Les 7 erreurs de cybersécurité les plus fréquentes dans les TPE/PME

La cybersécurité est encore parfois perçue comme un sujet réservé aux grandes entreprises. Pourtant, une TPE ou une PME peut elle aussi être confrontée à un piratage de messagerie, un ransomware, une fraude, un vol de données ou une interruption de son système informatique.

Et contrairement à une idée reçue, les cybercriminels ne sélectionnent pas toujours précisément leurs victimes. De nombreuses attaques sont automatisées et recherchent avant tout des vulnérabilités faciles à exploiter.

La bonne nouvelle ? Une partie du risque peut être réduite en corrigeant quelques erreurs courantes.

Voici 7 points de vigilance à connaître.

1. Utiliser des mots de passe trop simples ou identiques

Un même mot de passe pour la messagerie, les logiciels professionnels et différents services en ligne ?

C'est pratique. Mais c'est aussi particulièrement risqué.

Lorsqu'un identifiant et un mot de passe sont compromis sur un service, ils peuvent être testés automatiquement sur d'autres plateformes.

Le bon réflexe : privilégier des mots de passe longs et uniques, utiliser un gestionnaire de mots de passe et activer l'authentification multifacteur (MFA) dès qu'elle est disponible.

2. Reporter les mises à jour

« Je le ferai plus tard. »

Cette petite notification de mise à jour que l'on ferme machinalement peut pourtant avoir son importance. Certaines mises à jour corrigent des failles de sécurité connues.

Plus elles tardent à être installées, plus longtemps l'entreprise peut rester exposée.

Le bon réflexe : mettre régulièrement à jour les systèmes d'exploitation, logiciels, navigateurs, équipements réseau et autres outils utilisés par l'entreprise.

3. Penser qu'une sauvegarde suffit

Effectuer des sauvegardes est indispensable. Encore faut-il qu'elles soient réellement exploitables en cas d'incident.

Une sauvegarde connectée en permanence au système de l'entreprise peut, dans certaines situations, être elle-même affectée lors d'une cyberattaque.

Et une sauvegarde que personne n'a jamais essayé de restaurer n'offre aucune certitude quant à la reprise effective de l'activité.

Le bon réflexe : prévoir une stratégie de sauvegarde adaptée, conserver des copies suffisamment isolées et tester régulièrement la restauration des données.

4. Sous-estimer le facteur humain

Un email semble provenir d'un fournisseur. Une pièce jointe ressemble à une facture. Un dirigeant demande exceptionnellement un virement urgent.

Quelques secondes d'inattention peuvent suffire.

Les attaques par phishing et usurpation d'identité exploitent précisément nos habitudes, notre confiance et parfois l'urgence.

Le bon réflexe : sensibiliser régulièrement les collaborateurs et instaurer des procédures simples de vérification, notamment pour les demandes sensibles et les changements de coordonnées bancaires.

5. Donner trop de droits d'accès

Tous les collaborateurs ont-ils réellement besoin d'accéder à toutes les données de l'entreprise ?

Probablement pas.

Plus les droits d'un compte compromis sont importants, plus les conséquences potentielles peuvent l'être également.

Le bon réflexe : attribuer à chacun uniquement les accès nécessaires à son activité et supprimer rapidement les comptes ou autorisations devenus inutiles.

6. Ne pas avoir prévu quoi faire en cas de cyberattaque

Votre messagerie devient inaccessible demain à 9h.

Qui appelez-vous ?

Faut-il déconnecter les ordinateurs ? Contacter le prestataire informatique ? Informer certains clients ? Prévenir l'assureur ? Qui prend les décisions ?

Découvrir les réponses pendant l'incident fait perdre un temps précieux.

Le bon réflexe : préparer une procédure de gestion de crise avec les coordonnées des principaux interlocuteurs et définir à l'avance les responsabilités de chacun.

7. Penser que son assurance professionnelle couvre automatiquement le risque cyber

C'est un point particulièrement important.

Une entreprise peut être très bien assurée pour ses locaux, sa responsabilité civile ou son activité professionnelle sans disposer pour autant d'une protection adaptée aux conséquences d'un incident cyber.

Selon les contrats et les garanties souscrites, une assurance cyber peut notamment prévoir des prestations d'assistance, d'expertise informatique, de gestion de crise ou certaines prises en charge financières.

Mais les garanties, plafonds, franchises, conditions et exclusions diffèrent d'un contrat à l'autre.

Il est donc essentiel de vérifier précisément sa couverture.

La cybersécurité repose sur plusieurs niveaux de protection

Il n'existe pas une mesure unique capable de supprimer le risque cyber.

La protection d'une entreprise repose plutôt sur une combinaison : prévention technique, sensibilisation des collaborateurs, procédures internes, capacité à réagir rapidement et couverture assurantielle adaptée.

Et cela commence par une question très simple :

Si votre entreprise subissait une cyberattaque demain matin, sauriez-vous exactement quoi faire et jusqu'où vous êtes couvert ?

Serenity Assurances peut vous accompagner pour faire le point sur votre exposition au risque cyber et sur les garanties adaptées à votre activité.