Dans un article précédent, j’expliquais ce qu’est CyberFundamentals (CyFun) : le cadre belge du CCB qui rend la cybersécurité abordable pour les entreprises sans équipe sécurité dédiée. Très bien. Mais ensuite vous ouvrez le framework, vous voyez des dizaines de mesures réparties en fonctions et catégories, et vous vous demandez : par où diable commencer ?

Cet article est cette réponse. Pas une retranscription complète du framework (pour cela, je vous renvoie volontiers à la documentation officielle CyFun du CCB), mais l’ordre qui fonctionne en pratique pour une PME de cinq à cinquante personnes.

Étape 1 : sachez ce que vous avez

Tout commence par l’inventaire. Quels serveurs tournent ? Quels ordinateurs portables sont en circulation ? Quels logiciels, quels services cloud, quels noms de domaine, quels certificats ? Cela semble banal, mais dans neuf entreprises sur dix que je visite, la réalité s’écarte fortement de ce qu’on croit avoir. Des serveurs de test oubliés, un NAS d’un ex-employé, des certificats qui expirent discrètement le mois prochain.

On ne peut pas sécuriser ce qu’on ne connaît pas. Commencez par une liste. Un tableur vaut déjà mieux que rien, un inventaire automatisé vaut mieux qu’un tableur, car lui ne vieillit pas.

Étape 2 : limitez qui accède à quoi

La gestion des accès est la sécurité la moins chère qui existe. Authentification multifacteur sur tout ce qui est accessible de l’extérieur : e-mail, VPN, applications cloud. Des comptes individuels par personne, pas de mots de passe partagés, et des droits d’administration uniquement pour ceux qui en ont vraiment besoin. Quelqu’un quitte l’entreprise ? Ses accès sont coupés le jour même, pas « un de ces jours ».

Cela coûte surtout de la discipline, peu d’argent. Et c’est la mesure qui bloque le plus d’intrusions réelles.

Étape 3 : assurez-vous de pouvoir revenir en arrière

Des sauvegardes, mais des vraies. Pas « il y a une copie quelque part », mais : automatiques, quotidiennes, avec au moins une copie déconnectée de votre réseau, car un ransomware chiffre avec plaisir votre disque de sauvegarde s’il reste branché. Et au moins une fois par an : tester réellement que vous pouvez restaurer cette sauvegarde. Une sauvegarde jamais testée, c’est un espoir.

Étape 4 : remarquez quand ça tourne mal

C’est ici que détection et journalisation se rejoignent, et c’est ici que la plupart des PME passent à travers la glace. Posez-vous honnêtement la question : si un serveur tombe cette nuit, ou si quelqu’un tente de se connecter mille fois à trois heures du matin : le savez-vous ? Ou l’apprenez-vous demain par un client ?

CyFun Basic attend de vous que vous détectiez les pannes et anomalies et que vous conserviez les événements. En pratique, cela signifie : un monitoring de vos systèmes, des alertes en cas d’anomalie, et des journaux conservés assez longtemps pour reconstituer après coup ce qui s’est passé. C’est le volet le plus difficile à mettre en place soi-même et le plus facile à externaliser.

Étape 5 : sachez quoi faire si ça arrive quand même

Un plan d’incident ne doit pas être un livre. Une page A4 suffit pour commencer : qui j’appelle en premier, qui peut décider d’arrêter des systèmes, où se trouvent les coordonnées du fournisseur et de l’assureur, et qui prévient les clients. Imprimez-le. Un plan d’incident numérique sur un serveur en panne, c’est une ironie que vous voulez vous épargner.

Faire soi-même ou externaliser ?

Les étapes 2, 3 et 5, vous pouvez largement les gérer vous-même, éventuellement avec votre partenaire IT actuel. Les étapes 1 et 4, inventaire et détection, sont précisément là où le monitoring professionnel fait la différence : elles se font automatiquement, en continu, et produisent au passage les rapports avec lesquels vous répondez aux questionnaires de vos clients NIS2.

Vous voulez savoir où en est votre entreprise face à ces cinq étapes ? Planifiez un entretien gratuit : une première évaluation vous coûte une demi-heure et pas un euro.