La sécurité d'une PME ne se joue pas sur l'outillage. Elle se joue sur cinq gestes qui coûtent presque rien, et qui sont faits dans moins d'une entreprise sur trois parmi celles que nous auditons.
La question qui hiérarchise tout
Avant d'examiner quoi que ce soit de technique, une seule question : quelle information, si elle devenait connue d'un tiers ou disparaissait, coûterait vraiment quelque chose à cette entreprise ?
La réponse est presque toujours plus étroite que prévu, et elle déplace le chantier. Ce n'est souvent ni le site ni la base clients : c'est un fichier de prospects, un calendrier d'acquisition, un dossier en cours, trois cents lignes qui vivent dans une boîte mail.
Protéger tout au même niveau coûte cher et protège mal. Identifier les vingt fichiers qui comptent, et les traiter sérieusement, coûte peu et protège beaucoup.
Les cinq gestes, par ordre de rendement
Aucun ne demande d'achat significatif, et les trois premiers se font en une semaine.
Tester une restauration
Pas vérifier que la sauvegarde tourne, restaurer réellement, sur une machine vierge, sans l'aide de celui qui a installé le système. C'est le geste qui révèle le plus, et il révèle rarement un problème de sauvegarde.
Écrire qui a accès à quoi
Une page, une colonne par système, une ligne par personne, une date. Elle sert le jour d'un départ, le jour d'un incident, et le jour où un client demande comment vous gérez vos accès.
Séparer les comptes qui peuvent effacer
Celui qui écrit les sauvegardes ne doit pas pouvoir les supprimer. Un intrus qui obtient un compte capable des deux efface tout, y compris ce qui devait vous sauver.
Activer la double vérification là où c'est possible
Messagerie, banque, hébergement, nom de domaine. Ces quatre là d'abord, parce qu'ils commandent tous les autres.
Fermer ce qui est ouvert par erreur
Répertoires accessibles publiquement, fichiers de sauvegarde oubliés à la racine, pages d'administration protégées seulement par l'obscurité de leur adresse. Nous en trouvons régulièrement.
Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une intention. Et une liste d'accès jamais écrite se reconstitue dans l'urgence, mal, le jour où elle compte.
Ce qu'il ne sert à rien d'acheter en premier
Nous le disons parce que ces achats se font souvent et rassurent à tort.
Un outil de détection avancé dans une entreprise dont les sauvegardes n'ont jamais été restaurées. Il signalera peut être l'attaque, et vous ne pourrez pas revenir en arrière.
Une assurance avant d'avoir écrit qui accède à quoi. La plupart des questionnaires la demandent, et l'absence de réponse coûte au moment de la déclaration.
Une formation générale du personnel avant d'avoir fermé ce qui est ouvert. Elle est utile et elle vient après.
Ce que nous ne promettons pas
Aucun dispositif ne rend invulnérable, et quiconque l'affirme vend autre chose que de la sécurité.
Ce sur quoi nous nous engageons est vérifiable : un audit rendu sous 48 heures et offert, qui peut conclure que tout tient, une intervention sous 48 heures, des données hébergées en Suisse, et un système que vous possédez.
Et un audit qui trouve toujours un problème est un argumentaire de vente. Le nôtre peut rendre « nous avons vérifié quatorze points et les quatorze tiennent », et nous l'annonçons avant de commencer.
Coût et délai
L'audit est offert et rendu sous 48 heures. Il liste ce qui est exposé, ce qui se corrige sans rien dépenser, et ce qui demande un travail.
La mise en œuvre des cinq gestes, quand elle est confiée : de 3 000 à 9 000 francs selon le nombre de systèmes et de personnes. Deux à six semaines. Une part notable de ce qui est trouvé ne coûte rien à corriger.
Déjà restauré ?
Audit gratuit sous 48 heures, et il peut conclure que tout tient
Demander un audit gratuit