
Elle protège la capacité à envoyer des devis, recevoir des commandes, accéder aux dossiers clients, payer les fournisseurs et respecter les engagements pris auprès des partenaires.
Une protection cohérente permet de réduire :
- les interruptions de travail ;
- les fraudes financières ;
- les pertes de données ;
- les accès non autorisés ;
- les dépenses engagées dans l'urgence ;
- les atteintes à l'image de l'entreprise.
Vous ne savez pas si vos comptes, vos postes, votre réseau et vos données sont correctement protégés ?
Contactez AMGIS pour identifier les points d'entrée les plus exposés, corriger les risques prioritaires et mettre en place une sécurité adaptée au fonctionnement réel de votre PME.