La sécurité informatique peut sembler être un sujet qui exige une formation technique pour s’y intéresser sérieusement. Ce n’est pas le cas : un dirigeant sans formation technique peut prendre de bonnes décisions de sécurité en comprenant ce qui est réellement en jeu et en posant les bonnes questions, sans avoir à maîtriser en profondeur la technologie sous-jacente.

Ce que vous allez apprendre

  • Ce qui compte réellement, expliqué sans jargon
  • La mesure la plus rentable que la plupart des entreprises n’ont pas encore prise
  • Pourquoi « nous sommes trop petits pour être une cible » est faux

Pourquoi la taille ne vous protège pas

Il est courant, et compréhensible, de penser qu’une petite entreprise n’est pas une cible intéressante. En pratique, une grande part des attaques réelles est automatisée : elles balaient largement Internet à la recherche de tout système présentant une vulnérabilité précise, plutôt qu’une personne ne choisisse délibérément quelles entreprises viser. Être petit ne vous fait pas échapper à ce filet automatisé.

La mesure au meilleur rendement

Si vous ne deviez retenir qu’une chose : activez l’authentification multifacteur (une seconde étape de confirmation, généralement une application sur téléphone ou un code par SMS, en plus du mot de passe) sur votre messagerie professionnelle et sur tout système contenant des données sensibles. Elle se met en place rapidement, coûte peu et ferme l’une des voies les plus courantes de compromission des comptes : un mot de passe volé ou deviné, à lui seul.

Ce que recouvre réellement la « sécurité informatique », en termes simples

Empêcher les intrus d’entrer : pare-feu et contrôles réseau, l’équivalent numérique des serrures aux portes. Protéger chaque appareil : antivirus et protection des postes, pour qu’un seul portable infecté ne devienne pas un problème plus grave. Contrôler qui accède à quoi : veiller à ce que le personnel n’ait accès qu’à ce dont son poste a réellement besoin, et que ces accès soient retirés au départ d’une personne. Surveiller les problèmes : une surveillance qui repère une activité inhabituelle avant qu’elle ne devienne un incident grave.

Ce que vous pouvez raisonnablement déléguer, et ce que vous ne devriez pas

La mise en œuvre technique, configurer les pare-feu, mettre en place la surveillance, peut raisonnablement être confiée à un prestataire. Ce qui ne devrait pas être entièrement délégué, c’est la décision d’en faire une priorité, et le fait de poser régulièrement une question simple : « si quelqu’un essayait d’entrer aujourd’hui, qu’est-ce qui l’en empêcherait réellement ? » Un prestataire incapable d’y répondre clairement mérite d’être examiné de plus près.

Le cadre réglementaire

La loi rwandaise N°058/2021 relative à la protection des données à caractère personnel et de la vie privée fixe des obligations pour les organisations qui traitent des données personnelles, avec l’Autorité nationale de cybersécurité (NCSA) comme autorité de contrôle désignée. Vous n’avez pas besoin de devenir expert de cette loi pour prendre la sécurité au sérieux, mais il vaut la peine de savoir qu’elle existe, surtout si votre entreprise détient des données personnelles de clients ou d’employés.

Par où commencer réellement

Une évaluation de la cybersécurité est le point de départ le plus utile : elle vous indique précisément où se trouvent vos vraies failles, au lieu de vous laisser deviner lequel des nombreux investissements de sécurité possibles compte le plus dans votre situation.