La cybersécurité d’une PME ne dépend pas que des outils installés. Elle dépend surtout des réflexes du quotidien : ce que chaque collaborateur fait, ou ne fait pas, face à un email suspect, un mot de passe à créer, une clé USB trouvée sur un parking.

Voici dix gestes simples, applicables dès aujourd’hui, qui réduisent concrètement le risque d’incident.

1. Vérifier l’expéditeur avant de cliquer

Un email urgent, une facture inattendue, un lien à « vérifier immédiatement » : trois signaux classiques de phishing. Avant de cliquer, on survole le lien pour voir la vraie adresse, et on vérifie l’expéditeur exact, pas seulement le nom affiché.

2. Utiliser un mot de passe différent par service

Un mot de passe réutilisé sur plusieurs comptes transforme une seule fuite de données en compromission générale. Un gestionnaire de mots de passe comme Lockpass génère et stocke un mot de passe unique par service, sans effort de mémorisation.

3. Activer la double authentification partout où c’est possible

Messagerie, banque en ligne, outils métier : la double authentification (MFA) bloque la grande majorité des tentatives de connexion frauduleuse, même quand le mot de passe a fuité.

4. Verrouiller son poste en quittant son bureau

Un réflexe simple (Windows + L, ou Cmd + Ctrl + Q sur Mac) qui évite qu’une session ouverte devienne une porte d’entrée pour un visiteur, un prestataire, ou un collègue mal intentionné.

5. Ne jamais brancher une clé USB inconnue

Une clé USB trouvée n’est pas un cadeau. C’est une technique d’intrusion classique et toujours efficace. On la remet à l’IT, on ne la branche pas.

6. Vérifier que les sauvegardes fonctionnent vraiment

Une sauvegarde qui existe mais qui n’a jamais été testée n’est pas une sauvegarde. Un test de restauration régulier, même partiel, garantit qu’elle sera utilisable le jour où elle sera nécessaire.

7. Mettre à jour ses logiciels sans attendre

Une mise à jour en attente est souvent une faille de sécurité connue et déjà exploitée. Reporter une mise à jour, c’est laisser une porte ouverte plus longtemps que nécessaire.

8. Se méfier des demandes de virement urgentes

Un dirigeant qui demande un virement en urgence par email ou SMS, en dehors des procédures habituelles, doit toujours être contacté par un canal différent pour confirmation. C’est le principe de la double validation.

9. Limiter les accès au strict nécessaire

Chaque collaborateur ne devrait avoir accès qu’aux données et outils dont il a réellement besoin pour son poste. Moins d’accès superflus, c’est moins de surface de risque en cas de compte compromis.

10. Signaler immédiatement un doute

Un email cliqué par erreur, un comportement étrange sur son poste, un appel suspect : le signaler tout de suite, sans attendre ni avoir honte, permet de réagir avant que l’incident ne s’aggrave.

Le bon réflexe, c’est un entraînement

Ces dix gestes ne demandent ni budget ni compétence technique. Ils demandent de la régularité. C’est exactement l’objectif du Cyber Coaching : ancrer ces réflexes dans le quotidien de l’équipe, par la pratique plutôt que par la théorie.