La réponse courte
Une PME se protège le mieux avec cinq couches : des comptes solides (MFA et gestionnaire de mots de passe), un domaine e-mail sécurisé (SPF, DKIM et DMARC), des accès externes contrôlés (VPN et fournisseurs), des collaborateurs qui reconnaissent le phishing, et un plan testé pour les incidents et la reprise. Aucune couche n’est parfaite, mais ensemble elles rendent une attaque coûteuse et une erreur réparable.
Ce guide regroupe nos articles sur la MFA, les gestionnaires de mots de passe, le phishing, les domaines e-mail, le DNS, les accès externes, le VPN, les incidents et la reprise après sinistre.
Pourquoi les comptes sont-ils la première cible ?
La plupart des intrusions commencent par un mot de passe volé ou deviné. Qui prend votre boîte mail peut falsifier des factures, réinitialiser des mots de passe et tromper vos clients en votre nom.
Quelle MFA choisir ?
Protégez d’abord les comptes critiques : administrateurs, e-mail, comptabilité, banque, registrar et stockage cloud.Choisissez une MFA résistante au phishing : passkeys ou clés matérielles (FIDO2) plutôt que des codes SMS.Une application d’authentification avec correspondance de nombre est une bonne étape pour les autres utilisateurs.Encadrez l’enregistrement et la récupération en cas de perte du téléphone.Contrôlez chaque mois quels comptes fonctionnent encore sans MFA.Comment introduire un gestionnaire de mots de passe ?
Choisissez sur la gestion, pas seulement sur le prix : coffres partagés, droits d’administration, journaux d’audit.Chaque identifiant partagé a un propriétaire.Partagez via le coffre, jamais par e-mail ou chat.Migrez d’abord les comptes critiques et remplacez les mots de passe réutilisés.Prévoyez un accès d’urgence si l’administrateur principal est injoignable.Comment reconnaître le phishing ?
Urgence ou pression : « votre compte sera bloqué aujourd’hui ».Un expéditeur ou un lien presque correct : une lettre en trop, un domaine inconnu.Des pièces jointes ou pages de connexion inattendues.Des coordonnées bancaires modifiées : rappelez toujours via un numéro connu.Une demande de discrétion ou de contourner la procédure.Vous avez cliqué ? Agissez tout de suite.
Changez le mot de passe du compte concerné et de tous ceux qui l’utilisent.Activez la MFA.Prévenez votre banque si vous avez saisi des données de paiement.Informez votre partenaire IT pour vérifier les règles de transfert et connexions suspectes.Comment sécuriser votre domaine e-mail et le DNS ?
SPF publie les serveurs autorisés à envoyer pour votre domaine.DKIM signe chaque message pour prouver qu’il n’a pas été modifié.DMARC définit quoi faire en cas d’échec et vous envoie des rapports.Déployez DMARC par étapes : surveillance (p=none), inventaire de tous les services qui envoient du courrier, puis quarantine et reject. Donnez une politique stricte aux domaines qui n’envoient pas d’e-mail.
Le compte registrar est au nom de l’entreprise, avec MFA.Verrouillage et renouvellement automatique activés.Modifications documentées : qui a changé quel enregistrement et pourquoi.Un résolveur DNS filtrant bloque les domaines malveillants connus.Une alerte en cas de changement inattendu.Comment sécuriser les accès depuis l’extérieur ?
MFA sur le VPN et uniquement des appareils gérés et à jour.Accès limité à ce qui est nécessaire, pas à tout le réseau.Comptes personnels pour chaque technicien externe, jamais de login partagé.Accès temporaire activé pour une intervention, puis désactivé.Journalisation de qui fait quoi et quand.Fin d’accès démontrable à la fin d’un contrat ou d’un emploi.Que faire pendant la première heure d’un incident ?
Isolez les appareils touchés du réseau, sans les éteindre brutalement.Appelez votre partenaire IT et, en cas de rançongiciel ou de fuite, votre assureur.Changez les mots de passe administrateur et e-mail depuis un appareil sain.Notez tout : heures, messages, captures d’écran.Communiquez de manière maîtrisée. En cas de fuite de données personnelles, vous avez 72 heures pour prévenir l’Autorité de protection des données.Gardez l’activité en marche avec des procédures de secours.Pourquoi une sauvegarde n’est-elle pas un plan de reprise ?
Une sauvegarde réussie n’est pas encore une restauration réussie. Un plan de reprise répond à deux questions :
Combien de données récentes pouvons-nous perdre au maximum ?Combien de temps un système peut-il être indisponible ?Fixez l’ordre de restauration, attribuez les rôles et testez au moins une fois par an une vraie restauration. Lisez aussi notre stratégie de sauvegarde 3-2-1 et prévenir les rançongiciels.
Checklist : sécurité informatique
MFA sur tous les comptes e-mail, administrateur et financiersGestionnaire de mots de passe avec accès d’urgenceSPF, DKIM et DMARC configurés et surveillésDomaine verrouillé avec renouvellement automatiqueAccès VPN et fournisseurs personnels et temporairesSensibilisation annuelle au phishingFiche incident avec numéros de téléphone sur papierTest de restauration annuel documentéOù en est votre PME ? Consultez notre checklist cybersécurité ou demandez une démo gratuite.