Une grande partie des petites et moyennes entreprises ne sont toujours pas protégées contre les risques d’Internet ou le sont mal, même s’il s’agit de seulement quelques précautions à prendre…
À la lecture de plusieurs recherches effectuées ces derniers mois, on constate qu’il existe un sérieux problème au niveau de la sécurité informatique des PME. Beaucoup d’entre elles ne font rien parce qu’elles pensent qu’elles n’ont pas les moyens de le faire, ou encore le font mal parce qu’elles ne savent tout simplement pas quoi faire. Il y a cependant un minimum de précautions à prendre, sans devenir paranoïaque, et cela ne coûte pas si cher que cela.
Une étude qui en dit long
C’est en lisant les résultats d’une recherche de Symantec sur la sécurité des PME nord-américaines, SMB Disaster Preparedness Survey – North America- September 2009, que je me suis vraiment rendu compte de l’ampleur du problème. Près de 99% des entreprises nord-américaines seraient des petites et moyennes entreprises et plus de la moitié des travailleurs seraient employés par ces PME. De plus, la plupart des brevets d’invention seraient détenus par des PME. D’après les résultats du sondage, il y a vraiment beaucoup à faire dans ce domaine de la sécurité des entreprises qui doivent souvent fermer pour un problème de sécurité qui fait que leur affaire n’est plus viable.
Au départ, plus de 80 % des compagnies interrogées pensaient qu’elles étaient techniquement bien protégées. Elles pensaient aussi qu’elles pourraient facilement se remettre d’une perte de données importante dans un désastre pouvant provenir d’une attaque de hackers aussi bien que d’un incendie. Symantec a constaté qu’en moyenne, chaque PME est obligée d’arrêter de fonctionner deux fois par an à cause de virus, d’attaques de pirates ou de désastres naturels. Pourtant, seulement 20 % des petites et moyennes entreprises font une sauvegarde quotidienne des données de leurs ordinateurs. Pour 48 %, c’est seulement une fois par mois ou moins souvent encore et la plupart des compagnies ne font qu’une sauvegarde partielle de leurs données.
En conclusion de son rapport, Symantec explique qu’il ne faut pas juste penser faire un plan d’action en cas d’attaque ou de désastre, comme 91 % des entreprises interrogées, mais qu’il faut vraiment le faire. Il faut bien déterminer quelles sont les données vitales pour la compagnie, quel serait le meilleur moyen de les protéger et d’en sauvegarder une copie de façon sécuritaire. Dans la mesure du possible, il faut y consacrer du temps et ne pas avoir peur de demander l’assistance de conseillers en sécurité compétents. Enfin, il faut tester annuellement le plan d’action en cas de désastre qu’on a instauré.
Des mesures de base peu coûteuses, mais déjà efficaces
Pour toute compagnie qui dispose de données sur l’entreprise elle-même ou sur ses clients, la première des précautions à prendre est de faire des sauvegardes de sécurité quotidiennes ou au maximum hebdomadaires de tous les fichiers sensibles. Il n’est pas nécessaire de faire une sauvegarde des logiciels eux-mêmes, à moins qu’ils ne soient développés ou modifiés au sein de l’entreprise. Le minimum recommandé est une double copie des fichiers, l’une qui va rester sur place, mais pas dans le même ordinateur, et l’autre qui sera sécurisée dans un autre lieu, par exemple, dans une entreprise qui offre de l’espace-disque ou, tout simplement, chez un parent ou un ami sûr.
Il existe maintenant de très bons logiciels de sauvegarde, souvent vendus directement avec des disques durs externes ou d’autres supports de mémoire, sinon achetés séparément. Il faut éviter d’écraser les sauvegardes précédentes qui permettent de récupérer un document à différentes étapes, mais cela ne donne pas grand-chose de garder toutes les sauvegardes. Il s’agit de trouver un juste milieu.
Pour l’accès Internet, on peut installer une première protection en ne branchant pas directement un ordinateur au modem, mais en plaçant un coupe-feu matériel ou un routeur entre les deux. La plupart des routeurs, en effet, disposent maintenant d’un coupe-feu matériel capable d’arrêter certaines attaques et on peut activer un cryptage WPA ou mieux sur les routeurs sans fil. Ensuite, il ne faut pas avoir peur de sécuriser chaque ordinateur par un mot de passe afin d’en limiter l’accès. On peut trouver cela un peu pénible, mais c’est un élément de sécurité important et efficace.
L’autre niveau de protection, et non le moindre, est l’achat d’une bonne suite de sécurité, qu’on laisse se mettre à jour automatiquement en permanence, comportant au moins un antivirus et un coupe-feu avec, en plus si possible, un maximum d’outils pour se protéger de tous les types d’attaques. Juste un antivirus n’est pas vraiment suffisant, mais quelques centaines de dollars suffisent pour sécuriser un système informatique à 99% ou plus. Reste à savoir à combien si on évalue la valeur de l’entreprise… Cela, c’est le minimum, mais on peut aller très loin au niveau de la protection d’une PME, comme on le fait pour les grandes entreprises, mais sans se laisser refiler un système de protection pour grande entreprise inadéquat et coûteux.
Tout cela est à prendre très au sérieux. Les fournisseurs de logiciels et de sécurité informatique ont en effet constaté que le nombre de programmes malveillants en tout genre a augmenté de près de 80 % en un an. Les pirates en veulent à toute information qu’ils peuvent monnayer, qu’il s’agisse de renseignements techniques, de données sur les clients, de numéros de cartes de crédit, etc. C’est une industrie florissante basée dans des pays comme la Russie, l’Inde et le Chine et qui n’a qu’à profiter des lacunes de protection pour entrer sur des ordinateurs de partout dans le monde via Internet.
Addenda de dernière minute: Juste après avoir écrit ce texte, le disque dur de mon ordinateur a lâché. Or, j’avais pris la précaution de faire une sauvegarde de sécurité très récemment et de placer mes données systématiquement sur le lecteur D, ce qui m’a permis de réinstaller Windows à partir du disque CD de récupération que j’avais créé lors de la première installation.
Cela a été long de réinstaller toutes les applications mais cela a bien fonctionné. La seule chose qu’il faut savoir, c’est que ce type de réinstallation, très pratique, écrase complètement ce qui se trouve dans le lecteur C. C’est pourquoi il est recommandé de partitionner tout disque dur en deux partitions ou plus dès le départ et de sauvegarder toujours les données créées par les applications sur D ou d’autres unités de disque, mais jamais sur C.
François Picard est journaliste et éditeur du magazine Atout Micro.
