Un incident informatique commence souvent par un détail : un mot de passe réutilisé, une mise à jour repoussée, une pièce jointe ouverte trop vite. La cybersécurité d'une PME ou d'une administration ne repose donc pas d'abord sur des équipements coûteux. Elle repose sur des habitudes. En voici dix, admises par tous les spécialistes, que vous pouvez engager sans attendre.
Protéger les accès
1. Des mots de passe longs et uniques. Une phrase de plusieurs mots se retient mieux et résiste mieux qu'un mot court. Un mot de passe ne sert qu'à un seul service. Un gestionnaire de mots de passe évite de les noter sur un carnet ou dans un fichier.
2. La double authentification. En plus du mot de passe, le service demande un code affiché sur le téléphone ou une clé physique. Activez-la en priorité sur la messagerie, la banque en ligne et les comptes d'administration.
3. Des droits d'accès au plus juste. Chacun accède à ce dont il a besoin pour travailler, pas davantage. Les comptes d'administrateur restent rares, nominatifs et réservés aux tâches techniques.
Tenir les équipements à jour
4. Les mises à jour, sans les repousser. Elles corrigent des failles connues. Cela vaut pour les ordinateurs, les téléphones, les logiciels, mais aussi pour le routeur et les imprimantes en réseau. Un inventaire simple de vos équipements permet de savoir ce qui est à jour et ce qui ne l'est plus.
5. Des règles pour les appareils personnels. Un téléphone ou un ordinateur personnel utilisé pour le travail transporte des données de l'organisation. Fixez des règles claires : verrouillage de l'écran, mises à jour, séparation des comptes, signalement immédiat en cas de perte ou de vol.
Se préparer à la panne et à l'attaque
6. Des sauvegardes, et des sauvegardes testées. Gardez plusieurs copies de vos données importantes, dont une hors de vos locaux et une déconnectée du réseau. Une sauvegarde que l'on n'a jamais essayé de restaurer reste une hypothèse : faites l'exercice à intervalles réguliers.
7. Un réflexe en cas d'incident. Chacun doit savoir qui prévenir, à quel numéro, et quoi faire en attendant : débrancher le poste du réseau, ne rien effacer, noter ce qui s'est passé. Une page affichée dans les bureaux suffit.
Former et organiser les équipes
8. Apprendre à reconnaître l'hameçonnage. Un message d'hameçonnage imite un interlocuteur de confiance pour obtenir un mot de passe, un paiement ou l'ouverture d'un fichier. Quelques signes doivent alerter.
- Une urgence inhabituelle, ou une menace de blocage de compte.
- Une adresse d'expéditeur proche de l'adresse habituelle, mais différente.
- Une demande de mot de passe, de code ou de paiement.
- Une pièce jointe ou un lien que vous n'attendiez pas.
En cas de doute, vérifiez par un autre canal : appelez la personne à un numéro que vous connaissez déjà.
9. Préparer le départ d'un collaborateur. Un compte laissé actif après un départ est une porte ouverte. Tenez une liste de contrôle.
- Désactiver les comptes et retirer les accès le jour du départ.
- Récupérer le matériel, les badges et les clés.
- Changer les mots de passe des comptes partagés.
- Transférer les dossiers et la messagerie professionnelle à un responsable.
10. Nommer un responsable et en parler régulièrement. La sécurité a besoin d'un nom : une personne qui tient l'inventaire, suit les mises à jour et reçoit les signalements. Un rappel court et régulier aux équipes vaut mieux qu'une longue formation oubliée le mois suivant.
Par quoi commencer cette semaine
Dix gestes d'un coup, c'est beaucoup. Trois d'entre eux protègent tout de suite l'essentiel.
- Activez la double authentification sur la messagerie de la direction et des services financiers.
- Vérifiez qu'une sauvegarde récente existe, et essayez de restaurer un fichier.
- Dressez la liste des comptes actifs, puis fermez ceux des personnes parties.
Une sauvegarde que l'on n'a jamais essayé de restaurer reste une hypothèse.
Ces gestes réduisent les risques. Ils ne les suppriment pas : aucune organisation n'est à l'abri d'un incident. C'est pourquoi les gestes 6 et 7 comptent autant que les autres. Si votre organisation traite des données personnelles, notre article sur la Loi 29-2019 présente le cadre congolais.
Quand se faire accompagner
Ces habitudes ne remplacent pas un regard extérieur. Pour savoir où vous en êtes, MOKILIX AUDIT IT examine en 2 semaines l'infrastructure, le réseau, la sécurité, les applications et la conformité. Vous recevez un rapport, une cartographie de votre système d'information, une matrice des risques et un plan d'action priorisé sur 12 mois. Le tarif d'entrée est annoncé à partir de 2 500 000 FCFA HT.
Pour les organisations les plus exposées, MOKILIX SHIELD réunit pare-feu, protection des postes, supervision en continu, plan de continuité d'activité et sensibilisation des équipes, à partir de 18 000 000 FCFA HT, sur 6 à 10 semaines. Le chiffrage précis est établi après un cadrage, dont le prix est fixé selon l'analyse de votre besoin.
