Sans service informatique, une PME peut commencer par lister ses données et ses accès

Une petite entreprise sans service informatique peut commencer par une tâche qui ne coûte rien : dresser la liste de ses données, des comptes qui y ont accès et des droits encore actifs. C’est la première des cinq mesures détaillées par Clubic, qui insiste sur un point souvent négligé : vérifier que les accès d’un collaborateur qui quitte la structure sont bien supprimés.

Trop petite pour intéresser les pirates, une idée fausse

Beaucoup de dirigeants de PME pensent passer sous les radars. Le raisonnement s’inverse quand on regarde les moyens : sans infrastructure avancée ni équipe dédiée à la sécurité, une petite structure offre une prise facile au phishing et aux rançongiciels. Certains métiers sont particulièrement exposés. Cabinets comptables, experts fiscaux, courtiers en crédit et conseillers financiers manipulent des informations qui servent à l’usurpation d’identité et se revendent sur le marché noir.

Ces deux repères sont rapportés par Global Security Mag. Le second rappelle qu’une attaque ne se résume pas au montant réclamé : la remise en route pèse bien davantage.

Fermer les portes d’entrée et entraîner l’œil

Le contrôle des accès vise un risque précis, que Pascal Andrei, Chief Security Officer d’Airbus, résume ainsi :

« Les attaquants ne cassent plus les systèmes pour rentrer. Ils se loguent. »

Pascal Andrei, Chief Security Officer d’Airbus

Un identifiant valide suffit donc. L’authentification multifacteur complète le mot de passe par un deuxième contrôle : code généré par une application, question personnelle ou vérification biométrique comme l’empreinte digitale. Un gestionnaire de mots de passe doté de cette fonction et de droits attribués selon le rôle de chacun permet en outre d’ouvrir et de couper rapidement les accès lors des arrivées et des départs.

La deuxième mesure concerne les équipes. Les messages d’hameçonnage sont désormais mieux écrits, parfois personnalisés, et l’intelligence artificielle aide à les produire. Les réflexes à installer par une formation régulière : reconnaître un message douteux, contrôler l’identité de l’expéditeur, signaler la moindre hésitation. Côté outils, un filtre de messagerie qui écarte les courriels malveillants avant qu’ils n’arrivent dans les boîtes et repère les signes d’usurpation réduit le nombre de pièges à déjouer.

Des sauvegardes qui résistent au rançongiciel

Les rançongiciels s’attaquent aussi aux fichiers de sauvegarde. Une copie mal protégée peut donc disparaître avec le reste. Les critères qui reviennent :

• des sauvegardes automatisées, sans dépendre d’une manipulation manuelle ;
• un stockage séparé des systèmes principaux ;
• des copies dans le cloud immuables, impossibles à modifier ;
• des tests réguliers de restauration, pour s’assurer d’une reprise rapide.

Préparer la crise comme un exercice incendie

Quatrième mesure : rédiger un plan d’action, le partager avec tout le personnel et le répéter, à la manière d’un exercice d’évacuation. Il doit répondre à l’avance à quatre questions : qui appeler, quels systèmes isoler, quels comptes désactiver, comment préserver les données et relancer l’activité.

La cinquième mesure tient compte d’une réalité : la plupart des petites structures ne peuvent pas surveiller leurs systèmes jour et nuit. La solution retenue doit bloquer les logiciels malveillants, filtrer le phishing, détecter les comportements anormaux, sécuriser le télétravail et surveiller l’usage des identifiants, au sein d’un ensemble cohérent plutôt qu’une accumulation d’outils. L’intégrateur Espace Technologie, interrogé dans un contenu publié par BFM TV, juge que l’antivirus, le pare-feu et l’anti-spam ne suffisent plus face à l’usurpation d’identité numérique, et que les outils de détection d’anomalies restent chers et surtout destinés aux grands groupes.

Par où commencer

Photo : Anete Lusina / Pexels