La sécurité d'une PME ne se joue pas sur l'outillage. Elle se joue sur cinq gestes qui coûtent presque rien, et qui sont faits dans moins d'une entreprise sur trois parmi celles que nous auditons.

La question qui hiérarchise tout

Avant d'examiner quoi que ce soit de technique, une seule question : quelle information, si elle devenait connue d'un tiers ou disparaissait, coûterait vraiment quelque chose à cette entreprise ?

La réponse est presque toujours plus étroite que prévu, et elle déplace le chantier. Ce n'est souvent ni le site ni la base clients : c'est un fichier de prospects, un calendrier d'acquisition, un dossier en cours, trois cents lignes qui vivent dans une boîte mail.

Protéger tout au même niveau coûte cher et protège mal. Identifier les vingt fichiers qui comptent, et les traiter sérieusement, coûte peu et protège beaucoup.

Les cinq gestes, par ordre de rendement

Aucun ne demande d'achat significatif, et les trois premiers se font en une semaine.

Tester une restauration

Pas vérifier que la sauvegarde tourne, restaurer réellement, sur une machine vierge, sans l'aide de celui qui a installé le système. C'est le geste qui révèle le plus, et il révèle rarement un problème de sauvegarde.

Écrire qui a accès à quoi

Une page, une colonne par système, une ligne par personne, une date. Elle sert le jour d'un départ, le jour d'un incident, et le jour où un client demande comment vous gérez vos accès.

Séparer les comptes qui peuvent effacer

Celui qui écrit les sauvegardes ne doit pas pouvoir les supprimer. Un intrus qui obtient un compte capable des deux efface tout, y compris ce qui devait vous sauver.

Activer la double vérification là où c'est possible

Messagerie, banque, hébergement, nom de domaine. Ces quatre là d'abord, parce qu'ils commandent tous les autres.

Fermer ce qui est ouvert par erreur

Répertoires accessibles publiquement, fichiers de sauvegarde oubliés à la racine, pages d'administration protégées seulement par l'obscurité de leur adresse. Nous en trouvons régulièrement.

Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une intention. Et une liste d'accès jamais écrite se reconstitue dans l'urgence, mal, le jour où elle compte.

Ce qu'il ne sert à rien d'acheter en premier

Nous le disons parce que ces achats se font souvent et rassurent à tort.

Un outil de détection avancé dans une entreprise dont les sauvegardes n'ont jamais été restaurées. Il signalera peut être l'attaque, et vous ne pourrez pas revenir en arrière.

Une assurance avant d'avoir écrit qui accède à quoi. La plupart des questionnaires la demandent, et l'absence de réponse coûte au moment de la déclaration.

Une formation générale du personnel avant d'avoir fermé ce qui est ouvert. Elle est utile et elle vient après.

Ce que nous ne promettons pas

Aucun dispositif ne rend invulnérable, et quiconque l'affirme vend autre chose que de la sécurité.

Ce sur quoi nous nous engageons est vérifiable : un audit rendu sous 48 heures et offert, qui peut conclure que tout tient, une intervention sous 48 heures, des données hébergées en Suisse, et un système que vous possédez.

Et un audit qui trouve toujours un problème est un argumentaire de vente. Le nôtre peut rendre « nous avons vérifié quatorze points et les quatorze tiennent », et nous l'annonçons avant de commencer.

Coût et délai

L'audit est offert et rendu sous 48 heures. Il liste ce qui est exposé, ce qui se corrige sans rien dépenser, et ce qui demande un travail.

La mise en œuvre des cinq gestes, quand elle est confiée : de 3 000 à 9 000 francs selon le nombre de systèmes et de personnes. Deux à six semaines. Une part notable de ce qui est trouvé ne coûte rien à corriger.

Déjà restauré ?

Audit gratuit sous 48 heures, et il peut conclure que tout tient

Demander un audit gratuit

Questions fréquentes

Q.01Par quoi commencer avec un petit budget ?
Par tester une restauration réelle sur une machine vierge, et par écrire qui a accès à quoi sur une page. Ces deux gestes ne coûtent presque rien et révèlent plus que n'importe quel achat.
Q.02Notre sauvegarde fonctionne, cela suffit-il ?
Tant qu'aucune restauration n'a été faite, non. Le test révèle rarement un problème de sauvegarde : il révèle un mot de passe que personne n'a noté, un fichier hors périmètre, ou une durée trois fois plus longue que prévu.
Q.03Faut-il acheter un outil de détection ?
Pas en premier. Dans une entreprise dont les sauvegardes n'ont jamais été restaurées, il signalera peut-être l'attaque sans que vous puissiez revenir en arrière.
Q.04Où activer la double vérification en priorité ?
Messagerie, banque, hébergement et nom de domaine. Ces quatre commandent tous les autres accès, et une perte de contrôle sur le nom de domaine est la plus difficile à rattraper.
Q.05Un audit peut-il ne rien trouver ?
Oui, et c'est un résultat. Nous l'annonçons avant de commencer, parce qu'un diagnostic qui trouve toujours un problème est un argumentaire de vente, pas une mesure.

À lire ensuite