Cybersécurité d’une TPE : les règles de base à mettre en place

« Les risques liés à l’usage du numérique concernent toutes les entreprises, indépendamment de leur taille et de leur secteur d’activité. » Le constat est celui de la CNIL, dans sa fiche « Sécurité des données : les règles essentielles », mise à jour le 19 juin 2026. Une TPE n’a ni service informatique ni budget de grand groupe, mais les mesures de base listées par les autorités sont à sa portée. Voici celles que recommandent la CNIL, le ministère de l’Intérieur et l’Agence nationale de la sécurité des systèmes d’information (ANSSI), et les outils publics gratuits pour s’y mettre.

Protéger les accès : mots de passe et double authentification

Pour les accès aux comptes, la CNIL fixe trois règles de base :

1. Des mots de passe longs. Au moins 12 caractères, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux. La CNIL propose de les tester sur son site.
2. Un gestionnaire de mots de passe pour créer et conserver un code différent par compte. La CNIL cite KeePassXC, « un outil gratuit et certifié par l’ANSSI ».
3. La double authentification « dès que possible », en priorité sur les messageries, les comptes administrateurs et les services en ligne : un code à usage unique, reçu par exemple sur le téléphone, confirme la connexion même si le mot de passe a été volé.

Le ministère de l’Intérieur ajoute, dans une vidéo de sa fiche sur les rançongiciels, un réflexe souvent négligé : privilégier un compte utilisateur pour les usages courants plutôt qu’un compte doté des droits d’administrateur.

Les gestes techniques à automatiser

Viennent ensuite les protections techniques, dont plusieurs se règlent une fois pour toutes :

1. Activez les mises à jour automatiques sur tous les appareils, pour appliquer rapidement les correctifs des éditeurs. Le ministère insiste aussi sur les mises à jour de l’antivirus et du pare-feu.
2. Sauvegardez selon la règle du 3-2-1 : trois copies, sur deux supports différents, dont une déconnectée du réseau. La CNIL demande de tester régulièrement la restauration.
3. Installez un antivirus professionnel et un pare-feu, qui détectent les programmes malveillants et bloquent les connexions suspectes.
4. Téléchargez les applications uniquement depuis les sites et magasins officiels des éditeurs : les versions « gratuites » de logiciels payants trouvées ailleurs peuvent contenir des logiciels malveillants.
5. Verrouillez et chiffrez les appareils mobiles : un code complexe, jamais une date de naissance, 0000 ou 1234, et le chiffrement des données via BitLocker sous Windows ou FileVault sous macOS. Sur iOS et Android, il s’active par défaut dès qu’un code est configuré.
6. Séparez les usages : pas de matériel ni de compte professionnel pour des besoins personnels ou familiaux. La CNIL cite le cas d’un rançongiciel introduit par un logiciel gratuit téléchargé par un enfant.
7. En déplacement, évitez les réseaux Wi-Fi publics ou passez par le VPN de l’entreprise. Le ministère conseille aussi d’éteindre les ordinateurs dont on ne se sert plus.

Former l’équipe face à l’hameçonnage

Les messages piégés visent d’abord les personnes. La CNIL liste les signaux d’alerte d’un message piégé : un lien à cliquer, une demande de reconnexion, une urgence inhabituelle, un paiement exigé ou un changement de coordonnées bancaires. Sa consigne : « En cas de doute, demandez confirmation à l’émetteur par un autre moyen ». Face à un faux support technique au téléphone, coupez court et rappelez votre interlocuteur habituel sur un numéro officiel.

Pour former dirigeants et collaborateurs sans frais, la CNIL recommande l’e-sensibilisation SensCyber et le MOOC SecNumAcadémie, ainsi qu’une procédure claire pour signaler un doute.

Les outils publics gratuits pour démarrer

L’ANSSI a regroupé ses services sur MesServicesCyber, une plateforme développée avec BetaGouv et la Direction interministérielle du numérique. On y trouve un test de maturité cyber qui donne en cinq minutes une évaluation indicative de la posture de l’organisation, sans mesurer le niveau de sécurité de ses systèmes, et un parcours de sécurisation gratuit : 12 mesures pour démarrer, avec l’aide d’un Aidant cyber si besoin, puis 58 mesures pour aller plus loin.

Selon la CNIL, un premier état des lieux gratuit peut y être demandé ; un point de suivi est proposé six mois plus tard. Pour se faire accompagner par un professionnel, Cybermalveillance.gouv.fr met en relation avec des prestataires labellisés « ExpertCyber ». Côté données personnelles, la CNIL conseille de ne collecter que le strict nécessaire, de supprimer ou d’anonymiser les données au terme de leur durée de conservation, et de faire le point sur ces deux principes une fois par semestre.

En cas d’attaque : isolez, préservez, déclarez

Si un poste est infecté, débranchez le câble réseau ou coupez le Wi-Fi, sans éteindre l’appareil, puis alertez votre service ou votre prestataire informatique. Conservez les preuves : messages piégés, journaux, fichiers chiffrés. Le ministère est catégorique : « Ne payez jamais la rançon. Rien ne garantit que les données vont être restituées. » Déposez plainte à la gendarmerie, au commissariat ou par écrit auprès du procureur de la République. Le site Nomoreransom propose parfois une solution de déchiffrement. Si des données personnelles sont touchées, informez les personnes concernées et notifiez la CNIL. Pour un cas particulier, ces organismes restent les bons interlocuteurs.

Questions fréquentes

Quelle longueur pour un mot de passe professionnel ?

La CNIL recommande au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, avec un mot de passe différent pour chaque compte, conservé dans un gestionnaire.

Qu’est-ce que la règle du 3-2-1 ?

Garder trois copies de ses données, sur deux supports différents, dont une déconnectée du réseau, et vérifier régulièrement que la restauration fonctionne.

Faut-il payer une rançon pour récupérer ses fichiers ?

Non. La CNIL comme le ministère de l’Intérieur déconseillent de payer : rien ne garantit la restitution des données. Mieux vaut restaurer une sauvegarde saine et porter plainte.

Une petite entreprise peut-elle se faire aider gratuitement ?

Oui. MesServicesCyber, la plateforme de l’ANSSI, propose un parcours de sécurisation gratuit et un test de maturité de cinq minutes ; la CNIL y signale un premier état des lieux gratuit, et Cybermalveillance.gouv.fr oriente vers des prestataires labellisés ExpertCyber.

Que faire des données personnelles des clients ?

La CNIL conseille de ne collecter que les données strictement nécessaires, de les supprimer ou de les anonymiser une fois leur durée de conservation écoulée, et de vérifier ces deux points chaque semestre.

Sources

• Sécurité des données : les règles essentielles — CNIL, 2026-06-19
• Comment protéger votre entreprise contre les rançongiciels ? — Ma Sécurité (ministère de l'Intérieur), 2026-05-04
• MesServicesCyber — ANSSI, 2026-10-29