Une entreprise sénégalaise peut perdre l’accès à ses fichiers, voir sa messagerie professionnelle piratée ou subir une tentative de fraude bancaire sans disposer d’une infrastructure informatique particulièrement complexe.
Les cyberattaques ne concernent pas uniquement les banques, les opérateurs télécoms ou les grandes multinationales. Les petites et moyennes entreprises sont elles aussi exposées, notamment lorsqu’elles utilisent des messageries professionnelles, des logiciels de gestion, des services Cloud et des plateformes de paiement.
Une facture falsifiée, un mot de passe compromis ou une sauvegarde inutilisable peuvent perturber les opérations quotidiennes.
Pour une PME, la cybersécurité ne consiste pas nécessairement à investir immédiatement dans des équipements coûteux. Elle commence par des pratiques simples : protéger les comptes, sécuriser les données, former les collaborateurs et anticiper les incidents.
Dans ce guide, la business line Digital & Transformation de Wahatosita Holding présente douze mesures concrètes pour renforcer la sécurité informatique des entreprises au Sénégal.
La sécurité accompagne votre transformation. Consultez aussi nos guides pour digitaliser une PME en sept étapes, choisir les outils numériques adaptés, préparer votre budget, évaluer votre maturité digitale et préparer un projet Cloud.
Pourquoi la cybersécurité est-elle devenue indispensable pour les PME sénégalaises ?
La digitalisation des entreprises multiplie les échanges d’informations et les services numériques utilisés au quotidien.
De nombreuses PME s’appuient désormais sur des outils comme les messageries professionnelles, les plateformes collaboratives, les logiciels de facturation et les solutions de gestion commerciale.
Ces outils facilitent le travail, mais introduisent également des risques.
Une entreprise doit notamment protéger :
- Les informations personnelles de ses clients.
- Les données de ses collaborateurs.
- Les documents financiers.
- Les coordonnées bancaires des fournisseurs.
- Les fichiers commerciaux.
- Les comptes administrateurs.
- Les applications essentielles à son fonctionnement.
La compromission de ces informations peut entraîner des pertes financières, des interruptions d’activité, des difficultés contractuelles ou une atteinte à la réputation.
Les principales cybermenaces
| Menace | Fonctionnement | Conséquence possible |
|---|---|---|
| Phishing | Message frauduleux destiné à tromper un utilisateur | Vol d’identifiants |
| Ransomware | Logiciel malveillant pouvant chiffrer des données | Interruption d’activité |
| Fraude au virement | Usurpation d’identité ou modification d’instructions bancaires | Perte financière |
| Vol de compte | Utilisation d’identifiants compromis | Accès non autorisé |
| Fuite de données | Divulgation accidentelle ou malveillante | Exposition d’informations confidentielles |
| Logiciel non corrigé | Exploitation d’une vulnérabilité connue | Intrusion informatique |
La priorité doit être de réduire les risques les plus importants pour l’entreprise, plutôt que de chercher à déployer immédiatement toutes les technologies de sécurité disponibles.
1. Activer l’authentification multifacteur sur les comptes professionnels
L’authentification multifacteur, ou MFA, ajoute une étape de vérification lors de la connexion à un compte.
Un mot de passe volé ne suffit alors généralement plus à accéder au service protégé.
Cette mesure est particulièrement importante pour :
- Les messageries professionnelles.
- Les comptes administrateurs.
- Les applications bancaires.
- Les plateformes Cloud.
- Les CRM.
- Les outils de gestion.
- Les accès à distance.
Quelle méthode privilégier ?
Les clés de sécurité et les méthodes résistantes au phishing, comme FIDO2/WebAuthn, sont particulièrement intéressantes lorsqu’elles sont prises en charge.
Les applications d’authentification constituent également une solution utile, même si toutes leurs méthodes n’offrent pas la même résistance au phishing.
Les codes SMS apportent une protection supplémentaire par rapport au mot de passe seul, mais présentent davantage de limites.
Action immédiate : commencez par les comptes de messagerie et d’administration, puis étendez progressivement la protection aux autres services.
2. Utiliser des mots de passe uniques et un gestionnaire sécurisé
Réutiliser le même mot de passe sur plusieurs services représente un risque majeur.
Lorsqu’un identifiant est compromis sur une plateforme, il peut être utilisé pour tenter d’accéder à d’autres comptes.
Les bonnes pratiques
Chaque compte professionnel doit disposer d’un mot de passe unique et suffisamment robuste.
Un gestionnaire de mots de passe peut aider les collaborateurs à générer, conserver et utiliser ces identifiants.
L’entreprise doit également :
- Éviter les comptes partagés.
- Supprimer les accès inutilisés.
- Protéger les comptes administrateurs.
- Encadrer la récupération des comptes.
- Éviter les changements périodiques de mots de passe sans raison de sécurité particulière.
Une modification immédiate reste nécessaire en cas de suspicion de compromission.
Exemple concret
Une PME utilise le même mot de passe pour son site internet, son compte Cloud et une boîte email partagée.
La compromission d’un seul service peut fragiliser plusieurs outils.
La création de comptes individuels et l’utilisation de mots de passe uniques limitent ce type de risque.
3. Mettre en place une véritable stratégie de sauvegarde
La sauvegarde est l’un des éléments fondamentaux de la continuité d’activité.
Une entreprise doit être capable de récupérer ses données après une suppression accidentelle, une panne, un incident informatique ou une attaque par ransomware.
Comprendre la règle 3-2-1
Une stratégie couramment utilisée consiste à conserver :
- Trois copies des données importantes, original compris.
- Deux types de supports ou environnements de stockage.
- Une copie conservée hors site, dans un lieu distinct du site principal.
Cette approche peut être renforcée par des sauvegardes immuables ou isolées, notamment hors ligne, pour limiter leur exposition aux ransomwares.
Attention à la synchronisation Cloud
Un dossier synchronisé n’est pas nécessairement une sauvegarde suffisante.
Une suppression ou une modification malveillante peut être répercutée sur plusieurs appareils.
L’entreprise doit disposer de copies permettant de restaurer les versions nécessaires.
Tester les restaurations
Une sauvegarde qui n’a jamais été testée ne garantit pas que l’entreprise pourra récupérer ses informations.
Il faut vérifier périodiquement :
- L’intégrité des fichiers sauvegardés.
- La possibilité de restaurer les données.
- Les délais de récupération.
- Les droits d’accès aux sauvegardes.
- La capacité à récupérer les systèmes essentiels.
Action prioritaire : identifier les données dont la perte empêcherait l’entreprise de fonctionner et vérifier immédiatement leur protection.
4. Maintenir les logiciels et équipements à jour
Les systèmes informatiques comportent parfois des vulnérabilités découvertes après leur mise en service.
Les éditeurs publient des mises à jour permettant notamment de corriger ces failles.
Une PME doit donc disposer d’une politique de maintenance.
Quels équipements surveiller ?
- Ordinateurs professionnels.
- Serveurs.
- Smartphones utilisés pour le travail.
- Routeurs et équipements réseau.
- Applications de gestion.
- Sites internet et leurs extensions.
- Systèmes d’exploitation.
Les équipements qui ne reçoivent plus de correctifs de sécurité doivent faire l’objet d’une évaluation particulière.
Comment procéder ?
Commencez par établir un inventaire des logiciels et équipements.
Activez les mises à jour automatiques lorsque cela est approprié, en tenant compte des risques de compatibilité.
Pour les systèmes critiques, organisez les interventions afin de limiter les interruptions.
Les vulnérabilités activement exploitées nécessitent une attention prioritaire.
5. Former les collaborateurs contre le phishing
Le phishing consiste à tromper une personne pour l’inciter à divulguer des informations, ouvrir un document malveillant ou réaliser une action frauduleuse.
Les messages peuvent prendre la forme :
- D’une facture urgente.
- D’un faux email bancaire.
- D’une demande de réinitialisation de mot de passe.
- D’un message prétendant provenir d’un dirigeant.
- D’une notification de livraison.
- D’un faux document partagé.
Les tentatives peuvent arriver par email, SMS, messagerie instantanée ou téléphone.
Exemple : la fausse facture fournisseur
Une entreprise reçoit un message semblant provenir d’un fournisseur habituel.
Le document est crédible, mais les coordonnées bancaires ont changé.
Si le service comptable effectue le paiement sans vérification indépendante, les fonds peuvent être envoyés à un fraudeur.
Les réflexes à enseigner
Avant de réaliser une opération inhabituelle :
- Examiner attentivement l’expéditeur.
- Se méfier des demandes urgentes.
- Éviter d’ouvrir les pièces jointes suspectes.
- Ne pas communiquer de mot de passe.
- Vérifier les coordonnées bancaires par un canal indépendant déjà connu.
- Signaler immédiatement les messages douteux.
Une formation courte et régulière peut être plus utile qu’une unique session théorique.
L’entreprise doit également favoriser le signalement rapide des erreurs, sans décourager les collaborateurs de demander de l’aide.
6. Limiter les droits d’accès aux informations sensibles
Tous les collaborateurs n’ont pas besoin d’accéder à l’ensemble des informations de l’entreprise.
Le principe du moindre privilège consiste à attribuer uniquement les autorisations nécessaires à chaque fonction.
Exemple dans une PME commerciale
Un commercial peut avoir besoin de consulter les fiches clients, mais pas nécessairement les informations salariales.
Le responsable comptable peut accéder aux données financières sans disposer de droits d’administration sur tous les logiciels.
Les actions recommandées
- Créer des comptes individuels.
- Définir des profils d’autorisation.
- Limiter les comptes administrateurs.
- Contrôler les accès des prestataires.
- Réviser les droits périodiquement.
- Révoquer rapidement les accès lors d’un départ.
Une procédure de départ de collaborateur doit notamment prévoir la restitution des équipements et la fermeture ou la modification des accès concernés.
7. Sécuriser le réseau Wi-Fi et les équipements
Un réseau mal configuré peut exposer les systèmes de l’entreprise.
La sécurité des équipements réseau doit donc faire partie des mesures essentielles.
Séparer les usages
Lorsque le matériel le permet, il est préférable de séparer :
- Le réseau des collaborateurs.
- Le Wi-Fi des visiteurs.
- Les équipements connectés spécifiques.
- Les systèmes particulièrement sensibles.
Cette séparation limite certaines possibilités de déplacement au sein du réseau après une compromission.
Vérifier la configuration
Les responsables techniques doivent notamment examiner :
- Les mots de passe d’administration.
- Les mises à jour du routeur.
- Les protocoles de chiffrement Wi-Fi.
- Les services accessibles depuis Internet.
- Les règles de pare-feu.
- Les accès distants.
Pour les entreprises disposant de plusieurs sites, la sécurité des connexions entre établissements doit également être étudiée.
8. Protéger les ordinateurs et smartphones professionnels
Les postes de travail constituent un point d’accès fréquent aux applications et aux données.
Une entreprise doit donc prévoir des mesures de protection adaptées.
Sur les ordinateurs
Il est recommandé de :
- Activer les protections antimalware appropriées.
- Configurer le chiffrement du disque lorsque possible.
- Utiliser le verrouillage automatique.
- Maintenir les applications à jour.
- Limiter les droits d’installation.
- Désactiver les services inutiles.
Sur les smartphones
Les appareils mobiles donnent parfois accès aux emails, aux documents et aux applications professionnelles.
Il faut donc prévoir :
- Un verrouillage robuste.
- Des mises à jour régulières.
- Une protection des comptes.
- Des règles concernant les applications autorisées.
- Une procédure en cas de perte ou de vol.
Faut-il autoriser les appareils personnels ?
Le BYOD, ou utilisation d’appareils personnels au travail, peut présenter des avantages pratiques.
Mais il nécessite une politique précisant les conditions d’accès, la séparation des données et les responsabilités.
Le niveau de contrôle doit rester proportionné aux risques et respecter les droits des utilisateurs.
9. Sécuriser la messagerie professionnelle et les noms de domaine
La messagerie est un outil central pour les entreprises.
Un compte compromis peut être utilisé pour contacter des clients, récupérer des documents ou préparer des fraudes.
Les protections essentielles
- Activer la MFA.
- Utiliser des comptes individuels.
- Contrôler les connexions inhabituelles.
- Vérifier les règles de transfert automatique.
- Désactiver les anciens comptes.
- Configurer les mécanismes d’authentification des emails.
SPF, DKIM et DMARC
Ces mécanismes contribuent à authentifier les emails envoyés depuis le domaine de l’entreprise et à réduire certaines formes d’usurpation.
SPF permet de déclarer les serveurs autorisés à envoyer des emails pour un domaine.
DKIM utilise une signature cryptographique pour contribuer à vérifier l’intégrité et l’origine déclarée des messages.
DMARC permet de définir une politique de traitement pour certains messages ne satisfaisant pas aux contrôles d’authentification alignés.
Ces mécanismes ne bloquent pas toutes les fraudes et doivent être correctement configurés.
Pour une entreprise utilisant une messagerie sur son propre domaine, leur vérification constitue une action pertinente.
10. Sécuriser les applications Cloud
Les solutions Cloud peuvent faciliter la collaboration, mais elles nécessitent une configuration appropriée.
Une erreur courante consiste à penser que le fournisseur assure automatiquement l’ensemble de la sécurité.
En réalité, les responsabilités varient selon le modèle de service.
Les points à contrôler
L’entreprise doit notamment vérifier :
- Qui peut accéder aux documents.
- Quels fichiers sont partagés publiquement.
- Quels comptes disposent de droits administratifs.
- Si la MFA est imposée.
- Quelles applications tierces sont connectées.
- Comment les données sont sauvegardées.
- Quels événements sont enregistrés.
Exemple : un dossier partagé publiquement
Un collaborateur crée un lien accessible à toute personne disposant de l’URL.
Si le dossier contient des documents confidentiels, une divulgation peut survenir.
L’entreprise doit mettre en place des règles de partage adaptées et sensibiliser ses équipes.
Pour approfondir le choix des infrastructures, consultez notre guide : Cloud pour les entreprises au Sénégal : avantages, coûts et solutions.
11. Préparer un plan de réponse aux cyberincidents
Même avec de bonnes protections, aucun système ne peut être considéré comme totalement invulnérable.
L’entreprise doit anticiper les premières actions à mener en cas d’incident.
Que faire face à une suspicion de ransomware ?
Les premières actions dépendent du contexte, mais peuvent notamment consister à :
- Alerter immédiatement le responsable désigné.
- Isoler les systèmes affectés avec l’aide de personnes compétentes.
- Éviter toute action susceptible de détruire des preuves.
- Déterminer l’étendue de l’incident.
- Protéger les sauvegardes encore saines.
- Faire intervenir les spécialistes appropriés.
- Vérifier les obligations contractuelles et légales de notification.
- Préparer une restauration contrôlée.
Il est déconseillé de réinstaller précipitamment les systèmes compromis sans avoir évalué les besoins d’investigation.
Le paiement d’une rançon ne garantit ni la récupération des données ni l’absence de divulgation des informations volées.
Construire une fiche réflexe
Même une petite entreprise peut préparer un document d’une page indiquant :
- Le responsable à contacter.
- Le prestataire informatique.
- Les systèmes prioritaires.
- Les emplacements des sauvegardes.
- Les moyens de communication alternatifs.
- Les premières consignes d’isolement.
- Les responsabilités de décision.
Il est préférable de conserver une copie accessible même si les systèmes informatiques deviennent indisponibles.
12. Réaliser régulièrement un audit de cybersécurité
Une entreprise peut adopter de bonnes pratiques tout en conservant des vulnérabilités non détectées.
Un audit de cybersécurité vise à examiner le niveau de protection, dans un périmètre clairement défini.
Que peut contenir un audit ?
Selon les besoins et les compétences mobilisées :
- Inventaire des systèmes.
- Analyse des configurations.
- Évaluation de la gestion des comptes.
- Examen des sauvegardes.
- Vérification des mises à jour.
- Analyse des équipements réseau.
- Revue des politiques de sécurité.
- Évaluation des risques.
- Tests techniques autorisés lorsque le périmètre le prévoit.
Un audit de configuration n’est pas nécessairement un test d’intrusion.
Les prestations doivent être précisément définies avant leur réalisation.
Quand effectuer un diagnostic ?
Un audit peut être particulièrement pertinent :
- Avant un projet de migration Cloud.
- Après une modification majeure de l’infrastructure.
- Lors de la croissance de l’entreprise.
- Après un incident informatique.
- Avant d’intégrer une application critique.
- Lorsqu’aucune évaluation n’a été réalisée depuis longtemps.
La fréquence doit être adaptée à l’exposition et aux risques.
Pour commencer par une évaluation organisationnelle plus large, consultez notre article sur l’audit de maturité digitale d’une entreprise.
Quel budget de cybersécurité prévoir pour une PME au Sénégal ?
Il n’existe pas de prix universel pour sécuriser une entreprise.
Le budget dépend du nombre d’utilisateurs, des équipements, des données, des services et du niveau de risque.
Il est néanmoins possible de distinguer plusieurs niveaux d’investissement.
Niveau 1 : les mesures fondamentales
Une très petite entreprise peut commencer par des actions telles que :
- L’activation de la MFA.
- L’utilisation d’un gestionnaire de mots de passe.
- La mise à jour des équipements.
- La vérification des sauvegardes.
- La sensibilisation des utilisateurs.
Certaines fonctions sont déjà incluses dans les logiciels existants.
Des coûts peuvent toutefois apparaître pour les sauvegardes supplémentaires, les outils spécialisés ou l’assistance technique.
Niveau 2 : une sécurité structurée
Une PME en croissance peut avoir besoin d’un inventaire des systèmes, d’une gestion centralisée des comptes, de protections avancées des postes et d’une politique documentée.
Le coût dépend alors des licences, des équipements et des prestations.
Niveau 3 : une sécurité renforcée
Une entreprise manipulant des données particulièrement sensibles ou exploitant plusieurs systèmes critiques peut nécessiter une supervision spécialisée, des audits plus poussés et un plan de continuité détaillé.
Il faut construire ce budget à partir d’une analyse des risques plutôt qu’à partir d’un forfait arbitraire.
Exemple de budget prévisionnel
Prenons une PME fictive de dix collaborateurs qui souhaite structurer sa sécurité.
| Poste | Hypothèse annuelle |
|---|---|
| Gestion des mots de passe | 120 000 FCFA |
| Sauvegardes complémentaires | 180 000 FCFA |
| Protections supplémentaires des postes | 240 000 FCFA |
| Formation et sensibilisation | 150 000 FCFA |
| Diagnostic de sécurité limité | 300 000 FCFA |
| Total hypothétique | 990 000 FCFA |
Ces montants sont des hypothèses pédagogiques, et non des tarifs fournisseurs vérifiés ou une proposition commerciale de Wahatosita Holding.
Le coût réel peut être inférieur ou supérieur. Certaines protections peuvent déjà être incluses dans les outils utilisés.
Pour comparer les dépenses informatiques d’une PME, consultez notre article sur le coût de la transformation digitale au Sénégal.
Cybersécurité et réglementation au Sénégal : quelles obligations ?
La sécurité informatique ne se limite pas à une question technique.
Une entreprise qui collecte ou utilise des données personnelles doit également prendre en compte le cadre juridique applicable.
La protection des données personnelles
Au Sénégal, la loi n° 2008-12 du 25 janvier 2008 encadre la protection des données à caractère personnel.
La Commission de protection des Données Personnelles, ou CDP, intervient dans ce domaine.
Les entreprises doivent examiner les obligations correspondant à leurs traitements, notamment en matière de sécurité, de confidentialité et de formalités réglementaires.
La cybercriminalité
La loi n° 2008-11 du 25 janvier 2008 constitue également un texte important du cadre juridique sénégalais relatif à la cybercriminalité.
Elle ne remplace pas les autres obligations légales, contractuelles ou sectorielles susceptibles de concerner une entreprise.
Les données hébergées à l’étranger
L’utilisation de solutions Cloud internationales peut soulever des questions de transfert de données personnelles.
Une entreprise doit examiner ses contrats et le régime juridique applicable avant de mettre en œuvre certains traitements.
Le recours à un fournisseur connu ne garantit pas automatiquement la conformité.
Une analyse juridique spécialisée peut être nécessaire, notamment pour les projets portant sur des données sensibles ou des transferts internationaux.
Plan d’action cybersécurité : les 30 premiers jours
Pour une PME qui ne dispose pas encore de politique de sécurité structurée, un plan progressif peut faciliter le démarrage.
Semaine 1 : sécuriser les accès critiques
- Identifier les comptes administrateurs.
- Activer la MFA sur les principaux services.
- Vérifier les mots de passe réutilisés.
- Désactiver les comptes inutilisés.
- Désigner un responsable des actions.
Semaine 2 : protéger les données
- Identifier les données indispensables.
- Vérifier les sauvegardes existantes.
- Tester la restauration d’un échantillon.
- Examiner les droits de partage.
- Vérifier les protections des appareils.
Semaine 3 : renforcer les systèmes
- Mettre à jour les équipements.
- Contrôler les accès à distance.
- Vérifier les paramètres de messagerie.
- Examiner les configurations Cloud.
- Documenter les principaux risques.
Semaine 4 : préparer l’organisation
- Sensibiliser les collaborateurs au phishing.
- Définir une procédure de signalement.
- Préparer une fiche réflexe en cas d’incident.
- Tester les moyens de communication alternatifs.
- Planifier les prochaines vérifications.
Ce calendrier constitue un exemple d’organisation. Les risques critiques doivent être traités sans attendre la semaine prévue.
Checklist : votre entreprise est-elle suffisamment protégée ?
Avant d’engager de nouveaux investissements informatiques, vérifiez les points suivants.
- Tous les comptes critiques disposent de la MFA.
- Les utilisateurs possèdent des comptes individuels.
- Les mots de passe ne sont pas réutilisés.
- Les sauvegardes importantes sont isolées et testées.
- Les systèmes reçoivent leurs correctifs de sécurité.
- Les collaborateurs savent signaler un message suspect.
- Les autorisations sont adaptées aux responsabilités.
- Le Wi-Fi professionnel est correctement configuré.
- Les ordinateurs et smartphones sont protégés.
- Les paramètres de sécurité de la messagerie sont contrôlés.
- Les documents Cloud ne sont pas partagés sans nécessité.
- Une procédure de réponse aux incidents existe.
Cette checklist n’est pas une certification de sécurité.
Elle sert à identifier des actions prioritaires et à préparer un diagnostic plus approfondi.
Comment choisir un prestataire de cybersécurité au Sénégal ?
Le choix d’un partenaire technique doit reposer sur plusieurs critères.
Des compétences adaptées
Le prestataire doit disposer des compétences nécessaires au périmètre confié : sécurité des postes, réseaux, Cloud, sauvegardes, audit ou réponse aux incidents.
Une méthodologie claire
La proposition doit préciser les systèmes examinés, les interventions prévues et les livrables.
Une confidentialité encadrée
Les accès aux systèmes et les informations communiquées doivent être protégés par des dispositions contractuelles appropriées.
Des recommandations hiérarchisées
Un rapport contenant des dizaines de problèmes sans ordre de priorité sera difficile à exploiter.
Il est préférable d’obtenir une classification des risques et des recommandations adaptées aux ressources de l’entreprise.
Un accompagnement après le diagnostic
L’identification des faiblesses ne suffit pas.
L’entreprise doit savoir comment corriger les problèmes, vérifier les mesures appliquées et maintenir les protections dans le temps.
FAQ : cybersécurité des entreprises au Sénégal
Une petite entreprise peut-elle vraiment être victime d’une cyberattaque ?
Oui. Les petites entreprises peuvent être exposées à des tentatives de phishing, au vol d’identifiants, aux logiciels malveillants ou à la fraude.
Le risque dépend de leur exposition et des protections en place, pas uniquement du nombre de salariés.
Quelles sont les premières mesures à mettre en place ?
L’authentification multifacteur, les mots de passe uniques, les mises à jour, les sauvegardes vérifiées et la sensibilisation au phishing constituent de bonnes priorités.
Un antivirus suffit-il pour protéger une PME ?
Non. Un antivirus ne remplace pas la gestion des accès, les sauvegardes, la mise à jour des logiciels et la préparation aux incidents.
Le Cloud est-il sécurisé ?
Les services Cloud peuvent proposer des mécanismes de sécurité robustes, mais leur efficacité dépend aussi des paramètres choisis par l’entreprise et des responsabilités contractuelles.
Comment protéger les données clients ?
Il faut notamment limiter les accès, sécuriser les systèmes, définir des durées de conservation adaptées et examiner les obligations légales relatives aux traitements de données personnelles.
Que faire si un salarié clique sur un lien frauduleux ?
Il doit le signaler immédiatement au responsable compétent. Selon la situation, il peut être nécessaire de sécuriser son compte, de révoquer des sessions, d’isoler un appareil ou de faire analyser l’incident.
Il faut éviter de masquer l’événement ou d’attendre l’apparition de symptômes.
Combien coûte un audit de cybersécurité au Sénégal ?
Le prix dépend des systèmes examinés, de la complexité et de la profondeur des tests.
Un diagnostic documentaire et un test d’intrusion ne constituent pas des prestations équivalentes.
Un devis doit définir précisément le périmètre.
À quelle fréquence former les collaborateurs ?
La sensibilisation doit être régulière et adaptée aux risques. Elle peut être renforcée lors de l’arrivée de nouveaux salariés, de changements d’outils ou après un incident.
Est-il obligatoire de nommer un responsable cybersécurité ?
Cela dépend des obligations applicables, du secteur et de l’organisation de l’entreprise.
Même lorsqu’aucun poste dédié n’est requis, il est utile de désigner clairement une personne responsable de la coordination des mesures de sécurité.
Peut-on atteindre une sécurité informatique de 100 % ?
Non. Aucune entreprise ne peut éliminer totalement les risques.
La cybersécurité vise à réduire la probabilité des incidents, limiter leurs conséquences et améliorer la capacité de détection et de récupération.
Conclusion : la cybersécurité doit accompagner la croissance de l’entreprise
Pour les PME sénégalaises, la cybersécurité n’est pas uniquement une question d’outils techniques.
Elle concerne aussi l’organisation, les collaborateurs, les procédures et la capacité de poursuivre l’activité en cas d’incident.
Une entreprise qui protège ses comptes, sauvegarde ses données, maintient ses systèmes à jour et prépare ses équipes dispose de meilleures bases pour réduire les risques les plus courants.
La bonne approche consiste à commencer par les protections fondamentales, puis à renforcer progressivement le dispositif selon les risques réels.
Chez Wahatosita Holding, notre business line Digital & Transformation inscrit les enjeux de sécurité, de Cloud et de modernisation des systèmes dans son accompagnement des entreprises et institutions.
Vous souhaitez évaluer la sécurité informatique de votre entreprise ?
Nos équipes peuvent échanger avec vous sur vos besoins, les risques à examiner et les premières étapes d’un projet de sécurisation adapté à votre organisation.
Sources et références officielles
- NIST SP 800-63B : authentification et mots de passe
- CISA : ressources de cybersécurité pour les PME
- CISA : guide de prévention et réponse aux ransomwares
- CISA : authentification multifacteur
- France Num : cybersécurité des TPE et PME
- CDP Sénégal : textes législatifs
- CDP Sénégal : textes réglementaires
Note éditoriale : ce guide propose des recommandations générales. Les mesures doivent être adaptées aux systèmes et risques de chaque organisation. Il ne remplace pas un audit technique, une intervention en réponse à incident ou un conseil juridique spécialisé.
