Chaque année, la période estivale crée un contexte particulièrement favorable aux incidents de sécurité. Équipes réduites, remplaçants temporaires, accès exceptionnels, travail à distance : pendant quelques semaines, plusieurs départements d’une entreprise sont amenés à fonctionner dans un mode « dégradé ».
Les cybercriminels le savent et exploitent les périodes où les circuits de validation sont plus souples, où les interlocuteurs habituels ne sont pas disponibles et où les équipes cherchent avant tout à assurer la continuité d’activité. Cette exposition au risque de cyber-attaques est d’autant plus critique pour les métiers (finance, supply chain, commerce, marketing, etc.) qui exploitent des outils stratégiques pour l’entreprise tels que l’ERP ou le CRM.
Quand on sait que 62 % des violations de données impliquent un facteur humain (Verizon Data Breach Investigations Report 2026), l’enjeu n’est pas de devenir expert en cybersécurité mais de comprendre comment certaines pratiques, adoptées pour maintenir l’activité pendant l’été, peuvent exposer l’entreprise à des risques financiers, opérationnels et réputationnels.
Conjuguer continuité d’activité et cybersécurité : 5 pratiques à bannir.
1. Partager son compte pour « dépanner »
Le scénario est classique.
Un collaborateur part en vacances. Son remplaçant doit accéder rapidement à une application métier. Pour gagner du temps, les identifiants sont transmis par téléphone ou par messagerie.
Cette pratique répandue crée plusieurs risques majeurs :
- Elle supprime toute traçabilité. Si une erreur est commise dans l’ERP ou dans le CRM, il devient impossible d’identifier précisément qui en est à l’origine.
- Si le compte est compromis à la suite d’un phishing ou d’une fuite d’identifiants, l’entreprise perd sa capacité à distinguer une action légitime d’une action malveillante.
- Elle représente c’est un risque de fraude, de non-conformité et d’interruption d’activité.
- Pour les clients, cela peut signifier l’exposition de données sensibles ou des erreurs de traitement.
Aussi est-il primordial d’anticiper les remplacements au sein de votre département avec votre DSI ou RSSI :
- Identifier les collaborateurs qui assurent les backups.
- Documenter les procédures critiques.
- Former les remplaçants aux processus essentiels.
- Interdire le partage de comptes.
2. Donner trop de droits aux remplaçants
À l’inverse, certaines entreprises choisissent de donner un maximum d’autonomie aux collaborateurs qui assurent la continuité pendant l’été.
Pourtant, un accès excessif à un ERP ou à un CRM augmente considérablement la surface de risque. Une simple erreur de manipulation peut modifier des données financières, des commandes, des tarifs ou des informations clients.
Et, à nouveau, si le compte est compromis, l’attaquant bénéficie immédiatement d’un accès élargi aux processus critiques de l’entreprise.
La bonne approche consiste à appliquer le principe du moindre privilège : donner uniquement les accès nécessaires, pendant la durée nécessaire.
3. Baisser la garde face au phishing et à la fraude au président
Imaginez un nouveau scénario typique : vos responsables sont absents et vous remplacez un collègue sur un périmètre que vous n’avez pas l’habitude de gérer. Il n’en fallait pas plus pour vous rendre vulnérable face aux phishing ou messages de « fraude au président » qui reprennent toujours ces mêmes ingrédients : urgence, confidentialité et demande exceptionnelle.
Cybermalveillance.gouv.fr rappelle régulièrement que les fraudes au faux ordre de virement figurent parmi les attaques les plus coûteuses pour les organisations.
Aussi rappelons que les meilleurs remparts sont souvent les plus simples :
- Conserver les circuits de validation habituels.
- Vérifier toute demande inhabituelle via un second canal avant d’agir.
- Contrôler les modifications sensibles.
4. Se connecter depuis des réseaux non maîtrisés
Train, aéroport, hôtel, restaurant : les points d’accès Wifi gratuit ne manquent pas. Mais ces réseaux, souvent mal sécurisés, facilitent l’interception de données, la compromission d’un poste de travail et augmentent les risques de vol d’identifiants. Les utilisateurs se connectant à leurs applications métiers depuis un réseau public exposent fortement les données de leur entreprise (finances, RH, clients, etc.).
La continuité d’activité doit systématiquement passer par :
- L’utilisation stricte des outils sécurisés validés par l’entreprises.
- L’activation de l’authentification multi facteur.
- L’interdiction des connexions sensibles depuis des réseaux publics.
5. Déployer un projet ERP ou CRM juste avant les congés
Sur l’autel du « il faut qu’on plie ça avant l’été », nombreux sont les projets d’évolution du CRM ou de l’ERP mis en production juste avant les départs en congés.
Sur le papier, aucun problème. A condition de s’assurer que l’entreprise dispose des ressources nécessaires pour corriger les problèmes (régressions, anomalies, etc.) qui impactent le business de l’entreprise (prises de commande, facturation, relation clients, etc.).
Quelques conseils à mettre en place sur vos projets et à rappeler à votre intégrateur le cas échéant :
- Reporter les changements non essentiels.
- Prévoir des plans de retour arrière.
- S’assurer de la disponibilité des équipes de support.
La cybersécurité est avant tout un sujet d’organisation.
L’été rappelle une réalité souvent oubliée : la sécurité n’est pas uniquement une affaire d’outils ou de technologies. Elle repose d’abord sur l’organisation.
Les métiers ont un rôle central à jouer. Ils sont les premiers utilisateurs des ERP, des CRM et des données clients. Ils connaissent les contraintes opérationnelles et les impératifs de continuité d’activité.
De leur côté, les DSI et RSSI ne peuvent plus se contenter d’une posture de contrôle. Leur mission consiste aussi à accompagner les métiers pour construire des solutions sécurisées qui permettent à l’entreprise de continuer à vendre, produire, facturer et servir ses clients.
Dynagile accompagne les projets Microsoft Dynamics 365, Power Platform et ERP/CRM en combinant compréhension des besoins métiers, expertise technique et sécurité en appliquant le principe du Security by Design : intégrer les enjeux de sécurité dès la conception des processus, des projets ERP et CRM et des modes de fonctionnement de l’entreprise.
