54 termes

Menaces

Phishing (hameçonnage)

Le phishing consiste à envoyer un message frauduleux (souvent un email) qui imite une source de confiance — banque, fournisseur, collègue — pour pousser la victime à cliquer un lien, saisir des identifiants ou effectuer un virement. C'est le vecteur d'attaque le plus courant car il cible l'humain plutôt qu'une faille technique. Une seule personne piégée suffit parfois à compromettre tout un système, même bien protégé techniquement.

Ransomware (rançongiciel)

Un rançongiciel est un logiciel malveillant qui chiffre les fichiers d'une entreprise (ou menace de publier des données volées) et exige une rançon pour les débloquer. Les attaquants ciblent aussi bien les grandes structures que les PME mal préparées, souvent via un email piégé ou un accès distant mal sécurisé. Sans sauvegardes fiables et testées, une attaque réussie peut immobiliser une activité pendant plusieurs jours, voire semaines.

Malware (logiciel malveillant)

Le terme malware désigne tout logiciel conçu pour nuire à un système informatique : virus, ver, cheval de Troie, spyware ou rançongiciel en font partie. Il peut voler des données, espionner l'activité, détruire des fichiers ou servir de porte d'entrée pour une attaque plus large. La protection repose sur plusieurs couches complémentaires : antivirus/EDR, mises à jour régulières et vigilance des utilisateurs.

DDoS (attaque par déni de service)

Une attaque par déni de service distribué (DDoS) sature un site ou un service en ligne avec un volume massif de trafic artificiel, généré depuis de nombreuses machines infectées, jusqu'à le rendre inaccessible aux utilisateurs légitimes. L'objectif n'est pas toujours de voler des données : il peut s'agir de nuire à l'image d'une entreprise, de faire pression, ou de détourner l'attention pendant qu'une autre attaque est menée en parallèle. Les sites e-commerce et les services en ligne critiques y sont particulièrement exposés.

Faille zero-day

Une faille zero-day est une vulnérabilité logicielle inconnue de l'éditeur au moment où elle est découverte ou exploitée — il n'existe donc encore aucun correctif disponible. Ces failles sont particulièrement recherchées par les attaquants car elles échappent aux défenses basées sur des signatures connues. Une fois révélée, la course commence entre l'éditeur qui publie un correctif et les attaquants qui tentent de l'exploiter avant que les entreprises ne l'aient appliqué.

Attaque de la chaîne d'approvisionnement

Une attaque de la chaîne d'approvisionnement consiste à compromettre un fournisseur, un logiciel ou un prestataire tiers pour atteindre indirectement ses clients finaux, plutôt que d'attaquer directement la cible. C'est un vecteur en forte croissance car les entreprises dépendent d'un nombre croissant d'outils SaaS, d'intégrateurs et de sous-traitants connectés à leur système d'information. Chaque prestataire ou dépendance logicielle devient alors un point d'entrée potentiel qu'il faut évaluer, pas seulement son propre périmètre.

Credential stuffing (bourrage d'identifiants)

Le credential stuffing consiste à tester automatiquement, sur de nombreux sites, des combinaisons identifiant/mot de passe volées lors de fuites de données précédentes, en pariant que des utilisateurs réutilisent les mêmes mots de passe ailleurs. Cette technique fonctionne à grande échelle avec des outils automatisés et ne nécessite aucune faille technique sur le site visé. La MFA et l'interdiction de réutiliser un mot de passe entre services en sont les meilleures parades.

Attaque de l'homme du milieu (MITM)

Une attaque de l'homme du milieu (MITM) consiste à s'interposer discrètement entre deux parties qui communiquent — par exemple un utilisateur et un site web — pour intercepter, lire ou modifier les échanges à leur insu. Elle exploite souvent des réseaux Wi-Fi non sécurisés ou des connexions non chiffrées. Le chiffrement des communications (HTTPS, VPN) est la protection de base contre ce type d'attaque.

Spear phishing (hameçonnage ciblé)

Le spear phishing est une forme de phishing ciblée et personnalisée, préparée en amont à partir d'informations réelles sur la victime ou son entreprise (nom d'un collègue, projet en cours, fournisseur habituel) pour paraître crédible. Contrairement au phishing de masse, il vise souvent une personne précise — dirigeant, comptable, DSI — avec un objectif financier ou d'accès précis. Sa personnalisation le rend nettement plus difficile à repérer qu'un email frauduleux générique.

Fraude au président (BEC)

La fraude au président (BEC) consiste à usurper l'identité d'un dirigeant ou d'un fournisseur habituel — souvent par un email falsifié ou une boîte mail compromise — pour convaincre un collaborateur d'effectuer un virement urgent et confidentiel vers un compte contrôlé par l'attaquant. Elle ne repose sur aucune faille technique : uniquement sur la confiance hiérarchique et la pression du temps. Un processus de double validation pour tout virement inhabituel reste la meilleure protection.

Shadow IT

Le shadow IT désigne l'ensemble des applications, comptes cloud ou outils numériques utilisés par les collaborateurs sans validation ni visibilité de l'équipe IT — un compte SaaS ouvert avec une carte personnelle, un partage de fichiers via un service grand public. Ces outils échappent aux politiques de sécurité de l'entreprise et créent des angles morts : données sensibles hors de tout contrôle, comptes jamais désactivés en cas de départ. Cartographier régulièrement les applications réellement utilisées est un prérequis pour le réduire.

Menace interne

Une menace interne provient d'une personne ayant un accès légitime au système d'information — employé, ancien employé, prestataire — qui, par malveillance ou par erreur, compromet la sécurité de l'entreprise. Elle peut être intentionnelle (vol de données avant un départ, sabotage) ou involontaire (erreur de manipulation, contournement des règles par commodité). La gestion rigoureuse des accès et leur révocation rapide en cas de départ en limitent fortement le risque.

Défense & outils

Pare-feu (firewall)

Un pare-feu est un dispositif — matériel ou logiciel — qui filtre le trafic réseau entrant et sortant selon des règles définies, pour bloquer les connexions non autorisées entre un réseau interne et l'extérieur (typiquement Internet). C'est l'une des briques de sécurité les plus anciennes et les plus fondamentales, encore indispensable aujourd'hui, mais insuffisante seule face aux menaces modernes. Sa configuration et son suivi dans la durée comptent souvent plus que le produit lui-même.

Antivirus

Un antivirus est un logiciel qui détecte, bloque et supprime les programmes malveillants connus, principalement en comparant les fichiers à une base de signatures de menaces déjà identifiées. Il reste utile contre les menaces courantes, mais montre ses limites face aux attaques inédites ou très ciblées, d'où le recours croissant à des solutions plus avancées comme l'EDR. Il ne dispense pas des autres mesures de base : mises à jour, sauvegardes, sensibilisation des utilisateurs.

EDR (Endpoint Detection & Response)

L'EDR (Endpoint Detection & Response) surveille en continu l'activité des postes de travail et serveurs (processus, fichiers, connexions) pour détecter des comportements suspects, au-delà des signatures de menaces connues utilisées par un antivirus classique. En cas d'anomalie, il permet d'investiguer précisément ce qui s'est passé et d'isoler la machine concernée pour limiter la propagation d'une attaque. C'est aujourd'hui un socle standard de la sécurité des postes en entreprise, au-delà du simple antivirus.

XDR (Extended Detection & Response)

Le XDR (Extended Detection & Response) élargit le principe de l'EDR en corrélant les données de sécurité provenant de plusieurs sources — postes de travail, réseau, cloud, messagerie — pour détecter des attaques qui ne seraient pas visibles en observant une seule couche isolément. Il vise à donner une vision unifiée d'un incident qui traverse plusieurs systèmes, plutôt que des alertes fragmentées et déconnectées les unes des autres. Sa valeur dépend fortement de la qualité de l'intégration entre les différentes sources de données.

SIEM (Security Information and Event Management)

Un SIEM centralise et corrèle les journaux (logs) générés par les différents systèmes de l'entreprise — serveurs, applications, équipements réseau, solutions de sécurité — pour détecter des schémas d'activité suspects et déclencher des alertes. C'est l'outil central d'un SOC : sans une vision consolidée de ce qui se passe sur l'ensemble du système d'information, la détection d'incidents reste fragmentée et tardive. Sa pertinence dépend fortement du réglage des règles de détection et du suivi humain qui l'accompagne.

SOAR (Security Orchestration, Automation and Response)

Le SOAR automatise une partie des tâches répétitives d'un centre de sécurité — collecte d'informations sur une alerte, application d'une première mesure de confinement, notification des équipes — selon des scénarios (playbooks) prédéfinis. L'objectif est de réduire le temps de traitement d'un incident et de soulager les analystes des tâches à faible valeur ajoutée, pour qu'ils se concentrent sur les décisions qui nécessitent réellement un jugement humain. Il vient généralement compléter un SIEM plutôt que le remplacer.

VPN (réseau privé virtuel)

Un VPN crée un tunnel chiffré entre l'appareil d'un utilisateur et le réseau de l'entreprise (ou un service en ligne), rendant le trafic illisible pour un tiers qui l'intercepterait, par exemple sur un Wi-Fi public. Il est largement utilisé pour sécuriser les accès à distance des collaborateurs en télétravail ou en déplacement. Un VPN protège la confidentialité du trafic, mais ne remplace ni l'authentification forte ni les autres mesures de sécurité du poste utilisé.

MFA (authentification multifacteur)

L'authentification multifacteur (MFA) exige au moins deux preuves d'identité distinctes pour se connecter à un compte — typiquement un mot de passe (ce que l'on sait) et un code temporaire envoyé sur un téléphone ou une application dédiée (ce que l'on possède). Elle bloque la grande majorité des tentatives de connexion frauduleuses, même lorsque le mot de passe a été volé ou deviné. C'est aujourd'hui l'une des mesures de sécurité au meilleur rapport coût/efficacité pour toute entreprise, quelle que soit sa taille.

IAM (gestion des identités et des accès)

L'IAM (gestion des identités et des accès) regroupe les processus et outils qui déterminent qui a accès à quoi dans le système d'information d'une entreprise, et selon quelles conditions. Elle couvre la création et la suppression des comptes, l'attribution des droits selon le principe du moindre privilège, et la vérification régulière que les accès accordés restent justifiés. Une gestion des identités rigoureuse limite fortement les conséquences d'un compte compromis ou d'un départ mal géré.

DLP (prévention de la perte de données)

Le DLP (Data Loss Prevention) regroupe les outils qui détectent et bloquent la sortie non autorisée de données sensibles hors du système d'information de l'entreprise — par exemple un fichier client copié sur une clé USB ou envoyé par email personnel. Il repose sur des règles qui identifient des types de données à protéger (numéros de carte bancaire, données médicales, documents confidentiels) et surveille les canaux par lesquels elles pourraient sortir. Il est particulièrement pertinent pour les entreprises manipulant des données réglementées.

WAF (pare-feu applicatif web)

Un WAF (Web Application Firewall) filtre et surveille spécifiquement le trafic destiné à une application ou un site web, pour bloquer des attaques typiques comme l'injection SQL ou le cross-site scripting (XSS), qu'un pare-feu réseau classique ne détecte pas. Il agit en amont de l'application, souvent sans nécessiter de modification du code existant. Il est particulièrement recommandé pour les sites e-commerce et les applications qui traitent des données sensibles ou des paiements.

Gestion des correctifs (patch management)

La gestion des correctifs (patch management) consiste à identifier, tester et déployer de façon organisée les mises à jour de sécurité publiées par les éditeurs de logiciels et systèmes d'exploitation. Une grande partie des attaques réussies exploitent des failles déjà connues et déjà corrigées, mais dont le correctif n'a simplement pas été appliqué à temps. Un processus structuré — plutôt que des mises à jour ad hoc — réduit nettement cette fenêtre d'exposition.

Gestion des vulnérabilités

La gestion des vulnérabilités est le processus continu qui consiste à identifier, classer par criticité et corriger les failles présentes dans les systèmes, applications et équipements d'une entreprise, généralement via des scans réguliers. Contrairement à un audit ponctuel, c'est une démarche récurrente : de nouvelles vulnérabilités apparaissent en permanence à mesure que les logiciels évoluent. Prioriser selon le risque réel — et pas seulement la sévérité technique brute — est ce qui distingue une démarche efficace d'une simple liste de failles ignorée.

Sauvegarde (backup)

Une sauvegarde est une copie des données de l'entreprise, conservée séparément du système d'origine, qui permet de restaurer une activité après une perte de données — panne, erreur humaine, ou attaque de type rançongiciel. Pour être réellement efficace, elle doit suivre la règle du 3-2-1 (trois copies, deux supports différents, une copie hors site ou déconnectée) et être testée régulièrement : une sauvegarde jamais restaurée en test est une sauvegarde dont la fiabilité reste incertaine. C'est souvent la dernière ligne de défense face à un rançongiciel.

Chiffrement (encryption)

Le chiffrement transforme une donnée lisible en une donnée illisible sans la clé appropriée, pour protéger sa confidentialité en cas d'interception ou de vol. Il s'applique aussi bien aux données stockées (fichiers, bases de données) qu'aux données en transit (échanges réseau, emails). Même en cas de vol d'un appareil ou d'accès non autorisé à un serveur, des données correctement chiffrées restent inexploitables sans la clé — ce qui en fait une mesure de protection fondamentale plutôt qu'optionnelle.

Zero trust

Le zero trust est un modèle de sécurité qui part du principe qu'aucun utilisateur, appareil ou application ne doit être considéré comme fiable par défaut, même à l'intérieur du réseau de l'entreprise — chaque accès doit être vérifié explicitement, quel que soit son origine. Il s'oppose au modèle traditionnel où tout ce qui est « à l'intérieur » du réseau était implicitement considéré comme sûr. Sa mise en œuvre est progressive : ce n'est pas un produit à acheter, mais une approche qui combine IAM, segmentation réseau et vérification continue.

Threat intelligence

La threat intelligence consiste à collecter et analyser des informations sur les menaces actives — nouveaux modes opératoires d'attaquants, vulnérabilités exploitées, indicateurs de compromission observés ailleurs — pour anticiper et mieux détecter les attaques visant sa propre entreprise. Elle transforme une posture réactive (réagir après coup) en une posture plus proactive, en s'appuyant sur ce qui a déjà été observé chez des cibles similaires. Sa valeur dépend de sa pertinence pour le secteur et le profil spécifiques de l'entreprise, plus que de son volume brut.

Honeypot (leurre)

Un honeypot est un système délibérément vulnérable ou attractif, déployé pour attirer les attaquants et étudier leurs méthodes sans exposer les véritables systèmes de l'entreprise. Il sert principalement à des fins de détection précoce (une activité sur le leurre est presque toujours anormale) et de recherche sur les techniques d'attaque en conditions réelles. Ce n'est pas un outil de protection en soi, mais un complément aux dispositifs de détection existants.

Sandboxing (bac à sable)

Le sandboxing consiste à exécuter un fichier ou un programme suspect dans un environnement isolé et contrôlé, séparé du reste du système, pour observer son comportement sans risquer de compromettre l'infrastructure réelle. C'est une technique courante pour analyser une pièce jointe suspecte avant qu'elle n'atteigne la messagerie d'un utilisateur. Elle permet de détecter des menaces que les signatures classiques ne reconnaîtraient pas encore.

IOC (indicateur de compromission)

Un indicateur de compromission (IOC) est une preuve technique — adresse IP suspecte, signature de fichier malveillant, nom de domaine, comportement réseau anormal — qui révèle qu'un système a été compromis ou ciblé par une attaque. Les équipes de sécurité partagent et exploitent ces indicateurs pour détecter plus rapidement une intrusion similaire ailleurs, souvent via un SIEM ou une plateforme de threat intelligence. Repérer un IOC ne dit pas toujours l'étendue exacte d'une compromission, mais c'est le point de départ de toute investigation.

CVE (Common Vulnerabilities and Exposures)

CVE (Common Vulnerabilities and Exposures) est un système de référencement public et standardisé des vulnérabilités connues, chacune identifiée par un numéro unique (par exemple CVE-2024-XXXXX). Il permet aux entreprises, éditeurs et chercheurs de parler exactement de la même faille, sans ambiguïté, quel que soit l'outil ou la source utilisée. C'est une référence de base pour toute démarche de gestion des vulnérabilités ou de veille sécurité.

Organisation & rôles

SOC (Security Operations Center)

Un SOC (Security Operations Center) est l'équipe — interne ou externalisée — chargée de surveiller en continu le système d'information d'une entreprise pour détecter, analyser et réagir aux incidents de sécurité. Il s'appuie généralement sur un SIEM pour centraliser les alertes et sur des procédures définies pour qualifier et traiter chaque événement. Un SOC peut couvrir une plage horaire limitée ou fonctionner 24h/24 et 7j/7 selon le niveau de service retenu par l'entreprise.

RSSI (CISO)

Le RSSI (responsable de la sécurité des systèmes d'information), ou CISO en anglais, est la personne chargée de définir et piloter la stratégie de sécurité de l'entreprise : évaluation des risques, priorisation des investissements, conformité réglementaire, coordination entre les équipes IT, métiers et direction. C'est un rôle de pilotage stratégique, distinct des équipes techniques qui opèrent au quotidien les outils de sécurité. De nombreuses PME n'ont pas les moyens de recruter ce profil à temps plein, d'où le recours croissant à un RSSI externalisé (vCISO).

vCISO (RSSI externalisé)

Un vCISO (virtual CISO, ou RSSI externalisé) assure les missions stratégiques d'un RSSI — définition de la stratégie sécurité, pilotage des priorités, interlocuteur pour la direction et les auditeurs — sans être un employé à temps plein de l'entreprise, généralement dans le cadre d'une prestation à temps partagé ou ponctuelle. Cela permet à une PME d'accéder à une expertise de pilotage senior sans les coûts et les délais d'un recrutement dédié. Le vCISO ne remplace pas les équipes techniques opérationnelles : il en oriente les priorités.

Pentest (test d'intrusion)

Un test d'intrusion (pentest) consiste à simuler une attaque réelle, de manière encadrée et autorisée, sur un système, une application ou un réseau, pour identifier les vulnérabilités exploitables avant qu'un attaquant ne le fasse. Contrairement à un scan automatisé, il implique un travail manuel d'expert qui cherche à réellement exploiter les failles trouvées, pour évaluer leur impact concret. Il se conclut par un rapport priorisant les correctifs selon leur criticité réelle pour l'entreprise.

Red team

Une red team simule, sur une durée prolongée et avec un objectif précis, les tactiques d'un attaquant réel — souvent sans limiter la méthode à un seul système, en combinant technique, ingénierie sociale et parfois intrusion physique — pour tester la capacité globale de détection et de réaction d'une entreprise, pas seulement ses failles techniques isolées. Elle se distingue d'un simple pentest par son ampleur et son réalisme opérationnel. Elle est généralement réservée aux entreprises ayant déjà une maturité sécurité suffisante pour en tirer pleinement parti.

Blue team

La blue team désigne l'équipe chargée de la défense d'un système d'information : surveillance, détection des menaces et réponse aux incidents, souvent en s'appuyant sur un SOC, un SIEM et des outils EDR/XDR. Dans un exercice combiné avec une red team, elle doit détecter et contrer les tentatives d'intrusion simulées, ce qui permet de mesurer concrètement l'efficacité des défenses en place. C'est l'équipe qui opère au quotidien, par opposition à la red team qui attaque de façon ponctuelle.

Réponse à incident

La réponse à incident regroupe l'ensemble des actions menées lorsqu'un incident de sécurité est détecté : qualifier sa gravité, contenir sa propagation, éradiquer la cause, restaurer les systèmes affectés, puis analyser les enseignements à en tirer. Avoir un plan de réponse écrit et déjà testé avant qu'un incident ne survienne fait souvent la différence entre une gestion de crise maîtrisée et une improvisation coûteuse en temps critique. Elle s'articule étroitement avec le plan de reprise d'activité (PRA) pour les incidents les plus graves.

PRA (plan de reprise d'activité)

Le plan de reprise d'activité (PRA) définit à l'avance les procédures techniques pour restaurer les systèmes informatiques après un sinistre majeur — panne matérielle grave, catastrophe, attaque destructrice — en s'appuyant notamment sur les sauvegardes et des infrastructures de secours. Il fixe des objectifs concrets et mesurables comme le RTO et le RPO pour chaque système critique. Sans PRA testé régulièrement, la théorie d'une reprise rapide se heurte souvent à des surprises coûteuses au moment où elle est réellement nécessaire.

PCA (plan de continuité d'activité)

Le plan de continuité d'activité (PCA) va au-delà du seul volet informatique : il définit comment l'ensemble de l'entreprise continue à fonctionner — ou reprend son activité le plus vite possible — en cas de crise majeure, qu'elle soit technologique, humaine ou logistique. Le PRA (reprise informatique) en constitue généralement une composante technique parmi d'autres (locaux de repli, communication de crise, priorisation des activités essentielles). C'est un document vivant, à réviser à mesure que l'organisation évolue.

RTO (délai maximal admissible d'interruption)

Le RTO (Recovery Time Objective) est la durée maximale acceptable pendant laquelle un système ou un service peut rester indisponible après un incident, avant que l'impact sur l'activité ne devienne inacceptable. Il se définit système par système : un site e-commerce a souvent un RTO de quelques heures, tandis qu'un outil interne secondaire peut tolérer plusieurs jours. Fixer un RTO réaliste, puis vérifier que l'infrastructure permet réellement de le tenir, est un exercice souvent plus révélateur que de le définir sur le papier seulement.

RPO (perte de données maximale admissible)

Le RPO (Recovery Point Objective) est la quantité maximale de données qu'une entreprise accepte de perdre, mesurée en temps, en cas d'incident — autrement dit, l'ancienneté maximale acceptable de la dernière sauvegarde exploitable. Un RPO d'une heure implique une fréquence de sauvegarde bien plus exigeante qu'un RPO de 24 heures, avec un coût et une complexité technique associés généralement plus élevés. Il se définit en fonction de la criticité réelle des données concernées, pas de façon uniforme pour tous les systèmes.

Surface d'attaque

La surface d'attaque désigne l'ensemble des points par lesquels un attaquant pourrait potentiellement accéder au système d'information d'une entreprise : applications exposées sur Internet, comptes utilisateurs, équipements réseau, API, prestataires connectés. Elle s'élargit mécaniquement avec la transformation numérique — plus d'outils cloud, plus de télétravail, plus d'intégrations — ce qui rend sa cartographie régulière indispensable. La réduire ne signifie pas arrêter de digitaliser, mais savoir précisément ce qui est exposé et pourquoi.

Sensibilisation à la sécurité

La sensibilisation à la sécurité regroupe les actions de formation et d'entraînement destinées aux collaborateurs — modules de formation, simulations de phishing, communication régulière — pour réduire le risque d'erreur humaine, cause fréquente des incidents de sécurité. Une seule session annuelle a rarement un effet durable : les programmes efficaces répètent le message sous des formes variées tout au long de l'année. L'objectif n'est pas de rendre chaque employé expert en sécurité, mais de développer des réflexes simples face aux situations les plus courantes.

Conformité & réglementation

DGSSI

La DGSSI (Direction Générale de la Sécurité des Systèmes d'Information) est l'autorité nationale marocaine en cybersécurité, rattachée à l'administration de la défense nationale. Elle définit les directives et référentiels de sécurité qui servent de base à de nombreux audits menés au Maroc, accompagne les administrations et infrastructures considérées comme critiques, et promeut plus largement une culture de cybersécurité au niveau national. Pour une entreprise marocaine, en particulier celle qui interagit avec des administrations ou des secteurs régulés, connaître le cadre DGSSI est souvent un signal de sérieux attendu.

Loi 09-08

La loi 09-08 est la loi marocaine relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Elle impose à toute organisation qui collecte ou traite des données personnelles — ce qui concerne la quasi-totalité des entreprises marocaines, quel que soit leur secteur — des obligations de proportionnalité dans la collecte, d'information des personnes concernées et de sécurisation des traitements, sous le contrôle de la CNDP. Elle s'applique aussi bien aux données hébergées en interne qu'à celles confiées à des prestataires ou au cloud : la responsabilité ne disparaît pas parce que le traitement est externalisé.

CNDP

La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) est l'autorité marocaine chargée de veiller à l'application de la loi 09-08. Elle reçoit notamment les déclarations et demandes d'autorisation relatives aux traitements de données personnelles, et peut être saisie en cas de plainte ou d'incident affectant des données. Pour une entreprise, la CNDP est l'interlocuteur de référence dès lors qu'il s'agit de formaliser sa conformité en matière de protection des données personnelles au Maroc.

ISO 27001

ISO 27001 est la norme internationale de référence pour le management de la sécurité de l'information. Elle définit un cadre méthodologique — analyse des risques, politiques de sécurité, contrôles techniques et organisationnels, amélioration continue — plutôt qu'une simple liste d'outils à installer. Une entreprise peut s'appuyer sur ISO 27001 pour structurer sa démarche sécurité sans nécessairement viser la certification officielle, ou choisir de se faire certifier lorsque des clients ou partenaires l'exigent, notamment à l'international.

RGPD (GDPR)

Le RGPD (règlement général sur la protection des données) est la réglementation européenne qui encadre le traitement des données personnelles des résidents de l'Union européenne, avec des obligations strictes (consentement, droit à l'oubli, notification de fuite de données) et des sanctions financières significatives en cas de manquement. Une entreprise marocaine peut y être soumise dès lors qu'elle traite des données de clients ou de prospects européens, même sans établissement dans l'UE. C'est un cadre à connaître pour toute PME marocaine travaillant avec des clients ou partenaires européens.

PCI-DSS

PCI-DSS (Payment Card Industry Data Security Standard) est la norme de sécurité imposée par les réseaux de cartes bancaires (Visa, Mastercard et autres) à toute organisation qui stocke, traite ou transmet des données de cartes de paiement. Elle définit des exigences techniques précises : segmentation réseau, chiffrement des données de carte, contrôle des accès, tests de sécurité réguliers. Pour un site e-commerce ou un commerce acceptant le paiement par carte, la conformité PCI-DSS n'est pas optionnelle — son niveau d'exigence dépend du volume de transactions traitées.

NIST Cybersecurity Framework

Le NIST Cybersecurity Framework est un référentiel américain, largement utilisé à l'international, qui structure une démarche de cybersécurité autour de fonctions simples à communiquer : identifier, protéger, détecter, répondre, restaurer. Il n'a pas de valeur légale au Maroc, mais il sert fréquemment de langage commun dans les audits et les rapports de sécurité, y compris pour dialoguer avec une direction générale peu technique. De nombreux prestataires marocains s'en inspirent pour prioriser leurs recommandations, en complément des référentiels locaux comme la DGSSI.

Vous voulez comprendre où en est votre entreprise face à ces enjeux ? Consultez notre guide cybersécurité Maroc ou lancez un audit gratuit.

Aller plus loin

Une notion n'est pas claire pour votre entreprise ?

Discutons de votre contexte spécifique et du niveau de maturité sécurité qui a du sens pour vous.

Glossaire de la cybersécurité