Cybersécurité d’une entreprise en Algérie : par où commencer ?

La cybersécurité protège aussi la continuité du travail

La cybersécurité organise la protection des systèmes, des comptes et des données, ainsi que la capacité à reprendre l’activité après un incident. Pour un dirigeant, les questions sont concrètes : qui peut lire les dossiers, qui peut modifier une facture, et comment continuer si le logiciel habituel devient indisponible ? Une protection doit correspondre à ces conséquences.

Le guide NIST SP 1300, publié en février 2024 pour les petites entreprises, répartit le travail entre gouverner, identifier, protéger, détecter, répondre et rétablir. Ce cadre volontaire aide à ne pas oublier la décision, les personnes et la reprise. Il n’est ni une loi algérienne ni une certification obtenue en appliquant une liste de cases.

Inventorier les dépendances avant d’acheter

Un inventaire révèle ce qui fait fonctionner l’entreprise. Recensez messagerie, domaine, hébergement, appareils, applications, comptes publicitaires et dossiers essentiels. Ajoutez les outils utilisés directement par les salariés : une liste limitée aux logiciels officiellement achetés peut manquer les espaces où circulent réellement les documents.

Associez chaque élément à un propriétaire interne, à son administrateur et à l’endroit où vivent les données. Évaluez ensuite les effets d’une interruption ou d’une divulgation. Ne classez pas les priorités au prix du matériel : un compte peu coûteux peut contrôler l’accès à plusieurs services importants. Le NIST recommande cet inventaire et la classification des données comme point de départ de l’identification du risque.

• Nommez l’élément, son usage et la personne responsable.
• Identifiez les accès, le fournisseur et le lieu des données.
• Décrivez l’effet d’une perte, d’une altération ou d’un accès indu.
• Choisissez une action prioritaire avec une preuve vérifiable.

Sécuriser la connexion et la récupération des comptes

L’authentification multifacteur ajoute une vérification au mot de passe. Le NIST recommande de la demander sur les comptes qui la proposent et de commencer par les informations les plus sensibles. La messagerie, l’hébergement et le gestionnaire de mots de passe sont donc à examiner tôt, avec les comptes liés à la comptabilité ou aux paiements.

Des mots de passe forts et différents réduisent la dépendance à un secret réutilisé. Vérifiez aussi les paramètres de récupération : qui peut les utiliser et que devient l’accès si un salarié quitte l’entreprise ? Conservez les moyens de secours avec des droits maîtrisés. Testez la nouvelle méthode avant de retirer l’ancienne, pour garder un accès administré pendant la modification.

Attribuer les droits selon les tâches

Les habilitations doivent suivre le travail réellement confié. Le NIST conseille de limiter l’information sensible aux personnes qui en ont besoin et de retirer les accès devenus inutiles. Dans votre logiciel, lire une facture, la corriger, exporter les clients et gérer les utilisateurs sont des opérations différentes : elles ne nécessitent pas automatiquement le même profil.

Les comptes individuels rendent les responsabilités plus lisibles que l’identifiant partagé. Pour un prestataire, précisez le système concerné, le travail autorisé, l’approbateur et la fin de l’accès. Ce sont des règles opérationnelles à mettre à jour lors d’un changement de poste ou d’une fin de contrat. Un journal de connexion ne remplace pas, à lui seul, l’ensemble de vos obligations de traitement des données.

Faire de la sauvegarde une capacité de restauration

La bonne question est : quelles informations pouvez-vous remettre en service ? Le NIST recommande des sauvegardes régulières, leur test et la vérification de leur intégrité avant une reprise. Décidez de la fréquence selon la quantité de travail que l’entreprise peut accepter de perdre, plutôt qu’en appliquant une cadence identique à tous les métiers.

Somu Raqami recommande un essai dans un environnement adapté, sans écraser les données de production. Ouvrez les fichiers restaurés et vérifiez les éléments nécessaires au logiciel : la base seule peut ne pas suffire sans documents et configuration. Notez la version utilisée, le résultat et les obstacles. Une copie séparée et des droits de suppression maîtrisés réduisent la dépendance à un seul emplacement.

• Choisissez les données prioritaires pour reprendre l’activité.
• Vérifiez emplacement, accès et suppression des copies.
• Essayez la restauration dans un périmètre sûr et consignez le résultat.
• Conservez les instructions pour la personne autorisée à les appliquer.

Organiser les mises à jour avec un retour possible

Mettre à jour les systèmes d’exploitation et les logiciels est une mesure de protection recommandée par le NIST. Identifiez qui suit les versions du site, des extensions, des applications et des appareils. Un correctif disponible n’apporte pas de protection si personne ne sait qu’il lui revient de l’appliquer.

Pour un système important, préparez une sauvegarde utilisable et une possibilité de retour avant le changement. Vérifiez ensuite les fonctions métier, pas seulement l’ouverture de la page : connexion, inscription, facturation ou envoi des messages selon le service. Cette méthode pratique limite le risque de transformer une correction en interruption et laisse une trace de ce qui a été vérifié.

Former à la vérification et au signalement

Une formation utile donne une décision à prendre face à un message suspect. Le NIST recommande d’apprendre aux salariés à reconnaître les attaques courantes et à signaler les anomalies. Utilisez des exemples proches de leurs tâches, sans les présenter comme des incidents réellement survenus chez un client.

Exemple d’exercice : un message urgent annonce de nouvelles coordonnées de paiement. Une règle proposée par Somu Raqami consiste à confirmer la demande par un moyen de contact déjà connu, indépendant du message. Précisez ensuite à qui transmettre le doute et quelles informations joindre. Vérifiez que la personne sait appliquer cette règle ; la présence à la formation ne démontre pas cette capacité.

Ce que les textes algériens établissent sur les données et les rôles

L’article 38 de la loi n° 18-07 du 10 juin 2018 demande des mesures techniques et organisationnelles appropriées pour les données personnelles, avec un niveau de sécurité adapté aux risques et à leur nature. L’article 39 traite des garanties du sous-traitant et de l’encadrement contractuel. Préparez donc la description des données clients, salariés ou apprenants, de leurs usages et des intervenants.

La loi n° 25-11 du 24 juillet 2025 ajoute le délégué à la protection des données à l’article 41 bis, le registre des activités à l’article 41 bis 2 et le carnet automatisé des opérations à l’article 41 bis 3. Ces responsabilités ne sont pas remplies par le seul achat d’un produit de sécurité. Examinez leur mise en œuvre et les règles pertinentes avec votre conseil.

L’article 41 du décret présidentiel n° 20-05 du 20 janvier 2020 prévoit la désignation d’un responsable de sécurité des systèmes d’information et mentionne les opérateurs privés. Le décret n° 25-298 du 10 novembre 2025 modifie l’article 3, pas l’article 41. Le rôle de sécurité des systèmes et celui de délégué à la protection des données doivent être distingués lorsque vous organisez les responsabilités.

Préparer les décisions en cas d’incident

Le plan de réponse précise les personnes à joindre, leur autorité et les décisions qu’elles peuvent prendre. Le NIST recommande d’y inclure les responsabilités de communication prévues par la loi, les règles et les contrats. Gardez une version accessible si la messagerie ou le logiciel principal ne fonctionne plus, avec les contacts de direction et d’assistance technique.

Lors d’une anomalie, notez les symptômes et l’heure, préservez les informations disponibles et suivez les consignes du responsable autorisé pour contenir l’effet. Évitez de supprimer les informations utiles à l’analyse avant d’avoir examiné la situation. La reprise doit vérifier les données restaurées et les conditions du retour ; un compte rendu permet ensuite de corriger la procédure et les causes identifiées.

Mesurer une amélioration, puis maintenir les règles

Vous pouvez vérifier une amélioration sans prétendre certifier l’entreprise : inventaire renseigné, AMF testée, droits corrigés, restauration documentée et procédure de contact exercée. Ces preuves montrent ce qui a été fait dans le périmètre observé. Elles ne garantissent pas l’absence future d’incident et doivent rester à jour lorsque les outils et les personnes changent.

L’entreprise peut traiter les actions qu’elle maîtrise et déléguer un périmètre défini. Somu Raqami propose l’évaluation de préparation, le durcissement et la formation, avec un devis adapté aux comptes, systèmes et changements nécessaires. Le livrable doit préciser les réglages réalisés, les points restant ouverts et la personne qui les suit, pour que la mission laisse une organisation maintenable.