Checklist cybersécurité PME : 20 points à vérifier

Comptes et accès

1. La double authentification (MFA) est activée sur tous les comptes de messagerie, sans exception.
2. Les comptes administrateurs sont séparés des comptes utilisés au quotidien.
3. Chaque personne a son propre compte : pas de compte partagé.
4. Les comptes des personnes parties sont désactivés le jour du départ.
5. Les accès de vos prestataires sont listés, nominatifs et limités.

Messagerie

6. Votre domaine a des enregistrements SPF, DKIM et DMARC, avec DMARC en mode rejet à terme.
7. Aucune règle ne transfère automatiquement des emails vers l'extérieur sans raison connue.
8. Les liens de partage de fichiers expirent et le partage externe est limité.

Postes et réseau

9. Les postes ont un antivirus moderne ou un EDR, et il remonte des alertes à quelqu'un.
10. Les mises à jour s'installent automatiquement sur les postes et serveurs.
11. Les disques des ordinateurs portables sont chiffrés.
12. Les utilisateurs ne sont pas administrateurs de leur poste.
13. Le Wi-Fi invité est séparé du réseau de l'entreprise.
14. Aucun service n'est exposé sur internet sans nécessité (bureau à distance, interfaces d'administration).

Sauvegardes

15. Vous avez au moins une copie de sauvegarde déconnectée ou immuable.
16. Une restauration a été testée au cours des six derniers mois.

Site web et organisation

17. Votre site, son CMS et ses extensions sont à jour.
18. Une procédure écrite existe pour un changement de RIB : vérification par téléphone auprès d'un contact connu.
19. Vos équipes savent à qui signaler un email suspect ou un clic malheureux.
20. Les journaux de connexion sont activés et conservés suffisamment longtemps pour enquêter.

Et ensuite ?

Notre diagnostic « Vu par un pirate » vérifie pour vous plusieurs de ces points depuis l'extérieur, et notre audit de cybersécurité les couvre tous.