Un collaborateur clique sur un faux lien de réinitialisation de mot de passe un vendredi à 17 h. Le lundi matin, le serveur de fichiers est chiffré par un rançongiciel, la messagerie est hors service et personne ne sait si la dernière sauvegarde fonctionne.
Ce scénario touche des entreprises de toutes tailles, et la réponse ne se limite pas à installer un antivirus. Renforcer la sécurité numérique de votre entreprise en 2024 passe par des choix techniques précis, une organisation testée et une vraie discipline sur les accès.
Passkeys et authentification résistante au phishing
Le phishing reste le principal vecteur d’entrée des attaques significatives contre les entreprises françaises. Les campagnes ne se limitent plus aux e-mails : SMS, appels vocaux, faux portails de connexion sur mobile multiplient les surfaces d’exposition. Face à ce constat, la simple combinaison identifiant-mot de passe ne suffit plus, même avec un second facteur par SMS.
Les passkeys changent la donne. Basées sur la cryptographie asymétrique, elles suppriment le mot de passe transmissible et rendent le phishing classique inopérant. On distingue deux catégories selon le niveau d’assurance recherché.
- Les passkeys synchronisées se répliquent entre les appareils d’un même écosystème (Apple, Google, gestionnaire de mots de passe). Pratiques pour un usage courant, elles conviennent aux applications métier standards.
- Les passkeys liées à l’appareil (device-bound) restent stockées sur un token matériel ou un module de sécurité intégré. Elles offrent un niveau d’assurance supérieur pour les accès critiques : consoles d’administration, VPN, bases de données sensibles.
- Le choix entre les deux dépend du risque associé à chaque ressource. Mélanger les deux dans une même organisation est non seulement possible, mais recommandé.
Côté déploiement, on commence par les comptes à privilèges (administrateurs système, responsables financiers), puis on élargit progressivement. Les retours varient sur la facilité d’adoption selon les tranches d’âge et les habitudes numériques, mais la courbe d’apprentissage reste courte dès qu’un accompagnement interne existe.
Pour approfondir les enjeux de protection des systèmes d’information, les ressources disponibles sur la rubrique sécurité de Open Syd permettent de mieux comprendre les solutions adaptées aux PME.
Journalisation et preuve : ce que les autorités attendent après un incident
Beaucoup d’entreprises investissent dans la prévention et négligent totalement la traçabilité. Les autorités françaises, CNIL en tête, insistent désormais sur la combinaison MFA, journalisation et maîtrise des accès distants comme socle de preuve en cas d’incident. Sans ces éléments, une entreprise victime d’une cyberattaque risque non seulement les dégâts opérationnels, mais aussi une sanction pour défaut de mesures de sécurité appropriées.
Concrètement, journaliser signifie enregistrer les connexions, les tentatives d’accès échouées, les modifications de droits et les transferts de fichiers volumineux. Ces logs doivent être horodatés, conservés sur une durée cohérente avec la réglementation, et stockés sur un espace séparé du système surveillé.
Mettre en place une journalisation exploitable
Un journal de connexion qui génère des milliers de lignes sans qu’on sache les lire n’a aucune utilité. On définit d’abord les événements à capturer : authentifications, escalades de privilèges, accès aux données personnelles. Puis on configure des alertes sur les comportements anormaux (connexion depuis un pays inhabituel, accès à 3 h du matin sur un poste normalement utilisé en journée).
Le dimensionnement du stockage et la durée de rétention dépendent du secteur et du volume de données traitées. Centraliser les logs sur un serveur dédié ou un service externalisé évite qu’un attaquant efface ses traces en compromettant la machine cible.
Sauvegardes testées et plan de réponse à incident
La majorité des entreprises déclarent faire des sauvegardes. Très peu testent régulièrement la restauration. La différence entre les deux se mesure le jour où un rançongiciel chiffre le serveur principal.
La CNIL recommande explicitement des sauvegardes stockées hors du réseau de l’entreprise, avec des tests de restauration périodiques. Un disque externe branché en permanence sur le serveur n’est pas une sauvegarde exploitable : il sera chiffré en même temps que le reste.
Organiser la réponse avant la crise
Un plan de réponse à incident ne se rédige pas pendant l’attaque. On prépare en amont une fiche réflexe qui couvre quatre questions.
- Qui prend la décision d’isoler un serveur ou de couper un accès VPN ? La chaîne de décision doit être claire, y compris en l’absence du dirigeant.
- Comment on communique si la messagerie est compromise ? Un canal de secours (messagerie chiffrée sur téléphone personnel, numéro de téléphone d’astreinte) doit être défini.
- Quels prestataires appeler et dans quel ordre ? Hébergeur, éditeur du logiciel métier, assureur cyber, autorités (ANSSI pour les opérateurs concernés, CNIL si des données personnelles sont exposées).
- Où se trouvent les sauvegardes et qui possède les identifiants pour y accéder ? Ce point paraît trivial jusqu’au moment où la seule personne informée est en congé.
Gestion des accès distants et segmentation réseau
Le télétravail a multiplié les points d’entrée vers les systèmes d’information. Un VPN mal configuré ou un accès RDP ouvert sur Internet représente une porte d’entrée directe pour un attaquant ayant récupéré des identifiants par phishing.
Chaque accès distant doit passer par un tunnel chiffré avec une authentification multifacteur active. Les accès génériques partagés entre plusieurs personnes (un seul compte « admin » pour toute l’équipe) sont à proscrire : ils rendent la journalisation inutile puisqu’on ne peut plus attribuer une action à un individu.
Segmenter pour limiter la propagation
Sur un réseau à plat, un poste compromis donne accès à l’ensemble des ressources. Segmenter le réseau en zones (postes de travail, serveurs métier, sauvegardes, objets connectés) limite la propagation latérale d’une attaque. On applique des règles de pare-feu entre chaque segment pour n’autoriser que les flux strictement nécessaires.
Cette approche rejoint les principes du modèle zero trust : aucun appareil ni utilisateur n’est considéré comme fiable par défaut, même à l’intérieur du réseau. La confiance se vérifie à chaque requête, pas une fois pour toutes au moment de la connexion VPN.
Le cadre réglementaire européen s’est durci récemment sur les incidents et la résilience des produits numériques. Attendre la prochaine attaque pour structurer sa sécurité numérique revient à souscrire une assurance après l’incendie. Les mesures décrites ici ne demandent pas un budget considérable, mais elles exigent du temps, de la rigueur et surtout des tests réguliers pour vérifier qu’elles fonctionnent le jour où on en a besoin.
