Checklist : hygiène de sécurité pour une PME

Par où commencer quand on dirige une PME

On me demande souvent quel est le « minimum vital » en cybersécurité. Ma réponse : une poignée de mesures simples, bien appliquées, protègent déjà contre la grande majorité des incidents que je rencontre sur le terrain. Pas besoin d’un budget de grand groupe. Il faut de la méthode et de la constance.

J’ai donc rassemblé ici une checklist inspirée de l’esprit des recommandations de l’ANSSI, organisée par ordre de priorité. Cochez ce qui est déjà en place, planifiez le reste. Commencez par le haut : ce sont les mesures au meilleur rapport effort/protection.

Priorité 1 — à mettre en place sans attendre

• Activer la double authentification (MFA) — sur la messagerie, les accès distants (VPN) et les outils critiques. Un mot de passe seul ne suffit plus : la MFA bloque l’écrasante majorité des tentatives de connexion frauduleuses.
• Appliquer les mises à jour et correctifs — activez les mises à jour automatiques sur les postes, serveurs et logiciels métier. Beaucoup d’attaques exploitent des failles déjà corrigées depuis des mois.
• Mettre en place des sauvegardes testées (règle 3-2-1) — 3 copies de vos données, sur 2 supports différents, dont 1 hors site et déconnectée. Et surtout : testez régulièrement la restauration. Une sauvegarde jamais restaurée n’est qu’une supposition.
• Déployer un gestionnaire de mots de passe — pour générer et stocker des mots de passe uniques et robustes, sans post-it ni fichier Excel partagé. C’est le socle d’une bonne hygiène des accès.

Priorité 2 — consolider le socle

• Appliquer le principe du moindre privilège — chacun n’accède qu’à ce dont il a réellement besoin. Limitez le nombre de comptes administrateurs au strict nécessaire.
• Séparer les comptes administrateur des comptes courants — on ne lit pas ses mails ni ne navigue avec un compte à privilèges. Cela réduit fortement l’impact d’un poste compromis.
• Protéger les postes avec un antivirus ou un EDR — privilégiez une solution moderne capable de détecter des comportements suspects, pas seulement des signatures connues.
• Sécuriser la messagerie — c’est le premier vecteur d’attaque. Activez les filtres anti-spam et anti-hameçonnage, et méfiez-vous des pièces jointes et liens inattendus.
• Sensibiliser les équipes — des sessions courtes et régulières valent mieux qu’une formation annuelle oubliée. La vigilance de vos collaborateurs est votre meilleure ligne de défense.
• Chiffrer les postes et supports mobiles — activez le chiffrement du disque (BitLocker, FileVault). En cas de vol ou de perte, les données restent illisibles.

Priorité 3 — structurer et anticiper

• Tenir un inventaire du parc — matériels, logiciels, comptes et accès. On ne protège bien que ce que l’on connaît. Un inventaire à jour est le point de départ de toute démarche sérieuse.
• Cloisonner le réseau — séparez au minimum le Wi-Fi invités du réseau interne, et isolez les serveurs des postes de travail. En cas d’intrusion, cela freine la propagation.
• Formaliser la gestion des arrivées et des départs — une procédure claire pour créer les accès à l’arrivée et, surtout, les désactiver immédiatement au départ. Les comptes orphelins sont une porte d’entrée classique.
• Préparer un plan de réponse à incident — même simple : qui prévenir, quoi débrancher, comment communiquer. On décide beaucoup mieux à froid qu’en pleine crise.
• Activer et conserver les journaux (logs) — sur les équipements et applications clés. Sans traces, impossible de comprendre ce qui s’est passé ni d’y remédier.

Comment l’utiliser

Ne cherchez pas à tout traiter d’un coup. Parcourez la liste, identifiez vos lacunes, et avancez tier par tier. La priorité 1 seule vous place déjà bien au-dessus de la moyenne. Le reste se construit dans la durée, au rythme de votre organisation.

Si vous souhaitez faire le point sur votre niveau actuel et prioriser les actions les plus utiles pour votre contexte, parlons-en.