Votre calendrier cybersécurité : une gymnastique annuelle
La cybersécurité n’est pas une case à cocher une fois, c’est un cycle qui se rejoue. On comprend qui nous vise, on analyse ses risques avec la direction, on en tire une politique, on la traduit en charte, on complète les mesures techniques, et on recommence. Le même cycle pour une boucherie que pour une société de gestion : seules les réponses changent.
Le préalable, puis quatre étapes dans cet ordre
Commencer par les mesures techniques avant l’analyse, c’est acheter des serrures avant de savoir quelles portes comptent. L’ordre n’est pas cosmétique : il vous fait investir là où ça protège vraiment.
Le préalable, avant le cycle
Comprendre : qui vous attaque, et pourquoi
Le cycle de gouvernance qui suit commence à l’analyse de risques. Mais on ne peut pas analyser ce qu’on ne connaît pas : la première chose est de comprendre qui peut réellement vous viser, avec quels moyens et pour quelle finalité. C’est de la sensibilisation, elle s’entretient en continu et ne demande ni budget ni obligation. C’est le rôle du guide de cybersécurité.
- 1
Analyser vos risques
Le point de départ, chaque année, avec la direction
Qui peut vous viser, par quel chemin, ce que vous risquez de perdre. C’est une décision de gouvernance, pas une affaire technique : elle se prend en comité, parce que ce sont des arbitrages de budget et de priorité. Notre simulateur la déroule gratuitement en dix minutes et produit un document daté à présenter.
- 2
Mettre à jour la politique de sécurité (PSSI)
Ce que l’analyse vient de rendre évident
L’analyse a montré où sont les vrais risques : la PSSI en tire les décisions. Ce qu’on protège, à quel niveau, qui en répond, ce qu’on accepte et ce qu’on refuse. C’est le document qui transforme un constat en politique, et qui donne son autorité à tout le reste.
- 3
Réviser la charte informatique
La politique, traduite pour les équipes
La PSSI décide, la charte fait appliquer. Elle traduit les décisions en règles concrètes que chacun lit et signe : les mots de passe, la messagerie, les usages de l’IA, la vérification des virements. Une charte qui n’a pas bougé depuis l’analyse ne reflète plus vos décisions. Notre générateur en produit une adaptée en quelques minutes.
- 4
Compléter les mesures techniques
Combler ce qui n’est pas encore couvert
En dernier, pas en premier : on équipe là où l’analyse et la politique ont montré un trou, pas au hasard des offres commerciales. Sauvegardes testées, détection, durcissement, double authentification. Et surtout, ces mesures ne se posent pas une fois : elles s’appliquent et s’entretiennent en continu. Un correctif non déployé, une sauvegarde jamais testée, et la mesure décidée en janvier ne protège plus en juin. C’est le rôle d’un contrat de maintenance informatique et d’infogérance : faire tenir dans la durée ce que l’analyse a décidé.
La maintenance informatiqueL’infogérance pour PMETester mon exposition (pré-diagnostic)
Une fois par an, et à chaque fois que le monde bouge
Chaque année, avec la direction
Une revue annuelle, en comité, parce que les arbitrages sont des décisions de gouvernance. On repart de l’analyse, on met à jour ce qui a bougé, on trace la décision. C’est cette régularité, plus que la perfection d’un document, qu’un auditeur ou un assureur veut voir.
Après un incident, même évité
Un rançongiciel bloqué, une tentative de fraude au virement, un poste compromis : chaque incident est une donnée réelle sur qui vous vise et comment. On rejoue l’analyse à chaud pendant que la mémoire est fraîche, et on ajuste politique, charte et mesures dans la foulée.
Après un gros changement technique ou réglementaire
Une migration cloud, un nouvel outil métier, un rachat, l’arrivée de l’IA dans vos processus, un nouveau texte (DORA, NIS2) ou un questionnaire client : le paysage de risque change, donc l’analyse doit suivre. Ne pas la rejouer, c’est piloter avec une carte périmée.
Ce cycle n’est pas réservé aux entreprises régulées
DORA l’impose aux acteurs financiers, NIS2 l’étendra à des milliers d’entités. Mais aucune loi n’est nécessaire pour que la démarche ait du sens : savoir qui vous vise, décider quoi protéger, l’écrire, puis l’équiper, c’est du bon sens de dirigeant avant d’être une obligation. La version régulée est simplement plus formelle et opposable. La version de tout le monde tient dans les outils gratuits de cette page.
Commencez où vous êtes : si vous ne savez pas encore qui pourrait vous attaquer, prenez le guide ; si c’est clair, lancez directement votre analyse de risques. Dans les deux cas, vous repartez avec quelque chose d’écrit et de daté, ce qui vous met déjà devant la plupart.
Ordre, fréquence, documents
Dans quel ordre s’occuper de sa cybersécurité ?
Dans l’ordre du sens : comprendre qui vous attaque, analyser vos risques (avec la direction), en tirer une politique de sécurité (PSSI), la traduire en règles concrètes dans la charte informatique, puis compléter les mesures techniques là où c’est encore découvert. Chaque étape découle de la précédente ; commencer par les outils techniques avant l’analyse, c’est acheter des serrures avant de savoir quelles portes comptent.
À quelle fréquence faut-il refaire son analyse de risques ?
Au moins une fois par an, en comité de direction, parce que la menace, l’entreprise et les outils changent. Et hors calendrier à chaque fois qu’un événement le justifie : après un incident (même évité), après un gros changement technique (migration, nouvel outil métier, rachat) ou après un changement réglementaire (DORA, NIS2, un nouveau questionnaire client). Une analyse figée est une analyse fausse.
Quelle différence entre une PSSI et une charte informatique ?
La PSSI (politique de sécurité des systèmes d’information) fixe les décisions et les objectifs : ce que l’entreprise protège, à quel niveau, qui en répond. La charte informatique traduit ces décisions en règles concrètes que les équipes lisent et signent : ce qu’on a le droit de faire, ce qu’on ne fait pas. La PSSI est la stratégie, la charte est le mode d’emploi. L’une nourrit l’autre.
Ce cycle vaut-il pour une petite entreprise non régulée ?
Oui, intégralement. DORA et NIS2 imposent cette discipline à certaines entités, mais la logique (savoir qui vous vise, décider, écrire, équiper) est la même pour un artisan que pour une société de gestion. Seules changent l’ampleur des réponses et la formalité des documents. Un cycle léger tenu vaut mieux qu’un classeur parfait jamais rouvert.
Que faire en premier si on part de zéro ?
Le guide « qui vous attaque » pour poser le décor, puis le simulateur d’analyse de risques pour dérouler l’exercice en dix minutes et repartir avec un document daté. Ces deux étapes ne coûtent rien et ne demandent aucune inscription. Elles suffisent à savoir par où commencer, et c’est déjà l’essentiel de ce qui manque à la plupart des organisations.
Vous écouter est dans notre nature
Une question, un projet en urgence ou à long terme : parlons-en, cela n’engage à rien.