Dix gestes simples qui, mis bout à bout, couvrent l'écrasante majorité des attaques courantes. Pas de jargon, pas d'outils hors de prix : la base, applicable dès aujourd'hui, en TPE comme en grand groupe.
Le mot de passe réutilisé sur trois sites est la porte d'entrée préférée des attaquants. Un gestionnaire (Bitwarden, 1Password, Dashlane) génère et retient des mots de passe différents partout, sans que vous ayez à les mémoriser.
Même si votre mot de passe fuit, le MFA empêche l'attaquant de se connecter. Privilégiez les passkeys ou les applications dédiées (Microsoft Authenticator, Google Authenticator) plutôt que le SMS, vulnérable au SIM-swap.
La majorité des intrusions exploitent des failles connues, déjà corrigées par les éditeurs. Activer les mises à jour automatiques, c'est fermer ces portes avant que quelqu'un n'y pense.
Une sauvegarde, c'est l'antidote au ransomware. Appliquez la règle du 3-2-1 : trois copies, sur deux supports différents, dont une hors ligne ou hors site. Et surtout : testez la restauration au moins une fois par an.
L'antivirus du fournisseur d'accès ne suffit plus. Un EDR observe le comportement des programmes (et pas seulement leur signature) et bloque les attaques inédites. Quelques euros par poste pour une protection 24/7.
Le phishing reste la première porte d'entrée. Avant de cliquer, vérifiez l'expéditeur, passez la souris sur les liens, et au moindre doute, demandez confirmation à l'expéditeur par un autre canal (téléphone, en personne).
Le Wi-Fi de l'aéroport ou du café est un terrain de chasse idéal. Si vous devez l'utiliser, passez par un VPN. À la maison ou au bureau, changez le mot de passe administrateur de la box et activez le WPA3 (ou WPA2 minimum).
Un compte = un usage. Évitez d'utiliser votre messagerie pro pour des inscriptions personnelles, et inversement. Côté entreprise, donnez à chacun le strict minimum dont il a besoin pour travailler (principe du moindre privilège).
85 % des incidents commencent par un humain. Une formation isolée s'oublie en six semaines. La sensibilisation efficace est continue : modules courts, simulations de phishing, ateliers métiers, et un débrief sans humiliation.
Le moment de découvrir qu'on n'a pas de plan, ce n'est pas pendant l'attaque. Identifiez à l'avance qui appeler, qui décide, qui communique. Faites un exercice de crise par an, même rapide : cela divise par dix le temps de retour à la normale.
Elles couvrent l'essentiel mais ne remplacent pas une posture de sécurité construite : politique SSI, identités, EDR, conformité. Si vous voulez aller plus loin, parlons-en.
Trente minutes suffisent pour valider votre posture, identifier les angles morts et prioriser les prochains chantiers. Le cadrage initial est offert.