Les essentiels de la sécurité informatique

Donnez à chaque personne des mots de passe uniques et un gestionnaire de mots de passe

L'habitude la plus préjudiciable dans un petit bureau est le partage d'un mot de passe entre les e-mails, la comptabilité et les opérations bancaires. En cas de fuite d’un site, les attaquants tentent d’utiliser le même mot de passe partout en quelques heures. La solution n'est pas une astuce de mémoire : il s'agit d'un gestionnaire de mots de passe sur chaque bureau et téléphone, de sorte que chaque compte reçoit un mot de passe long et unique dont personne ne doit se souvenir.

Traitez les comptes dans l'ordre qui compte : le courrier électronique d'abord, puis les opérations bancaires, le logiciel de comptabilité et les éventuels panneaux d'administration. Ne stockez jamais les mots de passe du bureau dans une feuille de calcul partagée ou un bloc-notes.

Activez MFA sur chaque compte qui le propose

L'authentification multifacteur signifie qu'un mot de passe volé ne suffit plus. Un attaquant dans un autre pays qui connaît votre mot de passe ne peut toujours pas entrer sans le code de votre téléphone. Microsoft et Google signalent tous deux depuis des années que MFA bloque l'écrasante majorité des attaques automatisées de piratage de compte.

Soyez honnête avec le personnel concernant le coût : MFA ajoute environ dix secondes à la connexion. C'est la sécurité la moins chère que le bureau puisse jamais acheter.

Installer les mises à jour selon un planning, pas sur un coup de tête

La plupart des attaques de ransomwares et de vers se propagent via des failles corrigées des semaines plus tôt. Les bureaux touchés sont ceux dans lesquels Windows Update affiche un avertissement pendant des mois. Définissez plutôt une discipline simple : les mises à jour s'installent automatiquement, les machines redémarrent au moins une fois par semaine et une personne nommée vérifie l'état des mises à jour mensuellement.

La même règle couvre le routeur, le NAS, les navigateurs et le logiciel de comptabilité, pas seulement Windows.

Activez la protection que Windows inclut déjà

Le pare-feu, l'antivirus et la base de référence du point de terminaison sont déjà dans le bâtiment : ils doivent seulement être activés et sains. Ouvrez la sécurité Windows et vérifiez chaque section : la protection contre les virus et les menaces (Microsoft Defender) doit indiquer "Aucune action requise", le pare-feu et la protection réseau doivent être activés pour tous les profils et BitLocker doit être activé sur les éditions prises en charge afin qu'un ordinateur portable volé ne remette pas son disque.

Les outils de point de terminaison payants ajoutent une gestion centrale, des rapports et des couches supplémentaires, qui gagnent leur place à mesure que le bureau se développe ou lorsqu'un contrat client l'exige. Ils viennent après ces bases, pas avant.

Conservez les sauvegardes et prouvez-les avec un test de restauration

Une sauvegarde que vous n'avez jamais restaurée est un espoir, pas une sauvegarde. Les disques tombent en panne silencieusement, les tâches de sauvegarde s'arrêtent et les ransomwares recherchent délibérément les copies de sauvegarde. Conservez au moins une copie hors ligne ou hors site, là où une infection réseau ne peut pas l'atteindre.

Prouvez ensuite que toute la chaîne fonctionne : une fois par trimestre, restaurez quelques fichiers réels à partir de la sauvegarde et ouvrez-les. Le test de restauration est le contrôle : si vous prenez une idée de l'ensemble de ce guide, prenez celle-là.

Donnez aux gens uniquement l'accès dont leur travail a besoin

Le moindre privilège semble technique ; c'est vraiment juste un ménage bien rangé. Le PC de réception n'a pas besoin du mot de passe administrateur du serveur. Le travail quotidien doit être effectué à partir de comptes standard, les droits d'administrateur étant conservés dans un compte distinct qui n'est utilisé que lors de l'installation ou de la modification de quelque chose.

Quand quelqu'un part, désactivez ses comptes le jour même : courrier électronique, connexion au PC, comptabilité, tout. Un membre du personnel qui a quitté son poste en mars ne devrait plus disposer d'un identifiant fonctionnel en octobre, et une révocation qui attend un moment opportun attend généralement une éternité.

Dépensez dans le bon ordre – Couches gratuites en premier

Notation honnête : la plupart de cette liste ne coûte rien. Windows Defender, le pare-feu Windows, les mises à jour automatiques, BitLocker sur les éditions prises en charge et MFA sur vos comptes existants sont déjà dans le bâtiment. La première vraie dépense est généralement un abonnement à un gestionnaire de mots de passe pour l’équipe et une copie de sauvegarde hors site ou hors ligne – des montants modestes. La protection payante des points de terminaison n'est fournie qu'une fois les principes de base conservés ou lorsqu'un contrat client l'exige.