Cybersécurité : protéger vos actifs digitaux avec le soutien de l’État

• Technologie

Rançongiciel qui chiffre les fichiers de l’entreprise, faux e-mail du « directeur » demandant un virement urgent, compte de réseau social piraté, base de clients exposée : ces incidents ne touchent pas que les grandes entreprises. Les PME sont souvent des cibles de choix parce qu’elles sont moins protégées et qu’une interruption de quelques jours les met vite en difficulté. Bonne nouvelle : la plupart des attaques courantes peuvent être évitées par des mesures simples, et la PME n’est pas seule face au risque.

Étape 1 : savoir ce que vous devez protéger

Vos actifs digitaux ne se limitent pas à vos ordinateurs. Dressez une liste, même sommaire :

• les données : fichiers clients, devis et contrats, comptabilité, paie, plans et savoir-faire ;
• les outils : logiciel de gestion ou ERP, CRM, messagerie, stockage en ligne ;
• la présence en ligne : nom de domaine, site web, boutique en ligne, comptes de réseaux sociaux ;
• les accès : banque en ligne, portails de l’administration fiscale et sociale, comptes fournisseurs.

Pour chaque élément, notez qui y a accès, où il se trouve et ce qui se passerait s’il devenait indisponible pendant une semaine. Cette simple question fait apparaître vos priorités.

Étape 2 : les mesures de base, à fort effet

Accès et mots de passe

• Un compte nominatif par personne, jamais de mot de passe partagé.
• Des mots de passe longs et différents pour chaque service, gérés avec un gestionnaire de mots de passe.
• La double authentification activée partout où c’est possible, en priorité sur la messagerie, la banque en ligne et les réseaux sociaux.
• La suppression immédiate des accès d’un collaborateur qui quitte l’entreprise.

Mises à jour et protection des postes

• Mises à jour automatiques des systèmes, navigateurs et logiciels.
• Un antivirus à jour sur chaque poste et un pare-feu actif.
• Pas de logiciels piratés : ils sont une porte d’entrée fréquente.

Sauvegardes

Appliquez une règle simple : au moins trois copies des données importantes, sur deux supports différents, dont une hors ligne ou hors site. Une sauvegarde reliée en permanence au réseau peut être chiffrée en même temps que le reste lors d’une attaque. Testez régulièrement la restauration : une sauvegarde jamais testée n’est qu’un espoir.

Sensibilisation des équipes

Beaucoup d’attaques commencent par un e-mail ou un message trompeur. Formez vos collaborateurs à reconnaître les signaux d’alerte : urgence inhabituelle, changement de coordonnées bancaires d’un fournisseur, pièce jointe inattendue, lien vers une fausse page de connexion. Instaurez une règle claire : tout changement de RIB ou toute demande de virement inhabituelle est vérifié par téléphone, auprès d’un numéro connu.

Étape 3 : s’appuyer sur les ressources publiques

Le Maroc dispose d’un cadre et d’interlocuteurs publics dédiés, qu’une PME a intérêt à connaître :

• La DGSSI (Direction générale de la sécurité des systèmes d’information), chargée de la stratégie nationale de cybersécurité, publie des guides et recommandations.
• Le maCERT, centre de veille, de détection et de réponse aux attaques informatiques, diffuse des alertes sur les vulnérabilités et reçoit les signalements d’incidents.
• La CNDP (Commission nationale de contrôle de la protection des données à caractère personnel) veille à l’application de la loi 09-08 : si vous traitez des données de clients ou de salariés, vous devez respecter ses obligations de déclaration et de sécurité.
• Maroc PME propose des programmes d’appui à la modernisation et à la transformation numérique des entreprises ; selon les conditions en vigueur, certains projets de sécurisation peuvent s’y inscrire. Vérifiez l’éligibilité sur marocpme.gov.ma.

Abonnez-vous aux alertes du maCERT et consultez les guides de la DGSSI : c’est gratuit et cela vous informe des menaces actuelles.

Étape 4 : préparer la réponse à un incident

Le jour où un incident survient, il est trop tard pour réfléchir. Rédigez une fiche d’une page :

• qui prévenir en interne et chez votre prestataire informatique ;
• comment isoler un poste infecté (le déconnecter du réseau, sans l’éteindre) ;
• comment restaurer les sauvegardes et dans quel ordre redémarrer les activités ;
• qui informer à l’extérieur : clients concernés, banque, maCERT, autorités compétentes, et la CNDP en cas de fuite de données personnelles.

Exemple d’application

Prenons, à titre illustratif, un cabinet d’expertise comptable de 12 personnes à Rabat. Après un faux e-mail qui a failli conduire à un virement frauduleux, le dirigeant fait l’inventaire de ses données, active la double authentification sur la messagerie et les accès bancaires, met en place une sauvegarde quotidienne avec une copie hors ligne et organise une séance de sensibilisation d’une heure. Il rédige aussi une procédure de vérification des changements de RIB. L’ensemble demande peu d’investissement, mais réduit fortement l’exposition du cabinet.

Plan d’action sur un mois

1. Inventoriez vos actifs digitaux et les accès associés.
2. Activez la double authentification sur les comptes critiques.
3. Mettez en place et testez une sauvegarde hors ligne.
4. Organisez une sensibilisation de l’équipe et une règle de vérification des virements.
5. Rédigez votre fiche de réponse à incident et abonnez-vous aux alertes du maCERT.

La cybersécurité n’est pas une dépense à fonds perdus : c’est une condition de continuité de votre activité et un argument de confiance auprès de vos clients.

Passer à l’action : pour évaluer vos risques cyber et sécuriser vos systèmes, découvrez notre accompagnement en transformation digitale.