Automatisation et cybersécurité : 8 réflexes pour protéger une PME

Automatiser, c'est relier des outils entre eux : le formulaire au CRM, le CRM à la facturation, la facturation à la banque. Chaque liaison repose sur un compte, un mot de passe ou une clé d'accès, et chacune peut devenir une porte d'entrée si elle est mal gardée. Quelques réflexes suffisent à éviter l'essentiel des incidents. Ils reprennent les recommandations du guide de l'ANSSI La cybersécurité pour les TPE/PME en treize questions et du guide de Cybermalveillance.gouv.fr pour les dirigeants, appliquées aux automatisations.

1. Tenir l'inventaire des automatisations

Le guide de l'ANSSI commence par l'inventaire, et pour cause : on ne protège pas ce qu'on ne connaît pas. Listez chaque automatisation, les outils qu'elle relie, le compte qu'elle utilise, les données qu'elle manipule et la personne qui en répond. Une automatisation créée par un collaborateur parti, que plus personne ne sait modifier, est un risque.

2. Un compte dédié, avec le minimum de droits

Une automatisation ne devrait utiliser ni le compte personnel du dirigeant, ni un compte administrateur. Créez un compte ou une clé d'accès dédiés, limités aux seules actions nécessaires : une automatisation qui lit les commandes n'a pas besoin du droit de supprimer des clients. Si la clé fuit, les dégâts restent limités.

3. Protéger les clés d'accès

Les clés d'accès (API) sont des mots de passe : elles se rangent dans des variables protégées ou un coffre-fort de secrets, jamais dans un fichier partagé, un e-mail ou le code source. Changez-les au départ d'une personne qui y avait accès, et dès qu'un doute existe.

4. Activer la double authentification

Sur les comptes des plateformes d'automatisation, des outils d'administration et de la messagerie, activez l'authentification à plusieurs facteurs : un mot de passe seul ne suffit plus. Le guide de l'ANSSI la recommande, et conseille pour les comptes les plus sensibles un facteur physique, comme une clé de sécurité.

5. Sauvegarder, dont une copie déconnectée

Les données que manipulent vos automatisations doivent être sauvegardées régulièrement. L'ANSSI recommande de combiner des sauvegardes en ligne et des sauvegardes déconnectées, hors d'atteinte d'un rançongiciel. Et une sauvegarde ne vaut que si l'on a déjà vérifié qu'elle se restaure.

6. Surveiller les échecs et les accès

Une automatisation qui échoue en silence est un danger discret : des commandes non transmises, des relances non envoyées, pendant des semaines. Chaque automatisation importante doit prévenir quelqu'un en cas d'échec. Gardez aussi une trace des actions (qui, quoi, quand), utile pour comprendre un incident.

7. Couper les accès au départ

Au départ d'un salarié ou d'un prestataire, désactivez ses comptes et changez les clés auxquelles il avait accès, le jour même. Une liste de sortie automatique, sur le modèle de l'onboarding automatisé, évite les oublis.

8. Vérifier toute demande inhabituelle

Un e-mail qui demande de changer les coordonnées bancaires d'un fournisseur, un virement urgent réclamé au nom de la direction : ces demandes se vérifient par un autre canal, en appelant un numéro connu. Une automatisation peut appliquer cette règle en bloquant tout changement de coordonnées bancaires tant qu'il n'a pas été confirmé, comme dans le circuit décrit dans Factures fournisseurs : automatiser le circuit, de la réception au paiement.

Et en cas d'incident ?

Cybermalveillance.gouv.fr propose un diagnostic en ligne et met en relation avec des prestataires de proximité. Préparez à l'avance la liste des personnes à prévenir et des accès à couper : pendant une attaque, on réfléchit mal. Nous intégrons ces réflexes dès la conception de chaque automatisation, en complément des règles RGPD. Sécuriser mes automatisations