Dix gestes simples, avant même d'avoir un premier salarié
Quand on lance son activité, la liste des priorités est longue : statut juridique, premiers clients, devis, banque, assurance. La cybersécurité passe presque toujours après tout le reste, sous prétexte que l'entreprise est trop petite pour intéresser quelqu'un. C'est une erreur de perspective : les attaques automatisées ne choisissent pas leurs cibles selon leur chiffre d'affaires, elles testent des milliers d'adresses et de comptes et retiennent ceux qui cèdent. Autant poser de bonnes habitudes quand il n'y a encore presque rien à protéger.
Premier réflexe : ne pas mélanger vie privée et activité. Ouvrez une adresse e-mail dédiée à l'entreprise, idéalement sur votre propre nom de domaine, et un compte bancaire professionnel. Sur l'ordinateur, créez une session distincte si la machine sert aussi à la famille. Cette séparation limite les dégâts : si le compte de streaming d'un proche est compromis, votre comptabilité n'est pas concernée. Pour les débutants qui cherchent des repères sur ces premières décisions, des ressources comme entrepreneur-debutant.fr aident à structurer les démarches de départ ; la sécurité s'y ajoute naturellement comme une ligne de plus dans la liste.
Le geste le plus rentable reste le gestionnaire de mots de passe. Il génère des mots de passe uniques et longs, les remplit à votre place et vous évite la tentation de réutiliser le même partout. Ensuite, activez la double authentification sur les services critiques, dans cet ordre :
Devis, factures, contrats, fichiers clients : listez ces documents et décidez où ils vivent. Appliquez la règle dite du 3-2-1 : trois copies, sur deux supports différents, dont une hors site. Un disque externe débranché après la copie et un stockage en ligne distinct suffisent pour démarrer. Programmez la sauvegarde plutôt que de compter sur votre mémoire, et testez la récupération d'un fichier une fois par trimestre.
Les mises à jour corrigent des failles connues, que les attaquants exploitent justement parce qu'elles sont publiques. Activez les mises à jour automatiques du système, du navigateur et des principaux logiciels. Sur le téléphone, faites de même : il contient souvent votre messagerie, votre agenda et vos codes de validation.
Le courriel frauduleux reste la porte d'entrée numéro un. Les signaux d'alerte sont toujours les mêmes : urgence artificielle, demande de paiement inhabituelle, changement de coordonnées bancaires d'un fournisseur, pièce jointe inattendue, adresse d'expéditeur légèrement déformée. En cas de doute, ne cliquez pas : appelez la personne ou rendez-vous sur le site en tapant vous-même l'adresse. Une règle simple pour les virements : tout changement de RIB se confirme par téléphone, sur un numéro que vous connaissiez déjà.
Dès que vous conservez des noms, des adresses ou des e-mails de clients, vous traitez des données personnelles et vous en êtes responsable. Gardez uniquement ce qui sert l'activité, limitez l'accès aux personnes qui en ont besoin et prévoyez une durée de conservation. En cas de perte ou de fuite, la CNIL explique la conduite à tenir en cas de violation de données, y compris les délais de notification.
Réservez un créneau fixe chaque mois, quinze minutes suffisent : vérifier que les sauvegardes se sont bien exécutées, supprimer les comptes inutilisés, relire la liste des appareils connectés, répondre à la question « qu'est-ce qui me ferait le plus mal si je le perdais demain ? ». Cette habitude ne coûte presque rien et distingue les entreprises qui subissent un incident de celles qui le traversent sans drame. Votre première année est le meilleur moment pour la prendre.
Cette liste peut sembler lourde. Étalez-la : la première semaine, mots de passe et double authentification ; la deuxième, sauvegardes ; la troisième, mises à jour et tri des comptes ; la quatrième, vos règles pour les virements et les messages suspects. En un mois, l'essentiel est en place et chaque geste reste léger.