Dans une structure de dix personnes, la sécurité informatique repose souvent sur une conviction rassurante. Personne ne s’intéresserait à une entreprise de cette taille. Les statistiques d’incidents disent l’inverse, car les attaques automatisées ne choisissent pas leurs cibles et frappent précisément là où les moyens de défense manquent.

La bonne nouvelle est que l’essentiel du risque se traite avec deux chantiers, la sauvegarde et la gestion des accès. Aucun des deux ne demande un budget conséquent, mais tous deux exigent une décision claire et une vérification régulière.

Trois questions à trancher avant tout achat

Avant de comparer des solutions, il faut savoir ce que l’on protège et contre quoi. Trois réponses écrites suffisent pour orienter toutes les décisions suivantes.

• Quelles données arrêteraient l’activité si elles disparaissaient demain matin
• Combien de temps l’entreprise peut fonctionner sans son système d’information avant que les conséquences deviennent graves
• Quelle perte de données serait acceptable, une journée de travail ou une heure

Les deux dernières questions correspondent à des notions techniques précises, la durée d’interruption admissible et la perte de données admissible. Une entreprise qui accepte de perdre une journée se contentera d’une sauvegarde nocturne. Celle qui ne peut perdre qu’une heure devra prévoir une réplication plus fréquente, et le coût change en conséquence.

Le poste de travail est le premier maillon

La protection commence sur les machines elles-mêmes. Le chiffrement du disque est indispensable dès qu’un ordinateur portable quitte les locaux, car un vol transforme sinon une perte matérielle en fuite de données. Une licence Windows 11 Professionnel apporte à ce titre des fonctions absentes de l’édition familiale, notamment le chiffrement intégral du disque, la gestion par stratégies de groupe et l’accès à distance au poste. Des revendeurs comme it-nerd24 précisent l’édition et le type de licence, ce qui compte lors d’un renouvellement de parc.

La clé de récupération du chiffrement mérite une attention particulière. Elle doit être conservée hors de la machine chiffrée, idéalement dans un coffre de mots de passe ou sur un support papier rangé en lieu sûr. Sans elle, une simple mise à jour du micrologiciel peut rendre les données définitivement inaccessibles.

Ce que recommande l’autorité de contrôle

Sur les sauvegardes, les recommandations officielles sont explicites. La CNIL rappelle parmi les règles essentielles de sécurité des données qu’en cas de rançongiciel, de panne matérielle ou d’incendie, la sauvegarde constitue souvent le seul moyen de récupérer les données. Elle préconise la règle des 3-2-1, soit trois copies sur deux supports différents dont une déconnectée du réseau.

Le dernier élément est celui que la plupart des entreprises négligent. Une sauvegarde accessible en permanence depuis le réseau sera chiffrée en même temps que le reste lors d’une attaque par rançongiciel. Un disque externe débranché après chaque cycle, ou un stockage en ligne dont les versions ne peuvent être effacées, change entièrement la situation.

Choisir le type de sauvegarde

Trois approches coexistent, et leur combinaison donne les meilleurs résultats.

• La sauvegarde complète copie l’ensemble des données à chaque cycle, simple à restaurer mais lourde en volume
• La sauvegarde incrémentale n’enregistre que les modifications depuis la dernière opération, rapide mais avec une chaîne de restauration plus complexe
• La sauvegarde différentielle enregistre les modifications depuis la dernière sauvegarde complète, compromis entre les deux

En pratique, un schéma hebdomadaire complet complété par des incréments quotidiens convient à la majorité des petites structures. Le point de vigilance porte sur la durée de conservation, car une sauvegarde qui ne remonte qu’à sept jours ne protège pas contre une corruption découverte au bout de trois semaines.

Garder les données en interne ou les confier

Le choix entre stockage local et externalisation dépend moins de la taille que des compétences disponibles. Une présentation des avantages de la sauvegarde externalisée rappelle qu’elle permet de déléguer la tâche à des professionnels qui garantissent contractuellement la disponibilité, la confidentialité et l’intégrité des informations. Pour une entreprise sans administrateur système, cet argument pèse lourd.

Deux points doivent alors être vérifiés dans le contrat. La localisation des serveurs, car elle détermine le droit applicable aux données hébergées, et les modalités de récupération en cas de changement de prestataire. Un service dont on ne peut extraire ses propres données facilement crée une dépendance coûteuse.

La gestion des accès

Le second chantier concerne les comptes. La règle de base tient en une phrase, chaque personne dispose de son propre identifiant et n’accède qu’aux données nécessaires à son travail. Les comptes partagés rendent toute traçabilité impossible et survivent aux départs de collaborateurs.

L’authentification à deux facteurs doit être activée partout où elle existe, en priorité sur la messagerie et sur les accès à distance. Ces deux portes d’entrée concentrent la majorité des compromissions. Un gestionnaire de mots de passe partagé au sein de l’équipe complète le dispositif et supprime les mots de passe notés sur des feuilles volantes.

Au-delà des comptes, la robustesse générale du parc entre en jeu. Les pistes pour améliorer la résilience de son parc informatique couvrent la standardisation des postes, le suivi des mises à jour et la préparation des procédures de reprise. Un parc homogène se dépanne beaucoup plus vite qu’un ensemble de machines toutes différentes.

Tester la restauration

Une sauvegarde jamais restaurée n’a aucune valeur démontrée. Deux fois par an, il faut choisir un fichier au hasard dans une archive ancienne et vérifier qu’il s’ouvre correctement, puis mesurer le temps nécessaire pour remettre en service un poste complet à partir de zéro.

Cet exercice révèle presque toujours quelque chose. Un dossier oublié dans la configuration, une licence logicielle introuvable, un mot de passe d’administration que personne ne connaît plus. Le découvrir lors d’un test coûte une demi-journée. Le découvrir en situation réelle coûte l’activité de plusieurs jours.