Protégez votre parc informatique avec le matériel adéquat

En 2023, plus de 60 % des cyberattaques en France ont visé des TPE et PME, selon l'ANSSI. La plupart de ces entreprises pensaient que leur taille les protégeait, que les hackers s'intéressaient aux grands groupes. C'est l'un des malentendus les plus coûteux de la sécurité informatique : les petites entreprises sont justement des cibles privilégiées parce qu'elles ont des données de valeur (données clients, accès fournisseurs, secrets industriels) et des défenses souvent insuffisantes. La protection d'un parc informatique en entreprise n'est plus une option réservée aux grandes organisations : c'est un impératif de continuité d'activité pour toute structure qui dépend de ses systèmes informatiques, c'est-à-dire presque toutes.

Une approche sérieuse de la protection du parc informatique combine trois dimensions indissociables : la sécurité physique des équipements, la sécurité logicielle des systèmes et des données, et l'organisation humaine qui conditionne l'efficacité des deux premières. Négliger l'une de ces dimensions crée des vulnérabilités que les autres ne peuvent pas compenser.

La sécurité physique : le socle oublié

On parle beaucoup de cybersécurité, mais la sécurité physique du matériel informatique est souvent reléguée au second plan alors qu'elle conditionne tout le reste. Un serveur non sécurisé physiquement peut être volé, un ordinateur portable laissé sans surveillance peut être subtilisé avec toutes les données qu'il contient, une baie réseau accessible au premier venu est une invitation aux manipulations non autorisées.

La protection physique commence par le contrôle d'accès aux locaux. La salle serveur, le local réseau ou le coffre où sont stockés les équipements sensibles ne doit pas être accessible à tout le monde. Un contrôle d'accès par badge ou par code, avec un journal des entrées et sorties, est le minimum requis. Pour les entreprises qui hébergent leurs propres serveurs, une armoire réseau fermée à clé dans une pièce sécurisée est indispensable.

Les onduleurs sont l'un des investissements physiques les plus importants pour la continuité des systèmes informatiques. En cas de coupure de courant, de surtension ou de microcoupure (beaucoup plus fréquentes qu'on ne le pense), un parc informatique non protégé peut subir des corruptions de données, des pannes matérielles prématurées et des pertes de travail en cours. Les onduleurs de type « on-line » ou « double conversion » offrent la protection la plus complète car ils filtrent en permanence l'alimentation électrique. Pour un réseau de quelques postes de travail et un NAS, un onduleur interactif (line-interactive) est souvent suffisant et bien moins coûteux.

La sécurisation des postes mobiles mérite une attention particulière. Les ordinateurs portables sont les équipements les plus fréquemment volés, et un vol de laptop peut être beaucoup plus dommageable pour l'entreprise qu'une panne matérielle. Les câbles de sécurité (type Kensington) sont une protection basique mais efficace contre le vol opportuniste dans les espaces de coworking ou lors des déplacements. Mais la vraie protection d'un portable volé, c'est le chiffrement intégral du disque dur : si le disque est chiffré, le voleur ne peut pas accéder aux données même s'il retire le disque de l'ordinateur.

La sécurité logicielle : au-delà de l'antivirus classique

L'antivirus traditionnel qui scanne les fichiers à la recherche de signatures connues est devenu insuffisant face aux menaces actuelles. Les ransomwares, les attaques par phishing et les malwares sans fichier contournent facilement ces protections de première génération. Les entreprises sérieuses en matière de sécurité se tournent vers des solutions EDR (Endpoint Detection and Response) qui analysent en temps réel le comportement des processus sur chaque poste de travail et détectent les activités suspectes même quand aucune signature connue n'est disponible.

Les solutions EDR étaient jusqu'à récemment réservées aux grandes entreprises en raison de leur coût et de leur complexité de déploiement. Des acteurs comme SentinelOne, CrowdStrike ou Microsoft Defender for Endpoint (inclus dans les licences Microsoft 365 Business Premium) ont rendu ces technologies accessibles aux PME à des tarifs autour de 5 à 15 euros par poste et par mois. C'est un investissement qui se justifie dès lors que l'entreprise gère des données sensibles ou qu'une indisponibilité de ses systèmes aurait un impact business significatif.

L'authentification multi-facteurs (MFA) est l'une des mesures les plus efficaces pour se protéger contre les compromissions de comptes. Selon Microsoft, le MFA bloque 99 % des attaques automatisées sur les comptes. Pourtant, des études régulières montrent que moins de 30 % des PME l'ont déployé sur l'ensemble de leurs accès. Activer le MFA sur les messageries, les accès à distance (VPN), les interfaces d'administration et les outils cloud est une mesure dont le coût est nul ou quasi nul et dont l'efficacité est démontrable.

Les sauvegardes : la seule vraie assurance contre le ransomware

Un ransomware chiffre les données de l'entreprise et demande une rançon pour les déchiffrer. La seule protection réelle contre ce scénario est d'avoir des sauvegardes récentes, complètes et inaccessibles depuis le réseau principal. Une sauvegarde stockée sur un NAS connecté en permanence au réseau sera chiffrée en même temps que les données de production lors d'une attaque. Elle ne sert à rien.

La règle des sauvegardes 3-2-1 est devenue le standard de référence : 3 copies des données, sur 2 types de supports différents, dont 1 copie hors site (externalisée dans un datacenter cloud ou stockée physiquement dans un autre lieu). Cette architecture garantit qu'au moins une copie survive à la plupart des scénarios catastrophe : incendie, inondation, ransomware, vol, défaillance matérielle.

La fréquence des sauvegardes doit être calibrée sur la vitesse à laquelle les données de l'entreprise évoluent. Une société qui génère des dizaines de documents par jour ne peut pas se permettre une sauvegarde hebdomadaire : elle perdrait plusieurs jours de travail en cas d'incident. Les sauvegardes incrémentielles (qui ne copient que les fichiers modifiés depuis la dernière sauvegarde) permettent d'atteindre des fréquences de 4 à 24 fois par jour sans saturer la bande passante ou le stockage.

La politique BYOD : un risque sous-estimé

Le BYOD (Bring Your Own Device) est la pratique qui consiste à laisser les salariés utiliser leurs appareils personnels (smartphones, tablettes, laptops) pour accéder aux ressources de l'entreprise. Cette pratique, très répandue dans les petites structures pour des raisons économiques, crée des vecteurs de risque significatifs que beaucoup d'entreprises ignorent.

Un smartphone personnel non sécurisé qui accède à la messagerie professionnelle peut être le point d'entrée d'une attaque si le téléphone est infecté par un malware. La connexion de cet appareil au Wi-Fi de l'entreprise peut permettre à un attaquant de traverser vers le réseau interne. Et en cas de départ du salarié, les données d'entreprise présentes sur son appareil personnel restent souvent inaccessibles pour l'employeur.

La politique BYOD doit être définie clairement et documentée, avec une charte informatique signée par tous les utilisateurs. Au minimum : obligation d'activer le verrouillage par code sur les appareils personnels, interdiction de stocker des données confidentielles localement sur ces appareils, et droit de l'entreprise à effacer à distance les données professionnelles (via un MDM - Mobile Device Management) en cas de perte ou de départ.

Le plan de continuité d'activité : penser l'après

Un Plan de Continuité d'Activité (PCA) ou Plan de Reprise d'Activité (PRA) décrit comment l'entreprise fonctionnerait si ses systèmes informatiques étaient partiellement ou totalement indisponibles. Combien de temps peut-on travailler sans accès au serveur de fichiers ? Quelle est la procédure pour restaurer les données depuis les sauvegardes ? Qui appelle qui en cas d'incident majeur ?

Pour une PME, un PCA n'a pas besoin d'être un document de 200 pages. Un document de 5 à 10 pages qui répond à ces questions basiques, testé une fois par an par une restauration réelle depuis les sauvegardes, suffit à réduire considérablement le temps de reprise en cas d'incident.

La gestion du parc informatique s'inscrit dans une démarche plus large de digitalisation de l'entreprise. Si vous cherchez à structurer cette approche, l'article sur comment digitaliser son entreprise avec succès offre une vue d'ensemble des enjeux. Et pour piloter vos projets de mise à niveau de sécurité, les principes de management de projet s'appliquent directement à la planification de ces chantiers techniques.