Une fraude par courriel peut désorganiser la production, bloquer les paiements ou exposer des données sensibles. Pour les dirigeants, la gouvernance de la sécurité impose donc des arbitrages bien au-delà de l’informatique.
Les procédures résistent-elles à une demande pressante qui semble provenir de la direction ? Le risque humain naît notamment de cette confiance détournée par les attaquants. Entre fuite de données, rançongiciel et arrêt de production, la pérennité des entreprises dépend des décisions prises avant l’incident. Après, tout peut basculer en quelques heures.
La direction doit arbitrer un risque qui dépasse l’informatique
Selon le groupe de travail Cybersécurité de Walter France, le risque cyber relève directement de la gouvernance. La responsabilité des dirigeants implique d’arbitrer les moyens consacrés aux informations stratégiques, à la continuité d’activité et à la réponse aux incidents, face aux pertes financières comme aux dommages durables de réputation.
Chaque décision découle d’une cartographie des données critiques et des effets liés à leur vol, leur altération ou leur indisponibilité. La protection des données personnelles préserve la confiance des clients, tandis que la conformité au RGPD impose des mesures proportionnées aux risques, sous peine de sanctions administratives ou pénales.
Les attaques exploitent autant la confiance que les failles techniques
Le phishing emprunte l’apparence d’un interlocuteur légitime pour dérober des informations ou déclencher une action. Cette ingénierie sociale passe par un courriel, un SMS frauduleux, appelé smishing, un appel téléphonique, nommé vishing, ou un QR code piégé, désigné par le terme quishing. L’urgence affichée affaiblit alors les réflexes de vérification.
Un faux message de supérieur hiérarchique peut ainsi réclamer un virement confidentiel en dehors des contrôles habituels. La fraude au président exploite l’autorité et la discrétion, tandis que les attaques par rançongiciel chiffrent les fichiers après une intrusion. L’activité peut alors s’arrêter, même si la manipulation initiale paraissait anodine.
En 2017, WannaCry a frappé des organisations dans 150 pays en exploitant une faille de Windows, révélant les effets d’un correctif non installé.
Quelles règles inscrire dans la charte informatique ?
La charte informatique traduit les exigences de sécurité en pratiques applicables au quotidien. Une gestion des mots de passe structurée repose sur des identifiants robustes, distincts pour chaque service et conservés dans un coffre-fort numérique reconnu, tel que KeePass. Les outils autorisés et les responsabilités de chacun doivent y apparaître sans ambiguïté.
Un identifiant volé ne devrait jamais ouvrir seul l’accès à un compte sensible. L’authentification multifacteur ajoute une vérification, sans supprimer tous les risques. La charte peut fixer plusieurs règles simples pour séparer les usages personnels et professionnels :
- réserver l’adresse professionnelle aux services liés au travail ;
- stocker les documents sur les espaces validés par l’entreprise ;
- refuser toute clé USB inconnue ou trouvée ;
- limiter les informations publiées sur les réseaux sociaux.
Des sauvegardes déconnectées pour pouvoir reprendre l’activité
Une copie complète rassemble toutes les informations, tandis qu’une sauvegarde incrémentale conserve les changements depuis la copie précédente. La sauvegarde différentielle reprend, elle, les modifications réalisées depuis la dernière copie complète. Des sauvegardes déconnectées empêchent qu’une intrusion chiffre simultanément les originaux et leurs doubles, notamment les données métiers critiques.
La présence de copies ne garantit pas leur exploitation après un sinistre. Des tests de restauration vérifient l’intégrité des fichiers, les délais nécessaires et les conditions techniques du redémarrage. Pour préparer la reprise de l’activité, la priorité revient aux éléments irremplaçables : comptabilité, dossiers clients, messagerie, configurations et documents stratégiques.
Mises à jour, droits d’accès et appareils mobiles sous contrôle
Les choix d’équipement et de maintenance découlent de l’exposition propre à chaque activité. Le déploiement rapide des correctifs de sécurité réduit les possibilités d’exploitation des failles connues. Des droits d’administration limités aux personnes habilitées freinent, pour leur part, les installations non validées et les modifications dangereuses du système.
Le télétravail étend la protection aux smartphones, tablettes et ordinateurs utilisés hors des locaux. Une gestion des appareils mobiles centralisée, fondée sur une solution MDM, applique les politiques internes à distance. Elle peut remplir plusieurs fonctions :
- séparer les espaces professionnels et personnels ;
- verrouiller ou effacer un équipement perdu ou volé ;
- encadrer l’installation des applications ;
- bloquer les messageries et stockages cloud non autorisés.
Former dès l’embauche, sensibiliser dans la durée
L’accueil des nouveaux salariés offre un moment propice pour présenter les règles, les outils autorisés et les interlocuteurs internes. Inscrite dans le parcours d’intégration, la sensibilisation des collaborateurs relie immédiatement les consignes aux missions exercées. Les managers entretiennent ces réflexes par des rappels périodiques et des exemples tirés du travail quotidien.
Les exercices transforment les recommandations abstraites en réactions concrètes. Des campagnes de phishing simulé révèlent les difficultés sans chercher à sanctionner, puis orientent les formations futures. Le signalement des incidents repose sur une procédure claire précisant qui contacter et comment réagir face à un message suspect, un appareil perdu ou un comportement anormal.
Les ressources gratuites de l’ANSSI à l’appui des formations
Les entreprises peuvent bâtir leurs supports internes à partir de références publiques fiables. Les guides de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, proposent des recommandations d’hygiène numérique adaptées aux organisations. Leur contenu sert de socle, puis s’ajuste aux métiers, aux équipements et aux procédures propres à chaque structure.
Walter France cite notamment le MOOC SecNumacadémie parmi les outils pédagogiques accessibles. Cette formation en ligne gratuite aborde les menaces numériques et les principaux réflexes de protection. Ces ressources enrichissent les exercices internes et les échanges avec l’encadrement, sans remplacer les procédures de l’entreprise ni l’engagement durable de sa direction.
