Cybersécurité des TPE : 39 % ont subi un incident en un an

39 % des petites entreprises touchées en douze mois

La cybersécurité des TPE a occupé une conférence organisée au ministère de l'Économie, rapporte ZDNet France. Intitulé « Bercy de la cyber », l'événement réunissait des chefs d'entreprise et des représentants de la filière pour « identifier les solutions à déployer pour faire face à la menace cyber ».

Le chiffre central vient d'un sondage du Centre de recherche pour l'étude et l'observation des conditions de vie (Crédoc), réalisé pour la Direction générale des entreprises. Selon cette étude, 39 % des TPE et des PME ont subi au moins un incident de cybersécurité au cours des douze derniers mois.

Le premier vecteur reste l'hameçonnage, cité par 18 % des entreprises interrogées. Viennent ensuite les virus et programmes malveillants, à 8 %.

Antivirus oui, double authentification non

La même enquête du Crédoc montre un équipement très inégal. Les TPE-PME sont correctement couvertes en antivirus, à 80 %. En revanche, seules 67 % disposent de sauvegardes de données à l'extérieur de leurs locaux, et seulement 39 % ont mis en place l'authentification à plusieurs facteurs.

De son côté, la plateforme publique France Num estime que « seul un tiers des TPE et PME est considéré comme correctement paré » face au risque informatique.

Les quatre freins identifiés par l'U2P

François Blanchecotte, membre du conseil national de l'Union des entreprises de proximité (U2P), intervenait lors d'une table ronde consacrée aux mesures d'hygiène informatique. Il a listé quatre obstacles : le manque de temps, le déficit de compétences, le coût et la complexité des outils.

Ce représentant des entreprises de l'artisanat, du commerce de proximité et des professions libérales déplore d'abord une mauvaise appréciation de la menace. S'y ajoute l'absence, dans la plupart des structures, d'un salarié sur lequel le dirigeant pourrait s'appuyer.

« Tous les chefs d'entreprise n'ont pas forcément une formation en informatique ou en gestion du risque, il faut donc essayer de trouver des outils simples et de rendre cette sécurité abordable », François Blanchecotte, membre du conseil national de l'U2P.

Il plaide pour une simplification de l'offre, avec par exemple des solutions labellisées, et pour que la cybersécurité devienne un « réflexe professionnel » plutôt qu'une « contrainte ».

Par quoi commencer, selon le Clusif

Florence Puybareau, directrice du Clusif, association de professionnels de la cybersécurité, a hiérarchisé les premières mesures à prendre. La double authentification arrive en tête : elle assure, selon elle, « une protection minimum ».

Viennent ensuite les sauvegardes, précédées d'un travail de tri dans les fichiers. Quelles informations faut-il protéger, pendant combien de temps, et où les stocker ? Cette « réflexion en amont » débouche sur un plan d'action.

« de hiérarchiser ses actions prioritaires et les moyens dont il a besoin », François Blanchecotte, membre du conseil national de l'U2P.

Les référentiels publics convergent sur un socle court. L'Office fédéral suisse de la cybersécurité (BACS) en retient cinq, que l'on retrouve dans le guide canadien Pensez cybersécurité :

• authentification à plusieurs facteurs sur la messagerie, la banque en ligne et le cloud ;
• sauvegardes régulières sur un support déconnecté de l'ordinateur ;
• installation des mises à jour de sécurité dès leur publication, si possible en automatique ;
• vigilance sur les pièces jointes et les liens, même venant d'un expéditeur connu ;
• mots de passe uniques et personnalisés pour chaque service.

L'agence américaine CISA ajoute deux points pour les postes de travail : retirer les droits administrateur aux ordinateurs portables des salariés et activer le chiffrement du disque.

Ce que ça change pour votre entreprise

Le tri des fichiers recommandé par le Clusif concerne aussi les services en ligne du quotidien : messagerie, CRM, agenda, outils d'accueil téléphonique. Chacun héberge des données clients et mérite une double authentification. Notre assistant vocal allo360 envoie par exemple une transcription après chaque appel, un fichier à ranger dans ce plan de sauvegarde (voir les tarifs).