Voir ce qui se passe, c’est essentiel. L’empêcher d’arriver, c’est encore mieux. La troisième semaine de notre Mois de la Cybersécurité pose une question simple : et si l’attaque s’arrêtait au premier clic ?
Se protéger n’est pas une affaire de gros budget ni de technologie réservée aux grands groupes. Pour une PME, une ETI ou un établissement financier, quatre « portes » concentrent l’essentiel du risque : les accès, les données, le réseau et les collaborateurs. Pour chacune, ce guide explique ce que c’est, ce que l’on observe en Côte d’Ivoire, et la première mesure à prendre.
Une bonne nouvelle pour commencer : la protection fonctionne
−95 %
Entre 2023 et 2024, le préjudice lié aux accès frauduleux aux systèmes d’information en Côte d’Ivoire est passé de 3,3 milliards à 151,8 millions de FCFA (ANSSI Côte d’Ivoire, rapport 2024).
Le directeur général de l’ANSSI Côte d’Ivoire attribue en effet cette baisse à « une coopération accrue avec le secteur bancaire, désormais plus alerte ». Par ailleurs, le rapport relève que les entreprises qui ont investi dans la sécurisation de leurs systèmes ont vu ce préjudice reculer nettement. La protection paie, et elle commence par quatre portes.
1 Les accès : une clé ne suffit plus
La double authentification
Se connecter avec un identifiant et un mot de passe, c’est ouvrir une porte avec une seule clé. Si quelqu’un la copie, il entre. La double authentification ajoute une deuxième clé : un code reçu sur le téléphone ou une validation dans une application. Un mot de passe volé ne suffit généralement plus.
En Côte d’Ivoire, 1 205 plaintes pour piratage de comptes mail ou Facebook et 1 638 pour usurpation d’identité ont été enregistrées en 2024 (ANSSI Côte d’Ivoire, rapport 2024).
Situation type 1
Un responsable commercial utilise le même mot de passe pour sa messagerie professionnelle et pour un site de commande en ligne. Ce site subit une fuite : le mot de passe circule. Sans double authentification, quelqu’un peut se connecter à sa messagerie et écrire aux clients en son nom.
Avec la double authentification, la connexion est bloquée : il manque le code envoyé sur son téléphone.
Le conseil d’Agilly
Activez la double authentification en priorité sur la messagerie, les accès à distance et les comptes administrateurs ; pour ces derniers, préférez une application d’authentification au simple SMS. Demandez un mot de passe différent pour chaque service, et faites la liste de ce qui est accessible depuis Internet.
Fermer les accès, c’est indispensable. Mais si quelqu’un entre malgré tout, que trouvera-t-il ?
2 Les données : les rendre inutilisables pour un intrus
Le chiffrement
Chiffrer un fichier, c’est le rendre illisible pour toute personne qui ne possède pas la clé. Le chiffrement ne remplace pas les autres protections : il vient en complément.
Le 20 février 2026, Air Côte d’Ivoire a annoncé par communiqué une intrusion survenue dans la nuit du 8 février, avec une « extraction illégale de fichiers contenant des données ». Un groupe criminel a revendiqué l’attaque, une revendication que les enquêteurs n’avaient pas confirmée à cette date. La compagnie a précisé que « le programme de vols est maintenu », a notifié l’ANSSI Côte d’Ivoire et l’ARTCI, déposé plainte auprès de la PLCC, et le CI-CERT a appuyé les investigations (Pulse.ci, 23 février 2026 ; The Record, 23 février 2026).
Pour toute entreprise, ce type d’incident pose une question utile à anticiper : si des fichiers sortaient demain, seraient-ils lisibles ? Fichiers des ressources humaines, données clients, contrats : c’est là que le chiffrement trouve son intérêt.
Une seconde question mérite d’être posée : savez-vous où sont hébergées vos données, et sous quel droit ? Pour les données les plus sensibles, un hébergement en Côte d’Ivoire facilite leur maîtrise et la conformité.
Le conseil d’Agilly
Repérez les trois ou quatre ensembles de données les plus sensibles de votre entreprise (paie, clients, contrats, données financières). Chiffrez-les, limitez leur accès aux seules personnes qui en ont besoin, et vérifiez que vos sauvegardes sont elles aussi protégées.
Reste à savoir jusqu’où un intrus peut aller une fois à l’intérieur.
3 Le réseau : des cloisons plutôt qu’un grand open space
Le cloisonnement
Pensez à un immeuble de bureaux. Le badge du visiteur ouvre l’accueil, pas la salle des serveurs ni le bureau de la paie. Cloisonner un réseau, c’est appliquer la même logique : chaque zone n’est accessible qu’à ceux qui en ont besoin. Si une porte cède, l’intrus reste bloqué dans une seule pièce.
Situation type 2
Dans une entreprise, un même réseau relie les ordinateurs de bureau, le Wi-Fi des visiteurs et les équipements qui font tourner l’activité. Un poste de bureau infecté peut alors atteindre ces équipements.
Avec trois zones séparées (bureautique, activité, invités), un incident sur un poste de bureau reste un incident de bureau. L’activité a toutes les chances de continuer.
Le conseil d’Agilly
Séparez au minimum trois zones : les postes de travail, les systèmes qui font tourner l’activité (production, caisse, logistique) et le Wi-Fi des visiteurs.
Restent les portes que l’on ouvre soi-même, de bonne foi.
4 Les collaborateurs : la meilleure protection est un réflexe partagé
L’hameçonnage
C’est un message (email, SMS, WhatsApp, appel) qui se fait passer pour un interlocuteur de confiance afin d’obtenir un mot de passe, un code ou un virement.
En 2024, les escroqueries en ligne, dont l’hameçonnage est l’une des principales portes d’entrée, ont représenté 2 326 plaintes en Côte d’Ivoire, pour un préjudice de près de 2,4 milliards de FCFA (ANSSI Côte d’Ivoire, rapport 2024, chiffres relayés par Connectionivoirienne). Les bons réflexes restent simples : ne jamais communiquer ses mots de passe ou codes bancaires, vérifier l’identité de son interlocuteur, et signaler toute tentative suspecte à la PLCC ou à l’ANSSI Côte d’Ivoire, via le numéro d’urgence 100.
Situation type 3
La comptable reçoit un email d’un fournisseur habituel : « Nos coordonnées bancaires changent, merci d’utiliser ce nouveau RIB pour la prochaine facture. » Le logo et la signature sont corrects.
La règle interne est claire : tout changement de RIB se confirme par un appel au numéro déjà enregistré. Elle appelle. Le fournisseur n’a rien envoyé. Le paiement part sur le bon compte, et le message est signalé à l’informatique.
Le conseil d’Agilly
Fixez deux ou trois règles connues de tous : l’informatique ne demande jamais un mot de passe ni un code, tout changement de coordonnées bancaires se confirme par téléphone, et tout message douteux se signale.
Et en Côte d’Ivoire ?
Protéger n’est pas seulement une bonne pratique : c’est aussi une obligation légale. La loi n°2013-450 relative à la protection des données à caractère personnel impose à toute organisation qui traite des données personnelles (salariés, clients, assurés, usagers) d’en garantir la confidentialité et la sécurité. C’est l’entreprise, en tant que responsable du traitement, qui en répond devant l’ARTCI, l’autorité de contrôle.
La bonne nouvelle, c’est que la conformité se construit étape par étape. Ainsi, en juin 2025, une entreprise ivoirienne de fabrication de titres sécurisés est devenue la première de son secteur à obtenir la certification de l’ARTCI, au terme d’un parcours engagé en 2019 : formation du personnel, cartographie des données, audit. Pourtant, son directeur général y voit « un point de départ » plutôt qu’une ligne d’arrivée (CIO Mag, 21 juin 2025).
L’expertise Agilly
Fermer d’abord les portes qui comptent
Notre démarche commence par un cadrage et un audit de l’existant, complétés si besoin par un test d’intrusion, qui examine votre organisation comme le ferait un attaquant.
Nous fermons ensuite les portes par ordre de priorité, selon une approche « Zero Trust ». Nous n’accordons aucun accès par défaut et vérifions chaque connexion.
Comment nous intervenons ?
- Les accès : double authentification, gestion des comptes à privilèges et accès à distance sécurisé.
- Le réseau : contrôle des équipements qui s’y connectent et cloisonnement, avec nos partenaires Check Point et Fortinet.
- Les données et la conformité : accompagnement et pré-audits de conformité ISO 27001 (norme internationale de sécurité de l’information) et PCI DSS (sécurité des paiements par carte), mise en conformité avec la loi n°2013-450 et hébergement souverain avec Ambra.
- Les collaborateurs : accompagnement et formation des utilisateurs, pour que la règle soit comprise et appliquée.
Identifiez les portes à fermer en priorité chez vous.
Nos experts examinent vos accès, vos données sensibles et votre réseau, et vous remettent un plan d’action classé par impact et par effort.
Écrivez-nous : [email protected]
La semaine prochaine, place à Résister : si une porte cède malgré tout, comment votre activité continue-t-elle ?
Sources
- ANSSI Côte d’Ivoire, rapport 2024 sur la cybercriminalité, présenté par CIO Mag (A. Akeko, 4 juin 2025) : https://cio-mag.com/cybercriminalite-en-cote-divoire-en-2024-les-points-saillants-du-rapport-de-lanssi-et-lanalyse-du-colonel-major-guelpetchin-ouattara/
- « Infractions via le numérique : plus de 12 mille plaintes en 2024 », Connectionivoirienne (3 juin 2025) : https://connectionivoirienne.net/2025/06/03/infractions-via-le-numerique-plus-de-12-mille-plaintes-en-2024-pour-69-milliards-de-fcfa-de-prejudice-financier-le-ministre-konate-previent-les-criminels-de-linternet/
- « Cyberattaque en Côte d’Ivoire : Air Côte d’Ivoire touchée », Pulse.ci (23 février 2026) : https://www.pulse.ci/article/cyberattaque-en-cote-divoire-air-cote-divoire-touchee-un-groupe-de-ransomware-revendique-lattaque-2026022303260824683
- « Air Côte d’Ivoire confirms cyberattack », The Record (J. Greig, 23 février 2026) : https://therecord.media/air-cote-divoire-confirms-cyberattack
- « Protection des données en Côte d’Ivoire : une entreprise obtient la certification de l’ARTCI », CIO Mag (21 juin 2025) : https://cio-mag.com/protection-des-donnees-en-cote-divoire-une-entreprise-obtient-la-certification-de-lartci/
- DLA Piper, Data Protection Laws of the World, Côte d’Ivoire (loi n°2013-450) : https://www.dlapiperdataprotection.com/?c=CI&t=law
Les situations types sont des exemples fictifs, à but pédagogique ; elles ne décrivent pas des entreprises réelles.