Le guide ANSSI pour les TPE et PME, en 13 questions

C'est la toute première question à se poser. Toute entreprise, même unipersonnelle, doit inventorier ses matériels, ses logiciels, ses données et ses traitements. De cet inventaire découleront les mesures de protection adaptées.

• Les équipements et services : ordinateurs et périphériques, mobiles, tablettes, serveurs locaux et distants, hébergement du site web, messagerie, services en ligne. Sans oublier box, commutateurs, clés 4G et imprimantes.
• Les logiciels : nature, fonctions, versions, et licences d'utilisation valides — indispensables tant pour les obligations légales que pour la maintenance.
• Les données et traitements : quelles données interrompraient l'activité en cas de perte ? Lesquelles sont soumises à des obligations légales ? Où sont-elles conservées, en local ou dans un cloud public ?
• Les accès : qui se connecte, avec quel statut (administrateur, utilisateur, invité) et par quel moyen. Cet inventaire permet de repérer les accès indus maintenus — ancien employé, ancien prestataire.
• Les interconnexions : tout accès Internet, vers un prestataire ou un partenaire, doit être recensé, de même que les accès des salariés en situation de mobilité.

Ce bilan doit être mis à jour au moins une fois par an. Il sera aussi très utile aux professionnels qui interviendront en réponse à un incident.

C'est ce qui permet une restauration rapide de l'activité, notamment après une attaque par rançongiciel.

• Identifiez ce qui doit être sauvegardé : données métier (fichier client, savoir-faire), données techniques (configurations), mais aussi les sources d'installation, les licences et les fichiers de configuration des applications.
• Définissez le rythme selon le volume produit. Un artisan pourra sauvegarder mensuellement ses factures et son fichier client ; une entreprise de services dont la valeur tient aux échanges dématérialisés visera l'hebdomadaire, voire le quotidien.
• Appliquez la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors ligne. Les sauvegardes en ligne (NAS, cloud) sont pratiques mais exposées : un attaquant qui atteint le réseau peut les voler ou les chiffrer.
• Testez les restaurations régulièrement. Une sauvegarde dont on n'a jamais vérifié qu'elle est exploitable n'est pas une garantie.
• Chiffrez avant de sauvegarder, et définissez clairement qui détient les clés et comment celles-ci sont elles-mêmes sauvegardées.

Au-delà des attaques reposant sur l'ingénierie sociale, la majorité des attaquants exploitent des vulnérabilités publiques et documentées, principalement sur des services exposés sur Internet : pare-feu, serveur de messagerie, service d'accès à distance.

Le délai entre la publication d'une vulnérabilité et son exploitation ne cesse de se réduire. Certaines campagnes massives ont industrialisé l'exploitation de failles quelques jours seulement après leur révélation.

• N'utilisez que des solutions encore maintenues par leur éditeur. Tout matériel ou logiciel qui ne peut plus être mis à jour doit être désinstallé et remplacé.
• Activez la mise à jour automatique proposée par les éditeurs, en priorité sur tout ce qui est accessible depuis Internet.
• Des correctifs hors calendrier peuvent survenir pour des failles critiques : appliquez-les sans attendre.
• Si vous avez un sous-traitant, assurez-vous qu'il effectue bien ces mises à jour et, si nécessaire, exigez-le dans le contrat.

L'antivirus constitue une première ligne de défense. Il doit être déployé sur la majorité des équipements, en priorité ceux connectés à Internet. Des centaines de milliers de codes malveillants apparaissent chaque jour : la base de signatures doit donc être tenue à jour en permanence.

• Activez la mise à jour automatique et l'analyse automatique des espaces de stockage dans les paramètres — ces mécanismes ne sont pas toujours actifs par défaut.
• Selon vos usages, les fonctions complémentaires proposées par les éditeurs peuvent être utiles : pare-feu, filtrage web, anti-hameçonnage, sécurisation des transactions bancaires.

De nombreuses attaques sont facilitées par des mots de passe trop simples ou réutilisés d'un service à l'autre : force brute, dictionnaire, ingénierie sociale à partir de vos réseaux sociaux, ou exploitation d'une base de données mal sécurisée chez un fournisseur.

Une attaque sur un mot de passe ne s'arrête pas au service touché : votre messagerie peut servir à envoyer des courriels malveillants à vos contacts professionnels.

• Un mot de passe différent pour chaque service. Ne jamais utiliser le même pour la messagerie personnelle et la messagerie professionnelle.
• Un coffre-fort de mots de passe évite d'avoir à les mémoriser. Privilégiez un coffre-fort certifié par l'ANSSI.
• Activez l'authentification multifacteurs partout où elle est proposée : messagerie, banque, services cloud.

Le pare-feu local protège contre les attaques venant d'Internet, mais aussi contre les déplacements latéraux : les attaquants cherchent presque toujours à étendre leur intrusion aux autres postes et aux serveurs pour prendre le contrôle complet du système.

Pour une configuration adaptée à vos usages, vous pouvez recourir à un prestataire labellisé ExpertCyber ; une mise en relation est proposée par Cybermalveillance.gouv.fr.

La messagerie est un vecteur principal d'infection : pièce jointe contenant un code malveillant, ou clic sur un lien menant à un site piégé.

Si vous optez pour une messagerie en ligne, vérifiez que les fonctions de sécurité — authentification multifacteurs, sauvegardes, anti-spam — sont bien présentes et effectivement activées.

L'interconnexion avec Internet expose à l'exfiltration de données, à l'intrusion, à l'usurpation d'identité et au détournement du système à des fins frauduleuses.

• Créez un compte utilisateur dédié à chaque employé, sans privilège d'administration. C'est le premier principe d'hygiène.
• Seuls les comptes utilisateur servent à naviguer sur Internet. De très nombreuses attaques réussissent parce que la navigation se fait depuis un compte à privilèges élevés. Les comptes d'administration servent uniquement à configurer ou installer.
• Quand un collaborateur quitte l'entreprise, faites l'inventaire de ses accès et révoquez-les tous.
• L'idéal est un ordinateur strictement professionnel. À défaut, créez des comptes utilisateur distincts pour chaque usage — c'est simple, même pour un entrepreneur individuel.
• Sur mobile et tablette : limiter les autorisations de chaque application et ne télécharger que depuis les magasins officiels.

Télétravail, travail dans les lieux publics ou les transports : ces usages facilitent la continuité d'activité mais produisent des risques spécifiques — espionnage d'informations sensibles, piégeage des équipements, vol de matériel et d'identifiants.

Les déplacements à l'étranger font l'objet de recommandations spécifiques de l'ANSSI.

Les assureurs proposent de plus en plus de clauses couvrant les risques d'origine numérique. En cas de sinistre, l'assurance fournit une assistance juridique et une couverture financière du préjudice, matériel comme immatériel.

Selon les contrats, les protections peuvent porter sur l'usurpation d'identité, les garanties contre une perte d'exploitation, l'accompagnement juridique pour une déclaration d'atteinte aux données personnelles, ou la prise en charge de la restauration du système d'information après une attaque.

Ces clauses peuvent figurer dans un contrat classique ou prendre la forme d'une police « cyber » spécifique. Ce marché reste en construction, notamment en matière de jurisprudence sur l'activation des clauses d'exclusion. Quelle que soit la forme, vérifiez que les risques les plus redoutés pour la pérennité de l'entreprise sont bien couverts.

Voir notre marche à suivre détaillée, étape par étape →

« Ce sera mieux sécurisé dans le cloud » : la formule mérite d'être examinée. Une approche méthodique évite les écueils d'une solution inadaptée, d'une migration mal évaluée ou de services mal maîtrisés — exposition inconsidérée des données, irréversibilité.

La première question est « une solution cloud pour faire quoi ? ». Ces offres mettent à disposition un grand nombre de fonctions qu'il faut apprendre à configurer, au risque de ne pas être protégé du tout.

La qualification SecNumCloud de l'ANSSI vise à garantir un niveau de confiance dans la sécurisation du service, mais aussi à apporter une protection juridique contre les lois extracommunautaires.