Monter un programme de cybersécurité en partant de zéro, avec des mots simples
Vous n'avez ni responsable sécurité ni plan, et votre prestataire informatique fait ce qu'il peut. QoBot vous interroge comme un RSSI qui vient d'arriver, rédige un plan court dans le bon ordre, puis fait le point chaque semaine.
Voici le plan d'octobre de la Menuiserie Durand : trois actions, environ deux heures au total, dans cet ordre :
- Nadia (assistante de direction): activer la double authentification sur les 12 comptes Microsoft 365 · guide prêt · ~45 minÀ vous
- Ben (prestataire informatique): tester la restauration du serveur de fichiers · liste de contrôle envoyée · ~30 minÀ vous
- Vous: approuver la charte informatique v1 · ~15 minVotre accord
Piloter le programme : qui fait quoi
Ce que fait QoBot
- Vous interroge sur l'entreprise, les outils, les équipes, les obligations et vos inquiétudes, une question à la fois.
- Fait un état des lieux écrit : votre profil, votre informatique, ce qui s'applique à vous, les premiers risques.
- Choisit les quelques actions qui réduisent le plus le risque pour le moins d'effort, et les met dans l'ordre, selon votre situation : votre budget, le temps de vos équipes, ce que fait déjà votre prestataire.
- Rédige des guides pas à pas pour vous ou votre prestataire, et les questions pour vérifier son travail.
- Découpe une situation lourde ou compliquée (plusieurs sites, un vieux serveur auquel personne n'ose toucher, un prestataire par agence) en plans plus petits, chacun avec son responsable.
- Fait le point chaque semaine et revoit le plan après un incident, un questionnaire ou un nouvel outil.
Ce que fait votre équipe
- Répondre à ce que vous seul savez, avec vos mots : aucun jargon nécessaire.
- Approuver le plan, les politiques et les risques que vous choisissez d'accepter.
- Faire quelques tâches courtes par semaine, ou les confier à votre prestataire.
Par où commencer
Par une conversation. QoBot vous pose les questions d’un RSSI qui vient d’arriver : ce que vous faites, quels outils contiennent vos données, qui y a accès, qui est votre prestataire informatique, quels clients ou quelles règles exigent de la sécurité, et ce qui vous inquiète. Il pose une question à la fois, en langage clair, et note les réponses dans votre espace de travail au fur et à mesure.
Vous obtenez un état des lieux facile à lire : votre profil, votre informatique telle qu’elle est vraiment, les obligations qui s’appliquent probablement à vous, et les premiers risques, chacun évalué selon son impact sur l’entreprise (argent, arrêt d’activité, clients, risque juridique).
Un plan vraiment faisable
Une petite entreprise peut faire trois choses ce mois-ci. QoBot classe donc les actions selon le risque qu’elles réduisent par rapport à l’effort demandé, et donne à chacune :
- Un responsable : vous, un collègue, votre prestataire, ou QoBot lui-même pour la rédaction.
- Un temps estimé et une échéance que vous validez.
- Un coût indicatif, présenté comme une estimation.
- Une façon de vérifier qu’elle est faite, pour que « fait » veuille dire fait.
Les premières actions se ressemblent souvent : double authentification sur la messagerie et les accès à distance, sauvegardes vérifiées par une vraie restauration, comptes administrateurs nettoyés, protection de la messagerie contre l’usurpation (SPF, DKIM, DMARC), et une charte informatique que les gens lisent vraiment. QoBot vérifie lesquelles vous concernent avant de les proposer.
Ensuite, chaque semaine
QoBot fait le point chaque semaine : ce qui est fait, ce qui est en retard, ce qui a changé. Un nouveau questionnaire client, un incident, un nouvel outil ou un départ fait revoir les priorités du plan. Quand la direction doit trancher, QoBot rédige une note d’une page avec les décisions attendues.
Quand votre entreprise est plus compliquée
Plusieurs sites, quelques sociétés dans un groupe, un vieux serveur auquel personne n’ose toucher, une machine qu’on ne peut pas mettre à jour, un prestataire différent dans chaque agence : QoBot note ces contraintes telles qu’elles sont et construit le plan autour. Il découpe le programme en plans plus petits, un par site ou par équipe, chacun avec son responsable et son rythme, et vous montre l’ensemble sur une page. Quand une contrainte reste, comme une machine qu’on ne remplacera pas cette année, QoBot décrit le risque et les mesures qui le limitent, et vous décidez de l’accepter ou non.
Questions fréquentes
Nous n'avons pas d'informaticien. Ça marche quand même ?
Oui. QoBot écrit chaque étape pour la personne qui la fera : vous, une assistante de direction, ou un prestataire extérieur. Pour un prestataire, il rédige la liste des tâches et les questions à lui poser pour vérifier que c'est fait.
Combien de temps ça nous prend ?
Quelques tâches courtes par semaine, chacune avec une durée estimée. Une petite entreprise peut faire trois choses ce mois-ci, alors QoBot choisit les trois qui comptent le plus.
Y a-t-il des coûts en plus de l'application ?
Certaines actions coûtent de l'argent, comme un service de sauvegarde ou une licence de niveau supérieur. QoBot affiche une fourchette de prix pour chacune, indiquée comme une estimation, pour que vous décidiez chiffres en main.
Nous avons déjà un prestataire informatique.
Tant mieux. QoBot vous dit quoi lui demander, quelles preuves réclamer et ce que doit contenir un bon contrat avec lui, puis vérifie son travail.
Sources
- Cybermalveillance.gouv.frPlateforme publique : guides de prévention et assistance aux entreprisesPage officielle
- Règlement (UE) 2016/679 (RGPD), article 32EUR-Lex · une sécurité adaptée au risque, quelle que soit la tailleTexte officiel
- Directive (UE) 2022/2555 (NIS2), article 21EUR-Lex · les dix domaines d'un programme de sécurité, une liste utile même hors champTexte officiel
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur