La sécurité informatique n’est plus l’affaire exclusive des grandes entreprises ou des spécialistes en blouse blanche. Chaque organisation quelle que soit sa taille est aujourd’hui une cible potentielle. Les cyberattaques se multiplient, se professionnalisent et frappent aussi bien les PME que les administrations publiques. Pourtant, selon l’Agence nationale de la sécurité des systèmes d’information (ANSSI), l’application d’un socle de bonnes pratiques aurait pu éviter la grande majorité des incidents recensés.
Ce guide a été conçu pour vous donner une vision claire et actionnable des fondamentaux. Que vous soyez dirigeant, responsable informatique ou simplement soucieux de protéger votre organisation, vous trouverez ici les concepts essentiels, les recommandations officielles et les réflexes concrets à adopter sans attendre.
Comprendre les enjeux : pourquoi la sécurité informatique est vitale
La sécurité informatique n’est plus une option c’est une nécessité stratégique. Les données de votre entreprise, la continuité de vos services, votre réputation et votre conformité réglementaire en dépendent directement.
Trois piliers fondamentaux structurent l’ensemble de la discipline, souvent désignés par le triptyque CIA :
- Confidentialité : les données ne sont accessibles qu’aux personnes autorisées.
- Intégrité : les données ne peuvent pas être modifiées de façon non autorisée.
- Disponibilité : les systèmes et les données sont accessibles lorsqu’on en a besoin.
Une attaque qui compromet l’un de ces trois piliers est une attaque qui nuit directement à votre activité. Chiffrement des fichiers par un rançongiciel, vol de données clients, mise hors ligne d’un service critique : les conséquences sont réelles, mesurables et souvent durables.
Le référentiel NIST CSF : un cadre stratégique pour structurer votre approche
Avant de passer aux mesures techniques, il est utile de disposer d’un cadre global pour organiser votre démarche. Le NIST Cybersecurity Framework (CSF), développé par l’Institut national des normes et de la technologie américain, est l’un des référentiels les plus adoptés dans le monde. Sa version 2.0 (publiée en 2024) articule la gestion de la cybersécurité autour de six fonctions fondamentales.
Identifier (Identify)
Comprendre les actifs, les données, les systèmes et les risques de votre organisation. Vous ne pouvez pas protéger ce que vous ne connaissez pas.
Protéger (Protect)
Mettre en place les mesures de protection adaptées : contrôle des accès, formation, sécurisation des données, maintenance des systèmes.
Détecter (Detect)
Identifier rapidement les événements anormaux ou les incidents de sécurité grâce à une surveillance continue.
Répondre (Respond)
Agir de manière coordonnée lors d’un incident : contenir l’impact, communiquer avec les parties prenantes, analyser les causes.
Récupérer (Recover)
Restaurer les capacités et les services affectés, et tirer les leçons de chaque incident pour renforcer la résilience.
Ces cinq fonctions (auxquelles la version 2.0 ajoute une fonction Govern dédiée à la gouvernance) forment la colonne vertébrale d’une stratégie de cybersécurité cohérente et efficace.
Les recommandations concrètes de l’ANSSI
L’ANSSI a publié son Guide d’hygiène informatique (version 2.0, septembre 2017), un document de référence qui recense 42 mesures pratiques destinées aux entités publiques comme privées. Ces règles couvrent les dimensions les plus critiques de la sécurité du système d’information.
1. Sensibiliser et former les équipes
La première ligne de défense, c’est l’humain. L’ANSSI recommande des actions de sensibilisation régulières et adaptées pour tous les utilisateurs, abordant notamment :
- Les objectifs et les enjeux de la sécurité numérique
- Les règles d’utilisation des équipements (ne pas connecter d’appareils personnels non autorisés, ne pas réutiliser ses mots de passe, signaler tout événement suspect)
- Les risques liés à l’hameçonnage (phishing), aux pièces jointes malveillantes et aux liens frauduleux
Les équipes techniques, quant à elles, doivent bénéficier de formations spécialisées sur la législation, le durcissement des systèmes, le cloisonnement réseau et la gestion des incidents.
2. Gérer les mots de passe et les accès
C’est l’un des points les plus critiques et les plus négligés. L’ANSSI pose des règles claires :
- Chaque utilisateur dispose d’un compte nominatif. Pas de comptes partagés, pas de connexions génériques non maîtrisées.
- Les administrateurs disposent d’un compte dédié à leurs actions d’administration, distinct de leur compte utilisateur courant (ex. : pmartin pour le quotidien, adm-pmartin pour les tâches d’administration).
- Les mots de passe par défaut sont modifiés immédiatement lors de l’installation de tout équipement ou service.
- Un coffre-fort numérique est mis à disposition pour stocker et gérer les mots de passe de façon sécurisée.
- Les droits d’accès aux ressources sensibles sont revus régulièrement et supprimés dès qu’ils ne sont plus nécessaires.
- Par défaut, un utilisateur ne dispose pas de droits d’administration sur son poste de travail.
3. Mettre en place l’authentification multifacteur (MFA)
Le guide de l’ANSSI sur l’authentification multifacteur et les mots de passe (version 2.0, octobre 2021 corédigé avec la CNIL dans le cadre du RGPD) est sans équivoque : il est recommandé de privilégier l’authentification multifacteur.
L’authentification multifacteur combine plusieurs facteurs appartenant à des catégories différentes :
- Ce que je sais : un mot de passe, un code PIN
- Ce que je possède : une carte à puce, un token physique, un téléphone
- Ce que je suis : une empreinte digitale, une reconnaissance faciale
Concrètement, si un attaquant parvient à voler votre mot de passe, il lui manque encore le second facteur pour accéder au compte. Cette mesure réduit considérablement le risque de compromission, notamment face aux attaques par hameçonnage.
Point d’attention important : l’ANSSI déconseille fortement l’utilisation du SMS comme facteur d’authentification, en raison de ses vulnérabilités intrinsèques (interception SS7, SIM Swapping). Préférez les tokens physiques, les applications d’authentification (TOTP) ou les clés de sécurité matérielles de type FIDO2.
4. Maintenir les systèmes à jour
Les vulnérabilités non corrigées sont l’une des principales portes d’entrée pour les attaquants. L’ANSSI recommande de :
- Appliquer les correctifs de sécurité dans le mois suivant leur publication sur l’ensemble des composants du système d’information.
- S’informer des nouvelles vulnérabilités via des sources officielles comme le CERT-FR.
- Tenir un inventaire des logiciels et systèmes en production, avec leurs dates de fin de support.
- Isoler les composants obsolètes qui ne reçoivent plus de mises à jour, afin qu’ils ne puissent pas servir de point d’entrée.
Un système non patché est une invitation ouverte. C’est aussi simple que cela.
5. Sauvegarder les données critiques
La sauvegarde est votre filet de sécurité ultime. Elle détermine votre capacité à reprendre l’activité après un incident grave qu’il s’agisse d’un rançongiciel, d’une panne matérielle ou d’une erreur humaine.
L’ANSSI définit une politique de sauvegarde rigoureuse incluant :
- L’identification des données vitales à sauvegarder
- Des sauvegardes régulières stockées hors ligne, déconnectées du réseau principal
- Des procédures de test de restauration régulières (au moins une fois par an)
- Des restrictions d’accès strictes aux supports de sauvegarde
Une sauvegarde que vous n’avez jamais testée n’est pas une sauvegarde c’est une espérance.
6. Sécuriser le réseau
La sécurité du réseau repose sur plusieurs principes complémentaires :
- Segmenter le réseau en zones distinctes selon les besoins de sécurité (postes utilisateurs, serveurs métier, administration, etc.)
- Activer et configurer un pare-feu local sur chaque poste de travail
- Utiliser des protocoles sécurisés dès que possible (HTTPS, SSH, IMAPS, SMTPS)
- Sécuriser les connexions Wi-Fi avec un chiffrement robuste (WPA2/AES) et une authentification centralisée ; séparer le Wi-Fi des visiteurs de celui de l’entreprise
- Mettre en place une passerelle d’accès sécurisé à Internet incluant un pare-feu et un serveur mandataire (proxy)
- Chiffrer les échanges entre serveurs de messagerie (TLS) et déployer des mécanismes d’authentification des expéditeurs (SPF, DKIM, DMARC) pour lutter contre le spoofing
7. Gérer le nomadisme et le travail à distance
Le travail à distance a considérablement élargi la surface d’attaque des organisations. Quelques règles fondamentales s’imposent :
- Les postes nomades doivent établir une connexion VPN sécurisée avant toute navigation sur Internet
- Les équipements personnels ne doivent pas être utilisés pour accéder aux ressources professionnelles sans un cadre de sécurité adapté
- Les supports amovibles (clés USB) doivent être utilisés avec la plus grande prudence : ne jamais brancher une clé USB inconnue
8. Superviser, détecter et réagir
Sécuriser, c’est bien. Détecter ce qui se passe, c’est mieux. L’ANSSI recommande de mettre en place une journalisation des événements (connexions, accès aux ressources sensibles, tentatives d’authentification échouées) et d’en analyser régulièrement les traces.
En cas d’incident avéré, un plan de réponse structuré doit permettre de :
- Contenir rapidement la propagation
- Identifier la source et les systèmes compromis
- Communiquer avec les parties prenantes concernées
- Restaurer les services à partir des sauvegardes validées
- Capitaliser sur les leçons apprises pour renforcer les défenses
RGPD et sécurité des données : une obligation légale
La sécurité informatique n’est pas seulement une bonne pratique, c’est une obligation légale pour toute organisation traitant des données personnelles. Le Règlement général sur la protection des données (RGPD), dans ses articles 5 et 32, impose la mise en place de mesures techniques et organisationnelles appropriées pour garantir la sécurité des traitements.
La CNIL précise dans son avant-propos au guide ANSSI sur l’authentification que ce document constitue une référence pour élaborer des mesures d’authentification conformes au RGPD. L’authentification multifacteur, la gestion rigoureuse des mots de passe et la journalisation des accès sont des éléments directement attendus par les autorités de contrôle.
Par où commencer ?
Face à l’étendue du sujet, la tentation est parfois de tout vouloir traiter en même temps et de n’aboutir à rien. L’ANSSI elle-même recommande une approche progressive : commencer par atteindre un niveau standard, puis viser le niveau renforcé sur les mesures les plus critiques.
Voici un ordre de priorité pragmatique pour démarrer :
- Réaliser un inventaire de vos actifs, comptes et accès existants
- Activer la MFA sur tous les accès critiques (messagerie, VPN, outils d’administration)
- Mettre à jour tous les systèmes et logiciels non patchés
- Tester vos sauvegardes et vérifier qu’une restauration complète est possible
- Former vos équipes aux risques du phishing et aux bonnes pratiques de base
- Segmenter votre réseau et revoir les droits d’accès
La cybersécurité : une démarche continue, pas un projet ponctuel
Voilà la réalité qu’il faut accepter dès le départ : la sécurité informatique n’est pas un état que l’on atteint une fois pour toutes. Les menaces évoluent, les systèmes changent, les collaborateurs arrivent et partent. Ce qui était suffisant hier peut être insuffisant demain.
Adopter une posture de sécurité solide, c’est s’engager dans une démarche d’amélioration continue en s’appuyant sur des référentiels éprouvés comme le NIST CSF 2.0 ou les guides de l’ANSSI, en formant régulièrement ses équipes, et en testant périodiquement ses défenses.
La bonne nouvelle ? Les bases sont accessibles à toutes les organisations, quelle que soit leur maturité technique. Il suffit de commencer.
