Cybersécurité des ASBL et petites entreprises : les priorités qui comptent

Une petite association ou une entreprise de cinq personnes n’a pas besoin d’un centre de surveillance fonctionnant jour et nuit. Elle a besoin de pouvoir répondre à des questions beaucoup plus simples : où sont les sauvegardes, qui possède les accès, que faut-il remettre en service en premier et qui appeler lorsque quelque chose ne va pas ?

La cybersécurité devient gérable lorsqu’on la ramène à ces décisions concrètes. Le but n’est pas de tout protéger de la même manière, mais d’éviter qu’un incident ordinaire arrête l’activité pendant plusieurs semaines.

Commencer par ce qui doit absolument continuer

Faites l’inventaire d’une journée normale. Comment recevez-vous les demandes ? Où se trouvent les dossiers ? Comment payez-vous les fournisseurs ? Qui peut publier sur le site ? Quelles données seraient impossibles à reconstruire ?

Classez ensuite les services :

• essentiels dans les premières heures ;
• nécessaires dans les deux jours ;
• pouvant attendre une semaine.

Cette liste guide les sauvegardes, les droits et le plan de reprise. Sans elle, on dépense parfois beaucoup pour protéger un outil secondaire et l’on découvre trop tard que personne ne sait restaurer la comptabilité.

Les sauvegardes : la seule mesure qui répare plusieurs échecs

Une sauvegarde aide après une panne, une suppression accidentelle, un vol ou un rançongiciel. Elle mérite donc la première place.

La règle `3-2-1` fournit un bon repère :

• trois copies des données, y compris l’original ;
• deux types de supports ou environnements ;
• une copie hors site.

Ajoutez une protection essentielle : au moins une copie doit être hors ligne ou non modifiable par les comptes habituels. Une sauvegarde connectée en permanence avec les mêmes droits peut être chiffrée en même temps que les données.

Le test de restauration compte davantage que le message « sauvegarde réussie ». Deux fois par an, choisissez un dossier, restaurez-le dans un emplacement séparé et vérifiez qu’il s’ouvre. Une fois par an, testez un service complet important.

Notez la durée réelle. Elle vous dira si la promesse de reprise correspond aux besoins de l’activité.

Des comptes nominatifs, même dans une équipe de trois personnes

Le compte partagé semble pratique : tout le monde connaît le mot de passe et le travail continue. Il crée pourtant trois problèmes. On ne sait pas qui a effectué une action, le mot de passe circule, et le départ d’une personne oblige à changer le secret partout.

Chaque membre doit disposer de son propre compte. Les droits administrateur sont réservés aux tâches qui les exigent. Le compte utilisé chaque jour pour lire les courriels ne devrait pas pouvoir modifier toute l’infrastructure.

Activez un second facteur en priorité sur :

• la messagerie ;
• la banque ;
• le domaine et l’hébergement ;
• la comptabilité ;
• le stockage partagé ;
• les réseaux sociaux de l’organisation.

Pour les comptes les plus sensibles, une passkey ou clé physique protège mieux contre le phishing.

Préparer les arrivées, changements et départs

Les accès s’accumulent avec les années : ancien bénévole, prestataire, stagiaire, compte de test. Personne ne les retire parce que personne ne possède une liste complète.

Une procédure simple tient dans un tableau :

• personne ;
• service ;
• niveau de droit ;
• responsable qui a autorisé ;
• date de dernière vérification.

À l’arrivée, les accès sont accordés selon le rôle. Lors d’un changement, ils sont adaptés. Au départ, une checklist supprime les comptes, récupère le matériel, transfère les documents et change les secrets réellement partagés.

Vérifiez ce tableau tous les six mois. C’est peu spectaculaire et extrêmement efficace.

Les mises à jour ne sont pas toutes égales

Activez les mises à jour automatiques pour les postes, téléphones, navigateurs et applications courantes. Pour le site, le routeur, le NAS ou un logiciel métier, désignez une personne et un calendrier.

Tenez un inventaire court :

• nom du produit ;
• version ou modèle ;
• personne ou prestataire responsable ;
• date de fin de support ;
• dernière mise à jour vérifiée.

Un équipement qui ne reçoit plus de correctif n’est pas simplement « ancien ». Il représente un risque accepté. Cette décision doit être connue, budgétée et limitée dans le temps.

Les correctifs critiques des services exposés à internet ne doivent pas attendre la prochaine réunion mensuelle. Convenez avec le prestataire d’un délai et d’un moyen de vous prévenir.

Protéger la messagerie et les paiements par une procédure

Les petites structures sont fréquemment visées par la fausse facture et la fraude au dirigeant. Une technologie seule ne connaît pas la relation habituelle avec le fournisseur.

Écrivez deux règles :

1. toute modification de coordonnées bancaires est confirmée par téléphone auprès d’un contact déjà connu ;
2. tout paiement inhabituel ou urgent reçoit une seconde validation.

La règle s’applique même lorsque le courriel vient de la bonne adresse : la boîte du fournisseur peut être compromise.

Donnez aussi le droit de ralentir. Un collaborateur ne doit pas craindre de déranger la direction en vérifiant une demande.

Une sensibilisation qui n’humilie pas

Envoyer une fois par an une présentation sur le phishing change peu les comportements. Utilisez de courtes situations liées au travail réel : changement de compte fournisseur, demande urgente sur WhatsApp, faux partage de document.

Expliquez surtout quoi faire après une erreur. Le canal de signalement doit être connu et la non-sanction explicite. Une personne qui prévient dans les dix minutes offre à l’équipe une chance de révoquer le compte ou bloquer le paiement.

Après un exercice, ne publiez pas la liste des personnes qui ont cliqué. Cherchez pourquoi le scénario était crédible et ce que la procédure aurait dû empêcher.

Le plan de crise doit tenir sur une page

Conservez une copie imprimée ou hors ligne avec :

• les responsables et leurs remplaçants ;
• les coordonnées du prestataire, de la banque et de l’assureur ;
• l’emplacement des sauvegardes ;
• les trois services à restaurer en premier ;
• les premières actions : isoler, préserver, appeler, communiquer ;
• la personne autorisée à décider d’une coupure.

Le plan ne doit pas contenir les mots de passe. Il doit indiquer où les accès d’urgence sont conservés.

Testez-le avec un scénario de trente minutes : « la messagerie et les fichiers partagés sont indisponibles lundi à 8 h ». Vous découvrirez rapidement les numéros manquants et les dépendances invisibles.

Site web et services dans le cloud

L’hébergement « dans le cloud » ne signifie pas que tout est sauvegardé selon vos besoins. Vérifiez qui sauvegarde, combien de temps, comment demander une restauration et si les versions précédentes sont protégées contre la suppression par un administrateur compromis.

Pour le site, conservez séparément :

• les fichiers ;
• la base de données ;
• les réglages DNS et domaine ;
• les certificats et secrets nécessaires ;
• une liste des versions et dépendances ;
• une procédure de restauration testée.

Le prestataire doit pouvoir exporter vos données. Si le seul moyen de récupérer l’activité est de rester client, vous ne possédez pas réellement votre plan de continuité.

Données personnelles et obligations

Lorsqu’une violation concerne des données personnelles, le RGPD peut imposer une notification à l’Autorité de protection des données dans les 72 heures si l’incident présente un risque pour les personnes. En cas de risque élevé, les personnes concernées peuvent également devoir être informées.

Ne décidez pas seul dans l’urgence. Préparez les coordonnées du délégué à la protection des données, du conseil ou du prestataire compétent. Conservez une chronologie des faits et des décisions.

Les organisations relevant de NIS2 ont des obligations supplémentaires de sécurité et de notification. Vérifiez votre situation avant un incident, notamment si vous opérez dans un secteur essentiel ou fournissez un acteur concerné.

Un programme réaliste sur trente jours

### Semaine 1

Listez les services essentiels et les personnes qui disposent d’un accès administrateur. Activez le second facteur sur la messagerie et l’hébergement.

### Semaine 2

Vérifiez les sauvegardes et restaurez un dossier. Créez une copie hors ligne ou non modifiable.

### Semaine 3

Mettez à jour les équipements exposés, supprimez les anciens comptes et confirmez les coordonnées du prestataire.

### Semaine 4

Imprimez la page de crise et organisez un exercice de trente minutes. Transformez les problèmes trouvés en trois actions avec un responsable et une date.

Ce programme ne règle pas tout. Il réduit cependant les causes les plus courantes d’arrêt prolongé, sans achat spectaculaire.

Ressources officielles

• Safeonweb@work — conseils pour les organisations
• Centre pour la Cybersécurité Belgique
• Autorité de protection des données
• Commission européenne — directive NIS2