Module 9 · 9.3
Votre propre check de sécurité et votre plan
Module 9: Règles et organisation · Temps de lecture : 12 minutes
Objectif pédagogique : après cette leçon, vous saurez réaliser votre propre check de sécurité à partir d'une liste fixe et en tirer un plan de priorités.
Notions clés : mesures de base, état des lieux initial, priorisation (probabilité x impact, rapide et peu coûteux d'abord), responsable et date, répétition annuelle
Du savoir à l'action
Vous avez vu beaucoup de choses dans cette formation : mots de passe, phishing, e-mail et domaine, appareils, sauvegardes, droits d'accès, incidents et règles. Le risque, maintenant, est de commencer un peu partout sans jamais rien terminer. Cette leçon transforme tout cela en deux éléments concrets que vous allez créer vous même :
- un état des lieux initial : une photo honnête de votre situation actuelle ;
- un plan : ce que vous faites en premier, qui s'en charge et quand ce sera terminé.
La liste ci dessous reprend les mesures de base : celles qui bloquent la plupart des attaques opportunistes (leçon 1.1) et que demandent généralement aussi les clients exigeants envers leurs fournisseurs (leçon 9.1). Ce n'est pas une norme complète comme l'ISO 27001, et ce n'est pas nécessaire. C'est le socle qui fait la différence pour une petite entreprise.
Le check de sécurité : vingt points
Répondez à chaque point par oui, partiellement ou non. Soyez exigeant : « je pense que oui » correspond à « partiellement ». Chaque point indique la leçon où vous l'avez appris.
Comptes et connexion
| N° | Point | Leçon |
|---|---|---|
| 1 | Il existe un inventaire de tous les comptes, appareils, sites web, domaines et fournisseurs, avec un responsable pour chaque élément. Ce qui n'est plus utilisé a été supprimé. | 1.1, 7.2 |
| 2 | Tout le monde utilise un gestionnaire de mots de passe et dispose d'un mot de passe unique et long par service. Aucun mot de passe n'est partagé par e-mail ou par chat. | 2.1, 2.2 |
| 3 | L'authentification à deux facteurs est activée sur l'e-mail, la banque, la comptabilité, l'hébergement, le registrar et les réseaux sociaux ; pour les administrateurs, de préférence sous une forme résistante au phishing comme une passkey ou une clé de sécurité. | 2.3, 2.4 |
| 4 | Les codes de récupération et les clés de secours sont conservés en sécurité, et vous savez quoi faire si un téléphone est perdu. | 2.3, 2.4 |
| 5 | Vous avez vérifié si des adresses professionnelles figurent dans des fuites connues, et vous savez comment révoquer des sessions et contrôler les règles de redirection. | 1.4, 2.5 |
Personnes et processus
| N° | Point | Leçon |
|---|---|---|
| 6 | Il existe une procédure de paiement : rappeler sur un numéro connu en cas de changement de coordonnées bancaires, et une seconde personne pour les paiements importants ou inhabituels. | 1.2 |
| 7 | Tout le monde sait reconnaître le phishing grâce au domaine réel d'un lien et sait quoi faire après avoir cliqué. | 3.1 à 3.5 |
| 8 | Il existe un point de contact unique avec un remplaçant, les signalements se font sans reproche, et un rappel court a lieu au moins plusieurs fois par an. | 9.2 |
E-mail, site web et domaine
| N° | Point | Leçon |
|---|---|---|
| 9 | Votre domaine dispose de SPF, DKIM et DMARC, et DMARC est au minimum réglé sur p=none avec un plan pour passer à quarantine ou reject. | 4.1 |
| 10 | Votre site web fonctionne partout en https avec un certificat valide, redirige le http, et le CMS avec ses extensions est mis à jour. HSTS et les en têtes de sécurité sont activés ou ont été examinés en connaissance de cause. | 4.2 |
| 11 | Les informations du titulaire de votre domaine sont correctes, le renouvellement automatique est activé, le registrar dispose de la 2FA, il n'y a pas d'enregistrements DNS orphelins, et DNSSEC est activé lorsque c'est possible. | 4.3 |
Appareils et réseau
| N° | Point | Leçon |
|---|---|---|
| 12 | Les mises à jour sont automatiques pour les systèmes d'exploitation, les applications et les extensions ; le routeur, le NAS et l'imprimante sont également mis à jour ; rien ne fonctionne plus sans recevoir de mises à jour. | 5.1 |
| 13 | Les ordinateurs portables et les téléphones disposent d'un verrouillage d'écran et d'un chiffrement du disque, peuvent être effacés à distance, et personne ne travaille au quotidien avec un compte administrateur. | 5.2 |
| 14 | Le wifi utilise WPA2 ou WPA3, le mot de passe par défaut du routeur a été changé, et les visiteurs ainsi que les appareils connectés sont sur un réseau invité. | 5.3 |
Sauvegardes
| N° | Point | Leçon |
|---|---|---|
| 15 | Il existe une sauvegarde de tout ce qui est important, y compris l'e-mail et les services cloud, selon la règle 3-2-1. | 6.1 |
| 16 | Au moins une copie est hors ligne ou inaltérable et dispose de son propre identifiant de connexion, non utilisé sur les ordinateurs de travail. | 6.2 |
| 17 | Un test de restauration a été effectué au cours de l'année écoulée, et vous savez combien de travail vous pouvez vous permettre de perdre et à quelle vitesse les données doivent être restaurées. | 6.3 |
Accès, fournisseurs et incidents
| N° | Point | Leçon |
|---|---|---|
| 18 | Chacun dispose de son propre compte avec uniquement les droits nécessaires, les comptes administrateur sont distincts, et en cas de départ, tous les accès sont révoqués le jour même. | 7.1 |
| 19 | Les fournisseurs et services cloud importants ont été évalués, des accords de sous traitance existent lorsque nécessaire, et les fichiers sont partagés via des liens à date d'expiration. | 7.2, 7.3 |
| 20 | Une fiche d'incident est affichée sur papier, un registre des violations de données existe, et vous savez quand notifier la CNIL, la police et, si vous êtes concerné, l'ANSSI. | 8.1, 8.2, 8.3, 9.1 |
Comptez vos réponses. Beaucoup de « non » n'est pas une raison de s'inquiéter : c'est votre point de départ. C'est pour cela qu'on l'appelle un état des lieux initial.
Une partie peut être contrôlée automatiquement
Quelques points peuvent être mesurés depuis l'extérieur, car ils concernent des informations publiques de votre domaine : le point 9 (SPF, DKIM, DMARC), le point 10 (https, certificat, HSTS, en têtes) et le point 11 (DNSSEC, serveurs de noms, date d'expiration). Dans l'exercice A9.3, vous ferez cela en une seule fois pour votre propre domaine, avec les mêmes vérifications que dans les exercices du module 4. Des tests indépendants comme https://internet.nl et les contrôles publics sur https://www.weboke.fr/domein-gezondheid et https://www.weboke.fr/emailcheck examinent des points similaires.
Attention : un résultat vert sur ces points ne dit rien sur les dix sept autres. Votre domaine peut être parfaitement configuré alors que votre boîte mail utilise un mot de passe issu d'une fuite. Le contrôle automatique est une partie de l'état des lieux initial, pas un substitut.
Du check au plan : prioriser
Vous avez peut être maintenant huit ou dix points en « non » ou « partiellement ». Tout ne peut pas se faire en même temps. Vous choisissez l'ordre à partir de deux questions.
1. Quelle est l'ampleur du risque ? Utilisez probabilité x impact (leçon 1.1). Un point visé par une attaque opportuniste, comme des mots de passe réutilisés sans 2FA ou un site web sans mises à jour, a une probabilité élevée. Un point qui, en cas de problème, paralyse toute votre entreprise, comme une sauvegarde qui ne fonctionne pas, a un impact élevé.
2. Quel effort cela demande t il ? Certaines mesures coûtent une heure et rien d'autre, comme activer l'authentification à deux facteurs ou convenir d'une procédure de paiement. D'autres prennent des semaines, comme remplacer tous les ordinateurs portables.
Placez les points dans un schéma simple :
| Peu d'effort | Beaucoup d'effort | |
|---|---|---|
| Risque élevé | À faire maintenant (cette semaine) | À planifier (ce trimestre) |
| Risque faible | À intégrer quand l'occasion se présente | Plus tard ou acceptation consciente |
La règle est : rapide et peu coûteux d'abord, à condition que le risque soit élevé. Dans la plupart des petites entreprises, se retrouvent dans la case « à faire maintenant » : l'authentification à deux facteurs sur l'e-mail et la banque (3), la procédure de paiement (6), l'activation des mises à jour automatiques (12) et la vérification qu'une copie de la sauvegarde est hors de portée (16).
Acceptation consciente
Un risque peut aussi être accepté : vous décidez de ne pas le résoudre, parce que le risque est faible ou que les coûts sont trop élevés. C'est un choix valable, à condition de le faire consciemment et de le consigner par écrit. « Oublier » n'est pas une acceptation.
Un responsable et une date par point
Un plan sans noms reste lettre morte. Attribuez à chaque point :
- un responsable : une personne qui veille à ce que cela se fasse. Ce n'est pas forcément celle qui exécute la tâche ; le prestataire informatique peut faire le travail, mais quelqu'un dans votre propre entreprise vérifie que c'est terminé ;
- une date : quand cela doit être terminé ;
- une définition de « terminé » : comment savez vous que c'est fait ? Pas « mettre en place la 2FA », mais « la 2FA est activée sur les cinq comptes de la liste, les codes de récupération sont dans le coffre ».
Un exemple de trois lignes du plan de la Boulangerie Example :
| Point | Action | Responsable | Échéance | Terminé si |
|---|---|---|---|---|
| 3 | 2FA sur l'e-mail, la banque, la comptabilité et le registrar | Petra | dans 1 semaine | Activée sur les quatre, codes de récupération dans le gestionnaire de mots de passe et sur papier dans le coffre |
| 6 | Procédure de paiement sur A4, discutée avec Joost et Sanne | Petra | dans 2 semaines | L'A4 est affiché au bureau, les deux l'ont lu |
| 16 | Copie hebdomadaire sur un disque qui est ensuite rangé séparément dans le coffre | Joost | dans 1 mois | Trois premières semaines réalisées, un fichier restauré à titre de test |
Répéter
La sécurité n'est jamais terminée. De nouveaux collaborateurs arrivent, de nouveaux services, de nouveaux appareils et de nouvelles ruses. Convenez donc :
- de refaire chaque année le check complet, à un mois fixe, et de mettre à jour le plan ;
- de refaire le check entre temps lors de grands changements : un nouveau créateur de site, un déménagement de votre hébergement, une nouvelle comptabilité, une forte croissance ;
- de revoir après un incident les points qui y étaient liés (leçon 8.3).
Conservez le résultat de chaque check. Vous verrez ainsi noir sur blanc, au bout d'un an, ce qui s'est amélioré, et vous aurez une réponse si un client vous demande où en est votre sécurité. Cybermalveillance.gouv.fr propose également ses propres ressources pour les indépendants et les PME, que vous pouvez utiliser en complément de cette liste ; elles aboutissent à une liste d'actions.
Résumé
- Un état des lieux initial avec vingt points fixes donne une photo honnête ; chaque point renvoie à la leçon où vous l'avez appris.
- Une partie (e-mail, site web, domaine) peut être contrôlée automatiquement, mais cela ne dit rien sur les autres points.
- Priorisez selon probabilité x impact et effort : risque élevé avec peu d'effort en premier.
- Chaque point du plan reçoit un responsable, une date et une définition de « terminé » ; l'acceptation est possible, mais de façon consciente et par écrit.
- Répétez le check chaque année et lors de grands changements, et conservez les résultats.
Quiz
Exercice
Exercice A9.3 : Le contrôle automatique de votre domaine. Saisissez votre propre domaine. Le programme contrôle en une seule fois l'e-mail (SPF, DKIM, DMARC), le site web (https, certificat, redirection, HSTS, en têtes) et le domaine (serveurs de noms, DNSSEC, date d'expiration), et indique quels points du check de sécurité sont verts, orange ou rouges.
Exercice D9.3 : Votre check de sécurité et votre plan. Réalisez le check en vingt points pour votre propre entreprise. Choisissez ensuite au moins cinq points, placez les dans le schéma de risque et d'effort, et établissez un plan avec pour chaque point un responsable, une date et une définition de « terminé ». Notez dans votre agenda quand vous referez le check.
Exercice D9.3: Votre check de sécurité et votre plan
Voici comment procéder : (1) Parcourez les vingt points de la leçon et indiquez pour chacun : oui, en partie ou non. Pour les points 9, 10 et 11, utilisez le résultat de l'exercice A9.3 (le bouton reprend les points rouges et oranges). (2) Placez chaque point marqué "en partie" ou "non" dans le tableau risque (grand/petit) et effort (peu/beaucoup). (3) Choisissez au moins cinq points. Commencez par les cases "grand risque, peu d'effort". (4) Attribuez à chaque point choisi une action, un responsable, une date et une définition de "terminé". (5) Notez les points que vous acceptez consciemment, avec la raison. (6) Inscrivez dans votre agenda un mois fixe pour le prochain check complet, et notez à quels changements vous devez réexaminer la situation entre-temps. (7) Conservez le résultat (la formation conserve le check rempli si vous le souhaitez ; uniquement oui/en partie/non par point et votre plan, aucune autre donnée).
Vos cases cochées et vos notes restent uniquement dans ce navigateur ; nous ne les envoyons nulle part. Si vous êtes connecté, nous enregistrons dans Mes formations uniquement le fait que vous avez terminé l'exercice.
Pour aller plus loin
Les étapes des articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, la démarche est comparable.
- Guide WebOké 5.17: Santé du domaine et de l'e-mail : vérifier et corriger
- WebOké, Santé du domaine / de l'e-mail (contrôle public) : https://www.weboke.fr/domein-gezondheid
- WebOké, Vérification de l'e-mail : https://www.weboke.fr/emailcheck
- Internet.nl, testez votre site web et votre e-mail : https://internet.nl
- Cybermalveillance.gouv.fr, ressources pour les indépendants et les PME : https://www.cybermalveillance.gouv.fr/