Un fichier client partagé dans le cloud, une application métier accessible à distance ou une messagerie professionnelle exposent l'entreprise à des risques différents. La SSI informatique sert à les identifier puis à réduire leurs effets sur les données et sur l'activité. Elle ne se résume pas à installer un antivirus. Elle associe des règles internes, des protections techniques et des comportements humains.
Cette démarche concerne aussi bien les grandes organisations que les petites entreprises. Un système moins complexe ne signifie pas qu'il est sans risque. Une boîte électronique compromise, une sauvegarde inutilisable ou le compte administrateur d'un logiciel détourné peuvent déjà bloquer une partie du travail.
Qu'est-ce que la SSI informatique ?
La SSI informatique, ou sécurité des systèmes d'information, rassemble les moyens humains, organisationnels et techniques employés pour protéger les informations d'une entreprise. Elle vise à éviter les accès non autorisés, les modifications illégitimes, les pertes de données et les interruptions qui empêcheraient les collaborateurs d'utiliser leurs outils.
Le périmètre dépasse les ordinateurs et les serveurs. Il comprend les logiciels métiers, les espaces cloud, les appareils mobiles, la messagerie, les connexions réseau, les documents papier sensibles et les prestataires qui traitent ou hébergent des informations pour le compte de l'entreprise.
La nuance entre système informatique et système d'information mérite d'être conservée. Le système informatique correspond principalement aux équipements, aux logiciels et aux réseaux. Le système d'information englobe cet ensemble technique, mais aussi les données, les utilisateurs, les méthodes de travail et les règles qui organisent leur circulation.
Cette distinction change la manière de traiter la sécurité. Un pare-feu correctement configuré ne compense pas le maintien des droits d'accès d'un ancien salarié. À l'inverse, une charte informatique bien rédigée protège peu si les correctifs de sécurité ne sont jamais installés.
Quels risques la SSI doit-elle couvrir ?
Les menaces ne viennent pas toutes d'une attaque sophistiquée. Une erreur de destinataire, un ordinateur portable perdu, un mot de passe réutilisé ou une suppression accidentelle peuvent avoir des conséquences comparables à une action malveillante.
L'entreprise doit examiner plusieurs familles de risques :
- le vol ou la divulgation d'informations confidentielles ;
- la modification ou la destruction de fichiers ;
- l'indisponibilité d'une application ou d'un service cloud ;
- la compromission d'un compte utilisateur ou administrateur ;
- la défaillance d'un fournisseur ou d'un équipement ;
- l'erreur humaine et le non-respect des procédures internes.
Le risque ne se mesure pas uniquement à la probabilité d'un incident. Il faut aussi estimer ses conséquences. Une indisponibilité de deux heures n'a pas le même effet sur une messagerie secondaire et sur l'application qui pilote les commandes ou la production.
Quels sont les objectifs de la sécurité d'un système d'information ?
La sécurité d'un système d'information cherche d'abord à préserver la confidentialité, l'intégrité et la disponibilité des données. L'authenticité et la traçabilité complètent ces trois objectifs. Ensemble, ces propriétés servent à contrôler qui accède aux informations, ce qu'il peut en faire et comment retrouver l'origine d'une action.
La confidentialité
Une information confidentielle ne doit être consultée que par les personnes autorisées. Cela concerne les données personnelles, les contrats, les éléments bancaires, les dossiers salariés, les tarifs négociés ou les procédés de fabrication.
La confidentialité repose sur des droits d'accès adaptés aux fonctions. Un commercial n'a pas besoin d'accéder aux dossiers de paie. Un prestataire chargé de maintenir le site internet ne doit pas recevoir les identifiants du logiciel comptable. La direction doit arbitrer ces accès selon les besoins réels, pas selon la position hiérarchique ou la commodité.
L'intégrité
L'intégrité signifie que les données restent exactes, complètes et protégées contre les modifications non autorisées. Une altération peut être volontaire, mais elle peut aussi provenir d'une erreur de saisie, d'un défaut logiciel ou d'une mauvaise synchronisation entre deux applications.
La gestion des versions, la journalisation des changements et la limitation des droits de modification facilitent le contrôle. Pour les informations les plus sensibles, l'entreprise doit pouvoir identifier l'auteur d'une modification et retrouver la version précédente.
La disponibilité
Une donnée bien protégée reste inutile si personne ne peut y accéder au moment nécessaire. La disponibilité concerne les fichiers, mais également les postes, les serveurs, les connexions et les applications qui servent à les exploiter.
Elle suppose d'anticiper les pannes, les erreurs et les interruptions chez les prestataires. Des sauvegardes existent parfois sans jamais avoir été restaurées. C'est un piège classique : la présence d'une copie ne prouve pas qu'elle est complète, lisible et récupérable dans le délai attendu.
L'authenticité
L'authenticité sert à vérifier qu'un utilisateur, un équipement ou un service est bien celui qu'il prétend être. Un identifiant accompagné d'un mot de passe forme un premier contrôle. Pour les accès sensibles, l'authentification multifacteur ajoute une preuve distincte, par exemple une clé physique ou une application d'authentification.
Cette protection mérite d'être appliquée en priorité à la messagerie, aux comptes administrateurs, aux sauvegardes et aux services accessibles depuis Internet. L'ANSSI recommande de privilégier l'authentification multifacteur après une analyse du risque et de ne pas fonder la sécurité d'un accès sensible sur le seul mot de passe.
La traçabilité et la non-répudiation
La traçabilité conserve les informations nécessaires pour comprendre une action ou un incident : utilisateur concerné, date, ressource consultée et modification réalisée. Elle aide à repérer un comportement anormal et à reconstituer le déroulement d'une compromission.
La non-répudiation vise un objectif plus précis. Elle apporte des éléments empêchant l'auteur d'une opération de nier son intervention. Les mécanismes employés dépendent du niveau de preuve recherché et peuvent nécessiter une signature électronique, un horodatage ou des journaux protégés contre la modification.
Comment construire une politique de SSI informatique ?
Une politique de sécurité des systèmes d'information, souvent appelée PSSI, traduit les risques de l'entreprise en règles compréhensibles et applicables. Elle précise les responsabilités, les accès autorisés, les mesures de protection, les procédures d'alerte et les conditions de reprise après un incident.
Cartographier le système d'information
Le premier travail consiste à recenser les données, les outils, les équipements et les prestataires. Sans cette cartographie, certaines ressources restent invisibles : logiciel souscrit directement par un service, compte partagé, disque de sauvegarde oublié ou application reliée au système comptable.
Le recensement doit répondre à des questions concrètes. Où se trouvent les données ? Qui les utilise ? Quels services en dépendent ? Combien de temps l'entreprise peut-elle travailler sans eux ? Quel fournisseur intervient en cas de panne ?
Classer les risques par priorité
Une petite structure ne peut pas tout traiter simultanément. Elle doit rapprocher la probabilité de chaque incident de ses conséquences financières, opérationnelles, juridiques et commerciales. Le résultat donne un ordre de traitement.
À l'époque de l'agence, j'ai longtemps regardé la sécurité comme une ligne technique dans un devis. Côté dirigeant, la question devient plus simple : combien d'heures l'équipe peut-elle rester sans messagerie, sans fichiers clients ou sans facturation ? Ce délai acceptable aide à fixer le niveau de protection et le budget.
Attribuer les responsabilités
La SSI ne peut pas rester une affaire sans propriétaire. La direction valide les priorités et les moyens. Le responsable informatique ou le responsable de la sécurité des systèmes d'information organise les mesures. Les managers signalent les changements d'équipe et les collaborateurs appliquent les règles d'usage.
Dans une petite entreprise sans compétence interne, un prestataire peut prendre en charge une partie du travail. La direction conserve néanmoins la responsabilité de ses décisions. Le contrat doit donc préciser le périmètre du service, les délais d'intervention, le traitement des incidents, la localisation des données et les conditions de restitution en fin de relation.
Quelles bonnes pratiques SSI appliquer en priorité ?
L'entreprise gagne à commencer par les mesures qui réduisent plusieurs risques à la fois. Les réglages exacts dépendent de son organisation, mais certaines actions forment un socle cohérent.
Renforcer l'authentification
Chaque utilisateur doit avoir un compte individuel. Les comptes partagés nuisent à la traçabilité et compliquent la suppression des accès lors d'un départ. Les mots de passe doivent être uniques et adaptés au niveau de risque du service. Un gestionnaire de mots de passe évite de mémoriser ou de recycler une longue série d'identifiants.
La longueur fixe de 12 caractères, souvent présentée comme une règle universelle, est trop simplificatrice. Les recommandations de la CNIL tiennent compte du contexte, du nombre de tentatives autorisées et des autres protections. La bonne décision consiste à définir une politique cohérente puis à activer l'authentification multifacteur sur les comptes exposés ou sensibles.
Installer les correctifs de sécurité
Les systèmes d'exploitation, navigateurs, extensions, logiciels métiers et équipements réseau doivent recevoir leurs correctifs. Une mise à jour retardée laisse parfois une vulnérabilité connue ouverte aux attaquants.
Avant une mise à jour engageante, le responsable technique vérifie sa compatibilité avec les applications utilisées et prévoit un retour arrière. L'objectif n'est pas d'installer aveuglément chaque version dès sa sortie, mais d'organiser un délai de correction proportionné au risque.
Appliquer le principe du moindre privilège
Un utilisateur ne doit avoir que les droits nécessaires à son travail. Les comptes administrateurs servent aux opérations d'administration, pas à la navigation courante ou à la lecture des courriels. Les droits sont révisés lors d'un changement de poste, d'une longue absence et du départ d'un collaborateur.
Un contrôle périodique repère les comptes dormants, les droits accumulés et les accès de prestataires qui ne sont plus justifiés. Cette tâche paraît administrative. Elle ferme pourtant des portes que les outils de protection ne peuvent pas surveiller correctement.
Sauvegarder et tester la restauration
Les sauvegardes doivent être séparées des données de production et protégées par des accès distincts. Leur fréquence dépend de la quantité d'informations que l'entreprise accepte de perdre entre deux copies. Leur conservation dépend du temps nécessaire pour détecter un incident ou une suppression.
Le test de restauration est aussi important que la sauvegarde. Il faut vérifier qu'un fichier, une application ou un système complet peut réellement être récupéré. Le résultat du test doit être documenté avec le délai constaté et les difficultés rencontrées.
Sensibiliser les utilisateurs
Un collaborateur doit savoir reconnaître une demande inhabituelle, contrôler l'adresse d'un expéditeur et signaler rapidement un doute. La sensibilisation fonctionne mieux lorsqu'elle part des outils et des situations de l'entreprise plutôt que d'un rappel général envoyé une fois par an.
Elle doit aussi expliquer la marche à suivre. Si un salarié pense avoir ouvert une pièce jointe frauduleuse, il a besoin d'un contact précis et d'une procédure courte. La peur d'être sanctionné ne doit pas retarder l'alerte.
Préparer la réponse aux incidents
Un incident de sécurité demande des décisions rapides : isoler l'équipement concerné, préserver les traces, contacter le prestataire compétent et évaluer les services touchés. L'ordre exact dépend du contexte. Une manipulation improvisée peut supprimer des éléments utiles ou aggraver l'interruption.
L'entreprise doit donc préparer une fiche de contacts et un plan de réaction avant l'incident. Si des données personnelles sont concernées, le délégué à la protection des données ou le référent compétent doit examiner les obligations applicables. Pour une compromission ou une perte de données en cours, mieux vaut faire intervenir sans délai un spécialiste de la réponse aux incidents plutôt que multiplier les essais sur le système touché.
