Votre entreprise possède déjà un système d’information, même sans salle serveur : messagerie, ordinateurs, téléphones, logiciel de gestion, site, fichiers partagés et comptes chez vos fournisseurs. Pour commencer à le sécuriser, réunissez la direction, la personne qui connaît l’informatique et un représentant des activités essentielles. Le premier sujet est votre capacité à travailler.
Quand commencer ? Dès maintenant, avec un périmètre concret
Prenez une activité : facturer, préparer les commandes ou payer les salariés. Demandez ce qui se passerait si les outils associés devenaient indisponibles ou si leurs données étaient divulguées. Cette conversation transforme un mot abstrait, « cybersécurité », en décisions compréhensibles. La démarche de pilotage proposée par Cybermalveillance.gouv.fr repose justement sur les enjeux, les protections et un plan d’action suivi 1.
Qui appeler en premier ?
Si vous avez un responsable informatique ou un prestataire d’infogérance, commencez avec lui : il peut expliquer l’existant et réunir les documents. Demandez ensuite un regard spécialisé si les réponses sont incomplètes, si les enjeux sont élevés ou si vous souhaitez une évaluation indépendante. L’infogérant exploite le système ; l’auditeur en évalue la sécurité. Une même société peut proposer les deux, mais les responsabilités et l’indépendance doivent être explicites.
Un premier diagnostic accompagné peut aider à cadrer le besoin. Le dispositif présenté par l’ANSSI prévoit un accompagnement gratuit sous conditions ; vérifiez votre éligibilité et sa disponibilité. Ce rendez-vous ne remplace pas un audit technique approfondi 2.
Comment préparer ce premier échange ?
Réunissez une liste simple des équipements, applications, abonnements, prestataires et personnes disposant de droits importants. Notez où sont les données, qui possède les comptes de l’entreprise et comment récupérer les accès. N’envoyez pas les mots de passe dans le document d’inventaire.
Pour chaque activité essentielle, renseignez quatre cases : outil utilisé, responsable métier, conséquence d’une panne, solution de secours connue. Un tableau de dix lignes réellement renseigné vaut mieux qu’un inventaire ambitieux jamais terminé. Le recensement des services et des équipements fait partie des mesures proposées par MonServiceSécurisé 3.
Ce que vous devez obtenir
À la fin du rendez-vous, demandez un périmètre écrit, les principales inconnues, trois actions prioritaires et un responsable pour chacune. Exemple fictif : « La facturation dépend d’un compte cloud partagé ; vérifier les accès et prévoir des comptes individuels. » Une priorité doit déboucher sur une action vérifiable, avec une échéance.
Quel budget prévoir ?
Le temps interne constitue le premier investissement. Pour préparer une enveloppe, voici une simulation éditoriale, sans valeur de tarif de marché : une journée de cadrage à 900 € HT représenterait 900 € HT. Un périmètre multisite ou mal documenté demanderait davantage de travail. Le diagnostic gratuit éventuel, l’audit et les corrections sont des prestations différentes : exigez leur détail sur les devis.
Votre prochaine action
Planifiez une réunion de cadrage et nommez un pilote. En parallèle, faites vérifier sans attendre les accès sensibles, les mises à jour urgentes et l’existence de sauvegardes restaurables. La suite de la série approfondit chaque chantier ; leur numérotation sert à comprendre la démarche, pas à retarder une protection urgente.