Sécurité des données en entreprise : par où commencer en PME

La sécurité des données en entreprise commence rarement là où on l'imagine. Le sujet n'est pas d'abord le firewall, l'antivirus ou le dernier outil de cybersécurité à la mode. Le sujet est plus simple : quelles données font tourner l'entreprise, où sont-elles, et qui peut y toucher ?

Dans une PME, la réponse est souvent moins claire qu'elle ne devrait l'être. Les dossiers clients sont dans Microsoft 365, sur un NAS, dans des boîtes mail, sur des postes synchronisés, parfois dans un logiciel métier et parfois dans un export Excel que tout le monde utilise sans trop savoir d'où il vient.

Quand tout va bien, cette dispersion ne se voit pas. Le jour où un compte est compromis, où un salarié part, où un poste est volé ou où un dossier disparaît, elle devient le problème principal.

En bref

• Commencez par les données utiles au travail : clients, factures, paie, contrats, dossiers projet, base métier.
• Identifiez les endroits où elles vivent réellement : cloud, serveur, NAS, postes, mails, applications SaaS.
• Réduisez les accès au nécessaire, surtout sur les comptes admin, la direction, la comptabilité et les sauvegardes.
• Activez le MFA sur les accès qui peuvent exposer, payer, administrer ou restaurer.
• Testez une restauration avant de considérer qu'une sauvegarde protège vraiment l'entreprise.
• Chiffrez les ordinateurs portables qui transportent des données sensibles.
• Rattachez le RGPD aux pratiques réelles, pas seulement aux documents juridiques.

Le problème réel : l'entreprise ne sait pas toujours où sont ses données

Beaucoup de PME pensent avoir un sujet de cybersécurité. En réalité, elles ont d'abord un sujet d'inventaire.

Un devis peut être dans un CRM, mais aussi dans une boîte mail. Un contrat peut être dans SharePoint, mais aussi dans le dossier local du commercial. Un export de paie peut être sur le poste de la personne RH. Une base métier peut être sauvegardée par l'éditeur, sans que l'entreprise sache combien de temps les copies sont conservées.

Ce flou suffit à créer du risque.

Une donnée qu'on ne localise pas ne peut pas être correctement protégée. Un accès qu'on ne connaît plus ne peut pas être retiré. Une sauvegarde dont personne n'a testé la restauration reste une promesse.

L'ANSSI insiste dans son guide d'hygiène informatique sur des bases très concrètes : connaître le système d'information, gérer les droits, sauvegarder, maintenir les postes et surveiller les événements importants. Ces bases ne sont pas théoriques. Dans une petite structure, elles évitent surtout de découvrir l'existant au pire moment.

Les données à traiter en premier

Tout ne mérite pas le même niveau d'effort. Le bon départ consiste à repérer ce qui bloque l'activité si c'est perdu, exposé ou modifié.

Ce tableau n'a pas besoin d'être parfait. Il doit simplement forcer une discussion utile.

La mauvaise phrase est : "il faut sécuriser nos données".

La bonne phrase ressemble plutôt à : "la paie, la facturation, les dossiers clients actifs, la messagerie de direction et la base métier passent en priorité".

Avec cette formulation, on peut travailler.

Cartographier sans faire un audit interminable

La cartographie des données peut rester courte. L'objectif n'est pas de produire un classeur que personne ne relira. L'objectif est de comprendre les chemins par lesquels les données circulent.

Pour chaque service, il faut noter quatre choses.

Les outils utilisés tous les jours

CRM, facturation, comptabilité, paie, messagerie, fichiers partagés, outil de ticketing, logiciel métier. Les outils quotidiens concentrent souvent les données les plus utiles.

Les fichiers qui sortent des outils

Exports Excel, PDF envoyés aux clients, pièces jointes, rapports, imports comptables. Ces fichiers échappent vite à la logique de l'application d'origine.

Les personnes qui ont les droits

Il faut distinguer les droits nécessaires, les droits hérités et les droits accordés "temporairement". Ce sont rarement les mêmes.

Les endroits où une copie existe

Sauvegarde, synchronisation locale, archive mail, stockage cloud, disque externe, poste personnel autorisé ou non. Une copie utile peut sauver une reprise. Une copie oubliée peut devenir une fuite.

Ce travail peut se faire vite si on reste concret. On demande aux équipes ce qu'elles ouvrent dans une journée normale. Pas ce qui est censé être utilisé. Ce qui est réellement utilisé.

Reprendre les accès avant d'ajouter des outils

Les accès sont le premier verrou sur les données.

Dans une PME, les droits se déforment avec le temps. Une personne change de poste mais garde ses anciens dossiers. Un prestataire conserve un compte admin après une intervention. Un compte partagé circule encore parce que "c'est plus simple". Un ancien salarié reste dans un groupe Microsoft 365 ou Google Workspace.

La sécurité des données commence par nettoyer ça.

À traiter en priorité :

• comptes administrateurs Microsoft 365, Google Workspace, serveurs, NAS et firewall
• messagerie de direction
• comptabilité, facturation, banque et paie
• dossiers clients et contrats
• consoles de sauvegarde
• VPN et accès distants
• outils de prise en main à distance
• comptes prestataires

Le MFA doit passer d'abord sur les comptes qui peuvent administrer, réinitialiser, payer, restaurer ou exporter des données sensibles. Le MFA généralisé est une bonne cible, mais les accès puissants ne doivent pas attendre que tout le monde soit prêt.

Une revue des droits trimestrielle suffit souvent pour commencer. Elle doit répondre à des questions simples : qui est arrivé, qui est parti, qui a changé de rôle, quels comptes admin existent encore, quels partages externes sont actifs ?

Ce n'est pas de la paperasse. C'est une mesure de sécurité.

Vérifier les sauvegardes sans se raconter d'histoire

La sauvegarde protège seulement ce qu'elle couvre vraiment.

Beaucoup d'entreprises ont une sauvegarde du serveur, mais pas du tenant Microsoft 365. Ou une sauvegarde des fichiers, mais pas de la base métier. Ou une copie sur un NAS qui reste connecté avec les mêmes droits que la production. Le jour d'un incident, ces détails font la différence.

Les questions à poser sont directes.

• Quelles données sont incluses ?
• Quelles données ne le sont pas ?
• Quelle est la dernière restauration testée ?
• Qui peut lancer la reprise ?
• Combien de temps faut-il pour récupérer un fichier, un dossier ou une base ?
• La sauvegarde survit-elle si le compte admin principal est compromis ?

La règle 3-2-1 reste une base solide : plusieurs copies, plusieurs environnements, une copie séparée. Mais elle doit être appliquée proprement. Trois copies supprimables depuis le même compte ne valent pas grand-chose face à une compromission sérieuse.

Une sauvegarde fiable donne une preuve : un fichier restauré, un dossier ouvert, une base testée, un temps de reprise connu.

Sans cette preuve, l'entreprise n'a pas une capacité de reprise. Elle a une supposition.

Ne pas oublier les postes et les appareils

Les données quittent souvent les outils centraux.

Un commercial synchronise des dossiers sur son portable. La direction consulte ses mails sur téléphone. La comptabilité exporte un fichier vers un bureau local. Une personne transfère un document sur clé USB pour l'envoyer à un partenaire. Tout cela arrive dans les PME.

Les protections de base sont peu spectaculaires, mais utiles.

• chiffrement des ordinateurs portables
• verrouillage automatique de session
• MFA sur la messagerie et les applications cloud
• capacité de révoquer les sessions d'un appareil perdu
• limitation des droits administrateurs locaux
• mises à jour régulières du système, du navigateur et des logiciels métier
• inventaire minimal des appareils utilisés pour travailler

Le chiffrement des portables mérite une attention particulière. Si une machine est volée, l'entreprise doit pouvoir répondre calmement à une question : les données locales étaient-elles lisibles ?

Si la réponse est inconnue, le risque est mal maîtrisé.

RGPD : le rendre concret

Le RGPD n'est pas seulement une page de politique de confidentialité. C'est aussi une façon de tenir ses données.

La CNIL rappelle que le RGPD concerne les données personnelles : clients, prospects, salariés, candidats, fournisseurs, contacts de support, demandes via formulaire. Dans une PME, ces données sont partout : CRM, mails, fichiers, facturation, paie, sauvegardes, outils marketing.

La CNIL publie aussi des recommandations sur la sécurité des données personnelles. Elles rejoignent les sujets terrain : habilitations, mots de passe, sauvegardes, postes, traçabilité, sensibilisation.

Pour rendre le RGPD opérationnel, il faut pouvoir répondre à quelques questions.

• Quelles données personnelles sont collectées ?
• Pourquoi sont-elles collectées ?
• Où sont-elles stockées ?
• Qui y accède ?
• Combien de temps sont-elles gardées ?
• Comment sont-elles protégées ?
• Qui prévient qui en cas d'incident ?

Ce n'est pas uniquement un sujet de conformité. Une entreprise qui sait répondre à ces questions sait déjà mieux protéger ses données.

Surveiller peu, mais surveiller utile

La sécurité des données ne tient pas seulement dans une configuration faite une fois.

Il faut voir les signaux qui annoncent un problème : sauvegarde en échec, compte sensible connecté depuis un lieu inhabituel, nouvel administrateur créé, partage externe massif, antivirus désactivé, disque de sauvegarde plein, poste qui ne remonte plus dans la supervision.

Une PME n'a pas forcément besoin d'un SOC complet. Elle a besoin d'alertes sur ce qui peut réellement bloquer ou exposer l'entreprise.

Ce point relève de l'exploitation. La sécurité devient concrète quand quelqu'un regarde les alertes, corrige les anomalies, documente les exceptions et revient régulièrement sur les droits.

Sinon, les règles vieillissent. Et les angles morts reviennent.

Les erreurs classiques

Acheter une solution avant l'inventaire

Un outil peut aider. Il ne sait pas décider seul quelles données sont vitales pour l'entreprise. Sans inventaire, il protège ce qu'il voit et laisse le reste de côté.

Croire qu'une sauvegarde suffit

Une sauvegarde aide à reprendre après suppression, panne ou chiffrement. Elle n'empêche pas une fuite. Elle doit donc être accompagnée d'une vraie gestion des accès, du MFA et d'une surveillance minimale.

Garder les droits historiques

Les droits jamais revus finissent par raconter l'ancienne organisation, pas l'entreprise actuelle. Les départs, changements de poste et interventions prestataires doivent déclencher une vérification.

Oublier les boîtes mail

La messagerie contient des contrats, des pièces jointes, des échanges clients, des informations RH et parfois des accès de réinitialisation. Elle doit être traitée comme un actif critique.

Séparer RGPD et technique

Une politique de confidentialité ne suffit pas si les fichiers sont dispersés, les accès trop larges et les sauvegardes non testées. Le RGPD doit rejoindre les pratiques réelles.

Ne jamais tester l'incident

Tester une restauration, simuler le départ d'un salarié ou révoquer un appareil de test révèle vite les failles. Mieux vaut les voir un mardi matin calme que pendant une crise.

Plan d'action pour une PME

Un plan simple suffit pour commencer.

1. Lister les données critiques par service.
2. Identifier où elles sont stockées.
3. Vérifier qui y accède aujourd'hui.
4. Protéger les comptes sensibles avec du MFA.
5. Réduire les droits inutiles.
6. Vérifier le périmètre des sauvegardes.
7. Restaurer un fichier ou un dossier test.
8. Chiffrer les ordinateurs portables.
9. Documenter les procédures de départ, perte d'appareil et incident.
10. Revoir les accès tous les trimestres.

Ce plan n'a rien d'impressionnant. C'est justement pour cela qu'il fonctionne. Il traite les points qui cassent le plus souvent : données mal localisées, droits trop larges, sauvegardes supposées, postes oubliés et procédures inexistantes.

Ce que ça change concrètement

Une PME qui traite sérieusement la sécurité des données devient plus claire.

Elle sait quelles données comptent. Elle sait où elles sont. Elle sait qui peut y accéder. Elle sait quoi restaurer. Elle sait quoi couper quand quelqu'un part. Elle sait quoi vérifier quand un poste disparaît.

Ce n'est pas seulement de la cybersécurité. C'est une meilleure exploitation de l'informatique.

Quand l'existant est flou, un diagnostic permet de reprendre le sujet dans le bon ordre : données critiques, accès, sauvegardes, postes, cloud et procédures. Ensuite, les services d'exploitation, de systèmes et de rétention peuvent être alignés sur les vrais risques.

La sécurité des données n'est pas une couche à ajouter à la fin. C'est une manière de reprendre la main sur ce que l'entreprise utilise déjà tous les jours.