Les PME ne disposent souvent que d’une main-d’œuvre limitée, voire inexistante, pour s’occuper de leur stratégie de sécurité numérique. Il est donc crucial pour elles de se concentrer sur les plus grandes menaces et d’investir leur énergie dans les domaines qui sont importants pour la continuité de leur activité.
Les grandes entreprises ont généralement des départements entiers qui supervisent la cybersécurité de l’entreprise et mettent en place des stratégies efficaces. Mais qu’en est-il des petites et moyennes entreprises (PME) qui ne disposent pas des mêmes ressources ? Elles doivent alors adopter une approche fondée sur le risque, comprenant l’identification des vulnérabilités les plus importantes et les domaines clés sur lesquels elles souhaitent se concentrer.
Benoit Grunemwald, expert cybersécurité chez ESET France, précise ici ces différents domaines de protection :
- Protection et chiffrement des données : en plus du verrouillage des appareils par un nom d’utilisateur et un mot de passe robuste, d’autres mesures existent pour renforcer autant que possible leur protection, notamment le chiffrement des données : « imaginez que quelqu’un vole votre ordinateur. Il ne peut pas pénétrer à l’intérieur puisqu’il ne connaît pas le mot de passe et le nom d’utilisateur, mais il peut néanmoins accéder aux données en retirant le disque dur. Veillez non seulement à ce que les appareils portables mais également les ordinateurs de bureau soient correctement chiffrés », suggère Benoît Grunemwald.
- Protection multicouche des endpoints (canal de communication) et restrictions de l’accès des utilisateurs : il est crucial de limiter les comptes administrateurs car dans de nombreux cas, ce sont des personnes à l’intérieur de l’entreprise qui causent le plus de dommages. « Un saboteur pourrait potentiellement installer n’importe quoi sur l’appareil s’il obtient l’accès au compte administrateur. » Aussi, une seule couche de protection ne suffit pas : c’est comme protéger une maison ; vous utilisez des mesures qui multiplient vos défenses : un portail d’entrée, des portes sécurisées, une alarme, une clôture et des fenêtres.» Il est également nécessaire de mettre sur liste noire les sites web dangereux, de bloquer l’accès aux domaines à risque et d’intégrer une protection contre les attaques réseau ou les vulnérabilités du protocole d’accès à distance.
- MFA et mises à jour régulières : l’authentification multifacteur (MFA) devrait être en place sur tous les appareils professionnels et personnels. De même, il faut veiller à ce que tous les systèmes d’exploitation soient mis à jour : « il ne s’agit pas seulement de mettre en place une protection, mais également de la configurer et de la mettre à jour correctement », rappelle Benoît Grunemwald
- Prestataires de services de messagerie de haute qualité et sensibilisation des collaborateurs : des prestataires de messagerie fiables sont également essentiels : « les collaborateurs ont besoin de savoir comment repérer un email d’hameçonnage. L’entreprise peut faire en sorte de savoir à chaque destinataire qu’un message provient de l’extérieur de l’entreprise. » Il peut être utile d’investir dans la formation des collaborateurs pour les sensibiliser davantage à la cybersécurité.
La plupart des entreprises n’ont pas mis en œuvre ces mesures de base et parfois, la sécurité numérique des grandes entreprises présente des lacunes encore plus importantes. « Certaines entreprises hésitent encore à investir dans des solutions de cybersécurité ou estiment qu’elles ne deviendront pas une cible car leur secteur d’activité est plutôt peu attractif. Mais généralement, les cyberattaques ne sont pas ciblées. Tout le monde peut en être victime, » conclut l’expert en cybersécurité.
« Comment mettre en place une stratégie efficace de cybersécurité ? » ce guide, publié sur le blog Digital Security Guide d'ESET, est accessible ICI gratuitement.