Sensibiliser ses salariés à la cybersécurité : cinq règles simples pour une TPE
La sensibilisation à la cybersécurité des salariés commence par des repères faciles à appliquer. Dans une petite entreprise, chacun doit savoir quel compte utiliser, à qui signaler un doute et quels accès fermer lors d'un départ. Voici une mini-charte à adapter avec votre équipe.
La sensibilisation à la cybersécurité des salariés commence par des repères faciles à appliquer. Dans une petite entreprise, chacun doit savoir quel compte utiliser, à qui signaler un doute et quels accès fermer lors d'un départ. Voici une mini-charte à adapter avec votre équipe.
Dans cette scène fictive, une commerçante découvre que l'accès de son ancien stagiaire est encore actif plusieurs mois après son départ. Le lendemain, un employé trouve une clé USB près de l'entrée et se demande s'il doit la brancher pour identifier son propriétaire. Personne ne cherche à mal faire. Mais aucune règle commune n'a été prévue pour ces situations. La dirigeante décide de les reprendre avec son équipe, avant qu'un doute ne devienne un problème.
Une petite équipe a besoin de consignes concrètes
Les recommandations officielles encouragent à former les collaborateurs, à protéger leurs mots de passe et à séparer les usages professionnels et personnels. Vous les trouverez dans la fiche sur la sensibilisation des collaborateurs.
Pour votre TPE, partez des tâches réelles : ouvrir la messagerie, préparer une facture, accéder aux documents partagés, accueillir une personne qui remplace un collègue. Une consigne devient plus facile à suivre lorsqu'elle répond à une situation connue.
Demandez également à chacun ce qui le bloque. Un compte partagé peut cacher un besoin de remplacement ; un fichier envoyé par une messagerie personnelle peut signaler un outil professionnel difficile à utiliser. Le dirigeant doit traiter ce besoin avec l'équipe, pas seulement rappeler une interdiction.
Règle 1 : chacun utilise son compte
Lorsque l'outil le permet, créez un compte nominatif et donnez à chaque personne les accès nécessaires à son travail. Ne transmettez pas le mot de passe d'un collègue pour résoudre un besoin ponctuel. Organisez plutôt les délégations et les remplacements avec votre prestataire.
Pour démarrer, faites un tour des outils avec l'équipe. Qui se connecte à la messagerie ? Qui utilise le logiciel de facturation ? Quels accès dépendent du dirigeant ? Demandez comment les salariés travaillent pendant les congés. Cette discussion fait apparaître les situations à régler.
Les mots de passe doivent être distincts et protégés. Le gestionnaire de mots de passe peut faciliter leur organisation. Il faut définir qui peut accéder à quelles informations et comment l'entreprise reprend la gestion si une personne part.
Règle 2 : préparer la fermeture des accès lors d'un départ
Le départ d'un salarié ou la fin d'un stage doit déclencher un contrôle. Prévoyez cette tâche dans votre organisation de départ, avec une personne responsable et une date. Il ne s'agit pas de suspecter l'ancien collègue : l'accès doit simplement correspondre aux missions actuelles.
Pour gérer les accès informatiques d'un salarié qui part, vous pouvez copier cette liste et l'adapter à vos outils :
- ☐ Indiquer la date de départ et le responsable du contrôle.
- ☐ Recenser messagerie, logiciels métier et espaces de fichiers.
- ☐ Faire retirer les autorisations et contrôler les sessions actives.
- ☐ Revoir les partages, délégations et liens accessibles à l'extérieur.
- ☐ Vérifier les accès au site, aux outils de communication et aux équipements à distance.
- ☐ Réviser les secrets partagés auxquels la personne avait accès, si ces partages existaient.
- ☐ Récupérer les appareils, clés, badges et supports appartenant à l'entreprise.
- ☐ Organiser la conservation et la transmission nécessaires des dossiers professionnels.
- ☐ Faire vérifier le résultat et noter les actions restantes.
Cette liste est une proposition d'organisation, à compléter selon votre entreprise et les règles applicables. Ne supprimez pas un compte ou une boîte au hasard avant d'avoir décidé comment reprendre les dossiers utiles. Faites préciser les étapes par la personne qui administre vos outils.
Règle 3 : une clé USB inconnue reste débranchée
Un support trouvé n'a pas besoin d'être branché pour décider de la première action : le remettre à la personne désignée dans l'entreprise. Une inscription rassurante ou intrigante ne permet pas d'en connaître le contenu ni l'origine.
Prévoyez un endroit et un responsable pour les supports trouvés. L'employé de notre exemple pourrait ainsi poser la clé dans une enveloppe et prévenir la dirigeante. Il n'aurait pas à improviser une recherche sur l'ordinateur de caisse.
La règle doit aussi prévoir les échanges légitimes. Si un fournisseur doit vous transmettre un fichier, convenez à l'avance du canal autorisé. Votre équipe pourra refuser un support inattendu sans bloquer inutilement la relation commerciale.
Règle 4 : signaler un doute rapidement
Écrivez clairement qui appeler et par quel moyen. Le numéro du prestataire doit rester accessible si l'ordinateur ne fonctionne plus. Encouragez un signalement immédiat, y compris lorsqu'une personne a déjà cliqué ou branché un support. Remerciez-la d'avoir prévenu.
En cas de cyberattaque suspectée, les consignes officielles pour les collaborateurs indiquent de déconnecter l'appareil du réseau, de ne pas l'éteindre, d'alerter le support, de cesser de l'utiliser et de prévenir les collègues. Les éventuelles décisions techniques supplémentaires appartiennent au professionnel qui prend en charge l'incident.
Lors du signalement, demandez des faits simples : appareil concerné, message observé, action effectuée. Évitez les reproches ou les suppositions. L'objectif est que la personne puisse transmettre une information utile, même si elle ne comprend pas encore ce qui se passe.
Règle 5 : séparer les usages professionnels et personnels
Définissez où se trouvent les documents de travail et quels outils servent à les partager. Prévoyez une solution pour les besoins de déplacement ou de remplacement. Une consigne vague comme « faites attention aux fichiers » ne suffit pas pour choisir le bon canal.
Posez un exemple concret à votre équipe : « Vous devez transmettre un devis depuis l'extérieur ; comment faites-vous ? » Si les réponses diffèrent, reprenez le parcours ensemble. Notez une méthode commune et vérifiez que chacun dispose des accès nécessaires.
Comment en parler sans faire un cours compliqué ?
Prévoyez un échange court autour d'un exemple fictif. Lisez les cinq règles et demandez comment elles se traduisent dans vos outils. Terminez par une action précise : documenter le contact d'urgence, revoir un compte partagé ou préparer la liste des accès.
Le guide officiel pour les dirigeants recommande notamment un état des lieux et un plan d'action. Vous pouvez commencer modestement, puis reprendre un sujet lors de l'arrivée d'une personne ou d'un nouvel outil.
Faites-vous aider
Je peux vous aider à transformer ces règles en consignes adaptées à votre équipe et à préparer un atelier pratique. Un échange sans engagement permet de choisir les situations utiles à travailler dans votre entreprise.
J'accompagne les TPE de la Côte d'Opale Sud, des 7 Vallées et de la Baie de Somme. Contactez-moi au 06 74 39 93 45 ou par le formulaire de contact.