Fondations techniques
Les fondations de sécurité TI que toute PME devrait avoir
Six mesures qui écartent l’essentiel des scénarios réalistes, et pourquoi la plupart des organisations en possèdent déjà une partie sans le savoir.
L’essentiel
- Six mesures couvrent l’essentiel des scénarios réalistes auxquels une PME est exposée.
- Elles se traitent dans un ordre : les accès d’abord, parce qu’un défaut à ce niveau annule le reste.
- Une part est souvent déjà incluse dans les licences en cours, sans avoir été activée.
- Aucune ne nécessite une équipe interne ; toutes nécessitent que quelqu’un en soit responsable.
La liste des mesures possibles est longue, celle des mesures utiles est courte
On vous présente des propositions qui alignent trente contrôles et un budget assorti, sans dire lesquels comptent d’abord. Les scénarios qui touchent réellement les PME, eux, sont peu nombreux et se répètent : un accès détourné, une pièce jointe ouverte, une sauvegarde inutilisable, un composant non mis à jour.
Cette économie de moyens n’est pas une simplification commerciale. C’est ce que recommandent les autorités publiques elles-mêmes, qui publient à destination des petites organisations des listes de contrôles de base délibérément courtes.
L’erreur symétrique existe aussi : déployer trente mesures sans avoir traité les six premières produit une posture sophistiquée et fragile, beaucoup d’outillage et une porte d’entrée toujours ouverte. L’ordre compte donc autant que la liste. Nous commençons par les accès, parce qu’un défaut à ce niveau rend inopérant tout ce qui a été fait ailleurs.
Les six fondations, dans le détail
Elles se recoupent largement avec ce qu’exigent aujourd’hui les assureurs et les donneurs d’ordre, si bien que les traiter sert plusieurs fins à la fois. Aucune ne suppose une équipe interne ; chacune suppose en revanche que quelqu’un soit chargé de la vérifier.
- Authentification à plusieurs facteurs. Messagerie, accès distants, comptes d’administration. C’est la mesure au meilleur rapport entre effort et risque écarté.
- Sauvegardes 3-2-1, testées. Trois copies, deux supports, une hors site, et une restauration réellement effectuée à date connue.
- Mises à jour et correctifs. Un processus, même simple, couvrant postes, serveurs et équipements réseau. Son absence se voit : ce sont toujours les mêmes machines qui sont oubliées.
- Moindre privilège. Des comptes d’administration séparés des comptes courants, et une revue de qui dispose de quoi. Les droits s’accumulent silencieusement.
- Cloisonnement des accès distants. Limiter ce qu’un accès distant permet d’atteindre, plutôt que d’ouvrir tout le réseau à quiconque se connecte.
- Protection de la messagerie. Authentification du domaine, filtrage, et surveillance des règles de redirection automatique.
Une part de ces fondations est déjà payée, jamais activée
Ces fonctions sont fréquemment incluses dans des licences déjà souscrites, les suites bureautiques d’entreprise notamment, sans avoir jamais été activées. Le constat change la nature du travail : il s’agit de configurer et de documenter, pas d’acquérir.
La situation n’a rien d’anormal. Ces fonctions sont rarement actives par défaut, leur activation demande des décisions qui engagent les utilisateurs, et personne n’a le temps d’inventorier ce qu’une licence contient.
Elle a une conséquence pratique : avant toute recommandation d’achat, nous vérifions ce que couvre l’existant. Comme nous ne revendons aucune licence, conclure « vous avez déjà l’outil » ne nous coûte rien. Lorsqu’un achat reste nécessaire, vous le faites auprès de l’éditeur ou de votre revendeur habituel.
Ce que nous observons sur le terrain
Ce que nous voyons le plus souvent
Dans les organisations que nous reprenons, les fondations sont rarement absentes : elles sont partielles. L’authentification renforcée couvre la messagerie mais pas l’accès distant à l’application métier. Les sauvegardes couvrent les serveurs mais pas les données hébergées chez un tiers. Ces couvertures partielles sont plus trompeuses qu’une absence franche, parce qu’elles produisent un sentiment de protection.
Le second constat concerne la responsabilité. Ces mesures ne tiennent que si quelqu’un est chargé de les vérifier périodiquement. Sans cela elles se dégradent en quelques mois : un poste ajouté hors processus, un compte de départ non fermé, une sauvegarde qui échoue en silence. Tendances observées dans nos mandats, pas statistique.
Questions fréquentes
L’authentification à plusieurs facteurs va-t-elle gêner nos employés ?
Moins qu’on ne l’anticipe, à condition de choisir la bonne méthode et de ne pas la demander à chaque action. Ce qui crée le rejet n’est pas la mesure mais son déploiement sans explication. Les exceptions, elles, sont presque toujours demandées par les accès les plus sensibles, direction et finance : une exception peut se justifier, mais elle doit être écrite, limitée dans le temps et revue.
Nos sauvegardes actuelles suffisent-elles ?
La seule façon de le savoir est de restaurer. Une sauvegarde qui s’exécute sans erreur n’est pas une sauvegarde vérifiée : il faut avoir récupéré un fichier, une base, un serveur entier, et mesuré le temps que cela prend. Beaucoup d’organisations découvrent à cette occasion que la restauration est possible mais prendrait plusieurs jours.
Faut-il changer nos outils actuels ?
Pas nécessairement, et nous commençons toujours par vérifier ce que l’existant couvre. Souvent, les fonctions nécessaires sont présentes dans les licences en cours mais désactivées. Nous ne recommandons un changement que lorsque l’écart est réel et documenté, et comme nous ne revendons aucune licence, cette recommandation ne nous rapporte rien.
Peut-on tout faire d’un coup ?
C’est possible mais rarement souhaitable. Déployer six mesures en même temps multiplie les points de friction et rend impossible d’identifier ce qui pose problème. Nous procédons par étapes, en commençant par les accès, avec une vérification à chaque palier. Le rythme s’adapte à votre capacité d’absorption.
Qui doit s’en occuper une fois que c’est en place ?
Quelqu’un de nommé, en interne ou chez un prestataire, avec un point de contrôle périodique. La charge n’est pas lourde, mais elle ne peut pas être implicite : sans responsable désigné, ces mesures se dégradent silencieusement. C’est l’une des raisons d’être d’un accompagnement continu.
Savoir lesquelles manquent réellement chez vous
Un premier échange permet d’établir lesquelles de ces six fondations sont en place, lesquelles sont partielles, et dans quel ordre traiter le reste. Sans engagement de votre part.
Sources
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Centre canadien pour la cybersécurité : sauvegarder et récupérer vos données · recommandations sur la règle 3-2-1
- Commission d’accès à l’information du Québec · exigence de mesures proportionnées à la sensibilité des renseignements
Pour aller plus loin
Prêt pour l’assurance cyber
Les mêmes mesures, vues sous l’angle de ce que votre assureur exige.
Le diagnostic
Établir lesquelles manquent chez vous, avant d’agir.
SIRIS
L’accompagnement qui maintient ces fondations dans la durée.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.