Organiser la sécurité d’une entreprise en six étapes

Votre checklist d’action

1. 01

   Nommer les responsables

   Désignez un sponsor de direction et des responsables opérationnels. Identifiez les prestataires, assureurs et contacts de crise sans confondre contrat de support et capacité de réponse à incident. Pour chaque décision critique, distinguez préparation, autorisation et exécution. Conservez un titulaire et un relais joignable hors des outils habituels. Vérifiez que les contrats indiquent les horaires, limites et prérequis d’intervention avant d’en avoir besoin.

2. 02

   Identifier les services vitaux

   Définissez les activités indispensables, leurs données et leurs fournisseurs. Faites valider des objectifs de reprise réalistes et testables par les métiers. Décrivez une chaîne complète, par exemple commande, paiement, confirmation et livraison. Une application disponible peut rester inutile si son fournisseur d’identité ou son export comptable ne fonctionne plus. Les objectifs de reprise doivent couvrir ces dépendances.

3. 03

   Réduire les accès et l’exposition

   Revoir les accès distants, les privilèges, la messagerie et les services exposés. Supprimez les comptes dormants et les usages non approuvés de logiciels ou d’IA. Contrôlez l’arrivée et le départ d’un salarié ou d’un prestataire sur un exemple réel autorisé. Vérifiez que comptes, sessions, clés et accès partagés sont traités ensemble. Toute exception conserve une justification, une date de revue et un responsable.

4. 04

   Exiger des preuves des fournisseurs

   Vérifiez les responsabilités partagées, les sous-traitants, l’export des données et les procédures de sortie. Demandez des éléments datés adaptés au service, au-delà d’un logo de certification. Posez une question testable : pouvez-vous récupérer vos données dans un format exploitable et redémarrer une activité ? Vérifiez le périmètre des attestations et la date des tests fournis. Un engagement commercial ne remplace pas une démonstration de réversibilité.

5. 05

   Exercer la continuité

   Simulez une indisponibilité de messagerie ou d’un SaaS critique. Testez les contacts hors ligne, la restauration et les décisions de communication avec les équipes métiers. Annoncez un scénario et mesurez décisions, délais et obstacles, sans perturber la production. Un exercice peut montrer que les contacts ne sont plus valides ou que les moyens de paiement dépendent du même compte que la messagerie.

6. 06

   Suivre des mesures utiles

   Suivez délais de correction, comptes privilégiés, restauration testée et alertes traitées. Présentez les risques résiduels et les décisions attendues plutôt qu’un score global sans méthode. Associez chaque indicateur à une population, une période et une décision. Distinguez sauvegardes exécutées et restaurations réussies, correctifs déployés et expositions supprimées. Évitez de comparer des pourcentages dont le dénominateur change sans explication.

   Exemple pédagogique : une PME dépend d’une messagerie hébergée pour ses commandes et ses accès administratifs. Rejouez la perte du compte principal avec un contact de secours et un canal indépendant. Vérifiez l’accès aux informations nécessaires à la reprise sans utiliser le compte indisponible. Notez ensuite les dépendances circulaires, le responsable de chaque correction et la preuve attendue au prochain essai.