Cybersécurité TPE : les 12 contrôles à mettre en place en priorité

Une petite entreprise n’a pas besoin de commencer par un projet technique complexe. Elle doit d’abord éviter les scénarios les plus courants : compte compromis, logiciel non corrigé, sauvegarde inutilisable, ancien accès encore actif ou réaction improvisée.

1. Les douze contrôles, classés par objectif

Le but n’est pas de cocher une fois ces lignes. Chaque contrôle doit avoir un responsable, une fréquence et une preuve. Sans cela, une sauvegarde « prévue » ou une MFA « recommandée » peut ne jamais être activée.

2. Commencer par ce qui existe vraiment

Listez les ordinateurs, téléphones, tablettes, routeurs, boîtes e-mail, services cloud, noms de domaine, outils de facturation et comptes administrateurs. Pour chaque élément, indiquez son propriétaire, son usage, la personne capable de l’administrer et la façon de récupérer l’accès.

Ajoutez une procédure de départ : désactivation des comptes, récupération du matériel, transfert des données utiles et changement des secrets partagés qui subsistent. Un ancien accès actif est un risque évitable.

3. Protéger d’abord la messagerie et les comptes administrateurs

La messagerie peut servir à réinitialiser de nombreux autres comptes. Le nom de domaine, la banque, la facturation et les outils contenant des données clients sont également prioritaires. Activez l’authentification multifacteur sur ces accès avant les services secondaires.

Utilisez un mot de passe unique par service et un gestionnaire de mots de passe. L’ANSSI recommande des mots de passe robustes et l’authentification à double facteur lorsque cela est possible. Conservez les codes de récupération dans un emplacement protégé distinct de l’appareil principal.

Donnez des droits administrateur seulement lorsqu’ils sont nécessaires. Le compte utilisé au quotidien ne doit pas automatiquement pouvoir modifier tous les réglages de l’entreprise.

4. Automatiser les mises à jour et protéger les appareils

Activez les mises à jour automatiques du système, du navigateur, des applications et des équipements réseau lorsque l’option existe. Remplacez les logiciels et appareils qui ne reçoivent plus de correctifs au lieu de les conserver sans limite.

Configurez le verrouillage automatique, le chiffrement du stockage lorsqu’il est disponible, une protection contre les logiciels malveillants adaptée et la possibilité de localiser ou effacer un appareil professionnel perdu. Séparez autant que possible les usages professionnels et personnels.

Pour un dépannage, ne transmettez jamais un mot de passe par téléphone ou formulaire. Le guide Trier une demande de dépannage informatique explique comment organiser un accès technique temporaire et contrôlé.

5. Créer une règle anti-fraude compréhensible par tous

Un message urgent demandant un paiement, un changement de RIB, un code de connexion ou l’ouverture d’une pièce jointe doit être vérifié par un autre canal connu. Appelez le contact avec le numéro déjà enregistré, pas celui fourni dans le message suspect.

Expliquez à l’équipe qu’un nom d’expéditeur ou un logo ne prouve rien. La procédure doit autoriser chacun à suspendre une action inhabituelle sans craindre de ralentir l’entreprise. Une validation de trente secondes coûte moins cher qu’un virement frauduleux.

6. Une synchronisation n’est pas toujours une sauvegarde

Une suppression ou un chiffrement peut se synchroniser sur tous les appareils. Conservez plusieurs copies adaptées à votre activité, dont une protégée ou déconnectée du système principal. Planifiez la fréquence selon la quantité de travail que l’entreprise peut accepter de perdre.

Testez une restauration complète sur un échantillon : retrouver le fichier, vérifier qu’il s’ouvre, mesurer le temps nécessaire et confirmer que la personne responsable sait agir. Cybermalveillance.gouv.fr recommande notamment de planifier les sauvegardes et de déconnecter le support après utilisation lorsqu’il s’agit d’un support externe.

Documentez aussi les dépendances : licences, clés, configurations, export de la messagerie et accès à l’hébergeur. Des fichiers sans les moyens de relancer le service ne suffisent pas toujours à reprendre l’activité.

7. Le cloud déplace une partie du travail, pas toute la responsabilité

Vérifiez les fonctions de sécurité proposées, puis configurez-les : MFA, rôles, sauvegardes, alertes, export, journalisation et contacts d’incident. Demandez qui administre le service, comment une indisponibilité est gérée et comment récupérer les données si le contrat s’arrête.

Ne donnez pas à un prestataire un accès permanent et total lorsqu’un accès limité dans le temps suffit. Retirez les comptes de support inutilisés et conservez la liste des intégrations connectées.

Pour la gouvernance des informations personnelles, consultez séparément Données clients et RGPD : la checklist pour une TPE. La conformité et la cybersécurité se complètent, mais ne répondent pas exactement aux mêmes questions.

8. Préparer les premières minutes d’un incident

Écrivez une fiche courte, disponible même si la messagerie ou le stockage principal ne fonctionne plus :

• qui décide et qui contacte le prestataire informatique ;
• comment isoler un appareil du réseau sans effacer les preuves ;
• où trouver les sauvegardes et les accès de secours ;
• qui informe les salariés, clients ou partenaires si nécessaire ;
• comment documenter l’heure, les symptômes et les actions menées.

En cas de rançongiciel, Cybermalveillance.gouv.fr recommande notamment de déconnecter les machines touchées d’Internet et du réseau, d’alerter le support ou prestataire, de préserver les preuves et de ne pas payer la rançon. Le service public 17Cyber fournit un diagnostic et une assistance en ligne aux entreprises comme aux particuliers.

Si des données personnelles sont touchées, évaluez aussi les obligations de documentation et de notification à la CNIL. N’attendez pas d’avoir improvisé toute la réponse pour demander de l’aide.

9. Un déploiement en quatre semaines

Terminez par un exercice simple : simulez la perte d’un téléphone ou l’indisponibilité de la messagerie. Vérifiez que les contacts, sauvegardes et décisions sont réellement accessibles.

10. Mesurer peu, mais vérifier régulièrement

• Pourcentage de comptes critiques protégés par MFA.
• Nombre d’appareils en fin de support ou en retard de mise à jour.
• Date du dernier test de restauration réussi.
• Nombre de comptes d’anciens utilisateurs encore actifs.
• Date du dernier exercice d’incident.

Ces indicateurs doivent déclencher une action. Évitez un tableau de bord rempli de chiffres sans responsable ni seuil. Le guide Choisir ses outils numériques aide à intégrer ces contrôles dans les décisions d’équipement.

Sources officielles : ANSSI — dix règles d’or de la sécurité numérique ; MesServicesCyber — cybersécurité pour les TPE-PME ; CNIL — règles essentielles de sécurité ; Cybermalveillance.gouv.fr — gérer ses sauvegardes ; Cybermalveillance.gouv.fr — que faire face à un rançongiciel ; 17Cyber — assistance aux victimes. Consultées le 31 juillet 2026.

En résumé

La cybersécurité d’une TPE devient gérable lorsqu’elle est traduite en contrôles vérifiables : compte protégé, mise à jour active, droit limité, sauvegarde restaurée et incident préparé. Commencez par les accès critiques, puis construisez une routine plutôt qu’un grand projet ponctuel.