Dans une PME, le site web n’est qu’une partie de l’environnement numérique. La messagerie, les dossiers partagés, les appareils et les accès des intervenants demandent aussi une organisation. Ce guide propose une trame de travail à adapter avec les responsables concernés, pas un diagnostic de sécurité de ton entreprise.
1. Faire une fiche par service réellement utilisé
Commence par les services dont ton équipe se sert : messagerie, documents, facturation, relation client et site web. Pour chacun, renseigne le titulaire du contrat, les personnes autorisées, les données utilisées et le contact d’assistance.
Cette fiche peut prendre une forme simple : « service, responsable, utilisateurs, récupération, assistance ». N’y stocke pas de mots de passe. Distingue les éléments que tu maîtrises de ceux confiés à un fournisseur ou à un prestataire.
2. Examiner les accès et les moyens de récupération
Les mesures essentielles de Cybermalveillance.gouv.fr recommandent notamment des mots de passe différents, la double authentification lorsqu’elle est disponible, les mises à jour et la séparation des usages personnels et professionnels.
Pour ton organisation, prépare une liste de questions : qui peut ajouter un utilisateur ? Qui valide ses droits ? Qui récupère l’accès à un compte essentiel ? Où se trouve la procédure autorisée ? Une décision d’accès doit avoir un responsable, pas seulement une case cochée dans un tableau.
3. Définir un réflexe pour les demandes inhabituelles
Cybermalveillance.gouv.fr recommande de vérifier les messages suspects et de contacter l’interlocuteur par un autre canal en cas de doute. Une apparence connue ou une demande urgente ne dispense pas de cette vérification.
Prépare avec ton équipe une consigne courte : quelle personne contacter, par quel moyen déjà connu et comment signaler la demande. Par exemple, un exercice fictif peut présenter un changement de coordonnées de paiement. Il sert à tester la consigne ; ce n’est ni un cas client, ni une invitation à effectuer un virement réel.
4. Décrire les données à récupérer en cas de perte
Le guide public sur les sauvegardes conseille d’identifier les données importantes, d’adapter les copies au besoin, de les protéger et d’en vérifier la récupération. Il recommande aussi de déconnecter les supports lorsqu’ils ne sont pas utilisés.
Pour chaque service critique, demande : quels éléments peut-on récupérer ? À partir de quelle copie ? Qui est autorisé à lancer l’essai ? Quel document en présente le résultat ? Un dossier synchronisé, une copie annoncée et un essai de récupération ne doivent pas être confondus dans le compte rendu.
5. Organiser les arrivées, départs et exercices
Prépare une fiche d’arrivée et une fiche de départ avec les responsables concernés. Liste les comptes à examiner, le matériel confié et les documents à remettre. Avant de fermer un accès, fais valider les dépendances et les modalités de transmission.
Les exercices doivent être explicitement autorisés et utiliser des exemples neutres. N’envoie pas de faux messages à des salariés ou à des clients pour « tester » l’équipe sans cadre convenu. Le livrable peut être une consigne relue ensemble et la liste des questions encore ouvertes.
6. Séparer entretien du site et assistance spécialisée
La maintenance d’un site web décrit un périmètre distinct de la gestion de tous les équipements ou d’un incident informatique. Identifie à l’avance le fournisseur et le spécialiste à solliciter pour chaque sujet.
Si ton besoin concerne le site, consulte la prestation de maintenance puis présente les outils et responsabilités à clarifier. Cette prise de contact ne présume ni une offre de réponse aux incidents pour toute la PME, ni une certification ou un engagement d’intervention permanent.
