Sécurité informatique PME : les bases qui réduisent vraiment le risque

Sécurité informatique PME : commencer par les accès

Le courriel est un bon point de départ parce qu’il ouvre souvent la porte aux autres outils. Activez l’authentification multifacteur pour les boîtes de courriel, les comptes administrateurs, l’accès à distance et les applications financières. Un mot de passe volé devient alors moins utile à lui seul. Prévoyez aussi une méthode de récupération qui n’est pas liée au téléphone personnel d’une seule personne.

Ensuite, réduisez le nombre de comptes administrateurs. Le propriétaire de l’entreprise n’a pas besoin d’utiliser un compte puissant pour lire ses courriels ou préparer une soumission. Gardez un compte courant pour le travail quotidien et un compte séparé pour les changements techniques. Cette petite séparation limite les dégâts si une session est compromise.

Enfin, faites une liste simple : qui a accès à quoi, et pourquoi? Les comptes partagés sans propriétaire, les anciennes boîtes génériques et les accès accordés « temporairement » à un fournisseur ont tendance à rester. Une revue trimestrielle de cette liste vaut mieux qu’un inventaire parfait qui ne sera jamais mis à jour.

Sauvegarder pour restaurer, pas pour cocher une case

Une sauvegarde utile doit survivre au problème qui touche les données originales. Si le même compte peut supprimer le dossier de production et toutes ses copies, le risque demeure. Séparez au moins une copie, limitez les droits de suppression et documentez la durée de conservation. Pensez aux fichiers, mais aussi aux données d’applications dont les employés ont besoin pour facturer ou servir les clients.

Le test compte autant que la copie. Choisissez un dossier fournisseur, un document comptable et quelques courriels, puis demandez une restauration dans un emplacement temporaire. Notez le temps requis, ce qui manque et la personne qui sait lancer la procédure. On découvre souvent à ce moment qu’un dossier n’était pas inclus ou que l’avis d’échec arrivait dans une boîte que personne ne consulte.

Refaites ce test après un changement important : migration, nouveau serveur, réorganisation de SharePoint ou départ de la personne qui gérait les sauvegardes. La question utile n’est pas « avons-nous une sauvegarde? », mais « pouvons-nous récupérer le bon élément sans improviser? »

Traiter les mises à jour comme une routine d’exploitation

Les mises à jour deviennent risquées lorsqu’elles sont repoussées pendant des mois, puis installées toutes ensemble dans l’urgence. Tenez un inventaire raisonnable des postes, serveurs, pare-feu, points d’accès et applications importantes. Il n’a pas besoin de contenir chaque câble; il doit permettre de savoir quel équipement n’est plus soutenu et qui en est responsable.

Fixez une fenêtre régulière pour les correctifs et gardez une marge pour les mises à jour urgentes. Avant une modification sensible, vérifiez la sauvegarde et déterminez comment revenir en arrière. Pour les postes, redémarrer au bon moment évite que l’employé reporte la mise à jour pendant des semaines parce qu’elle interrompt sa journée.

Surveillez aussi les appareils oubliés : un vieux portable dans une salle de réunion, une caméra installée par un sous-traitant ou un point d’accès qui n’apparaît plus dans le tableau de gestion. Un inventaire court et vivant aide davantage qu’un outil coûteux rempli de données périmées.

Fermer les accès lors des départs et encadrer les fournisseurs

Le départ d’un employé devrait déclencher une liste commune aux opérations et aux TI. Désactivez le compte, retirez les sessions ouvertes, récupérez l’appareil, transférez les dossiers utiles et changez les codes partagés. Faites-le à une heure convenue, surtout pour un départ sensible. Attendre que quelqu’un pense au compte quelques jours plus tard laisse une zone grise inutile.

Appliquez le même principe aux fournisseurs. Donnez un accès nominatif, limité au système requis et à la durée du mandat. Si un technicien externe doit intervenir sur le pare-feu, il n’a pas automatiquement besoin d’accéder aux fichiers de l’équipe. Quand le mandat se termine, fermez l’accès au lieu de simplement ranger son nom dans un dossier.

Une procédure d’une page suffit pour commencer. Inscrivez le responsable, les systèmes à vérifier et la preuve attendue. Le but n’est pas de ralentir les ressources humaines : c’est d’éviter qu’un détail technique dépende de la mémoire d’une seule personne.

Transformer les bases en vérifications mensuelles

Pour avancer sans disperser le budget, choisissez un propriétaire interne et cinq indicateurs simples : MFA activé pour les comptes prioritaires, comptes administrateurs connus, sauvegarde sans erreur, test de restauration récent et correctifs appliqués. Ajoutez les départs et les accès fournisseurs à l’ordre du jour lorsqu’il y en a. Quinze minutes par mois peuvent suffire pour maintenir le suivi.

La page Notre expertise TI présente les domaines qui peuvent être revus ensemble, du réseau aux services infonuagiques. L’objectif n’est pas d’acheter tout en même temps. Commencez par ce qui pourrait interrompre les opérations, exposer des données ou empêcher une restauration, puis traitez le reste dans un ordre réaliste.

Choisir la prochaine action, pas une liste infinie

Si vous voulez valider les priorités de votre sécurité informatique PME, Infotech Canada peut examiner les accès, les sauvegardes et les équipements avec vous. Une courte rencontre permet de choisir les premières vérifications sans transformer le tout en chantier. Vous pouvez aussi nous écrire si vous préférez résumer la situation d’abord.

Planifier une rencontre