6 bonnes pratiques pour une meilleure sécurité informatique en entreprise
La sécurité informatique en entreprise repose sur six bonnes pratiques : auditer son système d’information, appliquer les mises à jour, protéger ses données par des sauvegardes dont une hors ligne, sécuriser ses comptes par la double authentification, sensibiliser ses collaborateurs et se faire accompagner par un expert. Il n’existe pas de méthode miracle, mais selon l’ANSSI, l’application de quelques bonnes pratiques « permet déjà de réduire très significativement le risque ». C’est particulièrement vrai pour les PME, généralement plus vulnérables que les grands groupes.
Les menaces ont changé depuis la première publication de cet article en 2019. En 2025, le piratage de compte est devenu la première raison pour laquelle les entreprises et associations ont sollicité Cybermalveillance.gouv.fr (21 % des parcours d’assistance), devant l’hameçonnage (16 %) et la fraude au virement (13,5 %), selon son bilan des cybermalveillances visant les professionnels. Voici les 6 bonnes pratiques à appliquer, mises à jour en octobre 2026.
1. L’audit de sécurité de votre SI, la base d’une bonne pratique informatique
Pour améliorer la sécurité informatique de votre entreprise, commencez par connaître les forces et les faiblesses de votre système d’information (SI), côté matériel (ordinateurs, serveurs, box, imprimantes, téléphones) comme côté logiciel (applications, services en ligne, licences). Le guide « La cybersécurité pour les TPE/PME en treize questions » de l’ANSSI, complémentaire à son guide d’hygiène informatique en 42 mesures, en fait sa toute première question : inventorier les équipements, les logiciels, les données vitales, mais aussi tous les accès, pour vérifier qu’aucun ancien salarié ou prestataire ne peut encore se connecter. Ce bilan doit être mis à jour au moins une fois par an.
L’audit révèle les vulnérabilités à corriger, mais aussi les redondances qui pèsent sur les performances. Sans compétences en sécurité, mieux vaut le confier à un expert. Chez ITAK IT, nous proposons un audit complet de votre parc informatique dans le cadre de notre offre d’infogérance.
2. La mise à jour de vos logiciels, autre élément clé des bonnes pratiques
De nombreuses PME négligent encore cette bonne pratique. Pourtant, les mises à jour ne servent pas qu’à offrir de nouvelles fonctionnalités : elles contiennent des correctifs de sécurité qui ferment des failles connues. L’ANSSI rappelle que la majorité des attaquants exploitent des vulnérabilités publiques et documentées, et que le délai entre la publication d’une faille et son exploitation se réduit. Activez la mise à jour automatique, en priorité sur ce qui est exposé à Internet : pare-feu, messagerie, accès à distance (VPN), site web.
Un logiciel qui ne reçoit plus de mises à jour n’est pas à l’abri, bien au contraire : son éditeur ne corrige plus les nouvelles failles. Windows XP n’est plus entretenu par Microsoft depuis 2014, et le support de Windows 10 a pris fin le 14 octobre 2025 : seul un programme payant de mises à jour de sécurité étendues (ESU), limité à trois ans pour les entreprises, prolonge sa protection, comme l’explique Microsoft. La règle de l’ANSSI est claire : tout matériel ou logiciel qui ne peut plus être mis à jour doit être remplacé.
3. La protection de vos données informatiques, une obligation légale
Vos données sont indispensables à votre activité, et vous êtes juridiquement responsable de celles de vos clients, partenaires et collaborateurs. Depuis le 25 mai 2018, le RGPD impose des mesures de sécurité adaptées aux risques et, en cas de violation de données personnelles présentant un risque pour les personnes, une notification à la CNIL dans les 72 heures.
Cette protection passe par un hébergement bien choisi (le cloud convient souvent aux PME, à condition de bien configurer ses fonctions de sécurité), une gestion stricte des droits d’accès et surtout des sauvegardes fiables. L’ANSSI recommande la règle « 3-2-1 » :
- 3 copies de vos données ;
- 2 supports différents (par exemple un NAS et un service cloud) ;
- 1 copie hors ligne, déconnectée du réseau après chaque sauvegarde.
Pourquoi hors ligne ? Parce qu’un rançongiciel qui atteint votre réseau peut aussi chiffrer les sauvegardes connectées. Testez régulièrement la restauration : une sauvegarde jamais restaurée n’offre aucune garantie. Découvrez nos solutions de sécurité des données informatiques et notre article sur le plan de sauvegarde informatique.
4. La sécurisation de vos comptes, de votre messagerie et de votre navigation
Un mot de passe volé suffit souvent à pirater une messagerie. Une parade très efficace est la double authentification (ou authentification multifacteur, MFA) : en plus du mot de passe, un second élément est demandé, comme un code reçu sur le téléphone, une validation dans une application ou une clé physique. L’ANSSI recommande de l’activer dès qu’un service la propose, notamment pour la messagerie, la banque et les services cloud (Microsoft 365, Google Workspace…). Elle préconise aussi des mots de passe d’au moins 9 caractères pour les services peu critiques et 15 pour les services critiques, différents pour chaque service, gérés avec un coffre-fort de mots de passe.
La messagerie reste l’un des points d’entrée préférés des cybercriminels : protégez-la par un antivirus, un antispam et une solution anti-hameçonnage, et proscrivez la redirection des mails professionnels vers une messagerie personnelle. Pour naviguer, vos collaborateurs doivent utiliser des comptes sans droits d’administrateur. Un filtrage de l’accès à Internet peut enfin bloquer les sites dangereux, sans censure aveugle.
5. La sensibilisation de vos collaborateurs à la sécurité informatique en entreprise
La sécurité de votre SI repose en grande partie sur vos équipes : les meilleures solutions du marché sont inutiles si les règles élémentaires de prudence ne sont pas appliquées.
Sensibilisez vos collaborateurs aux menaces actuelles : messages d’hameçonnage de plus en plus soignés, pièces jointes piégées, logiciels piratés, mais aussi fraude au président ou au faux RIB, qui consiste à obtenir un virement en se faisant passer pour un dirigeant ou un fournisseur. Règle d’or : toute demande de virement inhabituelle ou de changement de coordonnées bancaires se vérifie par un autre canal (rappel à un numéro connu), avec une validation interne non contournable.
L’ANSSI conseille de formaliser ces règles dans une charte informatique remise à chaque nouvel arrivant, de les rappeler régulièrement et d’encourager le signalement des incidents sans sanctionner. Cybermalveillance.gouv.fr propose aussi SensCyber, une e-sensibilisation gratuite ouverte aux collaborateurs des TPE et PME.
6. Le soutien d’un expert de la sécurité informatique
Enfin, ne restez pas seul(e). Un partenaire spécialisé peut superviser votre système d’information, appliquer les mises à jour, surveiller les sauvegardes et intervenir rapidement en cas d’incident.
Si une attaque survient malgré tout, le premier réflexe recommandé par l’ANSSI est de déconnecter d’Internet les équipements touchés, sans les éteindre, puis d’alerter votre prestataire. Le service public 17Cyber, lancé en décembre 2024 par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, vous guide 24 h/24 et peut vous mettre en relation avec un policier ou un gendarme.
Questions fréquentes
Quelle est la première mesure de sécurité informatique pour une PME ?
La première étape consiste à connaître son système d’information : inventorier ses équipements, ses logiciels, ses données importantes et toutes les personnes qui y ont accès. C’est la première question du guide TPE/PME de l’ANSSI. Sans cet inventaire, impossible de savoir quoi protéger ni de repérer un accès oublié.
Qu’est-ce que la règle de sauvegarde 3-2-1 ?
La règle 3-2-1 consiste à conserver 3 copies de ses données, sur 2 supports différents, dont 1 copie hors ligne, c’est-à-dire déconnectée du réseau. L’ANSSI la recommande car un rançongiciel peut chiffrer les sauvegardes restées connectées. Les sauvegardes doivent aussi être testées régulièrement par une restauration.
La double authentification est-elle utile pour une petite entreprise ?
Oui. En 2025, le piratage de compte a été la première cause de demandes d’assistance des entreprises auprès de Cybermalveillance.gouv.fr. Avec la double authentification, un mot de passe volé ne suffit plus à l’attaquant. L’ANSSI recommande de l’activer dès qu’un service la propose, notamment pour la messagerie.
Que faire si mon entreprise subit une cyberattaque ?
Déconnectez d’Internet les équipements touchés, sans les éteindre, et prévenez votre prestataire informatique. Ne payez pas de rançon, conservez les preuves et déposez plainte ; le service 17Cyber vous guide en ligne. Si des données personnelles sont touchées, une notification à la CNIL est obligatoire dans les 72 heures lorsque la violation présente un risque pour les personnes.
Faites le point sur la sécurité de votre entreprise
En tant que spécialistes de l’infogérance pour les PME d’Île-de-France, les équipes d’ITAK IT mettent leur expertise au service de votre sécurité : audit, maintenance informatique, sauvegardes et accompagnement en cas d’incident. Pour consacrer votre temps à votre activité, et non à la sécurité de votre système d’information, contactez-nous.
