D’une évaluation indépendante de la cybersécurité à l’autre, quelques failles reviennent sans cesse. Ce n’est pas parce que les PME rwandaises sont particulièrement négligentes, mais parce que ces points précis sont faciles à oublier sans quelqu’un qui les vérifie délibérément.

Ce que vous allez apprendre

  • Les failles précises qui reviennent le plus systématiquement
  • Pourquoi chacune persiste alors qu’elle est relativement facile à corriger
  • Ce qu’il faut vérifier dans votre propre entreprise

L’authentification multifacteur, toujours pas activée

C’est le constat le plus constant. Beaucoup d’entreprises disposent déjà de l’authentification multifacteur sans surcoût dans leur abonnement de messagerie ou de logiciels, et ne l’ont simplement pas activée. Elle reste l’une des améliorations de sécurité les plus efficaces et les moins coûteuses, et son absence est l’un des moyens les plus courants par lesquels des comptes sont réellement compromis.

Aucun processus de départ pour le personnel qui s’en va

Un employé parti depuis des mois dont la messagerie ou l’accès aux systèmes reste techniquement actif est un constat réel et courant. Il ne s’agit généralement pas d’une négligence délibérée, mais de l’absence d’une liste de contrôle définie qui ferait de la révocation des accès une étape automatique à chaque départ, plutôt qu’une tâche qui dépend de la mémoire de quelqu’un.

Une protection des postes installée de façon inégale, ou sans gestion centralisée

Certains appareils ont un antivirus, d’autres non ; et même quand il est présent, personne n’a de visibilité sur l’ensemble du parc pour confirmer qu’il est à jour et fonctionne réellement. Une sécurité des postes à gestion centralisée comble précisément ce manque de visibilité.

Des identifiants partagés, utilisés par commodité

Un mot de passe administrateur partagé, ou un identifiant générique utilisé par plusieurs employés, est courant et compréhensible, mais cela signifie aussi que personne ne peut dire avec certitude qui a effectué telle action si un problème survient. Des comptes individuels dotés des droits appropriés sont une correction de base, souvent négligée.

Aucune politique de sécurité écrite

Non pas parce que quelqu’un s’y oppose, mais parce qu’elle n’a jamais été rédigée. Une politique courte et précise, exigences de mots de passe, utilisation acceptable, conduite à tenir en cas de perte d’un appareil, coûte peu à créer et comble un vrai manque sur ce que l’on attend réellement du personnel.

Des sauvegardes jamais testées

Beaucoup d’entreprises pensent être protégées parce qu’une sauvegarde est configurée, sans avoir jamais vérifié qu’une restauration fonctionne réellement. Une sauvegarde non testée n’est qu’une hypothèse ; un test de restauration périodique, même simple, transforme cette hypothèse en certitude.

Pourquoi ces failles persistent

Aucune ne paraît urgente tant que rien ne se passe, et sans vérification délibérée, personne n’est précisément chargé de les repérer. Il s’agit moins de négligence que d’un oubli par défaut, précisément ce qu’une évaluation structurée de la cybersécurité est conçue pour interrompre.

Vérifier votre propre entreprise

Si plusieurs de ces points vous semblent familiers, c’est courant, et c’est une bonne raison de vérifier précisément plutôt que de supposer que votre entreprise fait exception.