DSI : comment prioriser les actions de cybersécurité de votre PME ?

Cybersécurité : les premières actions à mener pour protéger votre entreprise

Certaines actions sont très efficaces pour renforcer la cybersécurité de votre entreprise, et elles ne coûtent presque rien. C’est par là qu’il faut commencer.

Identifier les principaux risques cyber

Avant de mettre en place des mesures de protection, il est important d’identifier au préalable les principaux risques auxquels votre SI est exposé. Cette étude vous permettra de définir plus efficacement les mesures de sécurité à prioriser.

Limiter le risque d’erreur humaine

L’erreur humaine est à l’origine de 95% des failles de sécurité⁽²⁾. Ces erreurs sont dues à un manque de sensibilisation des collaborateurs aux bonnes pratiques en matière d’hygiène numérique. Informer les collaborateurs sur les différentes formes de cybermenaces ainsi que sur les réflexes à avoir au quotidien permet de réduire drastiquement les risques. Il convient de présenter aux salariés des lignes directrices claires et de formaliser une liste de bonnes pratiques à adopter.

Superviser la sécurité des terminaux de votre PME

La cybersécurité de votre entreprise passe par une bonne gestion de votre parc informatique. À ce titre, il convient de superviser l’ensemble de vos équipements matériels (PCs, smartphones, tablettes) et des logiciels installés sur ces terminaux. La suppression des données à distance en cas de vol d’un appareil, l’automatisation des mises à jour applicatives, ou encore le filtrage des accès Wi-Fi sont autant de petites actions qui renforcent la cybersécurité de votre PME. Par ailleurs, il est crucial de lutter “shadow IT” (c’est-à-dire l’utilisation de logiciels qui n’ont pas reçu l’approbation de la DSI) est indispensable : par exemple, vous devez vous assurer que les collaborateurs n’utilisent pas d’applis Cloud personnelles et de clés USB privées pour sauvegarder des fichiers de l’entreprise.

Renforcer le protocole d’accès à vos données

Avec le développement du télétravail depuis 2020, certaines mesures doivent être renforcées, comme la protection de l’accès à vos données. Il est indispensable que toute personne souhaitant accéder aux données de votre entreprise valide son identité par un processus de double authentification, en recevant par exemple un code secret sur son smartphone. Ainsi, un hacker étant parvenu à subtiliser le mot de passe d’un salarié ne sera pas en mesure d’accéder à vos données.

Une autre mesure importante consiste à cloisonner vos données grâce à un système de gestion des droits. De ce fait, seul un nombre restreint d’utilisateurs pourra accéder aux données les plus sensibles de votre PME, ce qui limite considérablement les risques.

Appliquer les mises à jour et les correctifs de sécurité

Les terminaux de l’entreprise -qu’il s’agisse de la flotte mobile ou des ordinateurs- constituent des points d’entrée pour les cyberattaques. C’est pourquoi, tous doivent être opérationnels et actualisés en permanence. En effet, les cybercriminels exploitent des failles matérielles et logicielles des systèmes d’exploitation et des applications pour infecter le SI. Le rôle de la DSI est de veiller à ce que ces points d’entrées soient sécurisés mettant à jour les pares-feux et les antivirus, ainsi qu’en appliquant les correctifs de sécurité. Ces “patchs” sont à même de protéger les entreprises contre plus de 80% des cyberattaques. Conçues pour maintenir les équipements opérationnels avant la publication de nouvelles versions des logiciels et OS, leurs mises à jour peuvent être automatisées.

Mesurer les performances de sécurité

Identifier les contrôles qui ont besoin d’être améliorés

Les risques de piratage doivent être qualifiés et mesurés afin de mieux les prévenir. C’est pourquoi vous pouvez définir les contrôles de sécurité à appliquer en priorité ainsi que les matériels et logiciels concernés. Idéal ement, l’ensemble du SI (applis et services, appareils mobiles, terminaux, serveurs, ordinateurs…) devrait pouvoir bénéficier d’un audit périodique. Aussi, mettre en place une solution de UEM (Unified Endpoint Management) permet d’avoir la visibilité et le contrôle sur les équipements et les logiciels installés.

Ajuster les dépenses de cybersécurité

Lorsque le responsable informatique a obtenu le feu vert à la mise en place d’un plan de cybersécurité, il doit gérer le budget qui lui est alloué et le consacrer en priorité à maintenir à jour la ou les protections essentielles. Les opérateurs télécoms, également intégrateurs de sécurité, disposent de solutions de sécurité pour les PME. Évolutives et fonctionnant par abonnement, elles s’adaptent à l’évolution du réseau de l’entreprise et assurent sa protection H24.

Quels standards pour la gestion du risque cyber ?

Les sociétés proposant leur expertise en matière de cybersécurité se comptent par dizaines. Or, toutes ne disposent pas des dernières normes en vigueur. Le dirigeant ou DSI de PME doit pouvoir s’assurer que le partenaire auprès duquel il s’engage est à même d’assurer la sécurité des informations sensibles. Il peut se reposer sur les dernières normes en vigueur et choisir un partenaire certifié :

• ISO/IEC 27001 : cette norme spécifie les exigences relatives aux systèmes de management de la sécurité des informations
• CSF NIST : le National Institute of Standards and Technology (NIST) est une agence du département du Commerce américain qui promeut et maintient des normes de mesure et des conseils pour aider les organisations à gérer et évaluer les risques cyber

Les opérateurs télécoms, également intégrateurs de sécurité, se doivent d’être certifiés. C’est le cas de SFR Business, qui renouvelle chaque année sa certification ISO 27001.