Cybersécurité en entreprise : les 3 fondations qu’on néglige trop souvent
Les cyberattaques coûtent des milliards chaque année aux entreprises. Ça, tout le monde le sait — ou devrait le savoir. Ce qu’on mesure moins, c’est à quel point les dégâts dépassent le financier : paralysie des opérations pendant des jours voire des semaines, clients qui perdent confiance et ne reviennent pas, sanctions réglementaires qui s’accumulent, et parfois des mois entiers pour s’en remettre. Quand on s’en remet.
Pourtant, quand on accompagne des entreprises sur ces sujets — et chez CreativMinds, c’est notre quotidien depuis sept ans — on constate souvent la même chose : les bases ne sont pas posées. On veut des solutions sophistiquées, des outils dernier cri, de l’intelligence artificielle pour détecter les menaces. Mais on n’a pas fait le travail de fond. C’est comme vouloir installer un système d’alarme ultramoderne dans une maison dont les fenêtres ne ferment pas.
Cet article est le premier d’une série de deux. Ici, on va parler des fondations : évaluer où vous en êtes vraiment, renforcer ce qui doit l’être, et — peut-être le plus important — embarquer vos équipes dans cette démarche. Dans le second article, on passera aux solutions avancées et à la surveillance continue.
Mais commençons par le commencement.
Étape 1 : Savoir où vous en êtes (vraiment)
Avant de renforcer quoi que ce soit, il faut comprendre ce qu’on protège et où sont les failles. Ça paraît évident, dit comme ça. Et pourtant, combien d’entreprises investissent dans des outils de sécurité sans avoir une vision claire de leur propre infrastructure ? Combien achètent des solutions parce qu’un commercial les a convaincues, sans savoir si ça répond à leurs vrais besoins ?
L’évaluation de la sécurité, c’est le point de départ de tout le reste. Sans elle, vous naviguez à l’aveugle.
L’audit : bien plus qu’une checklist
Un audit de sécurité, ce n’est pas cocher des cases dans un formulaire. C’est cartographier l’ensemble de vos actifs — matériels, logiciels, données — et identifier méthodiquement ce qui pourrait être exploité par un attaquant.
Les outils existent et sont accessibles : scanners de vulnérabilités comme Nessus, OpenVAS ou Qualys qui identifient rapidement les failles connues sur vos systèmes. Tests de pénétration qui simulent une attaque réelle pour déceler ce que les outils automatisés ne voient pas. Revue des configurations réseau, serveurs, pare-feux.
Mais l’outil ne fait pas tout — loin de là. Ce qui compte vraiment, c’est de le paramétrer en fonction de votre contexte, de vos priorités métier. Une faille critique pour une banque ne l’est peut-être pas pour une agence de communication. Si vous appliquez des paramètres génériques, vous vous retrouvez noyé sous les faux positifs et vous passez à côté de l’essentiel.
Et puis il y a tout ce que les outils ne voient pas. Les droits d’accès mal gérés — cet ancien employé qui a toujours ses accès six mois après son départ. Les mises à jour qui traînent parce que « ça fonctionne, on verra plus tard ». Les procédures de réponse aux incidents qui n’existent que sur le papier, quand elles existent. Tout ça, aucun scanner ne vous le dira.
Un audit efficace est itératif. Ce n’est pas quelque chose qu’on fait une fois et qu’on oublie. Une fois par an au minimum, tous les trimestres si votre environnement est critique ou si vous manipulez des données sensibles.
Prioriser les risques : tout ne se vaut pas
Identifier des vulnérabilités, c’est bien. Savoir lesquelles traiter en premier, c’est mieux. Parce qu’aucune entreprise n’a les ressources pour tout corriger en même temps.
Deux questions à se poser systématiquement pour chaque faille détectée : quelle est la probabilité qu’elle soit exploitée par un attaquant ? Et si elle l’est, quel serait l’impact concret pour l’entreprise ?
Prenons un exemple. Une faille dans votre système de messagerie interne, facilement exploitable et donnant accès aux données clients ? Risque élevé, à traiter maintenant, cette semaine. Une vulnérabilité sur un système isolé, peu critique, difficile à exploiter ? Ça peut attendre le mois prochain.
Une matrice de risques simple — gravité multipliée par probabilité — permet déjà de classer efficacement. Des solutions plus sophistiquées existent (RiskLens, Resolver) pour les environnements complexes, mais l’essentiel c’est d’avoir une méthode et de s’y tenir.
Ce travail de priorisation n’est jamais terminé. Il faut le refaire à chaque changement majeur : nouvelle application déployée, migration vers le cloud, acquisition d’une autre entreprise, ouverture d’un nouveau site. Le paysage des risques évolue en permanence.
Du constat à l’action
L’audit et l’analyse des risques doivent déboucher sur quelque chose de concret. Pas un document de 200 pages que personne ne lira, mais un rapport clair avec des recommandations hiérarchisées et un plan d’action réaliste.
Ce que doit contenir ce rapport : la liste des vulnérabilités détectées, l’évaluation du risque associé à chacune, des recommandations concrètes avec une priorisation claire. Et pour chaque recommandation, une justification basée sur les données de l’audit — ça facilite la validation par la direction et ça évite les discussions sans fin.
Ensuite, construisez un plan d’action en intégrant les actions prioritaires, les délais de mise en œuvre, les responsables identifiés, et les indicateurs qui permettront de suivre l’avancement.
Un conseil qu’on donne systématiquement : impliquez la direction dès le départ. Pas seulement pour valider le budget à la fin, mais pour que la sécurité devienne un sujet stratégique porté au plus haut niveau. Sinon, ça reste « un truc de l’IT » et ça n’avance jamais vraiment.
Étape 2 : Consolider l’infrastructure
Une fois vos failles identifiées et priorisées, il est temps de renforcer ce qui peut l’être. Le réseau, les systèmes, les terminaux — chaque maillon de la chaîne compte, et le niveau de sécurité global est celui du maillon le plus faible.
Le réseau : votre colonne vertébrale
Le réseau est la colonne vertébrale de votre système d’information. Si il est compromis, c’est potentiellement toute l’entreprise qui s’effondre. On l’a vu avec des attaques qui ont paralysé des hôpitaux, des mairies, des entreprises industrielles pendant des semaines.
Les mesures de base — qu’on trouve encore trop souvent absentes ou mal configurées :
Les pare-feux filtrent le trafic entrant et sortant selon des règles que vous définissez. Mais attention : un pare-feu installé avec les paramètres par défaut et jamais réévalué depuis, c’est presque pire que pas de pare-feu du tout. Ça donne une fausse impression de sécurité. Réévaluez vos règles tous les trimestres, adaptez-les à l’évolution de votre activité.
Les VPN sécurisent les connexions à distance grâce au chiffrement. Avec la généralisation du télétravail, c’est devenu incontournable. Mais là encore, un VPN mal configuré ou avec des identifiants faibles ne protège pas grand-chose.
La segmentation réseau limite la propagation d’une attaque en isolant les ressources critiques. Si un attaquant entre par une porte, il ne doit pas avoir accès à toute la maison. Vos données clients n’ont pas besoin d’être sur le même segment que les postes de travail de tout le monde.
Et surveillez vos logs réseau. C’est là que vous verrez les premiers signes d’une activité anormale — des connexions à des heures inhabituelles, des volumes de données qui ne correspondent pas aux usages normaux. Encore faut-il que quelqu’un regarde.
Les mises à jour : le talon d’Achille
Voilà un chiffre qui devrait faire réfléchir : selon le Ponemon Institute, 60% des violations de données en 2023 étaient dues à des vulnérabilités connues mais non corrigées. Autrement dit, des failles pour lesquelles un correctif existait et était disponible, mais n’avait tout simplement pas été appliqué.
C’est frustrant, parce que c’est évitable. Pas besoin de solutions coûteuses ou de compétences rares. Juste de la rigueur.
Une politique de mise à jour stricte, c’est : centraliser la gestion des patchs via des outils adaptés (WSUS, SCCM, ManageEngine ou équivalents), planifier des fenêtres de maintenance régulières et communiquées à l’avance, documenter chaque mise à jour appliquée pour garder une trace, et tester les mises à jour critiques sur un environnement de préproduction quand c’est possible.
Ce n’est pas glamour. Ça ne fait pas rêver dans les réunions stratégiques. Mais ça fonctionne.
Les endpoints : chaque appareil est une porte d’entrée
Ordinateurs de bureau, portables, téléphones, tablettes, et de plus en plus d’objets connectés — tout ce qui touche à votre réseau peut devenir un vecteur d’attaque. Et avec le travail hybride, la surface d’exposition a explosé.
Les solutions antivirus traditionnelles ne suffisent plus. Les menaces ont évolué, les protections doivent suivre. Les solutions EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response) offrent une visibilité bien meilleure sur ce qui se passe réellement sur vos terminaux.
La gestion des appareils mobiles (MDM) permet de garder le contrôle sur les smartphones et tablettes qui accèdent à vos ressources — y compris les appareils personnels des employés si vous autorisez le BYOD.
L’authentification multifacteur (MFA) sur tous les terminaux, sans exception. Oui, c’est une contrainte supplémentaire pour les utilisateurs. Mais c’est aussi l’une des mesures les plus efficaces pour bloquer les accès non autorisés.
Et surtout, adoptez une approche Zero Trust : chaque appareil doit prouver qu’il est légitime avant d’accéder aux ressources. Pas de confiance par défaut, même pour les appareils « connus ». Parce qu’un appareil compromis reste un appareil compromis, même s’il appartient à un employé de confiance.
Étape 3 : Former les équipes (le vrai sujet)
On peut avoir la meilleure infrastructure du monde, les outils les plus sophistiqués, les configurations les plus robustes — si quelqu’un clique sur le mauvais lien dans un e-mail de phishing, tout peut s’écrouler en quelques minutes.
Le facteur humain reste le premier vecteur d’attaque. Les études varient, mais on estime généralement que 80 à 90% des incidents de sécurité impliquent une erreur humaine à un moment ou un autre. Et c’est aussi le facteur le plus difficile à sécuriser, parce qu’on ne peut pas « patcher » un être humain comme on patche un logiciel.
Des formations qui marquent vraiment
Oubliez les présentations PowerPoint de deux heures que tout le monde subit en pensant à autre chose, en attendant que ça se termine pour retourner à son « vrai travail ». Ce format ne fonctionne pas. Les gens oublient 90% de ce qu’ils ont entendu dans la semaine qui suit.
Ce qui fonctionne : des formats courts (10-15 minutes maximum), interactifs, répétés régulièrement tout au long de l’année. Du e-learning bien conçu qu’on peut suivre à son rythme. Des sessions en présentiel avec des démonstrations concrètes — montrer une vraie attaque de phishing, c’est bien plus marquant que d’en parler abstraitement. De la gamification pour ceux que ça motive, avec des challenges et des récompenses.
Et surtout : mesurez ce que les gens retiennent vraiment. Des quiz réguliers, pas pour sanctionner ou humilier, mais pour identifier les points qui n’ont pas été compris et ajuster le contenu en conséquence.
Simulations de phishing : apprendre par l’expérience
Envoyer de faux e-mails de phishing à vos équipes, c’est le meilleur moyen de tester leur vigilance dans des conditions réelles — et de la renforcer progressivement.
Le principe : des e-mails factices qui imitent les techniques des vrais attaquants, envoyés à l’ensemble des collaborateurs. Analyse des réactions : qui a cliqué, qui a signalé l’e-mail comme suspect, qui n’a rien fait.
L’important, c’est ce qui se passe après. Quelqu’un a cliqué ? Pas de honte publique, pas de sanction, mais un feedback immédiat et bienveillant : voilà les signes que tu aurais pu repérer, voilà comment réagir la prochaine fois. L’objectif c’est d’apprendre, pas de punir.
Avec le temps et la répétition, les taux de clic baissent significativement. Les réflexes s’installent. Les gens commencent à signaler spontanément les e-mails suspects au lieu de les ignorer ou de cliquer par réflexe.
Des politiques claires et vivantes
Une politique de sécurité qui dort dans un dossier partagé que personne ne consulte jamais, ça ne sert strictement à rien. Elle doit être accessible, compréhensible par des non-techniciens, illustrée par des cas concrets tirés de la vraie vie.
Une présentation annuelle des points essentiels, une FAQ maintenue à jour, des rappels réguliers sur les sujets critiques — l’objectif n’est pas que les gens connaissent le document par cœur, mais qu’ils sachent quoi faire quand ils sont face à une situation inhabituelle. Qui appeler, quoi ne pas faire, comment réagir.
La suite
Ces trois étapes — évaluation honnête de votre situation, renforcement méthodique de l’infrastructure, formation continue des équipes — sont les fondations. Sans elles, tout ce que vous construirez ensuite sera fragile. Vous pourrez acheter les meilleurs outils du marché, ça ne tiendra pas.
Dans le prochain article, on passe à la vitesse supérieure : les solutions de sécurité avancées (IDS/IPS, cryptographie, stratégie de sauvegarde) et la mise en place d’une surveillance continue capable de détecter et neutraliser les menaces avant qu’elles ne causent des dégâts irréparables.
