La sécurité informatique d'une PME se joue rarement sur l'outillage. Elle se joue sur six décisions, dont quatre ne coûtent rien — et c'est précisément pour cela qu'elles ne sont pas prises : rien ne les déclenche.
Voici les six, dans l'ordre de ce qu'elles évitent réellement.
L'essentiel
- 1. Double facteur sur les accès sensibles : c'est la mesure au meilleur rapport efficacité-coût, et de loin.
- 2. Retrait des accès des partants, le jour du départ. L'authentification unique rend ce geste automatique.
- 3. Profondeur de sauvegarde suffisante : une rétention de 7 jours est inutile contre un rançongiciel qui a dormi trois semaines.
- 4. Correctifs appliqués, régulièrement. C'est la discipline, pas la difficulté, qui manque.
- 5. Droits limités : un utilisateur ne doit pas pouvoir exporter toute la base.
- 6. Sauvegarde testée, avec une date de dernier test connue.
Les six mesures, et leur coût réel
| # | Mesure | Coût | Ce qu'elle évite |
|---|---|---|---|
| 1 | Double facteur sur les accès sensibles | Nul | La majorité des compromissions de comptes |
| 2 | Retrait des accès des partants | Nul | L'accès d'un ancien salarié, des mois après |
| 3 | Profondeur de sauvegarde adaptée | Faible | Une restauration impossible après un rançongiciel |
| 4 | Correctifs appliqués régulièrement | Du temps | L'exploitation d'une faille publiée |
| 5 | Droits limités, export restreint | Nul | L'extraction de la base avant un départ |
| 6 | Test de restauration daté | Une demi-journée | La découverte d'une sauvegarde inexploitable |
Quatre des six ne coûtent rien d'autre que de la décision. C'est la raison pour laquelle elles ne sont pas prises : il n'y a pas de devis à signer, donc pas de moment où le sujet s'impose.
La mesure n° 3, celle qu'on sous-estime
La plupart des PME ont des sauvegardes quotidiennes, et s'en satisfont. C'est insuffisant contre le scénario le plus courant.
Un rançongiciel moderne n'agit pas immédiatement : il s'installe, attend, et chiffre plusieurs semaines plus tard. Une rétention de sept jours ne contient alors aucune sauvegarde saine.
- Demandez deux chiffres à votre prestataire, pas un : la fréquence des sauvegardes, et la profondeur d'historique conservée.
- Visez une profondeur de plusieurs semaines, avec une conservation plus longue pour quelques points mensuels.
- Gardez une copie hors du prestataire : l'export complet de votre ERP, conservé de votre côté, est la seule sauvegarde dont vous maîtrisez entièrement le sort.
Voir sauvegardes et plan de reprise : les trois chiffres et la réversibilité en pratique.
La mesure n° 5, qui protège aussi d'un risque interne
On pense la sécurité comme une protection contre l'extérieur. Dans une PME, le risque le plus fréquent est interne et banal : un commercial qui exporte le fichier clients complet avant de partir chez un concurrent.
L'autorisation d'exporter est un droit distinct de l'autorisation de consulter. On peut la retirer sans gêner personne dans son travail quotidien : un commercial a besoin de voir ses clients, pas d'extraire la base entière en un fichier.
Deux autres réglages du même ordre, tout aussi gratuits :
- Limiter les lignes visibles par des règles d'enregistrement : chacun voit son périmètre, pas celui de toute l'entreprise.
- Journaliser les accès et les modifications. Savoir qui a modifié un prix ou supprimé un document est une information de gestion autant que de sécurité.
Voir les droits utilisateurs dans Odoo.
Ce qui relève de vous et ce qui relève de l'hébergeur
| Mesure | Qui la porte |
|---|---|
| Correctifs système et applicatifs | L'hébergeur, si le service est géré |
| Sauvegardes et leur profondeur | L'hébergeur, selon le contrat |
| Chiffrement en transit et au repos | L'hébergeur |
| Double facteur sur les comptes | Vous |
| Retrait des accès des partants | Vous |
| Droits et restrictions d'export | Vous |
| Notification d'une violation de données | Partagée : il alerte, vous notifiez la CNIL |
Les trois lignes en gras sont celles qu'aucune prestation d'hébergement ne couvre, et ce sont celles dont l'absence cause le plus d'incidents réels. Un hébergement irréprochable ne protège pas d'un mot de passe partagé.
Si l'incident arrive
- Isoler : couper l'accès réseau de ce qui est touché, avant toute analyse.
- Ne pas payer. Le paiement ne garantit rien et finance la suite.
- Restaurer à un point antérieur à la compromission — d'où l'importance de la profondeur de sauvegarde.
- Notifier, si des données personnelles sont concernées : c'est une obligation RGPD, avec un délai.
- Changer tous les accès, y compris ceux qui semblent intacts.
Le point 3 est le seul qui dépend d'une décision prise des mois plus tôt. Les quatre autres se décident sur le moment ; celui-là, non.
Voir les obligations RGPD d'une PME.
Questions fréquentes
Quelle est la mesure de sécurité la plus efficace pour une PME ?
L'authentification à double facteur sur les accès sensibles. Elle ne coûte rien, elle se met en place en une journée, et elle neutralise la majorité des compromissions de comptes — qui sont le point d'entrée le plus fréquent, loin devant les attaques techniques sophistiquées.
Une sauvegarde quotidienne suffit-elle contre un rançongiciel ?
Pas si la rétention est courte. Un rançongiciel s'installe souvent plusieurs semaines avant de chiffrer : avec sept jours d'historique, aucune sauvegarde n'est saine. Demandez deux chiffres à votre prestataire, la fréquence et la profondeur, et visez plusieurs semaines.
Faut-il acheter un antivirus d'entreprise ?
C'est utile, et ce n'est pas la priorité. Quatre des six mesures les plus efficaces ne coûtent rien : double facteur, retrait des accès des partants, droits limités, et test de restauration. Commencez par celles-là — un outil acheté ne compense pas un mot de passe partagé.
Que faire des accès d'un salarié qui part ?
Les retirer le jour du départ, sans exception. C'est l'un des manquements les plus courants, et l'un des plus faciles à régler définitivement : une authentification unique adossée à votre annuaire d'entreprise rend le retrait automatique, puisque couper le compte coupe tous les accès.
Qui est responsable en cas de fuite de données ?
Vous restez responsable de traitement au sens du RGPD ; l'hébergeur est sous-traitant. Il doit vous alerter, et c'est à vous de notifier la CNIL dans le délai prévu. Un contrat de sous-traitance signé et une liste de sous-traitants à jour font partie de ce qu'on vous demandera.
Pour aller plus loin
- Les droits utilisateurs dans Odoo
- Sauvegardes et plan de reprise
- Les obligations RGPD d'une PME qui héberge un ERP
En résumé
Six mesures, dont quatre gratuites : double facteur, retrait des accès des partants, profondeur de sauvegarde adaptée, correctifs réguliers, droits limités avec export restreint, et un test de restauration daté. Les trois que personne ne porte à votre place sont le double facteur, les départs et les droits. Faisons le point.
