Cet été, le ministère de l'Éducation nationale a subi une cyberattaque dont les effets se font encore sentir aujourd'hui, y compris dans l'académie de Toulouse. Des messageries, des espaces numériques de travail et des outils administratifs ont dû être coupés pendant des semaines. Le 12 septembre dernier, je discutais avec la directrice d'une école maternelle : son école n'avait toujours pas accès à ses boîtes mail. Près de deux semaines après la rentrée, et plus d'un mois et demi après l'attaque.
Et comme à chaque fois, la même question revient : « Comment est-ce possible qu'un système aussi important ne soit pas inviolable ? »
La réponse tient en une phrase : parce que rien ne l'est. Pour le comprendre, il suffit de penser à votre maison.
La clé sous le paillasson
Mon grand-père cachait toujours sa clé sous le paillasson. Tout le monde le savait, ou presque. S'est-il déjà fait cambrioler ? Jamais.
Était-il mieux protégé que les autres ? Non. Simplement, il n'avait pas grand-chose à voler, et il vivait dans un endroit et à une époque où le risque était faible. Personne n'avait de raison de s'intéresser à sa porte.
À l'inverse, des bijouteries de luxe, des banques ou des musées se font régulièrement cambrioler, alors qu'ils sont dix fois mieux protégés. Pourquoi ? Parce qu'ils valent le déplacement. Plus la cible est intéressante, plus les moyens mis en face pour l'atteindre sont importants.
Il existe toujours un moyen de passer
Vous pouvez installer une porte blindée, des barreaux aux fenêtres, couler des murs en béton armé. Il existera toujours un moyen de forcer le passage : une meuleuse, un bulldozer, un char d'assaut. Tout est une question de moyens, mais pour chaque barrière, il existe un outil capable de la franchir.
C'est pourquoi on ne compte jamais sur une seule protection. On les empile : une porte solide, puis une alarme, des caméras, des détecteurs de mouvement, un coffre-fort à l'intérieur. Chaque couche ralentit, complique, décourage. Et si l'une cède, la suivante prend le relais.
En informatique, c'est exactement pareil
Le logiciel ou la machine impossible à pirater n'existe pas, encore moins lorsqu'elle est connectée à Internet. La sécurité informatique ne consiste donc pas à construire un mur parfait, mais à empiler des couches de protection adaptées au niveau de risque : pare-feu, chiffrement, double authentification, mises à jour, sauvegardes, surveillance…
Plus ces couches sont nombreuses et robustes, plus elles sont complexes à mettre en place et parfois coûteuses à entretenir. C'est pour cela qu'on ne protège pas le site d'une boulangerie comme le système d'une banque. Mais dans tous les cas, il faut partir d'un principe : quelque part, une faille existe, et celui qui la trouve pourra entrer.
Souvenez-vous de La Casa de Papel. Ce n'est qu'une fiction, bien sûr, mais l'idée est bien là : une Banque d'Espagne réputée imprenable, et une équipe qui finit par trouver l'angle mort que personne n'avait envisagé, il la dévalise. Chose intéressante dans cette fiction, on voie bien que le plan, est une successions de contournements de chaque sécurité mise en place par la banque, il n'ont pas juste défoncé la porte. C'est exactement l'idée.
Le vrai danger vient souvent de l'intérieur
Dans la vraie vie, le plus inquiétant, c'est que la plus grosse faille se trouve très souvent en interne.
C'est le collègue qui ne verrouille pas son ordinateur en partant en réunion ou à la pause. Un jour, un visiteur non accompagné passe devant son poste ouvert, il n'y a personne dans la salle, la voie est libre.
C'est aussi celui qui préfère travailler sur son ordinateur personnel plutôt que sur celui de l'entreprise, souvent avec de bonnes intentions : sa machine est plus puissante. Mais la veille, il y a téléchargé depuis un réseau non protégé et sans le savoir un fichier infecté. Le lendemain, il se connecte au réseau de l'entreprise.
C'est enfin le compte dont les identifiants ont été récupérés par un faux e-mail. D'ailleurs, dans le cas de l'Éducation nationale, les premiers éléments communiqués évoquaient justement l'usurpation d'un compte professionnel.
Dans tous ces scénarios, les barrières dressées entre l'entreprise et Internet deviennent inutiles : l'intrus est déjà à l'intérieur, on lui a donné la clé valide.
Quand la sécurité devient une contrainte qu'on contourne
Il y a un autre frein, plus discret : la sécurité agace.
Quand je me rends chez un client pour configurer son compte Microsoft 365, il n'est pas rare de le voir soupirer au moment d'activer la double authentification. Encore un code à saisir, encore un téléphone à sortir. Sur le moment, cela ressemble à une perte de temps.
Et combien d'entre nous utilisent un mot de passe prévisible, tout simplement pour ne pas l'oublier ? Une date de naissance, le prénom d'un enfant, le nom de l'entreprise suivi de l'année… Vous connaissez sans doute ce code de porte d'Ehpad qui n'est autre que le code postal de la commune, éventuellement amputé d'un chiffre. Il est pratique, tout le monde le retient, et c'est précisément le problème.
Et quand l'entreprise impose de changer de mot de passe tous les trois mois, beaucoup trouvent la parade : on garde le même et on change un seul caractère. Un chiffre qui s'incrémente, ou le fameux « ! » ajouté à la fin. La règle est respectée sur le papier, mais le mot de passe reste presque identique. Pour un pirate qui a déjà l'ancien, c'est à peine un obstacle.
Parfois, c'est la sécurité elle-même qui crée la faille. Dans un reportage du 13 h de TF1 diffusé après le piratage de l'Éducation nationale, on voyait des collèges où la vie scolaire avait imprimé pour chaque élève un papier avec son identifiant et son mot de passe, à coller dans le carnet de correspondance. Le mot de passe était très solide, rien à redire. Mais tellement solide qu'impossible à retenir, alors pour qu'ils puissent accéder aux machines en cours, on l'a écrit... dans un carnet qui passe de main en main, qu'on oublie sur une table ou qu'on perd dans un bus. Le cadenas est excellent, mais la combinaison est scotchée dessus.
On a beau le répéter, la sécurité finit souvent par passer après le confort. Or une protection que personne n'utilise, ou que tout le monde contourne, ne protège rien. C'est pour cela qu'une bonne sécurité doit aussi être pensée pour être vivable au quotidien : un gestionnaire de mots de passe plutôt qu'une liste à retenir, une application d'authentification plutôt que des codes par SMS à rallonge, des règles claires plutôt que des contraintes incomprises.
L'IA, une nouvelle arme dans les deux camps
Il faut aussi parler de l'intelligence artificielle. Elle aide les équipes de sécurité à détecter plus vite les comportements suspects. Mais détournée à de mauvaises fins, généralement pas avec les versions grand public mais avec des outils modifiés, elle peut aussi devenir une arme redoutable : e-mails d'hameçonnage sans la moindre faute, imitation crédible d'un collègue ou d'un dirigeant, recherche automatisée de failles. Les attaques deviennent plus nombreuses, plus rapides et plus convaincantes.
Se préparer au jour où tout s'arrête
Si aucune protection n'est infaillible, la vraie question n'est pas seulement « comment éviter l'attaque ? », mais aussi « que fait-on le jour où elle réussit ? ». Ou, plus simplement, le jour où l'outil tombe en panne, car une coupure n'a pas toujours besoin d'un pirate : un serveur qui lâche ou une mise à jour ratée suffisent.
C'est tout le principe du plan de crise : réfléchir à froid à ce qui se passerait si un outil essentiel devenait indisponible du jour au lendemain. Une école privée de messagerie pendant des semaines en est l'illustration parfaite.
Pour moi, concevoir un CRM, c'est aussi prévoir dès le départ la solution de secours. La question à se poser est simple : si le CRM est hors service demain matin, l'entreprise peut-elle continuer à fonctionner ? Peut-on encore retrouver les coordonnées d'un client, honorer une commande, émettre une facture ?
Si la réponse est non, il faut imaginer une alternative. Elle n'a pas besoin d'être idéale. On peut tout à fait accepter un fonctionnement dégradé, moins pratique, plus lent : un export régulier des données essentielles dans un simple tableur, une liste des contacts clés accessible hors ligne, une procédure papier pour prendre les commandes, une copie des données hébergée ailleurs. L'important n'est pas le confort, c'est d'avoir une solution et de savoir qui fait quoi le jour J.
Et bien entendu, la solution de secours doit elle aussi être sécurisée. Ce serait dommage de chiffrer soigneusement votre base de données principale, puis d'en laisser traîner une copie en clair sur une clé USB, dans un tableur partagé ou sur un disque dur au fond d'un tiroir. Pour un pirate, une sauvegarde mal protégée est une aubaine : toutes les données, sans aucune des barrières. Autant laisser la clé sous le paillasson.
Un bon plan de secours tient souvent en une page et un peu d'anticipation dans le logiciel. Mais il faut l'avoir écrit avant la crise, pas pendant.
Alors, que faire à votre échelle ?
La bonne nouvelle, c'est qu'une TPE ou une PME n'a pas besoin d'un budget de banque pour se protéger sérieusement. Quelques couches simples, qui ne compliquent pas la vie, font déjà une vraie différence :
Activer la double authentification partout où c'est possible, pour qu'un mot de passe volé ne suffise pas.
Utiliser un gestionnaire de mots de passe, pour avoir des mots de passe solides sans avoir à les retenir ni à les écrire.
Verrouiller son poste dès qu'on s'en éloigne, même quelques minutes.
Séparer le personnel et le professionnel, sur les machines comme sur les comptes.
Faire les mises à jour sans les repousser indéfiniment.
Sauvegarder régulièrement, avec au moins une copie déconnectée du réseau, et aussi bien protégée que l'original.
Prévoir un mode dégradé pour vos outils essentiels, et vérifier de temps en temps qu'il fonctionne toujours.
Sensibiliser l'équipe : un e-mail douteux signalé vaut mieux qu'un clic de trop.
La sécurité parfaite n'existe pas. Mais entre la clé sous le paillasson et le coffre-fort de banque, il y a un niveau de protection adapté à votre activité. Lorsque je conçois un CRM ou un site pour un client, ce sont justement ces questions que je me pose dès le départ : quelles données sont en jeu, quelles couches de protection méritent-elles, et comment l'entreprise continuera-t-elle à fonctionner le jour où l'outil ne répondra plus ?