Le Cybermois 2026 commence ce 1er octobre. Ce rendez-vous de sensibilisation est une bonne occasion de regarder ce qui protège réellement votre entreprise : ses comptes, ses documents et les personnes qui les utilisent. La CNIL et Cybermalveillance.gouv.fr annoncent à cette occasion une ressource pratique consacrée aux violations de données personnelles. Pour une petite structure, l’enjeu dépasse la lecture d’une affiche : savoir qui intervient lorsqu’un accès devient suspect, et pouvoir continuer à travailler sans improviser.
Vous n’avez pas besoin de transformer toute votre organisation en une semaine. Vous avez besoin de savoir par où commencer. Cet article propose un parcours de travail pour octobre, centré sur les décisions d’un dirigeant et les habitudes d’une équipe. Il ne constitue ni un audit de sécurité ni une procédure technique applicable à tous les systèmes. Les situations décrites sont fictives ; elles servent à rendre les choix compréhensibles, sans prétendre raconter des incidents réellement observés.
Ce qui est nouveau en octobre, et ce qui reste à construire chez vous
Le site officiel du Cybermois présente l’édition 2026 comme une mobilisation autour des bons réflexes numériques, avec un agenda d’actions destiné notamment aux professionnels. La nouvelle ressource annoncée par la CNIL et Cybermalveillance.gouv.fr porte sur la réaction face à une violation de données. Ce sont les informations d’actualité qui servent de point de départ à notre analyse. Nous ne présentons pas ce lancement comme une nouvelle obligation générale imposée à toutes les entreprises.
Un événement national donne un calendrier. Il ne connaît pas votre situation. Une agence, un commerce et un cabinet de conseil n’utilisent pas les mêmes outils, ne détiennent pas les mêmes documents et ne dépendent pas des mêmes personnes. Votre première question doit donc être concrète : quelle activité ne pourrait plus fonctionner demain si nous perdions un compte ou l’accès à un dossier ? La réponse permet de choisir une priorité utile, au lieu de collectionner des conseils qui restent sans responsable.
Si votre veille apporte surtout des annonces difficiles à transformer en décisions, notre article sur l’organisation d’une veille technologique sans se disperser propose une méthode complémentaire. Ici, le but est plus précis : passer d’une information sur la cybersécurité à une action que quelqu’un peut vérifier dans votre entreprise.
Commencer par le travail essentiel, pas par la liste des logiciels
Prenez une activité que votre entreprise réalise chaque semaine. Par exemple, recevoir une demande client, établir un devis puis retrouver les échanges avant une livraison. Dessinez ce parcours sur une feuille. À chaque étape, notez le compte utilisé, le document nécessaire et la personne capable de vous aider si quelque chose bloque. Vous obtenez une représentation du travail réel, généralement plus utile qu’un inventaire de noms de logiciels sans explication.
Dans notre exemple fictif, l’atelier Rivage vend des prestations à des professionnels. La responsable pense d’abord que son outil de facturation est le point critique. En retraçant une commande, elle remarque que les validations arrivent dans une boîte mail partagée et que les fichiers définitifs se trouvent dans un espace créé par un ancien prestataire. Ce constat ne prouve aucune intrusion. Il révèle une dépendance qui mérite d’être clarifiée avant qu’un problème survienne.
Choisissez ensuite un périmètre raisonnable. Vous pouvez commencer par la messagerie et le dossier des commandes, sans examiner immédiatement chaque application secondaire. Une priorité n’est pas une déclaration selon laquelle le reste ne compte pas. C’est une façon de donner à votre équipe le temps de terminer une amélioration et d’en vérifier le résultat.
Faire l’inventaire des accès sans créer un nouveau fichier dangereux
Un inventaire utile indique qui dispose d’un accès, pour quel usage et avec quel niveau de permission. Il ne rassemble pas les mots de passe dans un tableau partagé. Séparez la connaissance des comptes de leurs secrets. Votre liste de suivi peut contenir le nom du service, son responsable, les utilisateurs autorisés, la procédure de récupération et la date de la dernière vérification. Elle doit elle-même être accessible uniquement aux personnes concernées.
Posez une question simple à chaque responsable : si la personne qui gère ce compte est absente, comment récupérons-nous son administration par les moyens prévus par le fournisseur ? Une réponse comme « elle nous enverra son code » révèle un fonctionnement fragile. Cherchez une solution officielle avec votre prestataire. Ne retirez pas précipitamment le seul accès qui fonctionne avant d’avoir testé une reprise légitime et documentée.
Examinez aussi les comptes anciens. Une collaboration terminée ne signifie pas toujours que les permissions ont été retirées. Vérifiez leur utilité actuelle et faites modifier les accès par la personne habilitée. L’objectif n’est pas de soupçonner vos anciens partenaires, mais de faire correspondre les autorisations au travail d’aujourd’hui. Gardez une trace sobre des décisions prises, sans exposer de données confidentielles.
Renforcer la connexion et préparer la récupération
Cybermalveillance.gouv.fr recommande la double authentification lorsqu’elle est disponible. Cette vérification supplémentaire renforce la protection d’un compte au-delà du seul mot de passe. Elle ne supprime pas tous les risques. Un message trompeur peut encore vous pousser à approuver une demande que vous n’avez pas initiée. L’explication donnée à l’équipe compte donc autant que l’activation d’une option.
Commencez par les comptes qui ouvrent l’accès aux autres : messagerie professionnelle, administration du site et espace de documents essentiel. Utilisez les dispositifs pris en charge par le fournisseur et préparez leurs moyens de récupération. Avant un déploiement dans toute l’équipe, faites un essai avec une personne volontaire et un accompagnement disponible. Vérifiez ce qui se passe lorsqu’un téléphone est remplacé ou qu’une méthode de connexion devient indisponible.
Pour la gestion des mots de passe, choisissez un fonctionnement adapté à vos outils et à vos contraintes, avec des identifiants individuels lorsque le service le permet. Évitez de faire circuler un secret dans une conversation ordinaire. Votre support informatique doit pouvoir expliquer la solution retenue avec des mots simples. Si personne ne comprend comment retrouver un accès autorisé, la protection risque d’être contournée par des habitudes improvisées.
Vérifier les sauvegardes par une récupération réelle
La présence d’une copie ne suffit pas à montrer que vous pouvez reprendre votre activité. Cybermalveillance.gouv.fr rappelle l’importance des sauvegardes, y compris pour les services externalisés. Pour votre organisation, traduisez ce principe en un petit exercice : récupérer un document de test dans un environnement séparé, avec l’aide de la personne qui connaît votre solution. Ne lancez pas une restauration sur un système de production sans préparation.
Choisissez un fichier fictif, sans donnée client, et demandez où se trouve sa copie, de quand elle date et qui peut la récupérer. Notez ce que vous avez réellement vérifié. « Un document de test restauré aujourd’hui » est plus précis que « sauvegardes opérationnelles ». L’exercice ne certifie pas que toute l’entreprise redémarrerait sans difficulté ; il fournit un premier résultat et peut révéler des questions à traiter avec votre prestataire.
Pensez également aux informations nécessaires pour contacter ce prestataire. Si son numéro se trouve uniquement dans une boîte mail devenue inaccessible, votre plan dépend du système qui vient de tomber. Conservez les coordonnées professionnelles et les instructions de première prise de contact par un moyen approuvé, disponible aux personnes désignées. La simplicité de ce point ne le rend pas secondaire.
Donner à l’équipe le droit de signaler un doute rapidement
Une règle de sécurité ne sert pas beaucoup si les personnes hésitent à parler. Imaginez qu’une salariée clique sur un lien puis trouve la page inhabituelle. Si sa première crainte est d’être humiliée, elle peut attendre. Votre message doit être clair : prévenir rapidement aide à comprendre et à limiter un problème. Cela ne signifie pas que chaque erreur sera ignorée ; cela signifie que la première conversation sert à agir, sans désigner immédiatement un coupable.
Préparez une phrase facile à employer : « J’ai reçu cette demande, j’ai fait cette action, et voici ce qui me semble étrange. » Elle permet de décrire des faits sans vocabulaire technique. Indiquez la personne à joindre, un remplaçant et le canal prévu. Évitez les instructions vagues telles que « contactez l’informatique » lorsqu’il n’existe pas de service informatique identifié dans l’entreprise.
Vous pouvez travailler cette façon d’ouvrir un échange avec notre guide sur les conversations qui débloquent une équipe. Le lien entre management et sécurité est pratique : une organisation qui écoute les signaux faibles peut décider plus vite. La qualité du dialogue ne remplace pas les protections techniques ; elle aide les personnes à les utiliser et à signaler leurs limites.
Préparer une fiche de réaction courte, utilisable sous pression
Votre fiche de première réaction peut tenir sur une page. Elle précise les contacts, les informations à relever et les actions que seuls les intervenants habilités peuvent décider. Faites-la relire par votre prestataire et, si vous en avez un, par votre responsable des données personnelles. Un modèle trouvé en ligne ne connaît ni votre infrastructure ni vos obligations contractuelles. Adaptez-le avant de le distribuer.
Si un comportement suspect apparaît, ne transformez pas toute l’équipe en enquêteurs. Préservez les informations disponibles, décrivez ce qui est observé et demandez l’assistance prévue. Évitez de supprimer des messages, de réinitialiser des appareils ou de multiplier les manipulations sans consigne professionnelle : vous pourriez compliquer le diagnostic. L’intervention technique doit tenir compte du système touché, du risque immédiat et de la préservation des éléments utiles.
La CNIL explique qu’une violation de données personnelles demande une évaluation et, selon le risque, peut entraîner une notification à l’autorité compétente. Toutes les situations ne conduisent pas aux mêmes démarches. Faites vérifier les obligations applicables par la personne qualifiée pour votre organisation ; ce parcours pratique ne remplace pas cette analyse. Ne publiez pas de conclusion juridique improvisée pour rassurer des clients avant de comprendre les faits.
Faire un exercice de table, sans provoquer de faux incident
Réunissez trois personnes concernées pendant un créneau prévu. Annoncez qu’il s’agit d’un scénario fictif : le compte de messagerie d’un responsable présente une connexion inconnue et un client s’interroge sur un message inhabituel. Aucun faux message n’est envoyé, aucun accès n’est modifié. Vous cherchez uniquement à savoir comment l’équipe se coordonnerait. Une simulation de discussion évite de créer une inquiétude inutile.
Demandez qui reçoit l’alerte, qui contacte le support et qui peut décider d’une mesure sur le compte. Regardez où ces réponses sont écrites. Si deux personnes pensent que l’autre intervient, vous avez trouvé un problème d’organisation. Si personne ne sait quel prestataire appeler, corrigez la fiche. L’exercice est terminé lorsqu’une prochaine action et son responsable sont identifiés, pas lorsqu’une longue conversation donne l’impression d’avoir tout couvert.
À l’atelier Rivage, l’exercice fictif révèle qu’un salarié connaît le contrat informatique tandis qu’une autre personne détient le contact opérationnel. Ils rassemblent les informations autorisées dans une fiche commune et désignent un remplaçant. Ce résultat ne prouve pas que leur sécurité technique est suffisante. Il montre une amélioration précise de la coordination, que l’on peut contrôler lors d’un prochain exercice.
Répartir octobre en quatre étapes réalistes
La première semaine sert à comprendre le périmètre essentiel et les accès qui le font fonctionner. La deuxième permet de traiter les protections de connexion et la récupération des comptes prioritaires. La troisième est consacrée à un essai de restauration et à la fiche de réaction. La dernière donne le temps de refaire l’exercice de table et de préparer les points qui nécessitent un budget ou une intervention extérieure. Ce calendrier est notre proposition éditoriale, pas le programme officiel du Cybermois.
Adaptez chaque étape à votre charge de travail. Un commerce en période intense peut préférer deux courts rendez-vous à une demi-journée. Une entreprise ayant plusieurs sites aura besoin d’une coordination différente. L’important est de définir un résultat observable : liste relue, connexion testée, contact confirmé ou fichier de test récupéré. Une action inscrite dans un agenda n’est pas encore une action terminée.
Si vos priorités s’accumulent, appuyez-vous sur la méthode pour choisir le projet qui mérite votre prochain mois. Elle aide à rendre les arbitrages explicites. Pour ce parcours de sécurité, mieux vaut un périmètre limité correctement traité qu’une promesse de refonte générale que personne n’a le temps de mener.
Demander un devis qui explique le résultat attendu
Lorsque vous sollicitez un professionnel, présentez votre activité, vos dépendances et les questions restées ouvertes. Demandez ce que l’intervention couvre, ce qu’elle ne couvre pas, les accès nécessaires et le livrable prévu. Un devis utile permet de comprendre ce qui sera vérifié et comment les constats seront expliqués. Le nombre de termes techniques ne suffit pas à mesurer la qualité de l’accompagnement.
Prévoyez aussi la restitution. Qui participera ? Quelles décisions devront être prises ensuite ? Qui recevra le document et où sera-t-il conservé ? Un rapport oublié dans un dossier ne protège pas votre entreprise. Vous pouvez demander une liste de priorités comprenant, pour chacune, un responsable proposé, une dépendance éventuelle et un moyen de vérifier la mise en œuvre. Le prestataire apporte son expertise ; la direction garde la responsabilité d’organiser les décisions.
N’accordez pas des permissions supplémentaires par simple commodité, sans comprendre leur nécessité. Les modalités d’accès doivent être définies avec le professionnel et rester adaptées à la mission. Ce principe rejoint notre analyse de la délégation à l’IA sans perdre le contrôle : tout outil ou intervenant doit recevoir un périmètre clair, avec des limites et une possibilité de reprendre la main.
Mesurer ce qui a changé, sans inventer un score de protection
À la fin du mois, comparez la situation de départ et les résultats vérifiés. Vous savez peut-être désormais qui administre votre site, comment récupérer un accès essentiel et à quel contact adresser un doute. Vous avez peut-être découvert qu’une sauvegarde ne couvre pas certains dossiers. Ces constats sont utiles même lorsqu’ils révèlent du travail restant. Ils valent davantage qu’un pourcentage de sécurité sans méthode de calcul.
Conservez un suivi court : résultat, date de vérification, responsable et prochaine échéance pertinente. Évitez d’y copier les détails sensibles d’une configuration ou d’un incident. Votre document de pilotage doit orienter l’action, tandis que les informations techniques restent dans les espaces réservés. Cette séparation facilite aussi une discussion de direction sans diffuser des éléments qui ne concernent pas tous ses participants.
Le mois suivant, ne recommencez pas toute la liste. Reprenez les points ouverts, les changements d’équipe et les nouveaux outils. Une arrivée, un départ ou le remplacement d’un prestataire peut modifier les besoins d’accès. La protection devient plus durable lorsqu’elle accompagne les changements ordinaires de l’entreprise, au lieu d’apparaître seulement dans une campagne annuelle.
La première décision à prendre aujourd’hui
Choisissez une activité essentielle, une personne responsable et un rendez-vous de vérification. Demandez-lui de décrire les accès nécessaires et les questions auxquelles elle ne sait pas encore répondre. Cette consigne n’exige pas qu’elle soit spécialiste de la cybersécurité. Elle lui donne un travail d’observation précis, qu’un professionnel pourra ensuite compléter. N’ajoutez pas dix chantiers au même moment.
Le Cybermois est un point de départ, pas une preuve de conformité ou une assurance contre tous les incidents. Notre proposition consiste à utiliser ce rendez-vous pour rendre votre fonctionnement plus lisible : qui accède à quoi, qui aide lorsqu’un problème apparaît et comment vérifier les améliorations. Ces réponses ne font pas disparaître le risque. Elles permettent d’aborder les décisions avec moins d’incertitude et une équipe mieux préparée.
Repères de publication : analyse publiée le 1er octobre 2026 à partir des informations officielles du Cybermois et de l’annonce CNIL–Cybermalveillance.gouv.fr. Les recommandations techniques générales sont distinguées du lancement de la campagne. Le calendrier de travail, la fiche de pilotage et l’atelier Rivage sont des propositions et exemples éditoriaux ; aucune entreprise n’a été auditée pour cet article.
Relier cette méthode à votre organisation
Pour compléter ce dossier : Prix d’une prestation : négocier une remise sans oublier la marge ; Déléguer en équipe : clarifier les décisions, les limites et le suivi. Ces guides abordent des décisions complémentaires, du choix d’une prochaine action aux conditions de sa réalisation.
