Une politique de cybersécurité est un document fondateur qui offre à votre petite entreprise un moyen clair d’expliquer comment les employés doivent protéger les systèmes, les comptes, les appareils et les données numériques de l’entreprise.

Elle transforme la sécurité, qui passe de conseils dispersés à des attentes partagées, en répondant à des questions telles que les pratiques autorisées, ce que les employés doivent éviter, qui est responsable de quelles décisions, et ce qui se passe en cas de problème.

Ce guide vous offre un cadre pratique pour rédiger ou réviser une politique de cybersécurité pour votre petite entreprise. Vous pouvez l’utiliser comme modèle de départ, adapter chaque section à vos outils et à vos risques, et connecter la politique à des contrôles opérationnels qui facilitent son application.

Qu’est-ce qu’une politique de cybersécurité ?

Pourquoi les petites entreprises ont besoin d’une politique de cybersécurité

Modèle de politique de cybersécurité : 9 sections fondamentales

Pourquoi les politiques de sécurité informatique des entreprises échouent-elles ?

Comment Proton Pass for Business soutient l’application des politiques

Qu’est-ce qu’une politique de cybersécurité ?

Une politique de cybersécurité est un document écrit qui définit la manière dont votre entreprise protège les informations, les systèmes, les appareils et les comptes contre les cybermenaces(nouvelle fenêtre). Elle doit expliquer ce que les employés et les prestataires externes, y compris les responsables et les administrateurs, doivent faire dans leur travail quotidien.

Une politique solide doit être perçue comme une référence que les gens peuvent réellement utiliser lorsque les décisions ne sont pas claires. Elle doit répondre à des questions telles que :

  • Quels mots de passe et comptes nécessitent une protection supplémentaire ?
  • Les employés peuvent-ils utiliser des appareils personnels pour le travail ?
  • Où les données sensibles doivent-elles être stockées ?
  • Qui peut approuver l’accès aux systèmes de l’entreprise ?
  • Que doit faire un collaborateur s’il soupçonne une fuite de données ?
  • À quelle fréquence la politique sera-t-elle révisée ?
  • Qu’advient-il de l’accès lorsqu’un collaborateur quitte l’entreprise ?

Pour les PME, la meilleure politique de cybersécurité est courte, claire et suffisamment spécifique pour lever toute incertitude.

Pourquoi les petites entreprises ont besoin d’une politique de cybersécurité

Une politique de cybersécurité peut aider votre entreprise de trois manières :

Fixe les attentes : les employés savent ce qui est autorisé, ce qui est requis et ce qui nécessite une approbation.

Crée une responsabilisation : si l’accès, les appareils, le traitement des données et la réponse aux incidents ont des responsables clairement définis, la sécurité ne dépend plus de la mémoire de chacun.

Favorise la conformité et la confiance des clients : pour être conforme aux réglementations sur les données telles que le GDPR, votre entreprise doit traiter les données personnelles de manière sécurisée en utilisant des mesures techniques et organisationnelles appropriées, y compris l’analyse des risques, les politiques organisationnelles et les mesures techniques.

Une politique écrite de sécurité de l’information permet de montrer que votre entreprise a pris en compte ces responsabilités et a mis en place des contrôles pour réduire les risques.

Le rapport de Proton sur la cybersécurité des PME renforce l’importance de ce sujet pour les petites équipes : les PME sont souvent confrontées à de réels risques de sécurité sans disposer des mêmes ressources que les grandes entreprises. Une politique pratique offre à ces équipes un moyen de prioriser l’essentiel et de le rendre reproductible.

Modèle de politique de cybersécurité : 9 sections fondamentales

Utilisez la structure suivante comme modèle de politique de cybersécurité. Il n’est pas nécessaire de rédiger des sections trop longues. L’objectif est de définir la règle, d’attribuer les responsabilités et d’expliquer comment les employés doivent l’appliquer.

1. Objectif et portée de la politique

Commencez par expliquer pourquoi la politique existe et à qui elle s’applique. Cette section permet d’éviter un problème courant : les personnes qui supposent que la politique ne s’applique qu’aux « systèmes informatiques » ou aux employés à temps plein.

Texte du modèle :

Cette politique de cybersécurité définit la manière dont [Company Name] protège les systèmes, les comptes, les appareils et les données de l’entreprise. Elle s’applique aux employés, aux prestataires, aux travailleurs temporaires et aux tiers qui accèdent aux informations ou aux systèmes de l’entreprise.

Le champ d’application doit inclure les appareils appartenant à l’entreprise, les services cloud approuvés, les comptes professionnels, les environnements de travail à distance, les appareils personnels utilisés pour le travail et l’accès des fournisseurs.

2. Politique d’utilisation acceptable

La section sur l’utilisation acceptable explique comment les employés peuvent utiliser les systèmes et les comptes de l’entreprise.

Elle doit couvrir :

  • Les logiciels et services professionnels approuvés
  • Les restrictions concernant les applications ou extensions de navigateur non autorisées
  • Les règles de téléchargement de fichiers et de logiciels
  • L’utilisation de la messagerie de l’entreprise et de la messagerie instantanée
  • L’utilisation personnelle des appareils de l’entreprise
  • Les activités interdites, telles que le partage de comptes sans approbation ou le contournement des contrôles de sécurité

Veillez à ce que cette section reste pratique. Les employés doivent comprendre quels choix quotidiens sont acceptables sans avoir besoin d’interpréter un langage technique.

Texte du modèle :

Les employés doivent utiliser des systèmes professionnels approuvés pour le travail de l’entreprise. Les applications non approuvées, les comptes d’espace de stockage personnels et les extensions de navigateur non autorisées ne doivent pas être utilisés pour stocker, traiter ou partager des données de l’entreprise, sauf approbation par [rôle/équipe].

3. Exigences en matière de gestion des mots de passe et des accès

Il est important de prendre en compte les contrôles d’administration. Une politique peut définir qui doit avoir accès, quand l’authentification à deux facteurs (A2F) est requise, et comment le départ des collaborateurs doit se dérouler, mais les équipes ont toujours besoin d’un moyen opérationnel pour appliquer ces règles. Un gestionnaire de mots de passe professionnel comme Proton Pass for Business soutient cette démarche grâce à sa console d’administration, où votre équipe peut gérer les accès, appliquer des politiques, examiner l’activité et réduire la dépendance à l’égard de la gestion informelle des mots de passe.

Votre politique doit stipuler que :

  • Les mots de passe professionnels doivent être uniques et forts.
  • Les mots de passe ne doivent pas être réutilisés sur des comptes professionnels et personnels.
  • Les identifiants partagés ne doivent pas être envoyés par des moyens non approuvés tels que les e-mails, les chats, les captures d’écran, les tickets ou les documents.
  • L’A2F doit être activée partout, à commencer par les comptes à haut risque.
  • L’accès doit être accordé en fonction du rôle et des besoins de l’entreprise.
  • L’accès doit être retiré lorsque quelqu’un change de rôle ou quitte l’entreprise.
  • Les exceptions doivent être documentées, y compris les cas où l’A2F ne peut pas encore être activée, où un compte partagé est temporairement inévitable, où un prestataire a besoin d’un accès étendu limité dans le temps, ou lorsqu’un système legacy ne peut pas répondre aux exigences standard de mot de passe ou d’accès.

Le guide de Proton pour créer une politique de mots de passe peut étayer cette section avec plus d’informations sur les règles de mots de passe, le partage, la gestion des accès et l’authentification à deux facteurs.

C’est également là que la politique a besoin d’un soutien opérationnel. Une règle stipulant d’« utiliser des mots de passe uniques » est peu efficace si les employés doivent encore créer et mémoriser chaque mot de passe manuellement.

Un gestionnaire de mots de passe d’entreprise comme Proton Pass for Business aide les équipes à transformer les exigences en matière de mots de passe en pratique quotidienne : les employés peuvent générer des mots de passe forts et uniques, les stocker dans des coffres-forts chiffrés, utiliser le remplissage automatique et partager des mots de passe de manière sécurisée au lieu d’utiliser des canaux non sécurisés, le tout dans une seule application.

Texte du modèle :

Les mots de passe professionnels doivent être uniques, forts et stockés dans le gestionnaire de mots de passe d’entreprise approuvé. Les mots de passe ne doivent pas être réutilisés sur des comptes personnels et professionnels, ni partagés par e-mail, messagerie instantanée, captures d’écran, tickets ou documents. L’authentification multifacteur doit être activée pour les comptes à haut risque, et l’accès doit être accordé en fonction du rôle et des besoins de l’entreprise. Lorsqu’un employé, un sous-traitant ou un prestataire n’a plus besoin d’accès, les autorisations doivent être examinées et retirées.

4. Classification et traitement des données

Une politique de cybersécurité doit définir les types d’informations que votre entreprise traite et la manière dont chaque type d’information doit être protégé. Voici trois niveaux qu’une petite entreprise peut utiliser sans se compliquer la tâche :

Public : informations approuvées pour un usage public

Interne : informations professionnelles destinées aux employés et aux prestataires approuvés qu’il ne serait pas approprié de partager en externe

Confidentiel : données clients, données financières, identifiants, contrats, dossiers du personnel ou informations opérationnelles sensibles — tout ce qui pourrait porter préjudice en cas de fuite

Texte du modèle :

Les informations confidentielles doivent uniquement être stockées dans des systèmes approuvés, partagées avec des personnes autorisées et protégées contre tout accès non autorisé. Les employés ne doivent pas stocker de données professionnelles confidentielles sur des comptes personnels, dans des documents non gérés ou sur des appareils non approuvés.

5. Signalement des incidents et première intervention

Votre politique doit expliquer ce que les employés doivent faire lorsqu’ils identifient ou soupçonnent une vulnérabilité. Il n’est pas nécessaire qu’il s’agisse d’un plan complet d’intervention en cas d’incident, mais elle doit définir les premières mesures à prendre et les responsabilités.

Incluez des exemples tels que :

  • Alertes de connexion suspectes
  • Appareils perdus ou volés
  • E-mails d’hameçonnage
  • Partage accidentel de données
  • Avertissements relatifs aux logiciels malveillants
  • Activité de compte inhabituelle
  • Accès non autorisé à des documents ou à des systèmes

Utilisez le guide de Proton sur la prévention des fuites de données pour les entreprises pour obtenir des conseils supplémentaires sur la réduction des risques de fuite avant qu’un incident ne se produise.

Texte du modèle :

Les employés doivent signaler immédiatement tout incident de sécurité suspecté à [rôle/équipe/contact]. Les employés ne doivent pas supprimer de preuves, réinitialiser les systèmes concernés ou communiquer en externe au sujet d’un incident, sauf instruction contraire du responsable de l’incident.

6. Règles relatives au travail à distance et à l’utilisation des appareils personnels (BYOD)

Le travail à distance et l’utilisation d’appareils personnels au sein du réseau de votre entreprise peuvent créer des risques inutiles s’ils ne sont pas gérés correctement. Votre politique de cybersécurité doit expliquer si les employés peuvent utiliser des appareils personnels, quelles exigences de sécurité s’appliquent (telles que la sécurité du BYOD) et ce qui se passe si un appareil est perdu ou si quelqu’un quitte l’entreprise.

Incluez :

Les guides de Proton sur la politique de travail à distance et la politique BYOD peuvent étayer cette section avec des règles plus détaillées pour les équipes distribuées et les appareils appartenant aux employés.

Texte du modèle :

Les employés ne peuvent accéder aux systèmes de l’entreprise qu’à partir d’appareils approuvés qui répondent aux exigences de sécurité. Les appareils perdus ou volés doivent être signalés immédiatement. Les données de l’entreprise ne doivent pas être stockées sur des comptes cloud personnels ou dans des applications non gérées.

7. Accès des prestataires tiers

Les petites entreprises s’appuient souvent sur des agences, des sous-traitants, des éditeurs de logiciels, des comptables, des consultants et des fournisseurs de services gérés. L’accès des prestataires ne doit jamais être traité à la légère, car il peut créer une porte dérobée que votre entreprise ne contrôle pas entièrement.

Un gestionnaire de mots de passe d’entreprise peut aider à rendre ce contrôle plus pratique en aidant les équipes à limiter la portée des identifiants des prestataires, à les surveiller et à les révoquer facilement lorsqu’une mission prend fin.

Votre politique doit définir :

  • Qui peut approuver l’accès des prestataires
  • À quels systèmes les prestataires peuvent accéder
  • Si les comptes des prestataires doivent être individuels ou partagés
  • La durée de l’accès
  • La fréquence d’audit des accès des prestataires
  • Comment les autorisations minimales sont déterminées pour chaque prestataire
  • Ce qui se passe lorsqu’un contrat prend fin

Cette section prend également en charge la sécurité de la chaîne d’approvisionnement. Les 10 étapes du NCSC(nouvelle fenêtre) l’incluent comme un domaine clé pour gérer le cyberisque, ce qui est particulièrement pertinent pour les petites entreprises qui externalisent une partie de leur informatique, de leur finance, de leur marketing ou de leurs opérations.

Texte du modèle :

L’accès des tiers doit être approuvé par [rôle/équipe], limité aux systèmes requis pour le travail, et réexaminé à la fin de la mission. L’accès des prestataires doit être retiré lorsqu’il n’est plus nécessaire.

8. Exigences en matière de formation des employés

Une politique de cybersécurité ne fonctionnera pas si les collaborateurs n’en prennent connaissance que lors de leur intégration. Une formation de sensibilisation à la sécurité régulière garantit que votre politique est toujours respectée.

Votre politique doit expliquer :

  • Quand les collaborateurs reçoivent une formation à la sécurité
  • Quels sont les sujets couverts par la formation
  • À quelle fréquence les sessions de rappel ont lieu
  • Qui doit suivre la formation
  • Comment les nouveaux risques ou les changements de politique sont communiqués

Les sujets de formation peuvent inclure l’hameçonnage, la gestion des mots de passe, l’A2F, le partage de fichiers sécurisé, le traitement des données, le travail à distance, la sécurité des appareils et le signalement des incidents.

Proposez des formations courtes et pratiques. Une politique succincte de cinq pages, accompagnée d’une liste de contrôle et d’exemples courts, est généralement plus utile qu’un document de 40 pages surchargé et verbeux.

Texte du modèle :

Les employés doivent suivre une formation en cybersécurité lors de leur intégration et au moins [une fois par an/deux fois par an]. La formation couvrira la sécurité des mots de passe, l’hameçonnage, le traitement des données, la sécurité des appareils et le signalement des incidents.

9. Fréquence de révision de la politique

Une politique de cybersécurité doit évoluer en même temps que l’entreprise. Les nouveaux systèmes, les modes de travail à distance, les prestataires, les réglementations et les incidents peuvent tous rendre les anciennes règles incomplètes.

Définissez :

  • La fréquence de révision de la politique
  • Un responsable de la révision de la politique de cybersécurité
  • La manière dont les modifications sont approuvées
  • La manière dont les mises à jour sont communiquées
  • Ce qui déclenche une révision hors cycle

Texte du modèle :

Cette politique sera révisée tous les [six ou 12 mois] par [le responsable]. Elle doit également être révisée après un incident de sécurité majeur, un changement important de système, une mise à jour réglementaire ou une modification substantielle des activités de l’entreprise

Pourquoi les politiques de sécurité informatique des entreprises échouent-elles ?

La plupart des politiques de cybersécurité échouent pour des raisons pratiques :

La politique est trop longue : la politique de cybersécurité d’une petite entreprise ne doit pas tenter de couvrir tous les scénarios possibles. Si elle devient trop longue, les employés cessent de l’appliquer. Restez concis et intégrez des liens vers des procédures plus détaillées si nécessaire.

Le langage est trop technique : les employés ne devraient pas avoir besoin de compétences en sécurité pour suivre les directives de cybersécurité de l’entreprise. Utilisez un langage simple et remplacez les termes techniques par des explications quotidiennes dans la mesure du possible.

La politique n’est présentée que lors de l’intégration : si la politique n’est mentionnée qu’une seule fois au cours de l’intégration, elle n’influencera pas les comportements quotidiens. Renforcez-la par des formations, des rappels, des guides de référence rapide et des mises à jour lorsque les processus changent.

La politique n’est jamais révisée : une politique rédigée il y a deux ans peut ne pas refléter les systèmes actuels, les pratiques de travail à distance, les accès des prestataires ou les attentes réglementaires. Révisez-la régulièrement.

La politique n’est pas appliquée : c’est la cause d’échec la plus fréquente. Une politique peut stipuler que les mots de passe doivent être stockés de manière sécurisée, que l’A2F doit être activée ou que l’accès des prestataires doit être supprimé, mais ces règles n’ont aucune valeur si personne ne veille à leur respect. L’application implique de désigner des responsables, d’utiliser des contrôles d’administration si disponibles, d’examiner les exceptions et de rendre les comportements sécurisés plus simples que les raccourcis.

Pour la gestion des mots de passe et des accès, Proton Pass for Business peut aider à soutenir l’application opérationnelle des politiques. Il offre aux équipes des coffres-forts chiffrés, un partage sécurisé, la génération de mots de passe et une visibilité pour les administrateurs, afin que votre entreprise ne repose pas uniquement sur la théorie. Les administrateurs peuvent également surveiller la sécurité des mots de passe, la réutilisation des identifiants et l’exposition aux fuites de données sur le dark web dans toute l’organisation de manière sécurisée, sans connaître les mots de passe des collaborateurs.

Comment Proton Pass for Business soutient l’application des politiques

Une politique de cybersécurité n’est utile que si l’entreprise peut la mettre en pratique. Les règles relatives aux mots de passe et aux accès en sont un bon exemple. Vous pouvez stipuler que les mots de passe doivent être uniques, partagés de manière sécurisée et supprimés lors du départ d’un collaborateur. Cependant, si les employés continuent d’utiliser des navigateurs, des feuilles de calcul, des applications de messagerie ou des notes personnelles, la politique sera facilement ignorée.

Proton Pass for Business offre aux collaborateurs un moyen sécurisé de générer, stocker, remplir automatiquement et partager des identifiants, tout en offrant aux administrateurs une meilleure visibilité sur la gestion des accès. Cela rend la section de votre politique consacrée à la gestion des mots de passe et des accès plus facile à suivre.

Pour les petites entreprises, l’avantage est pratique. Nul besoin d’une grande équipe de sécurité pour commencer à améliorer l’hygiène informatique. Un gestionnaire de mots de passe professionnel offre à votre équipe un espace centralisé pour les identifiants de travail, favorise une collaboration plus sûre et contribue à réduire les risques de réutilisation des mots de passe ou de partage non contrôlé.

Le contrôle des accès est l’un des moyens les plus concrets de traduire une politique en actions. Lorsque les identifiants sont plus faciles à générer, stocker, partager et révoquer de manière sécurisée, les collaborateurs sont moins enclins à recourir à des solutions de contournement risquées. Les gestionnaires disposent également d’un moyen plus clair de soutenir les exigences en matière de mots de passe et d’accès dans les opérations quotidiennes.

Appliquez votre politique de cybersécurité grâce à un gestionnaire de mots de passe professionnel sécurisé tel que Proton Pass for Business.