Sécuriser wifi, postes et smartphones

1. Sécuriser ses appareils : fermer les portes du cabinet numérique

Un cabinet ferme sa porte à clé le soir. Le cabinet numérique, lui, reste ouvert en permanence : les ordinateurs, le réseau wifi et les smartphones sont autant de portes d’entrée vers les données. Les sécuriser, c’est poser sur chacune une serrure adaptée. La leçon précédente apprenait à reconnaître les messages piégés ; celle-ci protège les appareils qui les reçoivent, les stockent et les traitent.

L’enjeu est double. D’abord la confidentialité : un cabinet comptable détient des données personnelles et financières dont il est juridiquement responsable (le RGPD impose des mesures de sécurité « appropriées »). Ensuite la continuité : un poste bloqué par un rançongiciel, un téléphone perdu ou un réseau compromis peut arrêter l’activité pendant des jours. L’ANSSI et cybermalveillance.gouv.fr rappellent que les rançongiciels et les vols de données figurent parmi les principales causes d’arrêt pour les petites structures — et que la plupart des attaques exploitent des négligences simples : un logiciel non mis à jour, un mot de passe faible, un appareil non verrouillé.

La bonne nouvelle est la même qu’à la leçon précédente : l’essentiel se joue sur des gestes d’hygiène, pas sur des outils coûteux. Le schéma ci-dessous présente les trois surfaces à protéger — le poste, le réseau, le mobile — et le principe de la défense en profondeur : plusieurs protections modestes valent mieux qu’une seule barrière que l’on croirait infranchissable.

Notre fil rouge : le Cabinet Verne. Quatre personnes, à Issoire : Claire (dirigeante), Marc, Sophie et Julien. Trois ordinateurs portables, deux fixes, quatre smartphones, une box wifi partagée avec la salle d’attente, et un logiciel de comptabilité contenant les données de dizaines de clients. Un terrain typique de TPE — ni parc informatique géant, ni informaticien dédié — que nous allons sécuriser porte après porte.

2. Les mises à jour : la serrure la plus rentable

Si vous ne deviez retenir qu’un seul geste, ce serait celui-ci. Les logiciels contiennent inévitablement des failles — des défauts que les attaquants apprennent à exploiter. Quand l’éditeur en découvre une, il publie un correctif (une mise à jour). Tant que vous ne l’installez pas, la porte reste ouverte, et elle est désormais connue des cybercriminels. Mettre à jour, c’est refermer cette porte avant qu’elle ne serve. La figure ci-dessous résume cette course.

Que faut-il mettre à jour ?

Tout ce qui exécute du logiciel, c’est-à-dire bien plus que Windows. Le tableau ci-dessous récapitule les cibles et la bonne pratique pour chacune.

À mettre à jour	Exemples	Bonne pratique
Système d’exploitation	Windows, macOS, Android, iOS	Mises à jour automatiques activées ; redémarrer sans tarder.
Logiciels du quotidien	Navigateur, suite bureautique, PDF	Activer la mise à jour auto ; fermer/relancer le navigateur régulièrement.
Logiciel métier	Comptabilité, paie	Suivre les versions de l’éditeur ; appliquer les correctifs de sécurité.
Équipements réseau	Box, routeur, imprimante wifi	Vérifier le firmware ; activer les mises à jour auto de la box.
Applications mobiles	Messagerie, banque, métier	Mise à jour auto via la boutique officielle.

Le piège du logiciel en fin de vie

Un logiciel ou un système « en fin de support » ne reçoit plus de correctifs : ses failles restent ouvertes pour toujours. Continuer d’utiliser un système d’exploitation abandonné par son éditeur, c’est rouler sans freins. Il faut alors migrer vers une version encore suivie. Au Cabinet Verne, Claire tient un petit inventaire des appareils et de leurs logiciels, avec la date de fin de support de chacun, pour anticiper les remplacements plutôt que les subir.

3. Mots de passe solides et double authentification

Le mot de passe est la clé de la plupart de vos portes. Deux erreurs le rendent inutile : en choisir un trop simple, et le réutiliser partout. Si un même mot de passe protège la messagerie, la banque et le logiciel métier, il suffit qu’un seul service soit compromis pour que tout tombe. La règle tient en trois mots : long, unique, mémorisable.

La phrase de passe : longue et facile

Oubliez les « P@ssw0rd ! » impossibles à retenir et pourtant faibles. L’ANSSI recommande la phrase de passe : quatre ou cinq mots sans lien logique, assemblés, éventuellement séparés par des signes. « Cheval-Lampe-Sancy-42-Piano » est à la fois plus long, plus solide et plus facile à mémoriser qu’une bouillie de caractères. La longueur prime sur la complexité : chaque caractère supplémentaire rend une attaque exponentiellement plus difficile.

Le gestionnaire de mots de passe

Personne ne peut retenir trente phrases de passe différentes. C’est le rôle du gestionnaire de mots de passe : un coffre-fort numérique qui les mémorise tous, protégé par une seule phrase de passe maîtresse (la seule à connaître par cœur). Il en génère de nouveaux, les remplit automatiquement — et seulement sur le bon site, ce qui constitue un garde-fou contre l’hameçonnage. Au Cabinet Verne, chacun dispose de son coffre ; les accès partagés (logiciel métier) sont rangés dans un espace commun.

La double authentification (2FA)

La double authentification ajoute un second facteur au mot de passe : un code fourni par une application dédiée, une clé physique, ou à défaut un SMS. Même si un mot de passe est volé, l’attaquant reste bloqué sans ce second facteur. Activez-la en priorité sur la messagerie (qui sert à réinitialiser tous les autres comptes), la banque et les outils métier. Privilégiez une application d’authentification au SMS, plus vulnérable.

Habitude	À éviter	À adopter
Longueur	6 à 8 caractères	Phrase de passe de 4-5 mots
Réutilisation	Le même partout	Un mot de passe unique par service
Mémorisation	Post-it sous le clavier	Gestionnaire de mots de passe
Comptes sensibles	Mot de passe seul	Double authentification activée

4. Protéger le poste : antivirus, pare-feu et verrouillage

Une fois les mises à jour et les mots de passe en place, on renforce chaque ordinateur avec trois protections de base. Aucune n’est coûteuse : l’essentiel est déjà intégré au système.

L’antivirus

L’antivirus (ou « antimalware ») surveille le poste et bloque les logiciels malveillants connus. Sous Windows, la protection intégrée (Microsoft Defender) est sérieuse et suffisante pour la plupart des TPE, à condition qu’elle soit active et à jour — ce qui va de pair avec les mises à jour du système. L’essentiel n’est pas la marque, mais qu’un antivirus tourne réellement, ne soit jamais désactivé « pour aller plus vite », et que ses analyses ne soient pas ignorées. Rappelez-vous toutefois qu’un antivirus ne remplace pas la vigilance : il ne vous empêchera pas de saisir un mot de passe sur un faux site.

Le pare-feu

Le pare-feu filtre les connexions entrantes et sortantes de l’ordinateur : il empêche des programmes non autorisés de communiquer avec l’extérieur. Là encore, Windows et macOS en intègrent un, activé par défaut. La bonne pratique est simple : le laisser activé, et se méfier des fenêtres qui demandent d’« autoriser » un programme inconnu à accéder au réseau.

Le verrouillage systématique

Un poste déverrouillé et laissé sans surveillance est une porte grande ouverte — dans une salle d’attente, un open space, ou lors d’un rendez-vous extérieur. Deux réglages suffisent :

1. Le verrouillage manuel, à faire dès qu’on s’éloigne : sous Windows, le raccourci Windows + L ; sur Mac, Ctrl + Cmd + Q. Le geste devient un réflexe, comme retirer sa clé de contact.
2. Le verrouillage automatique après quelques minutes d’inactivité, avec demande de mot de passe au réveil. Il rattrape les oublis.

Le même principe vaut au démarrage : chaque poste doit exiger un identifiant. Un ordinateur qui démarre directement sur le bureau, sans mot de passe, n’offre aucune protection en cas de vol.

Un compte par personne, et des droits limités

Sur un poste partagé, mieux vaut un compte distinct par utilisateur plutôt qu’une session commune : on sait qui fait quoi, et chacun ne voit que ses données. Surtout, on distingue le compte administrateur (qui peut tout installer et tout modifier) du compte standard utilisé au quotidien. Travailler sur un compte standard limite fortement les dégâts d’un logiciel malveillant : sans les droits d’administration, il ne peut pas s’installer en profondeur. On ne passe en administrateur que ponctuellement, pour une installation légitime.

5. Le chiffrement : quand le vol ne devient pas une fuite

Le verrouillage protège l’accès à une session allumée. Mais si un ordinateur portable est volé, le voleur peut retirer le disque dur et le lire sur une autre machine, contournant tout mot de passe de session. La parade est le chiffrement du disque : les données y sont stockées sous une forme illisible, déchiffrées à la volée uniquement quand la bonne clé (liée à votre identifiant) est fournie. Sans cette clé, le contenu du disque n’est qu’un magma inexploitable. La figure ci-dessous illustre la différence pour un portable dérobé.

Comment l’activer

Le chiffrement est intégré aux systèmes récents ; il suffit souvent de l’activer :

• Windows : la fonction BitLocker (éditions Pro et Entreprise) chiffre le disque entier. Sur les éditions Familiales, le « chiffrement de l’appareil » joue un rôle équivalent sur les matériels compatibles.
• macOS : FileVault, à activer dans les réglages de confidentialité et sécurité.
• Smartphones et tablettes : les modèles récents (Android, iPhone) sont chiffrés par défaut dès qu’un code de verrouillage est défini — une raison de plus de ne jamais laisser un téléphone sans code.

La clé de récupération, à ne pas perdre

Le chiffrement s’accompagne d’une clé de récupération, un long code à conserver précieusement, séparé de l’appareil : il permet de récupérer ses données en cas de problème (oubli du mot de passe, panne). Rangez-la dans votre gestionnaire de mots de passe ou dans un endroit sûr, jamais sur un post-it collé au portable. Perdre à la fois l’accès et la clé, c’est perdre définitivement les données.

6. Le wifi : un réseau pro, un réseau invité

Le réseau wifi est la voie d’accès commune à tous les appareils. Mal réglé, il laisse entrer n’importe qui à portée d’antenne ; bien réglé, il devient une frontière solide. Deux chantiers : durcir la box, puis séparer les visiteurs des postes de travail.

Durcir la box

La plupart des box arrivent avec des réglages par défaut qu’il faut revoir une bonne fois. Le tableau ci-dessous liste les points à vérifier dans l’interface d’administration (accessible depuis un navigateur, adresse fournie par le fournisseur).

Réglage	Pourquoi	Action
Mot de passe d’administration de la box	Celui d’usine est connu de tous.	Le remplacer par une phrase de passe.
Chiffrement du wifi	Protège les échanges sur le réseau.	Choisir WPA3, ou WPA2 à défaut. Jamais WEP ni « ouvert ».
Clé du wifi	C’est le sésame du réseau.	Une clé longue ; la changer si elle a circulé.
Fonction WPS	Facilite l’intrusion par le bouton.	La désactiver si elle n’est pas utile.
Firmware de la box	Corrige les failles connues.	Activer les mises à jour automatiques.

Séparer les visiteurs : le réseau invité

La plupart des box permettent de créer un réseau invité : un second wifi, avec sa propre clé, isolé du réseau principal. Les clients en salle d’attente, les visiteurs, les appareils personnels s’y connectent sans jamais toucher aux postes de travail ni au logiciel métier. Si l’un de ces appareils est infecté, il reste cloisonné. Le schéma ci-dessous montre cette séparation, simple à mettre en place et très efficace.

7. Séparer le professionnel et le personnel

Mélanger vie pro et vie perso sur les mêmes appareils et les mêmes comptes multiplie les risques : un jeu installé par un proche, une pièce jointe personnelle piégée, un mot de passe perso réutilisé au travail… et c’est le cabinet qui trinque. La séparation n’a pas besoin d’être parfaite pour être utile ; elle réduit nettement la surface d’exposition. La figure ci-dessous en résume l’esprit.

Les bonnes habitudes de séparation

• Des appareils dédiés quand c’est possible. Un ordinateur et un téléphone pro servent au travail ; les usages privés se font sur des appareils personnels. Le budget d’une petite structure ne le permet pas toujours à 100 %, mais on vise cette séparation pour les outils les plus sensibles.
• Des comptes distincts. Messagerie professionnelle d’un côté, personnelle de l’autre ; espace de stockage cloud pro séparé du cloud perso. On ne traite jamais un dossier client depuis une boîte Gmail privée.
• Pas d’installation sauvage. Sur un poste pro, on n’installe que les logiciels nécessaires, issus de sources officielles. Chaque application ajoutée est une porte de plus.
• Le télétravail encadré. Travailler de chez soi est légitime, à condition d’utiliser l’appareil pro, une connexion maîtrisée et les mêmes règles qu’au cabinet.

Le cas du « BYOD »

Beaucoup de TPE laissent chacun utiliser son propre téléphone pour le travail (le BYOD, « apportez votre appareil personnel »). C’est pratique, mais cela demande un minimum de règles : verrouillage obligatoire, mises à jour à jour, séparation des données professionnelles (idéalement dans un espace ou un profil dédié), et possibilité d’effacer à distance les données pro en cas de perte. Sans ces garde-fous, les données du cabinet se retrouvent dispersées sur des appareils que le cabinet ne maîtrise pas.

8. Sécuriser smartphones et tablettes

Le smartphone est devenu un ordinateur de poche : il contient la messagerie, parfois l’application bancaire, des documents, l’accès au cloud. Il mérite le même soin qu’un poste — avec en plus le risque de la perte et du vol, car il sort du cabinet en permanence. La check-list ci-dessous couvre l’essentiel.

Point	Bonne pratique
Verrouillage	Code à 6 chiffres minimum ou biométrie ; verrouillage automatique rapide.
Mises à jour	Système et applications à jour, automatiquement.
Applications	Uniquement depuis la boutique officielle ; se méfier des permissions excessives.
Chiffrement	Activé par défaut dès qu’un code est défini : ne jamais le retirer.
Perte et vol	Activer la localisation et l’effacement à distance.
Connexions	Bluetooth et wifi coupés quand inutiles ; éviter le wifi public pour le travail.

Deux points méritent une attention particulière. D’abord, les applications : on les installe uniquement depuis la boutique officielle (App Store, Google Play), et l’on refuse les permissions qui n’ont rien à voir avec la fonction de l’app (une lampe torche n’a pas besoin de vos contacts). Ensuite, la perte : activez dès aujourd’hui la localisation et l’effacement à distance (« Localiser mon appareil »), pour pouvoir, en cas de vol, retrouver ou effacer le téléphone à distance. Combiné au chiffrement et au verrouillage, ce trio fait qu’un téléphone perdu reste une perte de matériel, pas une fuite de données.

9. Sauvegarder : la protection qui pardonne les erreurs

Aucune protection n’est parfaite. La sauvegarde est le filet qui rattrape tout le reste : un rançongiciel qui chiffre vos fichiers, un disque qui lâche, un vol, une fausse manipulation. Sans sauvegarde, ces événements sont définitifs ; avec elle, ils deviennent un simple contretemps. La règle de référence, rappelée par cybermalveillance.gouv.fr, est la règle 3-2-1, illustrée ci-dessous.

Deux précautions rendent une sauvegarde vraiment fiable. La première : une copie déconnectée ou hors ligne (disque externe débranché, cloud avec historique), car un rançongiciel chiffre aussi les sauvegardes qui restent connectées au poste. La seconde : tester la restauration. Une sauvegarde que l’on n’a jamais essayé de restaurer n’est qu’une promesse. Au Cabinet Verne, Claire vérifie chaque trimestre qu’un fichier peut réellement être récupéré.

🧭 Erreurs fréquentes et dépannage

Le tableau relie les négligences les plus courantes à leur correctif immédiat.

Symptôme / situation	Cause probable	Solution
« Mise à jour plus tard », toujours reportée	Failles connues laissées ouvertes.	Activer l’auto ; redémarrer chaque soir.
Le même mot de passe sur plusieurs services	Effet domino en cas de fuite.	Gestionnaire + un mot de passe unique par service.
Wifi ouvert, WEP, ou clé d’usine	Réseau écoutable ou pénétrable.	WPA2/WPA3, clé longue, réseau invité séparé.
Portable non chiffré emporté à l’extérieur	Un vol devient une fuite de données.	Activer BitLocker ou FileVault ; garder la clé de récupération.
Sauvegarde branchée en permanence, jamais testée	Un rançongiciel la chiffre aussi.	Règle 3-2-1, une copie déconnectée, test trimestriel.
Téléphone sans code de verrouillage	Accès total en cas de perte.	Code + biométrie + effacement à distance activé.
Poste qui rame, fenêtres surgissantes	Logiciel indésirable possible.	Analyse antivirus complète ; en cas de doute, voir la leçon « Réagir ».

📋 Cas pratique 1 — Le portable de Julien volé dans la voiture

La situation. En déplacement chez un client, Julien laisse un instant son portable dans la voiture. Vitre brisée, ordinateur volé. Sur le disque : des documents comptables et des données personnelles de plusieurs clients. La question qui glace : ces données sont-elles perdues, et le cabinet doit-il tout notifier à la CNIL ?

Ce qui protège le cabinet. Le portable de Julien était chiffré (BitLocker) et verrouillé par une phrase de passe. Le voleur qui tenterait de lire le disque n’obtiendra qu’un contenu illisible. La session n’était pas ouverte, et le compte de Julien était un compte standard, sans droits d’administration. Les données sont donc, en pratique, inaccessibles.

La résolution, dans l’ordre. Claire déclenche la marche à suivre : (1) changer sans délai les mots de passe des comptes accessibles depuis ce poste (messagerie, logiciel métier) ; (2) révoquer les accès de l’appareil aux espaces cloud ; (3) déposer plainte pour le vol ; (4) restaurer les données de Julien sur un poste de remplacement à partir de la sauvegarde. Grâce au chiffrement, l’analyse conclut à un risque très faible pour les personnes : la perte reste matérielle. Sans chiffrement, la même scène aurait imposé une notification à la CNIL et l’information des clients.

La leçon. Trois mesures banales — chiffrement, verrouillage, sauvegarde — ont transformé une catastrophe potentielle en incident maîtrisé. Elles ne coûtent rien d’autre que quelques minutes de réglage, faites une fois pour toutes.

📋 Cas pratique 2 — Le wifi du cabinet remis à plat

La situation. Jusqu’ici, tout le monde — équipe, clients en salle d’attente, téléphones personnels — se connectait au même wifi, avec la clé d’usine imprimée sous la box. Claire veut assainir la situation.

La résolution. Depuis l’interface de la box, elle procède par étapes : (1) elle remplace le mot de passe d’administration d’usine par une phrase de passe ; (2) elle vérifie que le chiffrement est en WPA2/WPA3 et définit une clé wifi longue pour le réseau pro ; (3) elle active le réseau invité, avec une clé distincte, pour la salle d’attente et les appareils personnels ; (4) elle désactive le WPS et active les mises à jour automatiques du firmware. Les postes de travail, l’imprimante et le logiciel métier restent sur le réseau pro ; tout le reste passe sur l’invité.

Le résultat. Un visiteur dont le téléphone serait infecté n’a désormais aucun chemin vers les données du cabinet. La séparation a pris vingt minutes et n’a rien coûté.

📋 Cas pratique 3 — Le smartphone pro de Marc

La situation. Marc consulte la messagerie du cabinet et l’application bancaire depuis son téléphone personnel, qu’il utilise aussi pour ses réseaux sociaux et ses jeux. Le téléphone n’a qu’un schéma de déverrouillage simple, et Marc reporte les mises à jour « parce que ça vide la batterie ».

Le diagnostic. Trois faiblesses : un verrouillage faible, des mises à jour en retard, et une absence de séparation pro/perso sur un appareil qui accède pourtant aux données du cabinet. En cas de perte, l’essentiel du cabinet serait accessible.

La résolution. Marc applique la check-list mobile : (1) il passe à un code à 6 chiffres complété par la biométrie, avec verrouillage automatique rapide ; (2) il active les mises à jour automatiques du système et des applications ; (3) il vérifie que le chiffrement est actif (il l’est, dès qu’un code est défini) ; (4) il active la localisation et l’effacement à distance ; (5) il crée un profil de travail qui isole la messagerie et les outils pro du reste du téléphone. Désormais, en cas de perte, le cabinet peut n’effacer que la partie professionnelle.

La leçon. Le BYOD n’est pas interdit : il est encadré. Quelques réglages suffisent à concilier le confort de Marc et la sécurité des données clients.

🏋️ Exercices

Cherchez la réponse, puis dépliez le corrigé.

Exercice 1 — La bonne phrase de passe. Entre « Soleil7 », « azerty123 » et « Radis-Nuage-Volcan-31 », lequel choisir pour la messagerie du cabinet, et pourquoi ?

✅ Voir le corrigé

« Radis-Nuage-Volcan-31 » : une phrase de passe longue, faite de mots sans lien, bien plus résistante et pourtant facile à retenir. Les deux autres sont trop courts et trop prévisibles. On l’associe à la double authentification et on ne le réutilise nulle part ailleurs.

Exercice 2 — Mise à jour reportée. Un poste propose une mise à jour de sécurité depuis une semaine ; on la reporte « pour ne pas être interrompu ». Quel est le risque, et le bon geste ?

✅ Voir le corrigé

Le risque : la faille corrigée est désormais connue et exploitable tant que le correctif n’est pas posé. Le bon geste : activer les mises à jour automatiques et planifier le redémarrage en fin de journée, quand l’interruption ne gêne pas.

Exercice 3 — Le portable en déplacement. Julien part chez un client avec un portable contenant des données sensibles. Quelles deux protections garantissent qu’un vol ne devienne pas une fuite ?

✅ Voir le corrigé

Le chiffrement du disque (BitLocker ou FileVault), qui rend les données illisibles hors session, et le verrouillage par mot de passe (au démarrage et automatique). En complément, une sauvegarde à jour permet de récupérer le travail sur un autre poste.

Exercice 4 — Wifi de la salle d’attente. Des clients demandent le code wifi en salle d’attente. Que proposer sans exposer les postes de travail ?

✅ Voir le corrigé

Leur donner l’accès au réseau invité, isolé du réseau pro et doté de sa propre clé. Les postes, l’imprimante et le logiciel métier restent sur le réseau pro, hors de portée des appareils des visiteurs.

Exercice 5 — Compte de travail. Faut-il travailler au quotidien avec un compte administrateur ? Justifiez.

✅ Voir le corrigé

Non. Au quotidien, on utilise un compte standard. Sans les droits d’administration, un logiciel malveillant ouvert par erreur ne peut pas s’installer en profondeur. On ne passe en administrateur que ponctuellement, pour une installation légitime.

Exercice 6 — Sauvegarde fiable. Un cabinet copie ses fichiers sur un disque externe laissé branché en permanence. Pourquoi est-ce insuffisant, et comment améliorer ?

✅ Voir le corrigé

Un disque branché en permanence est chiffré lui aussi par un rançongiciel. Il faut appliquer la règle 3-2-1 : trois copies, deux supports, une hors site ; garder au moins une copie déconnectée, et tester régulièrement la restauration.

🧩 Adapter à votre activité

Les serrures sont les mêmes pour tous ; seuls varient les objets de valeur derrière la porte.

• Commerce et boutique. Priorité au terminal de paiement et à la caisse (mises à jour, réseau isolé), au wifi client séparé, et à la sauvegarde des ventes et du stock.
• Artisan et bâtiment. Le smartphone est l’outil central (devis, photos de chantier) : verrouillage, chiffrement et sauvegarde cloud priment. Le portable de bureau doit être chiffré s’il voyage.
• Profession libérale et santé. Données très sensibles : chiffrement systématique, comptes individuels, double authentification sur les logiciels métier, et séparation stricte pro/perso.
• Association. Souvent des appareils partagés et des bénévoles qui changent : comptes distincts, gestionnaire de mots de passe partagé pour les accès communs, et sauvegarde du fichier des adhérents.

Le principe reste identique : mettre à jour, verrouiller, chiffrer, cloisonner le réseau, séparer pro et perso, sauvegarder. Ces six gestes forment le socle d’hygiène numérique valable dans tous les métiers.

🚀 Aller plus loin

Une fois le socle en place, quelques pratiques hissent le cabinet à un niveau supérieur.

Un inventaire vivant

Tenez la liste de vos appareils, logiciels et comptes, avec pour chacun la version, la date de fin de support et le responsable. On ne protège bien que ce que l’on connaît. Cet inventaire, tenu à jour, guide les remplacements et évite les oublis (un vieux téléphone encore connecté à la messagerie, par exemple).

Une charte informatique simple

Une page de règles partagées — verrouiller en partant, ne pas installer n’importe quoi, signaler tout doute — vaut mieux que des consignes orales. Elle donne à chacun le même cadre et déculpabilise la vigilance : ce n’est pas de la méfiance, c’est la règle commune.

Le guide de l’ANSSI pour les TPE-PME

L’ANSSI publie un guide des bonnes pratiques de l’informatique et, avec cybermalveillance.gouv.fr, de nombreuses fiches pratiques gratuites, pensées pour les petites structures. S’y référer régulièrement permet de rester à jour sans être expert.

La suite du parcours

La leçon précédente apprenait à repérer les pièges qui arrivent par message ; celle-ci a verrouillé les appareils. La suivante, « Réagir en cas d’incident », complète l’édifice : que faire, concrètement, le jour où quelque chose passe malgré tout. Prévenir et protéger réduisent le risque ; savoir réagir en limite les conséquences.

🔑 L’essentiel à retenir

• La sécurité des appareils repose sur des gestes d’hygiène simples, pas sur des outils coûteux.
• Les mises à jour automatiques sont la serrure la plus rentable ; on redémarre pour les appliquer.
• Un mot de passe long, unique par service, dans un gestionnaire, avec la double authentification sur les comptes clés.
• Un antivirus actif, un pare-feu activé, un verrouillage systématique et un compte standard au quotidien.
• Le chiffrement transforme un vol de matériel en simple perte de matériel.
• Un wifi pro durci (WPA2/WPA3, clé longue) et un réseau invité séparé pour les visiteurs.
• Séparer pro et perso limite la surface d’exposition ; sur mobile, un profil de travail cloisonne les données.
• La sauvegarde 3-2-1, avec une copie déconnectée et testée, rattrape tout le reste.

📖 Glossaire

Terme	Définition
Faille (vulnérabilité)	Défaut d’un logiciel qu’un attaquant peut exploiter.
Correctif (mise à jour)	Version corrigée publiée par l’éditeur pour fermer une faille.
Phrase de passe	Mot de passe long fait de plusieurs mots, plus sûr et plus facile à retenir.
Gestionnaire de mots de passe	Coffre-fort numérique qui stocke et génère des mots de passe uniques.
Double authentification	Second facteur (code, application, clé) en plus du mot de passe.
Antivirus	Logiciel qui détecte et bloque les programmes malveillants connus.
Pare-feu	Filtre des connexions réseau entrantes et sortantes d’un appareil.
Chiffrement	Transformation des données en une forme illisible sans la bonne clé.
Clé de récupération	Code de secours permettant de récupérer un appareil chiffré.
BitLocker / FileVault	Outils de chiffrement de disque intégrés à Windows et macOS.
WPA2 / WPA3	Normes de chiffrement du wifi ; à préférer aux protocoles anciens.
Réseau invité	Second wifi isolé, réservé aux visiteurs et appareils personnels.
Firmware	Logiciel interne d’un équipement (box, imprimante), à mettre à jour aussi.
BYOD	Usage d’un appareil personnel pour le travail, à encadrer par des règles.
Compte standard / administrateur	Le premier limite les droits au quotidien ; le second sert aux installations.
Sauvegarde 3-2-1	Trois copies, deux supports, une hors site ; règle de référence.

❓ Questions fréquentes

Faut-il payer un antivirus, ou celui de Windows suffit-il ?

Pour la plupart des TPE, la protection intégrée de Windows (Microsoft Defender), maintenue active et à jour, est sérieuse et suffisante. Une solution payante peut ajouter des fonctions (gestion centralisée, filtrage renforcé) utiles à mesure que la structure grandit, mais l’essentiel est qu’un antivirus tourne réellement et ne soit jamais désactivé.

Dois-je changer tous mes mots de passe régulièrement ?

Les recommandations récentes de l’ANSSI privilégient des mots de passe longs et uniques plutôt que des changements fréquents imposés, qui poussent à choisir des variantes faibles. On change un mot de passe surtout en cas de doute, de fuite connue d’un service, ou après un incident. La double authentification renforce durablement la protection.

Le chiffrement ralentit-il l’ordinateur ?

Sur un matériel récent, l’impact est imperceptible : le chiffrement et le déchiffrement se font à la volée, sans gêne à l’usage. Le seul point d’attention est de conserver précieusement la clé de récupération. Le bénéfice — un vol qui ne devient pas une fuite — dépasse très largement ce coût invisible.

Un Mac ou un iPhone a-t-il besoin d’être sécurisé ?

Oui. Aucun système n’est invulnérable : les mises à jour, les mots de passe solides, le verrouillage, le chiffrement et la prudence face aux messages piégés valent pour macOS et iOS comme pour Windows et Android. La marque de l’appareil ne dispense jamais des gestes d’hygiène.

Comment savoir si mon wifi est bien réglé ?

Connectez-vous à l’interface de votre box et vérifiez quatre points : le mot de passe d’administration n’est plus celui d’usine ; le chiffrement est en WPA2 ou WPA3 ; la clé wifi est longue ; un réseau invité est activé pour les visiteurs. En cas de doute, votre fournisseur d’accès peut vous guider.

Puis-je travailler sur un wifi public avec un VPN ?

Un VPN de confiance chiffre votre trafic et réduit le risque d’écoute sur un réseau public. C’est mieux qu’un wifi public seul, mais le plus sûr reste le partage de connexion de votre smartphone. Dans tous les cas, évitez les opérations les plus sensibles (virements) depuis un réseau que vous ne maîtrisez pas.

Que faire d’un ordinateur qui ne reçoit plus de mises à jour ?

Un système en fin de support garde ses failles ouvertes pour toujours. Il faut migrer vers une version encore suivie, ou remplacer l’appareil s’il ne peut pas l’accueillir. En attendant, on limite son usage aux tâches non sensibles et on le tient à l’écart des données clients.

La double authentification par SMS suffit-elle ?

Elle vaut mieux que rien, mais le SMS est le facteur le plus faible (il peut être détourné). Préférez une application d’authentification ou une clé physique lorsque le service le permet, notamment pour la messagerie, la banque et les outils métier.

Comment gérer les accès quand quelqu’un quitte le cabinet ?

Prévoyez une petite procédure de départ : désactiver ses comptes (messagerie, logiciel métier, cloud), changer les mots de passe partagés qu’il connaissait, révoquer l’accès de ses appareils, et récupérer le matériel. Votre inventaire des comptes rend cette étape simple et sûre : on n’oublie aucun accès resté ouvert.

Une clé USB trouvée ou reçue, puis-je la brancher ?

Non. Une clé USB d’origine inconnue peut contenir un logiciel malveillant qui s’exécute au branchement. On ne branche jamais une clé trouvée, reçue par courrier non sollicité ou distribuée lors d’un salon. Pour les échanges de fichiers, préférez un espace de partage maîtrisé.

Num Compagny accompagne les dirigeants et les équipes des TPE-PME dans la sécurisation de leurs postes, réseaux et mobiles, au sein de son Académie et lors de formations sur mesure. Retrouvez la suite de ce parcours sur numcompagny.com.