Politiques de cybersécurité : les 7 indispensables en entreprise

Parce qu'il a fait ce qui lui semblait normal. Il a utilisé le mot de passe de sa messagerie sur le portail du transporteur. Il a branché la clé USB de la maison. Il a prêté son mot de passe au stagiaire « juste pour aujourd'hui ». Sans règle écrite, rien de tout cela n'est interdit. Une politique n'est pas un document juridique : c'est une demi-page sur ce qui se fait et ce qui ne se fait pas.

• Des phrases, pas des codes 14 caractères ou plus, plutôt que des mots courts bourrés de symboles.
• Un identifiant par service Conservé dans le gestionnaire de mots de passe de l'entreprise ; jamais envoyé par e-mail ou messagerie instantanée.
• MFA sans exception Messagerie, fichiers et accès à distance. La direction aussi : c'est la cible préférée.
• Comptes partagés Nouvel identifiant chaque fois que quelqu'un quitte l'entreprise.

Les détails sont dans comment choisir et utiliser un gestionnaire de mots de passe.

Ceux de l'entreprise, avec protection active, mises à jour automatiques et disque chiffré. Les appareils personnels uniquement via le navigateur, sans stocker de fichiers en local. Un portable ne dort jamais dans la voiture. En cas de disparition, on prévient le jour même et l'accès est bloqué à distance. Logiciels : uniquement ceux de la liste approuvée, qui doit exister.

Ne pas cliquer, ne pas répondre, transférer à l'IT. Un changement d'IBAN d'un fournisseur se confirme toujours par téléphone, à un numéro que vous aviez déjà, jamais à celui de l'e-mail. C'est ce qui arrête la fraude à la facture avec IBAN modifié. Les données clients ne circulent ni par messagerie personnelle ni par applications de messagerie instantanée.

• Le strict nécessaire Chacun accède à ce que sa fonction exige, rien de plus.
• Revue tous les six mois Dossiers partagés et SharePoint.
• Administration locale Réservée à l'équipe IT.
• Tiers Accès nominatifs, limités dans le temps et tracés.
• Changement de fonction L'ancien accès est retiré ; on ne se contente pas d'ajouter le nouveau.

C'est le moindre privilège du modèle Zero Trust adapté aux PME.

Seulement avec une politique qui dit ce qui est copié, à quelle fréquence, où et combien de jours c'est conservé. Au moins une copie hors des locaux et immuable : le ransomware ne peut pas l'effacer. Des restaurations testées à dates fixes, avec résultat consigné. Un responsable des alertes d'échec, avec un délai pour agir. Découvrez notre sauvegarde gérée et ce qu'ajoute un plan de reprise après sinistre.

1. Chaîne d'alerte : qui appelle qui, et dans quel ordre.
2. Isolement : on retire du réseau le poste touché, pas le serveur entier.
3. Porte-parole : une seule personne parle aux clients et fournisseurs ; les autres non.
4. Délais légaux : CNPD sous 72 heures en cas de données personnelles ; Centre national de cybersécurité si l'entreprise relève de NIS2.
5. Contacts imprimés : partenaire IT et assureur, car la messagerie peut être hors service.

Situez chaque étape dans les quatre phases d'une cyberattaque.

Le premier jour : compte avec les autorisations de la fonction, MFA activée, équipement remis avec traçabilité et une demi-heure sur ces règles. Le dernier jour : compte désactivé le jour même, pas une semaine plus tard ; messagerie transférée ; équipement restitué et vérifié ; identifiants partagés changés ; accès de tiers liés à cette personne coupés. Les comptes d'anciens collaborateurs encore actifs font partie des failles les plus fréquentes de nos audits.

Une demi-page par politique. Commencez par ce que vous faites déjà bien, ajoutez ce qui manque et supprimez les interdictions irréalistes : une règle que personne ne respecte discrédite toutes les autres. Validation par la direction, courte session avec l'équipe, signature de tous, revue annuelle.

Dans les contrats de cybersécurité gérée, nous livrons ces sept modèles adaptés à chaque client et confirmons dans le rapport mensuel leur application technique : MFA activée, comptes désactivés, sauvegardes testées. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité.

Nous vous fournissons les modèles, les adaptons à votre entreprise et configurons la partie technique (MFA, autorisations, sauvegardes) pour que ce qui est écrit soit ce qui se passe. Découvrez la cybersécurité gérée DataRoad et demandez une proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.

Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.