Pour savoir où en est la cybersécurité de votre PME, demandez quelles protections sont en place, comment leur fonctionnement est vérifié et qui intervient lorsqu’une menace est détectée. Une liste de produits ne suffit pas à répondre à ces trois questions.
Comme dirigeant, vous n’avez pas à connaître chaque réglage. Vous devez toutefois pouvoir comprendre les principaux risques pour vos activités et savoir qui s’en occupe. Les questions suivantes servent à préparer cette discussion avec votre responsable TI ou votre partenaire. Elles ne constituent pas un audit ni une certification de votre sécurité.
1. Sait-on ce qu’il faut protéger?
Demandez si les postes, serveurs, comptes et services utilisés sont connus, y compris ceux des employés à distance. Faites préciser les systèmes essentiels : qu’est-ce qui empêcherait de facturer, de servir un client ou d’accéder aux dossiers?
La réponse devrait vous donner une vue compréhensible du périmètre couvert et des éléments qui restent à examiner. Si un service important n’est suivi par personne, l’installation d’un outil supplémentaire ailleurs ne réglera pas cette lacune.
2. Qui peut accéder à nos comptes et à nos données?
Demandez comment sont protégés les comptes sensibles et comment les accès sont retirés lorsqu’une personne quitte l’entreprise. Pour l’authentification multifacteur, demandez quels comptes sont réellement couverts et quelles exceptions subsistent.
Vous pouvez aussi faire vérifier qui possède des droits d’administration et pourquoi. Le but n’est pas de compliquer le travail, mais de s’assurer que les permissions correspondent aux responsabilités de chacun. Notre page sur la protection des identités présente cet aspect plus en détail.
3. Comment sait-on que les protections fonctionnent?
Un outil installé sur un poste n’est pas une preuve suffisante de son bon fonctionnement aujourd’hui. Demandez qui repère les appareils non suivis, les protections désactivées et les mises à jour qui ne se sont pas installées.
Un exemple de suivi récent peut être plus utile qu’un long tableau de chiffres : un problème a été détecté, une action a été réalisée et sa résolution a été vérifiée. Vous cherchez une démarche suivie, pas uniquement un inventaire de licences.
4. Qui analyse les alertes, même quand les bureaux sont fermés?
Demandez si les alertes sont seulement envoyées à quelqu’un ou si des spécialistes les examinent. Faites préciser ce qui est surveillé, les heures de couverture et la façon dont une menace est transmise aux personnes responsables.
Posez ensuite la question de l’action : qui peut isoler un appareil, qui doit donner son accord et qui s’occupe de la suite? Notre article sur la prise en charge des menaces le soir et la fin de semaine aide à distinguer ces étapes.
5. Les employés savent-ils quoi signaler?
Un message inhabituel, une demande urgente de paiement ou une connexion inattendue doit pouvoir être signalé facilement. Demandez comment vos employés sont sensibilisés et à qui ils peuvent poser une question sans craindre d’être blâmés.
Le nombre de formations suivies ne dit pas tout. Vérifiez aussi si les consignes sont comprises et si elles correspondent aux situations rencontrées dans votre entreprise. Une personne qui signale rapidement un doute donne à l’équipe TI une information utile pour vérifier ce qui se passe.
6. Que pourrait-on réellement restaurer après un incident?
Demandez quelles données sont sauvegardées, qui vérifie les résultats et quand une restauration a été testée. Une sauvegarde annoncée comme réussie et une reprise complète des systèmes ne répondent pas à la même question.
Faites préciser les priorités de remise en service et les dépendances : logiciels, accès, équipements et intervenants. La sauvegarde et la reprise des systèmes doivent être évaluées en fonction de vos activités. Elles ne remplacent pas les mesures de protection contre les menaces.
7. Qui décide et coordonne en cas d’incident?
Identifiez un responsable et une personne de relève. Demandez qui contacte les spécialistes, qui autorise une intervention pouvant interrompre un service et comment la direction sera informée. Ces décisions sont plus faciles à préparer avant une situation urgente.
Le Centre canadien pour la cybersécurité propose des contrôles de base pour les petites et moyennes organisations, dont la préparation aux incidents, la gestion des accès, les mises à jour, la formation et les sauvegardes. Ce cadre peut soutenir la discussion; il ne remplace pas l’examen de votre environnement.
Transformez les réponses en priorités
Vous n’avez pas à tout changer en même temps. Commencez par les points sans responsable, les systèmes importants non couverts et les interventions à prévoir. Faites ensuite établir les priorités selon votre environnement et vos besoins.
ProSecure réunit des technologies de sécurité sélectionnées par ALT, une surveillance spécialisée et des services professionnels. Parlons de vos préoccupations en cybersécurité pour déterminer les points à examiner avec vous, sans supposer qu’une même combinaison convient à toutes les entreprises.
