Si la transformation numérique contribue à améliorer le fonctionnement de l’entreprise, elle l’expose également davantage aux cyberattaques. Le vol ou la divulgation de données sont susceptibles de perturber durablement son activité.
Pour l’Agence nationale de la sécurité des systèmes d’information (ANSSI), la cybersécurité représente non seulement une problématique technique, mais également un enjeu économique, stratégique et organisationnel.
Sa mise en œuvre suppose l’adoption de mesures humaines, techniques et procédurales cohérentes, proportionnées aux risques encourus et aux ressources de l’entreprise.
Pour vous guider pas à pas, les experts du cabinet RYDGE Conseil font le point sur les étapes à suivre pour assurer une cybersécurité effective.
Étape 1 : comprendre les risques cyber
Les principales menaces
L’entreprise peut être la cible de diverses menaces, telles que :
- les courriels d’hameçonnage ;
- les logiciels malveillants ;
- les rançongiciels ;
- l’usurpation d’identité.
Un attaquant peut également s’introduire dans un système d’information à cause de :
- l'erreur humaine ;
- la perte d’un équipement ;
- la compromission d’un mot de passe.
Les répercussions multiples pour l’entreprise
Une cyberattaque peut provoquer :
- une interruption de la production ;
- la perte de données ;
- des frais de restauration ;
- des contentieux ;
- une dégradation de l’image de l’entreprise ;
- une perte de confiance des clients ou partenaires.
Compte tenu de la place occupée par les outils numériques dans son fonctionnement, l’entreprise doit donc anticiper les mesures nécessaires pour assurer la continuité de ses activités et leur reprise après un incident.
L’évaluation de l’exposition de l’entreprise
L’entreprise doit recenser ses ressources indispensables, identifier les actifs les plus sensibles, ainsi que les menaces et impacts associés, afin de hiérarchiser les mesures de sécurité à mettre en œuvre.
Étape 2 : instaurer une gouvernance efficace de la cybersécurité
Pour éviter autant que faire se peut toute cyberattaque, le dirigeant d’entreprise peut mettre en œuvre les actions suivantes :
- désigner des référents : la direction fixe les priorités et les moyens, tandis qu’un référent coordonne les actions, suit les incidents et répartit les responsabilités ;
- formaliser des règles : une charte informatique encadre les usages numériques, les mots de passe, le télétravail, les données et l’évolution des droits d’accès des collaborateurs, etc. ;
- maîtriser les prestataires et les services cloud : l’entreprise vérifie les garanties de sécurité, de sauvegarde, de gestion des incidents et de restitution des données, puis les inscrit dans le contrat.
Étape 3 : adopter les mesures indispensables de protection
L’inventaire et le maintien des ressources numériques
L’entreprise doit recenser et actualiser régulièrement l’ensemble de ses équipements, ses logiciels, ses abonnements informatiques et ses services numériques.
Les mises à jour de sécurité doivent être installées sans délai, tandis que les outils devenus obsolètes ou dépourvus de maintenance doivent être remplacés ou isolés.
La sécurité des accès
Afin de limiter les accès non autorisés au système d’information, chaque utilisateur doit disposer d’un compte personnel assorti de droits strictement adaptés à ses fonctions.
Parallèlement, l’accès aux services sensibles doit reposer sur des mots de passe solides et uniques, complétés, lorsque cela est possible, par une authentification multi-facteur (MFA).
La sécurité des équipements et du réseau
Dans l’optique de limiter la propagation d’une attaque, les postes de travail et les serveurs doivent être protégés par des dispositifs régulièrement mis à jour, tels qu’un pare-feu, un antivirus ou une solution de détection.
La sauvegarde des données
Pour éviter la perte définitive d’informations et pour limiter l’interruption de l’activité à la suite d’une cyberattaque, l’entreprise doit :
- sauvegarder régulièrement ses données essentielles ;
- conserver au moins une copie séparée de son système d’information ;
- tester périodiquement la restauration du système d’information.
La protection des usages numériques à distance
Dans le cadre du télétravail ou des déplacements professionnels, les équipements mobiles doivent être chiffrés, protégés et régulièrement mis à jour.
Il est important pour l’entreprise de rappeler aux collaborateurs d’utiliser des connexions sécurisées et d’éviter les réseaux Wi-Fi publics pour toute opération sensible lorsqu’ils travaillent à distance.
Enfin, la perte ou le vol d’un appareil doit être signalé sans délai, afin de limiter les risques d’accès non autorisé aux données de l’entreprise.
Étape 4 : sensibiliser les collaborateurs
Les collaborateurs doivent :
- être régulièrement sensibilisés aux principales menaces ;
- savoir signaler rapidement tout incident ;
- bénéficier de formations spécifiques (sur la gestion des accès, la fraude au président et l’ingénierie sociale, etc.) lorsqu’ils occupent une fonction plus exposée.
Étape 5 : Se préparer à une cyberattaque
Un plan d’action peut aider à appréhender une cyberattaque :
- en inventoriant les équipements, les logiciels, les comptes, les données critiques, etc., en corrigeant les vulnérabilités, en supprimant les accès inutiles et en activant l’authentification multi-facteur sur les services sensibles ;
- en organisant des sauvegardes isolées et en testant leur restauration ;
- en surveillant les alertes et les connexions inhabituelles, en identifiant les systèmes et données concernés et en conservant les éléments utiles à l’analyse ;
- en désignant un référent, en diffusant une procédure de signalement et en prévoyant les personnes à alerter, les décisions à prendre, les communications de secours et, si nécessaire, l’isolement des systèmes compromis ;
- en assurant la reprise de l’activité progressive par le biais de la correction des causes de l’incident et le test régulier de l’efficacité du dispositif.
Chaque mesure doit être associée à un responsable, une échéance et un indicateur de suivi, afin de clarifier les responsabilités et de mesurer l’avancement du plan.
Il est également préférable que le plan soit révisé régulièrement, après un incident ou une évolution importante du système d’information, afin de rester adapté aux risques et aux besoins de l’entreprise.
Étape 6 : identifier les règles de cybersécurité applicables à l’entreprise
Les obligations propres à la cybersécurité dépendent de l’activité, de la taille et des services ou produits numériques de l’entreprise, qui doit identifier les règles applicables et les intégrer à sa politique de sécurité.
La sécurité des systèmes d’information
Selon sa situation, l’entreprise peut notamment être soumise aux dispositifs suivants :
- directive NIS : les opérateurs de services essentiels et certains fournisseurs de services numériques doivent sécuriser leurs systèmes, se soumettre aux contrôles de l’ANSSI et déclarer les incidents majeurs ;
- dispositif SAIV : les opérateurs d’importance vitale doivent identifier leurs systèmes critiques et appliquer des règles sectorielles garantissant la continuité de leurs activités ;
- directive NIS 2 : cette réglementation étend les obligations à davantage d’entités et renforce la gestion des risques, la responsabilité des dirigeants, la sécurité des fournisseurs, ainsi que la notification des incidents (les entreprises concernées peuvent anticiper leur mise en conformité, grâce au Référentiel Cyber France (ReCyF) et à MonEspaceNIS2.
L’identité et la confiance numériques
L’Union européenne encadre l’identification électronique et les services de confiance numériques au moyen de 2 règlements complémentaires :
- règlement eIDAS : ce règlement encadre l’identification électronique et les services de confiance, tels que la signature, le cachet, l’horodatage et l’envoi recommandé électroniques, selon 3 niveaux de garantie (faible, substantiel et élevé) ;
- règlement eIDAS 2 : ce règlement renforce ce cadre et prévoit un portefeuille européen d’identité numérique d’ici fin 2026 (les entreprises doivent adapter le niveau de sécurité à la sensibilité des opérations et respecter, si elles fournissent ces services, les obligations de qualification, de certification et de notification des incidents).
La cybersécurité des produits
Le règlement européen dit « Cyber Resilience Act (CRA) » vient, de son côté, encadrer la cybersécurité des produits comportant des éléments numériques en prévoyant :
- des obligations pour les fabricants, les importateurs et distributeurs de logiciels, les matériels et solutions de traitement de données à distance, y compris lorsque leurs composants sont mis sur le marché séparément ;
- la sécurité dès la conception, l’évaluation des risques, la gestion des vulnérabilités, les mises à jour pendant l’assistance et l’information des utilisateurs ;
- une évaluation de conformité selon la catégorie du produit (général, important de classes I ou II, critique), par le fabricant ou un organisme notifié, et un marquage CE ;
- depuis le 11 septembre 2026, une alerte sous 24 h et une notification sous 72 h après connaissance d’une vulnérabilité activement exploitée ou d’un incident grave ;
- à compter du 11 décembre 2027, la conformité aux exigences essentielles du CRA des produits concernés mis sur le marché européen ;
- une préparation comprenant la cartographie et le classement des produits, la gestion des vulnérabilités et les preuves de conformité au Cyber Resilience Act.
La cybersécurité doit mobiliser toute l’entreprise autour :
- d’une organisation claire pour coordonner les responsabilités ;
- d’accès sécurisés pour prévenir les intrusions ;
- de sauvegardes fiables pour assurer la reprise ;
- d’une préparation aux incidents pour limiter leurs conséquences.
Elle impose aussi d’identifier les règles applicables, afin d’anticiper les échéances et de démontrer la conformité. Enfin, les actions doivent être priorisées et régulièrement évaluées pour maintenir leur efficacité dans la durée.
Date de rédaction : 26/10/2026
Sources :
-1.webp)
