Comment utiliser le cloud en sécurité dans une TPE ?

SaaS, PaaS et IaaS : ce qui compte réellement

La plupart des TPE utilisent surtout des logiciels fournis comme un service, ou SaaS : messagerie, partage de fichiers, comptabilité, gestion commerciale ou visioconférence. Le fournisseur exploite l’application et son infrastructure ; l’entreprise gère notamment ses utilisateurs, ses droits, ses données et de nombreux réglages.

Le PaaS fournit une plateforme de développement, tandis que l’IaaS fournit des ressources d’infrastructure telles que des machines virtuelles ou du stockage. Ces modèles donnent davantage de contrôle, mais exigent aussi des compétences d’administration plus importantes.

Pour une petite structure, le bon choix n’est pas le modèle le plus technique. C’est celui qu’elle peut comprendre, administrer, sauvegarder et quitter sans dépendance incontrôlée.

Commencer par l’inventaire des données et services

Avant de migrer, listez :

• les applications et espaces de stockage utilisés ;
• les propriétaires administratifs de chaque service ;
• les données hébergées, leur sensibilité et leur durée de conservation ;
• les personnes internes et externes qui y accèdent ;
• les dépendances indispensables à l’activité ;
• les copies et possibilités d’export existantes.

Distinguez les données publiques, internes, personnelles, confidentielles et critiques. Un catalogue commercial, des dossiers clients, des données de santé ou les mots de passe de l’entreprise n’appellent pas les mêmes mesures.

La CNIL recommande de raisonner sur le cycle de vie : collecte, utilisation, partage, archivage et suppression. Une information oubliée dans un ancien compte ou partagée sans limite peut rester exposée longtemps après la fin du besoin.

Examiner le fournisseur et le contrat

Avant de choisir un service, vérifiez de façon proportionnée :

• les fonctions de sécurité et les options réellement incluses dans l’offre ;
• la localisation des données et les sous-traitants annoncés ;
• les conditions de disponibilité, d’assistance et de notification d’incident ;
• la sauvegarde fournie, l’historique des versions et les durées de rétention ;
• les formats d’export et la possibilité de récupérer l’ensemble des données ;
• les modalités de suppression en fin de contrat ;
• les engagements liés aux données personnelles et le contrat de sous-traitance ;
• le coût total, y compris les comptes administrateurs, la conservation et la sortie.

Ne confondez pas réputation de la marque et adéquation au besoin. Une offre grand public peut manquer d’administration centralisée, de traçabilité ou de garanties contractuelles. À l’inverse, accumuler des options complexes qui ne seront jamais configurées n’améliore pas la sécurité.

Pour des données particulièrement sensibles ou un secteur réglementé, faites préciser les exigences juridiques, contractuelles et de qualification applicables avant la migration.

Garder la maîtrise des comptes

Le compte administrateur principal doit appartenir à l’entreprise, pas à l’adresse personnelle d’un salarié, d’un prestataire ou du dirigeant utilisée ailleurs. Conservez un inventaire des administrateurs et un moyen de récupération contrôlé.

Mesures essentielles :

• un compte nominatif par personne, sans identifiant partagé ;
• authentification multifacteur pour les comptes importants ;
• droits minimaux nécessaires à chaque rôle ;
• au moins un accès administrateur de secours, protégé et surveillé ;
• suppression rapide des accès au départ d’un collaborateur ou d’un prestataire ;
• contrôle périodique des sessions, appareils, applications connectées et invités.

Évitez d’utiliser quotidiennement un compte doté de tous les privilèges. Séparez les tâches d’administration de l’usage courant lorsque le service le permet.

Ne pas confondre synchronisation et sauvegarde

La synchronisation facilite le travail sur plusieurs appareils, mais peut reproduire une suppression, une erreur ou le chiffrement de fichiers par un logiciel malveillant. La corbeille et l’historique des versions sont utiles, sans constituer à eux seuls une stratégie complète.

Conservez une sauvegarde indépendante adaptée à la criticité des données. Elle doit :

• couvrir les fichiers, mais aussi les messages ou configurations importantes ;
• ne pas dépendre uniquement du même compte cloud ;
• être protégée contre la modification et l’effacement non autorisés ;
• avoir une durée de conservation connue ;
• être restaurée lors de tests réguliers.

Une sauvegarde dont personne ne sait restaurer un dossier, une boîte mail ou une base complète reste une hypothèse. Notez qui déclenche la restauration et dans quel délai l’activité doit reprendre.

Maîtriser les partages

Préférez les partages nominatifs aux liens publics. Réservez l’option « toute personne disposant du lien » aux informations réellement destinées à circuler ainsi.

Pour chaque espace partagé :

• attribuez lecture ou modification selon le besoin ;
• limitez le téléchargement si cela a un sens et si le service le permet ;
• définissez une date d’expiration pour les échanges temporaires ;
• retirez les invités à la fin de la mission ;
• examinez régulièrement les liens anciens ;
• évitez de partager la racine complète lorsqu’un dossier suffit.

Un fichier téléchargé par un destinataire échappe ensuite aux réglages du service. Les droits techniques complètent les règles de confidentialité, ils ne les remplacent pas.

Sécuriser aussi les appareils

Un service correctement configuré reste vulnérable si une session ouverte est volée sur un ordinateur non protégé. Les postes et téléphones doivent être à jour, verrouillés, chiffrés lorsque nécessaire et débarrassés des logiciels inutiles.

Sur un appareil perdu ou compromis, révoquez les sessions et jetons d’accès, puis changez les identifiants prioritaires depuis un appareil sain. Le seul changement de mot de passe ne ferme pas toujours toutes les sessions existantes.

Pour les ordinateurs personnels autorisés, définissez clairement les données accessibles, les exigences minimales et ce qui se passe au départ de l’utilisateur. Un mélange non encadré des comptes personnels et professionnels complique fortement la restitution et l’effacement.

Prévoir la panne et la sortie

Demandez-vous comment travailler si Internet, le fournisseur ou le compte principal devient indisponible. Selon l’activité, prévoyez :

• une connexion de secours ;
• les coordonnées et procédures essentielles disponibles hors ligne ;
• un export récent des données critiques ;
• un moyen de contacter les clients et collaborateurs ;
• une procédure d’escalade auprès du support.

La réversibilité doit être testée avant d’en avoir besoin. Vérifiez que l’export est complet, lisible et réimportable ailleurs. Documentez les dépendances : liens partagés, automatisations, formulaires, licences et applications tierces.

Lors d’un changement de service, réalisez un pilote, mesurez les volumes et conservez une période de coexistence maîtrisée. Ne fermez l’ancien compte qu’après les contrôles et la conservation des éléments légalement nécessaires.

Données personnelles et responsabilité de la TPE

Lorsqu’un prestataire traite des données personnelles pour le compte de l’entreprise, le RGPD impose d’encadrer cette sous-traitance. L’entreprise doit notamment choisir un prestataire présentant des garanties suffisantes, définir les instructions, connaître les sous-traitants ultérieurs et prévoir le sort des données à la fin de la prestation.

Tenez à jour le registre des traitements, les durées de conservation et les mesures de sécurité applicables. N’envoyez pas au fournisseur plus de données que nécessaire et désactivez les fonctions facultatives qui créent une collecte sans utilité définie.

Le contrat et les réglages doivent correspondre à la pratique réelle. Copier une politique générale sans savoir où sont stockés les fichiers ni qui possède les comptes ne démontre pas la maîtrise du traitement.

Une feuille de route simple pour une petite structure

1. Inventorier les services, données et administrateurs.
2. Classer les informations selon leur sensibilité et leur criticité.
3. Comparer les garanties, fonctions, exports et coûts de sortie.
4. Créer des comptes nominatifs avec authentification multifacteur.
5. Attribuer les droits minimaux et retirer les anciens accès.
6. Mettre en place une sauvegarde indépendante et tester une restauration.
7. Examiner les partages externes et liens publics.
8. Documenter la panne, l’incident et la réversibilité.
9. Revoir l’ensemble au moins après chaque changement important.

Les petites structures peuvent également s’appuyer sur MonAideCyber pour obtenir un diagnostic officiel de premier niveau et consulter le catalogue des services de l’ANSSI.

Besoin de cadrer vos usages cloud ?

AIService peut inventorier les comptes, vérifier les droits et partages, organiser les sauvegardes, préparer une migration et documenter la reprise. Cette intervention ne remplace pas le conseil juridique, l’audit réglementaire ou l’administration spécialisée d’une infrastructure complexe.

Demander un diagnostic cloud et sauvegardes

Découvrir l'accompagnement des professionnels

Pour continuer