MFA activé sur la messagerie professionnelle

Microsoft 365, Google Workspace, ou tout autre outil de messagerie — l’authentification à deux facteurs doit être active pour tous les comptes, pas seulement les admins.

MFA activé sur les accès distants et VPN

Tout accès à votre réseau depuis l’extérieur (télétravail, déplacement) doit passer par un VPN protégé par MFA. Les connexions RDP directes depuis internet sont interdites.

Gestionnaire de mots de passe déployé sur tous les postes

Bitwarden (gratuit), 1Password, ou équivalent. Chaque collaborateur utilise des mots de passe uniques d’au moins 12 caractères. Les post-its et les tableurs de mots de passe sont bannis.

Comptes des ex-collaborateurs désactivés le jour du départ

Procédure documentée de révocation des accès à la date de fin de contrat : messagerie, outils cloud, badges, accès distants. Un ex-collaborateur ne doit avoir aucun accès actif.

Droits administrateurs limités aux seules personnes qui en ont besoin

Principe du moindre privilège : un utilisateur standard ne doit pas avoir de droits admin sur son poste. Inventaire des comptes à privilèges tenu à jour.

Sauvegarde quotidienne automatique des données critiques

Données comptables, clients, RH, devis, contrats. La sauvegarde doit être automatique (non manuelle) et se déclencher tous les jours — a minima sur les données les plus importantes.

Copie externalisée, déconnectée du réseau principal

La règle 3-2-1 : 3 copies, 2 supports différents, 1 hors site (cloud ou site distant). Un ransomware qui chiffre votre réseau ne doit pas pouvoir atteindre la copie externalisée.

Test de restauration réalisé dans les 12 derniers mois

Une sauvegarde non testée est une fausse sécurité. Vous devez avoir vérifié que vos données sont réellement récupérables — et documenté ce test (date, résultat, délai de restauration mesuré).

Plan de continuité minimal documenté

En cas d’attaque lundi matin : qui appelle qui ? Quel numéro ? Quelles données sont prioritaires à récupérer ? Une fiche d’une page suffit — mais elle doit être imprimée et accessible sans ordinateur.

Tous les systèmes et logiciels à jour (mises à jour automatiques activées)

Windows, macOS, logiciels métier, navigateurs, Office / Microsoft 365. Les mises à jour automatiques doivent être activées ou un processus de vérification hebdomadaire documenté.

Solution antivirus / EDR active sur tous les postes

Microsoft Defender (inclus Windows 10/11), Malwarebytes, SentinelOne, ou équivalent. Vérifiez qu’il est actif et à jour sur chaque poste — y compris les ordinateurs des télétravailleurs.

Wi-Fi professionnel séparé du Wi-Fi visiteurs / IoT

Vos imprimantes, caméras, assistants vocaux et appareils visiteurs ne doivent pas être sur le même réseau que vos postes de travail. Deux réseaux distincts avec mots de passe séparés.

Firmware du routeur et des équipements réseau à jour

Le routeur (box internet professionnelle ou équipement dédié) et les switchs doivent avoir leur firmware mis à jour. Vérifiez dans l’interface d’administration — souvent oublié depuis des années.

Formation anti-phishing réalisée dans les 12 derniers mois

Une session de sensibilisation documentée (présentiel, e-learning, ou simulation de phishing) avec tous les collaborateurs. Une simple réunion de 45 minutes réduit le taux de clic sur les liens malveillants de 70%.

Charte informatique signée par tous les collaborateurs

Document d’une à deux pages définissant les règles d’usage des outils informatiques : mots de passe, usages personnels, signalement d’incident, télétravail. Disponible gratuitement sur le site de la CNIL.

Procédure d’urgence connue de tous : qui appeler si on se fait hacker

Fiche d’urgence imprimée avec les contacts : numéro interne à appeler, cybermalveillance.gouv.fr (3018), numéro de votre assureur cyber (cellule sinistres), et gendarmerie. Affichée ou dans un classeur accessible.

Politique de sécurité écrite et validée par la direction

Un document — même court — qui formalise votre approche de la sécurité informatique. Exigé par le ReCyF (OS3) et par les assureurs. Signez-le en tant que dirigeant : c’est cette signature qui prouve l’engagement de la direction.

Registre des traitements RGPD tenu à jour

Obligation légale pour toute entreprise traitant des données personnelles. Liste vos traitements (RH, clients, prospects, fournisseurs), leur base légale, leur durée de conservation. Modèle gratuit sur le site de la CNIL.

Contrats de sous-traitance avec clause RGPD (DPA) pour vos prestataires IT

Si votre prestataire informatique, hébergeur ou logiciel SaaS accède à des données personnelles, un DPA (Data Processing Agreement) signé est obligatoire. Sans DPA, vous êtes en infraction RGPD.

Procédure de notification CNIL documentée (72h en cas de violation)

Si des données personnelles sont compromises, vous avez 72h pour notifier la CNIL (notifications.cnil.fr). Cette procédure doit être connue et documentée avant l’incident — pas découverte dans l’urgence.