Bonnes pratiques cybersécurité : les règles importantes

Depuis plusieurs années, la France fait face à une explosion sans précédent des cyberattaques. Rançongiciels paralysant des hôpitaux et des collectivités, campagnes de phishing ciblant les dirigeants, vols de données clients : aucune organisation n’est épargnée, quelle que soit sa taille. Les chiffres sont éloquents : le coût moyen d’un incident de sécurité a atteint 4,88 millions de dollars en 2024, tandis que les attaques par ransomware ont connu une hausse de plus de 95 % ces dernières années.

Face à cette intensification des menaces, les solutions techniques seules ne suffisent plus. Les bonnes pratiques cybersécurité englobent désormais l’organisation, les comportements et la culture d’entreprise. Cet article vous propose un guide pratique et concret, destiné aux TPE, PME et ETI, pour structurer votre démarche de protection.

Pour aller plus loin dans votre lecture, nous vous invitons à consulter Nos services cyber pour un accompagnement personnalisé.

1. Adopter une stratégie globale de cybersécurité, pas seulement des outils

La sécurité informatique a longtemps été perçue comme une affaire d’outils : un antivirus, un pare feu, et le tour était joué. Cette époque est révolue. En 2026, la cybersécurité exige une vision globale intégrant les dimensions techniques, organisationnelles et humaines. Les cybermenaces actuelles – phishing ciblé, ransomware industrialisé, attaques sur la chaîne d’approvisionnement – contournent aisément les défenses purement technologiques, ce que confirme l’actualité de la cybersécurité en France et la recrudescence des cyberattaques.

• La sécurité informatique se concentre sur la protection des systèmes et infrastructures techniques

• La cyber sécurité englobe également les processus, les comportements et la gouvernance

• Une approche « uniquement antivirus/firewall » expose l’entreprise aux attaques modernes exploitant le facteur humain

• La politique de sécurité doit définir des règles claires, des responsabilités et des procédures de réponse

• Les formations régulières transforment les collaborateurs en première ligne de défense

1.1. Définir une politique de sécurité claire et partagée

Toute démarche de sécurité numérique commence par la formalisation d’une politique écrite. Ce document fondateur doit être compris et accepté par l’ensemble des collaborateurs.

Éléments essentiels à inclure dans votre politique de sécurité :

• Règles d’utilisation des postes de travail, de la messagerie et d’internet

• Conditions d’usage du cloud, des clé usb et supports amovibles

• Encadrement du BYOD (appareils personnels utilisés au travail)

• Gestion des mots de passe et des accès aux systèmes d’information

• Procédures de signalement des incidents et des comportements suspects

• Sanctions en cas de non-respect des règles établies

Dans le cadre français, cette politique doit s’articuler avec les obligations du RGPD concernant la protection des données personnelles. Formalisez une charte informatique que chaque salarié signera lors de son arrivée.

Cette politique n’est pas figée : prévoyez une mise à jour annuelle ou après tout incident majeur. Diffusez-la via l’onboarding des nouveaux arrivants, l’intranet et des rappels réguliers lors des réunions d’équipe.

1.2. Désigner un responsable sécurité (RSSI ou référent cyber)

Même dans une petite structure, une personne doit être clairement identifiée comme pilote de la sécurité. Sans ce référent, les bonnes pratiques à adopter restent lettre morte.

Les missions du responsable sécurité comprennent :

• Pilotage de l’analyse des risques et suivi du plan d’actions

• Gestion des incidents de sécurité et coordination de la réponse

• Relation avec les prestataires et partenaires techniques

• Mise à jour des politiques et procédures

• Animation de la sensibilisation des collaborateurs

La matière diffère selon la taille de l’organisation :

2. Gérer ses mots de passe et ses accès comme un véritable système de clés

La majorité des intrusions commencent par le vol d’identifiants, souvent exploité via les techniques de piratage informatique les plus courantes. Un mot de passe faible, réutilisé sur plusieurs sites internet, ou dérobé via une campagne de phishing suffit à ouvrir les portes de votre système d’information. Les cybercriminels exploitent cette faille dans plus de 80 % des compromissions initiales.

Recommandations essentielles :

• Utilisez des mots de passe longs (12 caractères minimum) combinant lettres, chiffres et caractères spéciaux

• Chaque compte sensible (messagerie, outils métier, banque, cloud) doit avoir un mot de passe unique

• Adoptez un gestionnaire de mots de passe comme KeePass pour centraliser et sécuriser vos identifiants

• Activez l’authentification multifacteur (MFA) sur tous les comptes critiques

• Ne partagez jamais vos identifiants par email ou messagerie instantanée

Pour approfondir ce thème, consultez notre article Les 10 conseils pour vous protéger des hackers qui détaille les bonnes pratiques de gestion des mots.

2.1. Mettre en place l’authentification multifacteur (MFA) partout où c’est possible

L’authentification multifacteur repose sur un principe simple : combiner plusieurs éléments de vérification. Quelque chose que vous savez (mot de passe), quelque chose que vous possédez (smartphone, clé physique), et parfois quelque chose que vous êtes (biométrie).

Les différents facteurs disponibles :

• Applications d’authentification (Microsoft Authenticator, Google Authenticator)

• Clés physiques FIDO2 ou YubiKey

• Notifications push sur smartphone

• Codes SMS (mieux que rien, mais moins robustes)

• Biométrie (empreinte digitale, reconnaissance faciale)

Commencez par déployer la MFA sur les comptes les plus critiques :

• Messagerie professionnelle (Microsoft 365, Google Workspace)

• Comptes administrateurs des systèmes

• Accès au réseau privé virtuel (VPN)

• Applications SaaS contenant des données sensibles

• Outils de facturation et accès bancaires

Les assureurs cyber exigent désormais la MFA résistante au phishing comme condition minimale d’éligibilité. Cette mesure doit être intégrée dans votre politique de sécurité et expliquée lors des formations internes.

2.2. Appliquer la règle du moindre privilège sur les comptes et droits

Le principe du moindre privilège stipule que chaque utilisateur ne doit disposer que des droits strictement nécessaires à l’exercice de ses fonctions. Un commercial n’a pas besoin d’accéder aux documents comptables, et un stagiaire n’a pas vocation à administrer les serveurs.

Mise en œuvre concrète :

• Séparez les comptes administrateurs des comptes utilisateurs quotidiens

• Restreignez les droits d’installation de logiciels sur les postes

• Limitez l’accès aux données sensibles aux seules personnes concernées

• Segmentez les partages réseau par service ou par projet

• Documentez les niveaux d’habilitation par fonction

Planifiez des revues périodiques des droits d’accès :

3. Mettre à jour, protéger et homogénéiser son parc informatique

Les failles de sécurité connues mais non corrigées constituent une porte d’entrée majeure pour les attaquants. Les mises à jour de sécurité publiées par les éditeurs corrigent ces vulnérabilités – encore faut-il les appliquer rapidement et systématiquement.

Un parc informatique homogène facilite considérablement cette tâche :

• Standardisez les versions de systèmes d’exploitation (Windows, macOS, Linux)

• Déployez le même antivirus et les mêmes configurations sur tous les postes

• Centralisez la gestion des mises à jour via un outil de « patch management »

• Incluez tous les équipements : ordinateurs fixes, portables, téléphones portables, tablettes, serveurs, routeurs

• N’oubliez pas les objets connectés de l’environnement de travail (imprimantes, caméras, capteurs)

3.1. Installer et maintenir des solutions de protection (antivirus, EDR, pare-feu)

L’antivirus reste un pilier de la sécurité, mais il doit aujourd’hui être complété par d’autres briques pour faire face aux menaces avancées. Les solutions EDR (Endpoint Detection and Response) détectent les comportements suspects en temps réel et permettent une réponse automatisée.

Recommandations pour votre protection :

• Installez un antivirus/EDR professionnel sur tous les postes et serveurs

• Activez les mises à jour automatiques des signatures et du moteur

• Centralisez la supervision via une console d’administration

• Configurez le pare feu sur chaque poste et en périmètre réseau

• Filtrez les catégories de sites web à risque (téléchargements illégaux, contenus malveillants)

• Bloquez l’exécution de macros et scripts non approuvés

Pour les PME sans équipe dédiée, des solutions comme Microsoft Defender for Business combinent détection et réponse automatisée dans une plateforme unifiée.

Ces outils ne remplacent jamais les bonnes pratiques des utilisateurs. Un clic sur une pièce jointe malveillante peut contourner toutes les protections techniques.

3.2. Sécuriser les accès distants, le Wi-Fi et le cloud

La généralisation du télétravail depuis 2020 a multiplié les points d’entrée potentiels pour les attaquants. Chaque connexion distante, chaque accès cloud, chaque réseau Wi-Fi représente un risque à maîtriser.

Accès distants :

• Imposez l’usage d’un réseau privé virtuel (VPN) pour accéder aux ressources internes

• Authentifiez les connexions VPN via MFA

• Limitez les plages horaires d’accès si possible

• Surveillez les connexions inhabituelles (localisation, horaires)

Sécurité Wi-Fi :

• Utilisez un mot de passe fort et le chiffrement WPA3 (ou WPA2 minimum)

• Créez un SSID invité séparé du réseau interne

• Interdisez l’usage des réseaux Wi-Fi publics pour les opérations sensibles

• Désactivez le Wi-Fi sur les appareils quand il n’est pas utilisé

Responsabilité partagée sur le cloud :

• Le fournisseur sécurise l’infrastructure

• Vous sécurisez les accès, les droits et les données

• Configurez les paramètres de sécurité proposés par la plateforme

• Auditez régulièrement les partages et les permissions

Consultez Les 10 conseils pour protéger votre entreprise des cyberattaques pour des exemples concrets de configuration.

4. Sauvegarder et chiffrer ses données pour pouvoir redémarrer après une attaque

La question n’est plus de savoir si votre entreprise subira une tentative d’attaque, mais quand. Une sauvegarde fiable et testée fait la différence entre une interruption de quelques heures et une catastrophe de plusieurs semaines.

La règle 3-2-1 reste la référence :

• 3 copies de vos données (l’original + 2 sauvegardes)

• 2 supports différents (disque local + cloud, ou NAS + bandes)

• 1 copie externalisée (cloud sécurisé, coffre-fort de sauvegarde, site distant)

Face aux rançongiciels, vos sauvegardes doivent être déconnectées ou immuables. Une sauvegarde accessible en permanence depuis le réseau sera chiffrée en même temps que vos données de production.

Actions indispensables :

• Testez régulièrement la restauration de vos sauvegardes (au moins une fois par trimestre)

• Documentez les procédures de restauration

• Chiffrez les données sensibles sur les PC portables et disques externes

• Conservez les sauvegardes chiffrées avec des clés stockées séparément

4.1. Prioriser la protection des données sensibles et stratégiques

Toutes les données n’ont pas la même importance. Commencez par identifier celles dont la perte ou la fuite serait catastrophique pour votre activité.

Données critiques à cartographier :

• Données clients et contacts commerciaux

• Informations financières et comptables

• Documents R&D et secrets de fabrication

• Données RH sensibles (paie, évaluations, données médicales)

• Contrats et documents juridiques

Réalisez une cartographie précise :

• Chiffrement des fichiers et dossiers sensibles

• Cloisonnement des partages par niveau de confidentialité

• Archivage sécurisé des documents critiques

• Anonymisation ou pseudonymisation quand c’est possible

Les enjeux réglementaires sont majeurs : le RGPD impose des mesures techniques et organisationnelles appropriées. Les sanctions peuvent atteindre 4 % du chiffre d’affaires mondial, sans compter l’atteinte à l’image.

4.2. Intégrer la sauvegarde et la reprise dans un plan de continuité d’activité

Au-delà de la sauvegarde technique, votre entreprise doit planifier sa continuité d’activité face aux cyberattaques et aux sinistres majeurs (incendie, inondation, panne critique).

Deux notions clés à définir :

• RPO (Recovery Point Objective) : quelle quantité de données êtes-vous prêt à perdre ? Si votre RPO est de 24 heures, vous devez sauvegarder au minimum une fois par jour.

• RTO (Recovery Time Objective) : en combien de temps devez-vous reprendre votre activité ? Un RTO de 4 heures impose des infrastructures de reprise rapide.

Éléments du plan de continuité :

• Liste des applications et données critiques par ordre de priorité

• Procédures de reprise documentées et accessibles (même hors ligne)

• Contacts des prestataires et des personnes ressources

• Scénarios de fonctionnement dégradé

• Communication de crise interne et externe

Organisez un exercice de crise annuel : simulation de ransomware, panne d’un serveur critique, ou compromission d’un compte administrateur. Ces exercices révèlent les failles de sécurité organisationnelles avant qu’une vraie attaque ne les exploite.

5. Protéger la messagerie, les achats en ligne et les usages web au quotidien

L’email, le web et les réseaux sociaux constituent les principaux vecteurs d’attaque en entreprise. Phishing, malware, arnaques au président, fraude au virement : ces techniques exploitent la confiance et l’urgence pour tromper les utilisateurs.

Selon cybermalveillance.gouv.fr, le phishing représente plus de 70 % des attaques contre les entreprises. Cette réalité impose des usages rigoureux au quotidien.

Protection de la messagerie :

• Utilisez une messagerie professionnelle avec filtrage antispam et antiphishing

• Configurez les protocoles SPF, DKIM et DMARC pour authentifier vos emails sortants

• Méfiez-vous des messages inattendus, alarmistes ou demandant une action urgente

• Vérifiez toujours l’adresse de l’expéditeur, pas seulement le nom affiché

Vigilance pour le commerce en ligne :

• Vérifiez l’URL du site web (orthographe, extension, certificat HTTPS)

• Consultez les avis clients et les mentions légales

• Privilégiez les paiements sécurisés et les sites référencés sur app store ou google play store

• Méfiez-vous des offres trop belles pour être vraies

Prudence sur les réseaux sociaux :

• Limitez les informations professionnelles partagées publiquement

• Configurez les paramètres de confidentialité de vos comptes

• Attention aux demandes de connexion de profils inconnus

• Ne publiez jamais d’informations sensibles sur l’entreprise

5.1. Lutter contre le phishing et les arnaques financières

Les campagnes de phishing et de fraude au virement ciblent de plus en plus les entreprises françaises. L’IA générative permet désormais de créer des messages personnalisés et crédibles, augmentant considérablement les taux de réussite des attaques.

Signaux d’alerte à reconnaître :

• Fautes d’orthographe ou de grammaire inhabituelles

• Adresse email approximative (domaine légèrement différent)

• Ton urgent ou menaçant (« votre compte sera bloqué »)

• Demande de secret ou de confidentialité

• Changement de RIB inattendu de la part d’un fournisseur

• Pièces jointes ou liens suspects

Procédure de vérification systématique :

• Pour toute demande sensible, validez par un second canal (appel téléphonique)

• Utilisez les numéros de téléphone connus, pas ceux fournis dans le message suspect

• Instaurez une double validation pour les virements importants

• Confirmez tout changement de coordonnées bancaires directement avec le fournisseur

Créez un canal interne dédié au signalement des messages suspects : une adresse email dédiée ou un bouton de signalement intégré à la messagerie. Valorisez les personnes qui signalent plutôt que de les culpabiliser.

5.2. Séparer les usages personnels et professionnels

La porosité entre vie professionnelle et vie personnelle – amplifiée par le télétravail et le BYOD – augmente considérablement les risques. Un compte personnel compromis peut devenir une porte d’entrée vers les données de l’entreprise.

Bonnes pratiques de séparation :

• Utilisez des comptes distincts pour les emails personnels et professionnels

• Séparez le stockage cloud (OneDrive pro vs Google Drive perso)

• Ne mélangez pas les réseaux sociaux personnels et les comptes entreprise

• Évitez les achats personnels depuis le poste professionnel

Limites à poser sur le matériel professionnel :

• Pas de streaming illégal ni de téléchargement de contenus piratés

• Pas d’installation de jeux ou logiciels non approuvés

• Pas de connexion de clé usb personnelles non vérifiées

• Pas de prêt du matériel professionnel à des tiers

Si votre entreprise autorise le BYOD, formalisez une charte claire définissant :

• Les appareils autorisés et leurs prérequis de sécurité

• Les applications obligatoires (MDM, antivirus)

• Les données accessibles depuis les appareils personnels

• Les conditions de contrôle et d’effacement à distance

Cette séparation doit être expliquée et acceptée par les collaborateurs dès leur arrivée dans l’entreprise.

6. Sensibiliser et former régulièrement les collaborateurs : le facteur humain au cœur des bonnes pratiques

Environ 90 % des incidents de sécurité impliquent une erreur ou un manque de vigilance humaine. Les meilleures technologies du monde ne protègent pas contre un clic malheureux sur un lien de phishing ou un mot de passe partagé par téléphone.

Les bonnes pratiques cybersécurité doivent être comprises, répétées et mises en situation. Une simple lecture de la charte informatique à l’embauche ne suffit pas.

Programme de sensibilisation efficace :

• Sessions courtes et régulières (30 minutes maximum)

• Exemples concrets issus de l’actualité ou de l’entreprise

• Cas réels anonymisés pour montrer les conséquences

• Jeux de rôle et exercices pratiques

• Campagnes de simulations de phishing

Adaptation aux profils :

6.1. Formaliser une culture cyber au sein de l’entreprise

La cybersécurité doit devenir un réflexe collectif, au même titre que la sécurité physique ou la qualité. Cette transformation culturelle ne se décrète pas : elle se construit dans la durée.

Actions pour ancrer la culture cyber :

• Intégrez un point sécurité dans les réunions d’équipe mensuelles

• Partagez les alertes et les bonnes nouvelles via les communications internes

• Incluez la cybersécurité dans l’accueil des nouveaux collaborateurs

• Célébrez les comportements exemplaires (signalement rapide, vigilance)

Créez un réseau d’ambassadeurs cyber :

• Identifiez une personne relais dans chaque service

• Formez-les aux bases de la sécurité et aux procédures de signalement

• Donnez-leur des outils pour sensibiliser leurs collègues

• Organisez des réunions trimestrielles pour partager les retours d’expérience

Cultivez la non-culpabilisation :

• Valorisez le signalement rapide d’un incident ou d’une erreur

• Ne sanctionnez pas systématiquement les erreurs de bonne foi

• Analysez les incidents pour améliorer les processus, pas pour désigner des coupables

• Communiquez sur les leçons apprises

Un accompagnement externe – audit, formation, exercices de crise – peut accélérer cette transformation culturelle et apporter un regard neuf sur vos pratiques.

6.2. Quand et comment faire appel à un partenaire spécialisé en cybersécurité

Toutes les entreprises ne peuvent pas internaliser l’ensemble des compétences cyber. La veille sur les menaces, la réponse à incident, la supervision 24/7, les audits techniques : ces activités requièrent une expertise pointue et des ressources dédiées.

Bénéfices d’un partenaire spécialisé :

• Diagnostic objectif de votre niveau de maturité

• Plan d’actions priorisé selon vos risques réels

• Mise en œuvre des mesures techniques et organisationnelles

• Formations adaptées à vos métiers et à votre contexte

• Assistance en cas de crise ou d’incident majeur

Exemples de missions externalisables :

Points clés à retenir

• La cybersécurité est une démarche globale intégrant technique, organisation et facteur humain

• Les mots de passe forts et l’authentification multifacteur sont les fondations de la protection des accès

• Les mises à jour régulières corrigent les failles de sécurité avant qu’elles ne soient exploitées

• La règle 3-2-1 garantit des sauvegardes résistantes aux ransomwares

• La sensibilisation continue des collaborateurs réduit drastiquement les risques d’incident

• Un partenaire spécialisé peut accélérer votre montée en maturité

La cybersécurité n’est pas une destination, c’est un voyage continu. Chaque bonne pratique mise en place renforce votre résilience face aux cyberattaques qui, malheureusement, ne cesseront pas de se multiplier.

Commencez dès aujourd’hui par une ou deux mesures concrètes : activez la MFA sur vos comptes critiques, vérifiez l’état de vos sauvegardes, ou planifiez une session de sensibilisation pour votre équipe. Puis, bâtissez progressivement une démarche globale avec le respect des règles établies.

Votre sécurité numérique commence par une décision. Prenez-la maintenant.