Le logiciel de gestion renferme ce qui fait tourner votre entreprise : clients, commandes, factures, stocks, salariés. Si un jour ces données disparaissent, sont chiffrées par une attaque ou se retrouvent entre de mauvaises mains, le problème n'est plus informatique : il est commercial. Cet article passe en revue les mesures de base pour protéger ces données et, surtout, la façon de vérifier que vos sauvegardes fonctionnent réellement.
Ce qui peut mal tourner
Il est utile de savoir contre quoi vous vous protégez, car chaque risque appelle une mesure différente :
| Risque | Exemple | Mesure principale |
|---|---|---|
| Panne | Le disque du serveur du bureau tombe en panne | Sauvegardes sur un autre appareil et dans un autre lieu |
| Erreur humaine | Quelqu'un supprime un exercice ou écrase un tarif | Sauvegardes conservant plusieurs versions antérieures |
| Attaque par rançongiciel | Un programme malveillant chiffre les fichiers et exige une rançon | Sauvegardes déconnectées ou non modifiables |
| Vol ou perte | Un ordinateur portable ou un mobile ayant accès au logiciel est perdu | Mots de passe, chiffrement et blocage des accès |
| Accès indu | Un ancien salarié continue de se connecter avec son identifiant | Gestion des utilisateurs et des droits |
| Sinistre dans les locaux | Incendie, inondation | Copie hors des locaux |
Des sauvegardes que l'on peut restaurer
Une sauvegarde dont on n'a jamais testé la restauration est un espoir, pas une sauvegarde. Voici les questions auxquelles vous devez pouvoir répondre :
- Que sauvegarde-t-on ? La base de données du logiciel, mais aussi les documents joints, les modèles, la configuration et tout ce qui est nécessaire à une réinstallation.
- À quelle fréquence ? Demandez-vous combien de travail vous pouvez vous permettre de perdre. Si la réponse est « rien d'une journée », la sauvegarde doit être au moins quotidienne.
- Où ? Une pratique très répandue consiste à avoir plusieurs copies, sur des supports différents et au moins une hors du bureau. Ainsi, une panne, un vol ou un incendie n'emporte pas tout en même temps.
- Combien de versions ? Si vous ne gardez que la sauvegarde de la veille et que l'erreur remonte à une semaine, la sauvegarde la contient aussi.
- Est-elle protégée ? Un disque connecté en permanence au serveur peut être chiffré lors de la même attaque. Au moins une copie doit être déconnectée ou protégée contre toute modification.
- Qui la contrôle ? Quelqu'un doit vérifier qu'elle a bien été effectuée et qu'elle n'a pas généré d'erreur.
- A-t-on testé la restauration ? De temps en temps, restaurez une sauvegarde sur un poste de test et vérifiez que le logiciel démarre et que les données sont bien là.
Si le logiciel est dans le cloud, ne partez pas du principe que les sauvegardes sont incluses. Demandez à votre prestataire lesquelles il réalise, combien de temps il les conserve, si vous pouvez demander une copie de vos données et en combien de temps il peut les restaurer.
Qui se connecte et ce qu'il peut faire
Beaucoup de problèmes ne viennent pas de l'extérieur, mais d'accès mal gérés :
- Un utilisateur par personne. Pas de comptes partagés du type « entrepôt » ou « bureau ». Si vous ne savez pas qui a effectué une modification, vous ne pouvez pas en corriger l'origine.
- Des droits adaptés au poste. Celui qui saisit les commandes n'a pas besoin de voir les fiches de paie ; celui qui facture n'a pas besoin de supprimer des clients.
- Des mots de passe robustes et, si le logiciel le permet, une double authentification, surtout pour les accès depuis l'extérieur du bureau.
- Des arrivées et des départs à jour. Quand quelqu'un quitte l'entreprise, son accès est fermé le jour même, y compris sur mobile.
- Un contrôle périodique. Passez de temps en temps la liste des utilisateurs en revue. Il y a souvent des surprises.
Mises à jour et équipements
Les attaques exploitent fréquemment des failles connues pour lesquelles un correctif existe déjà. Maintenez à jour le système d'exploitation des serveurs et des ordinateurs, le logiciel de gestion lui-même, les navigateurs et les mobiles qui y accèdent. Un équipement qui ne reçoit plus de mises à jour de sécurité ne devrait plus avoir accès aux données de l'entreprise. L'Instituto Nacional de Ciberseguridad (INCIBE, l'institut national espagnol de cybersécurité) publie sur son site des guides et des ressources gratuites sur la sécurité pour les entreprises, qui constituent un bon point de départ.
Ce que dit la réglementation sur la protection des données
Si le logiciel conserve des données personnelles de clients, de fournisseurs ou de salariés, ce qui est le cas général, le Règlement général sur la protection des données (Règlement (UE) 2016/679) s'applique, complété en Espagne par la Ley Orgánica 3/2018 (loi organique espagnole sur la protection des données personnelles et la garantie des droits numériques). Deux articles concernent directement ce sujet :
- Article 32, sécurité du traitement. Il impose de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, et mentionne expressément la capacité de rétablir rapidement la disponibilité des données et l'accès à celles-ci en cas d'incident, ainsi que la vérification régulière de l'efficacité des mesures. Autrement dit, des sauvegardes qui fonctionnent et qui sont testées.
- Article 33, notification des violations de sécurité. En cas de violation affectant des données personnelles et présentant un risque pour les personnes, elle doit être notifiée à l'autorité de contrôle (en Espagne, l'Agencia Española de Protección de Datos) dans les meilleurs délais et, si possible, dans un délai de 72 heures après en avoir pris connaissance.
L'Agencia Española de Protección de Datos propose sur son site des guides et des outils pour les PME. Si votre cas est complexe, consultez un spécialiste.
Si quelque chose tombe en panne : un plan simple
Inutile de rédiger un document de cent pages. Une simple feuille répondant aux questions suivantes suffit :
- Qui appeler en premier : le prestataire du logiciel, celui des systèmes informatiques, la direction.
- Où se trouvent les sauvegardes et qui sait les restaurer.
- Comment continuer à travailler dans l'intervalle : même sur papier pendant quelques heures.
- Qui décide s'il faut notifier une violation de données personnelles.
- Comment prévenir les clients ou les salariés s'ils sont concernés.
Conservez aussi cette feuille en dehors de l'ordinateur : si le problème vient de l'ordinateur, vous ne pourrez pas l'ouvrir.
Notre façon de procéder chez Infonet
Chez Infonet Consultores, nous concevons, développons et maintenons des applications de gestion, et après l'installation nous continuons à assurer une assistance directe avec la même équipe que celle qui les a développées. Nos applications fonctionnent dans le cloud, et nous nous chargeons également de l'adaptation et de la mise en œuvre du RGPD ainsi que de la maintenance informatique avec une réponse immédiate. Si vous envisagez un nouveau logiciel, découvrez notre méthode de travail dans développement de logiciels sur mesure ou faites connaissance avec l'équipe sur entreprise de logiciels à Huelva.
