Conseils, analyses et bonnes pratiques
Cybersécurité, RGPD, infogérance : les articles RESOLVO décryptent les sujets qui concernent les TPE, PME et professions réglementées des Bouches-du-Rhône. Sans jargon, avec des recommandations actionnables.
Sélectionnez une publication
Un nouvel article chaque mardi
Directive NIS 2 : ce qui va changer pour les professions réglementées
Adoptée en décembre 2022, la directive européenne NIS 2 redéfinit les exigences de cybersécurité pour des milliers d'organisations. En France, sa transposition législative est en cours de finalisation. Médecins, avocats, experts-comptables : même si vous n'êtes pas directement dans son champ d'application, NIS 2 va changer votre quotidien numérique — et votre niveau de responsabilité.
NIS 2, c'est quoi exactement ?
NIS 2 — Network and Information Security, version 2 — est la révision d'une directive européenne de 2016 qui n'avait touché qu'un nombre limité d'acteurs critiques. Cette nouvelle version change de dimension : elle s'applique désormais à plus de 160 000 entités en Europe, réparties dans 18 secteurs d'activité.
Elle introduit des obligations concrètes en matière de gestion des risques cyber, de notification d'incidents et de gouvernance. En France, la transposition a été votée au Sénat en mars 2025. La loi définitive est attendue pour 2026, avec un délai de mise en conformité de 3 ans à partir de son entrée en vigueur.
À retenir : entre 15 000 et 18 000 entreprises françaises seront directement soumises à NIS 2, classées en entités essentielles et entités importantes.
Les professions réglementées sont-elles concernées ?
La réponse courte : indirectement, mais sérieusement. NIS 2 cible formellement les grandes entités essentielles, mais crée un effet domino important.
- Vos clients ou partenaires soumis à NIS 2 pourront vous imposer leurs standards par voie contractuelle.
- Votre responsabilité professionnelle est engagée en cas de violation de données.
- Le secteur de la santé est explicitement cité dans les 18 secteurs couverts.
- Les attaques ciblant les professions détentrices de données sensibles sont en forte augmentation.
Ce que NIS 2 exige concrètement
Les obligations s'articulent autour de quatre axes principaux :
- Gestion des risques : cartographier votre système d'information et documenter les mesures de sécurité mises en place.
- Sécurité des accès : double authentification sur tous les outils numériques professionnels.
- Sauvegarde et continuité : sauvegardes régulières, testées, stockées hors site selon la règle 3-2-1.
- Notification d'incidents : signalement à l'ANSSI dans les 24h en cas d'incident significatif. Les dirigeants peuvent être personnellement mis en cause.
Par où commencer ?
L'ANSSI recommande de ne pas attendre la publication des décrets pour agir. Les mesures prioritaires sont accessibles dès maintenant : cartographier votre système d'information, activer l'authentification à double facteur sur tous vos outils, et vous assurer que vos sauvegardes sont fiables et testées.
Choisir un prestataire informatique qui respecte lui-même des standards de sécurité solides est également une obligation implicite dans ce cadre. RESOLVO met en œuvre ces bonnes pratiques pour ses clients, dans le cadre d'une obligation de moyens.
RESOLVO vous accompagne : audit de votre système d'information, mise en place de mesures techniques adaptées, conformité RGPD. Sans jargon, avec des livrables concrets.
RGPD : ce que vous risquez vraiment (et comment l'éviter)
Entré en vigueur en 2018, le RGPD est souvent perçu comme une contrainte administrative. Pourtant, derrière les formulaires et les mentions légales, il y a une réalité concrète : des amendes records, des procédures et une réputation qui peut disparaître en 24 heures.
Le RGPD, ce n'est pas qu'une case à cocher
Le RGPD s'applique à toute structure qui traite des données personnelles de résidents européens. Depuis 2018, la CNIL a prononcé plus de 80 sanctions en France, dont plusieurs contre des professionnels de santé et des cabinets d'avocats. En 2023, un médecin généraliste a reçu une mise en demeure publique et une amende de 15 000 € pour un simple disque dur non chiffré perdu lors d'un déménagement.
Pour les professions réglementées, les risques sont amplifiés : les données traitées relèvent de l'article 9 du RGPD (données sensibles), et les obligations sont donc renforcées. Une violation n'est pas seulement une infraction réglementaire — c'est une atteinte à la confiance que vos patients ou clients vous accordent.
À retenir : en cas de violation de données, vous disposez de 72 heures pour le signaler à la CNIL. Cette obligation incombe au responsable de traitement — c'est-à-dire vous, pas votre prestataire informatique.
Vos obligations concrètes
- Le registre des traitements (art. 30 RGPD) : documenter quelles données vous collectez, pour quelles finalités, pendant combien de temps, et qui y a accès.
- Les mesures techniques : chiffrement, contrôle des accès, sauvegardes sécurisées, mises à jour régulières.
- Les droits des personnes : répondre aux demandes d'accès, de rectification ou de suppression dans un délai d'un mois.
- La notification d'incidents : en cas de violation de données, signalement à la CNIL sous 72 heures. Cette obligation incombe au responsable de traitement — c'est-à-dire vous.
Les erreurs les plus fréquentes
- Pas de contrat de sous-traitance (DPA) signé avec le prestataire informatique — obligatoire selon l'article 28 du RGPD.
- Données stockées sur des services cloud grand public non conformes (Gmail personnel, Dropbox personnel).
- Pas de procédure documentée en cas de perte ou vol d'un appareil.
- Mots de passe partagés entre plusieurs collaborateurs — impossible de tracer les accès.
- Données conservées indéfiniment, sans politique de rétention définie.
- Politique de confidentialité copiée-collée depuis un modèle générique, ne reflétant pas vos outils réels.
La mise en conformité : un processus, pas un projet
La mise en conformité RGPD n'est pas un projet ponctuel qu'on clôture. C'est un processus continu qui évolue avec vos pratiques, vos outils, vos sous-traitants et les décisions de la CNIL. Un suivi régulier vaut mieux qu'un gros chantier tous les cinq ans.
RESOLVO structure votre conformité RGPD : audit des traitements, registre, politiques de confidentialité adaptées à vos outils réels, procédures, contrats sous-traitants. Titulaire d'un Master II en Droit, RESOLVO rédige vos documents avec la rigueur d'un juriste — pas d'un informaticien qui copie un modèle.
EDR, MDR, antivirus : pourquoi votre vieux logiciel ne suffit plus
Beaucoup de dirigeants de TPE pensent être protégés parce qu'ils ont un antivirus. C'est un peu comme croire qu'un verrou de porte suffit face à un cambrioleur professionnel. Les menaces ont évolué ; la protection doit suivre. Aucune solution technique ne garantit l'absence totale d'incident — ces outils réduisent les risques, ils ne les éliminent pas.
L'antivirus classique : utile mais limité
Un antivirus traditionnel fonctionne par signature : il compare les fichiers de votre système à une base de données de menaces connues. C'était suffisant dans les années 2000. Aujourd'hui, les cybercriminels créent des milliers de variantes de malwares chaque jour. Les attaques « zero-day » exploitent des failles inconnues que l'antivirus ne peut pas détecter. Les attaques « sans fichier » (fileless) s'exécutent directement en mémoire, sans jamais écrire sur le disque.
EDR : Endpoint Detection & Response
Un EDR surveille en temps réel le comportement de chaque poste de travail. Il ne cherche pas des fichiers malveillants connus — il détecte les actions suspectes : un processus qui chiffre massivement des fichiers, une connexion inhabituelle à 3h du matin, un utilisateur qui accède à des dossiers inhabituels.
- Détection comportementale, pas uniquement par signatures.
- Isolation automatique d'un poste suspect pour stopper la propagation.
- Journal d'activité permettant d'analyser comment un incident s'est produit.
MDR : Managed Detection & Response
Le MDR va plus loin : c'est un EDR géré par des experts en sécurité qui surveillent votre parc en continu. En cas d'incident, ils interviennent directement. Pour une TPE sans responsable IT dédié, c'est une protection de niveau supérieur sans recrutement.
Que choisir pour votre cabinet ?
- Moins de 5 postes, budget limité : EDR (ex. Bitdefender GravityZone) + bonnes pratiques de base.
- 5 à 20 postes, données sensibles : EDR administré par un prestataire de confiance.
- Professions de santé ou juridiques avec données critiques : MDR recommandé, de plus en plus exigé par les assureurs cyber.
RESOLVO déploie et administre des solutions EDR éditées par des tiers (Bitdefender GravityZone) pour ses clients. RESOLVO n'est pas un prestataire de cybersécurité au sens de la garantie de sécurité globale — il est soumis à une obligation de moyens. Les solutions mises en œuvre sont des mesures techniques visant à réduire les risques, conformément aux bonnes pratiques du secteur.
Double authentification (MFA) : le geste qui bloque la majorité des attaques
Votre mot de passe a peut-être déjà été volé — sans que vous le sachiez. Des milliards d'identifiants circulent sur le dark web suite à des fuites chez des services que vous utilisez. La double authentification est la mesure la plus efficace et la plus accessible pour protéger vos comptes si vos mots de passe tombent entre de mauvaises mains.
Comment fonctionne le MFA ?
Le MFA (Multi-Factor Authentication) ajoute une deuxième vérification après le mot de passe : quelque chose que vous connaissez (mot de passe) + quelque chose que vous possédez (téléphone) ou que vous êtes (empreinte digitale). En pratique, un code à 6 chiffres généré par une application (Google Authenticator, Microsoft Authenticator) ou reçu par SMS.
Pourquoi c'est si efficace
Selon Microsoft, le MFA bloque 99,9% des attaques automatisées sur les comptes. Même si un attaquant dispose de votre mot de passe — obtenu via une fuite de données, du phishing, ou de la force brute — il lui faudrait aussi accéder physiquement à votre téléphone pour passer la deuxième vérification.
Où activer le MFA en priorité dans un cabinet
- Messagerie professionnelle (Microsoft 365, Google Workspace) : priorité absolue. C'est la porte d'entrée de la majorité des intrusions.
- Logiciels métiers accessibles via internet : logiciels de gestion patient ou client en SaaS.
- Accès à distance (VPN, bureau à distance) : accès qui contournent le périmètre du cabinet.
- Administration du nom de domaine et de l'hébergeur : accès stratégiques souvent négligés.
Les idées reçues
« C'est contraignant. » Une fois l'habitude prise, la vérification prend 10 secondes.
« Je suis trop petit pour être ciblé. » Les attaques automatisées ne font pas de tri — elles testent des millions de comptes chaque jour.
« Mon mot de passe est fort. » Même un mot de passe solide peut être compromis dans une fuite de données d'un service tiers.
RESOLVO active systématiquement le MFA sur Microsoft 365 lors de toute installation ou prise en charge d'un nouveau client. C'est une mesure de base incluse dans le périmètre de maintenance — et l'une des plus efficaces par rapport à son coût (zéro).
Mises à jour : pourquoi « plus tard » peut coûter très cher
« Je ferai la mise à jour ce soir. » Cette petite phrase, prononcée des millions de fois par jour en France, est à l'origine d'une part significative des incidents informatiques réussis. Les failles corrigées par les mises à jour sont connues des attaquants — et exploitées activement, souvent dans les heures qui suivent leur publication.
Pourquoi les mises à jour sont-elles si importantes ?
Chaque logiciel contient des failles de sécurité. C'est inévitable — aucun éditeur n'y échappe. La différence se fait dans la réaction : les éditeurs publient régulièrement des correctifs. Ces correctifs ne fonctionnent que si vous les installez. WannaCry, en 2017, a paralysé des hôpitaux dans 150 pays en exploitant une faille Windows pour laquelle Microsoft avait publié un correctif deux mois avant l'attaque.
Quels systèmes mettre à jour, dans quel ordre
- Système d'exploitation (Windows, macOS) : les mises à jour de sécurité critiques doivent être installées sous 72 heures.
- Navigateurs web : principale porte d'entrée des attaques web, à mettre à jour en priorité.
- Logiciels bureautiques (Office, PDF, etc.) : souvent exploités via des documents piégés.
- Équipements réseau (routeur, switch, firewall) : souvent oubliés pendant des années, failles béantes.
- Smartphones et tablettes utilisés pour accéder aux données professionnelles.
La gestion des fins de support
Quand un éditeur cesse de maintenir un système (Windows 10, fin de support en octobre 2025), plus aucun correctif de sécurité n'est publié. Continuer sur un système en fin de support, c'est laisser une porte ouverte en permanence. Beaucoup de cabinets fonctionnent encore sur des machines vieillissantes — risque majeur, souvent sous-estimé car « ça fonctionne encore très bien ».
Pour un cabinet réglementé, maintenir un OS en fin de support peut être qualifié par la CNIL de manquement aux mesures techniques adéquates — avec les conséquences que cela implique en matière de responsabilité RGPD.
Automatiser pour ne plus y penser
La meilleure politique de mises à jour est celle qu'on n'a pas besoin de penser à appliquer.
RESOLVO configure les mises à jour automatiques sur tous les postes gérés, avec supervision via l'outil RMM qui alerte en temps réel si une machine est en retard. RESOLVO exige Windows 11 Pro comme condition de son contrat de maintenance. C'est une exigence de bon sens — pas une contrainte arbitraire.
Un sujet vous préoccupe ?
Audit gratuit, échange sans engagement. Si l'un de ces articles fait écho à une question que vous vous posez sur votre informatique ou votre conformité, parlons-en.
Ils nous font confiance
