Pour une TPE, commencer la cybersécurité ne consiste pas à acheter immédiatement une longue liste d’outils. Il faut d’abord identifier les accès et les données dont dépend le travail, puis attribuer les actions à des personnes précises. Les premières mesures doivent rester compréhensibles et vérifiables : un dispositif que personne ne sait utiliser risque d’être contourné au quotidien.
Identifier les éléments qui bloqueraient l’activité
Listez les comptes et services nécessaires pour envoyer un devis, facturer, accéder aux dossiers ou joindre les clients. Ajoutez les personnes qui administrent ces outils et les prestataires qui disposent d’un accès.
Pour chaque élément, posez deux questions : que se passe-t-il s’il devient indisponible, et qui peut aider à le récupérer ? Cet inventaire permet de traiter en priorité la messagerie principale, les accès administrateurs, les applications métier et les sauvegardes. Il révèle aussi les dépendances à un compte personnel ou à un ancien salarié.
Renforcer les comptes prioritaires
Utilisez des comptes nominatifs et des mots de passe différents pour chaque service, conservés dans un gestionnaire adapté. Activez l’authentification multifacteur lorsque l’outil la propose, en commençant par la messagerie et les fonctions d’administration.
Les moyens de récupération méritent autant d’attention que la connexion habituelle. Identifiez où sont conservés les codes de secours et comment agir si un téléphone est perdu. Une seule personne ne doit pas être l’unique point de récupération de tous les accès de l’entreprise.
Cybermalveillance.gouv.fr recommande notamment les mots de passe robustes et uniques, la double authentification et les mises à jour. Ces protections réduisent des risques fréquents ; elles ne rendent pas un compte invulnérable.
Organiser les mises à jour et les droits
Prévoyez une personne responsable du suivi des ordinateurs, logiciels et équipements réseau. Un outil à jour sur un poste ne signifie pas que toute l’entreprise est protégée. Les appareils rarement utilisés et les extensions du site internet doivent aussi apparaître dans l’inventaire.
Pour les changements importants, convenez d’un créneau, des vérifications et d’un retour arrière possible. Limitez les droits administrateurs aux opérations qui en ont besoin. L’usage courant ne nécessite généralement pas de pouvoir modifier tout le système.
Un prestataire doit disposer des droits nécessaires à sa mission, avec une possibilité de révocation lorsqu’elle se termine. Les accès oubliés deviennent difficiles à contrôler.
Vérifier les copies et la restauration
Repérez les dossiers qui ne sont couverts par aucune sauvegarde et les applications dont les données sont difficiles à exporter. Contrôlez qui reçoit les alertes et ce qui se passe lorsqu’une tâche échoue.
Organisez ensuite un test sur des données représentatives, dans un emplacement séparé. Vérifiez le contenu récupéré et l’accès aux clés éventuelles. Une date récente sur un rapport n’établit pas, à elle seule, que la reprise de l’activité sera possible.
Préparer une réaction simple à l’incident
Rédigez une courte procédure accessible même si la messagerie ou l’ordinateur habituel est indisponible. Elle doit indiquer le contact à prévenir, le moyen de le joindre et les éléments à conserver : heure, message affiché, outil concerné et actions déjà réalisées.
En cas de suspicion, faites évaluer la situation rapidement. Évitez les réinstallations précipitées qui pourraient effacer des éléments utiles au diagnostic. La direction doit aussi savoir qui décide d’interrompre un service ou de solliciter un intervenant.
Transformer les constats en actions suivies
Un tableau simple suffit pour démarrer : problème identifié, conséquence possible, action, responsable et état d’avancement. Validez une priorité réaliste, puis vérifiez que l’action fonctionne en pratique. L’ANSSI propose un guide d’hygiène informatique pour structurer cette démarche.
Notre accompagnement en audit et cybersécurité permet de cadrer un état des lieux adapté à votre contexte. Décrivez votre organisation, les outils utilisés et les difficultés connues pour préparer un premier échange utile.
Sources
- Cybermalveillance.gouv.fr — Les dix mesures essentielles de cybersécurité.
- ANSSI — Guide d’hygiène informatique.
Sources consultées le 21 septembre 2026.