Un poste non mis à jour, une sauvegarde jamais testée ou un ancien salarié encore présent dans Microsoft 365 peuvent suffire à exposer une PME à un incident coûteux. Une checklist conformité informatique permet de transformer ces risques diffus en contrôles concrets, attribués et vérifiables. Son objectif n’est pas d’ajouter de la bureaucratie : il s’agit de savoir précisément ce qui est protégé, qui y accède et comment l’entreprise reprend son activité en cas de problème.
Pour une structure de 5 à 200 collaborateurs, la conformité informatique ne se limite pas au RGPD. Elle recouvre aussi la sécurité des postes, la gestion des accès, les sauvegardes, les contrats fournisseurs, les licences et la capacité à démontrer que les bonnes mesures sont réellement appliquées. Cette démarche doit rester proportionnée à la taille de l’entreprise, à son secteur et à la nature des données traitées.
Pourquoi la conformité informatique concerne toutes les PME
Une PME manipule souvent bien plus de données sensibles qu’elle ne l’imagine : fichiers clients, devis, coordonnées bancaires, dossiers RH, échanges d’avocats, données de santé ou accès à des outils comptables. Ces informations circulent entre ordinateurs portables, messageries, smartphones, solutions cloud et parfois applications de téléphonie IP. Sans règles claires, les vulnérabilités s’accumulent au fil des recrutements, des départs et des changements d’outils.
La conformité répond à trois enjeux opérationnels. Le premier est juridique : le RGPD impose notamment de protéger les données personnelles et de réagir correctement en cas de violation. Le deuxième est commercial : certains clients, donneurs d’ordre ou assureurs demandent désormais des garanties sur la sécurité. Le troisième est celui de la continuité d’activité. Une attaque par rançongiciel ou une simple suppression de fichiers ne doit pas arrêter l’entreprise plusieurs jours.
Il ne s’agit pas de viser le niveau de contrôle d’un grand groupe. Une PME a besoin d’un dispositif lisible, maintenu dans le temps et adapté à ses usages réels. Une règle non appliquée ne protège personne.
Checklist conformité informatique : les contrôles à valider
La checklist ci-dessous peut servir de point de départ à un audit interne ou à un échange avec votre prestataire informatique. Pour chaque point, désignez un responsable, conservez une preuve simple et fixez une fréquence de contrôle. Une capture de configuration, un rapport de sauvegarde ou un registre à jour ont souvent plus de valeur qu’une procédure théorique oubliée dans un dossier.
1. Cartographier les données et les outils
Commencez par identifier les logiciels, espaces cloud, postes de travail, serveurs, mobiles et équipements réseau utilisés par les équipes. L’inventaire doit préciser où sont stockées les données personnelles, qui y a accès et si certains traitements sont confiés à un sous-traitant.
Le registre des traitements RGPD est indispensable dès lors que l’activité le justifie. Il doit couvrir, par exemple, la gestion des prospects, les ressources humaines, la facturation, les tickets de support, la vidéoprotection ou les campagnes marketing. Pour chaque traitement, documentez la finalité, les catégories de données, la durée de conservation et les personnes ou prestataires destinataires.
Cette étape révèle fréquemment des outils utilisés sans validation, des fichiers Excel contenant des informations sensibles ou des comptes créés avec une adresse personnelle. Ce sont des écarts simples à corriger, à condition de les voir.
2. Maîtriser les identités et les accès
Chaque collaborateur doit disposer d’un compte nominatif. Les comptes partagés rendent les actions impossibles à tracer et compliquent la suppression des accès lors d’un départ. Les droits doivent être limités au besoin métier : un stagiaire n’a pas besoin d’accéder aux dossiers RH, et un prestataire externe ne doit pas conserver un accès administrateur permanent.
Votre contrôle doit couvrir au minimum les points suivants :
- l’authentification multifacteur est activée sur la messagerie, le cloud, les accès distants et les comptes administrateurs ;
- les mots de passe sont uniques, suffisamment longs et gérés dans un outil adapté lorsque nécessaire ;
- les arrivées, mobilités et départs font l’objet d’une procédure formalisée ;
- les comptes inactifs, génériques et anciens prestataires sont revus régulièrement ;
- les droits d’administration sont attribués avec parcimonie et contrôlés.
L’authentification multifacteur est l’une des mesures les plus efficaces contre le piratage de messagerie. Elle doit toutefois être déployée avec accompagnement. Une configuration mal expliquée peut générer du contournement, notamment chez les équipes terrain ou les salariés qui utilisent leur mobile personnel.
3. Sécuriser les postes, le réseau et les accès distants
La conformité se joue aussi dans la configuration quotidienne du parc. Les systèmes d’exploitation et applications doivent être mis à jour selon un calendrier défini. Un antivirus ou une solution de protection des terminaux doit être administré centralement, avec une visibilité sur les postes non conformes. Le chiffrement des disques est particulièrement recommandé pour les ordinateurs portables transportant des données clients ou RH.
Côté réseau, séparez lorsque cela est pertinent les usages métiers, les équipements invités, la téléphonie IP et les objets connectés. Le Wi-Fi invité ne doit pas donner accès aux ressources internes. Le pare-feu, les accès VPN et les équipements réseau doivent faire l’objet de sauvegardes de configuration et de mises à jour suivies.
Le télétravail mérite une attention particulière. L’accès aux applications doit être sécurisé sans dégrader excessivement le travail des utilisateurs. Selon les outils utilisés, un VPN, une authentification renforcée, des politiques d’accès conditionnel ou un environnement cloud bien administré peuvent répondre au besoin. La bonne solution dépend de la sensibilité des données et des contraintes métier.
4. Vérifier les sauvegardes et la reprise d’activité
Une sauvegarde n’est conforme à son objectif que si elle peut être restaurée. Il faut donc vérifier la fréquence, la rétention, le chiffrement, la localisation des données et surtout réaliser des tests de restauration. Une copie unique sur le réseau de l’entreprise peut être chiffrée par le même rançongiciel que les fichiers de production.
Prévoyez plusieurs copies, dont au moins une séparée logiquement ou physiquement de l’environnement principal. La sauvegarde doit couvrir les serveurs, les fichiers cloud, les configurations critiques et, selon l’organisation, les données de messagerie. Définissez également un objectif réaliste : quelles données doivent être récupérées, dans quel délai, et qui prend la décision en cas d’incident ?
Un plan de reprise d’activité n’a pas besoin d’être un document de cinquante pages. Pour une PME, il peut décrire les contacts d’urgence, l’ordre de redémarrage des services, les accès de secours et les scénarios prioritaires. Le tester une fois par an permet d’identifier les informations manquantes avant une crise réelle.
5. Encadrer les fournisseurs, licences et services cloud
Les services SaaS, les hébergeurs, les éditeurs, le cabinet comptable et le prestataire informatique peuvent traiter ou héberger des données de l’entreprise. Vérifiez les contrats de sous-traitance, les engagements de confidentialité, les conditions de réversibilité et les mesures de sécurité annoncées. Pour les données personnelles, le contrat doit préciser les instructions de traitement, les catégories de données et les obligations de notification en cas d’incident.
La localisation des données doit aussi être comprise. Utiliser un fournisseur international n’est pas automatiquement interdit, mais l’entreprise doit connaître les garanties appliquées aux transferts éventuels hors de l’Union européenne. Ce sujet nécessite parfois un accompagnement juridique, notamment dans les secteurs réglementés.
Contrôlez enfin vos licences logicielles et vos abonnements. Les comptes inutilisés augmentent à la fois les coûts et la surface d’attaque. À l’inverse, des licences insuffisantes ou des logiciels non autorisés peuvent créer un risque contractuel et de sécurité.
6. Préparer la gestion des incidents et sensibiliser les équipes
Même avec de bonnes protections, un incident reste possible. La checklist doit prévoir qui alerte qui, comment isoler un poste suspect, où trouver les contacts du prestataire et comment préserver les éléments utiles à l’analyse. En cas de violation de données personnelles présentant un risque pour les personnes concernées, une notification à la CNIL peut être requise dans un délai de 72 heures. Il faut donc pouvoir qualifier rapidement l’incident, sans improvisation.
La sensibilisation des collaborateurs complète les outils techniques. Quelques rappels réguliers sur le phishing, les pièces jointes, les demandes de virement inhabituelles et le signalement d’un doute sont plus efficaces qu’une formation longue organisée une seule fois. Les dirigeants et les fonctions administratives doivent être particulièrement vigilants, car ils sont souvent ciblés par les fraudes au président.
Mettre la checklist en fonctionnement, pas dans un tiroir
La meilleure approche consiste à répartir les contrôles dans l’année. Les arrivées et départs se vérifient au fil de l’eau. Les droits d’accès peuvent être revus chaque trimestre. Les restaurations de sauvegarde, les mises à jour de procédures et l’exercice de gestion d’incident peuvent être planifiés une à deux fois par an. Cette cadence évite le grand audit anxiogène et donne une visibilité continue au dirigeant.
Pour les PME sans responsable informatique dédié, l’externalisation permet de conserver cette discipline. Un partenaire capable de superviser le parc, de gérer le support utilisateur, de contrôler les sauvegardes et de documenter les actions réduit les zones grises. Chez Meonet, cette logique s’intègre naturellement à une infogérance suivie, avec une vision globale des postes, réseaux, services cloud et communications.
La conformité informatique devient réellement utile lorsqu’elle aide les équipes à travailler sans interruption et les dirigeants à prendre des décisions éclairées. Commencez par les accès, les sauvegardes et l’inventaire : trois chantiers concrets qui donnent rapidement une base fiable pour traiter le reste.
