Par Renato Cudicio, MBA – Président de TechNuCom
Lorsqu’on parle de cybersécurité, on pense d’abord aux antivirus, aux pare-feux, à l’authentification multifacteur et aux outils de détection des intrusions. Ces protections sont indispensables, mais elles ne couvrent qu’une partie du risque.
Pour une entreprise de moyenne taille, les conséquences les plus sérieuses surviennent souvent au cœur même des opérations : modification frauduleuse des coordonnées bancaires d’un fournisseur, accès injustifié à des données confidentielles, approbation irrégulière d’un paiement, perte d’information critique ou incapacité à déterminer qui a effectué une transaction.
La cybersécurité ne consiste donc plus seulement à empêcher une intrusion. Elle exige aussi de savoir où se trouvent les données, qui peut y accéder, quelles opérations chaque personne peut effectuer et comment les décisions importantes sont contrôlées.
C’est précisément sur ce terrain qu’un ERP bien implanté peut devenir un véritable outil de cybersécurité.
La donnée et les processus sont devenus des cibles
Une entreprise manipule quotidiennement des devis, des commandes, des contrats, des factures, des renseignements personnels, des informations bancaires, des données sur ses employés et parfois une propriété intellectuelle stratégique.
Les cybercriminels ne cherchent plus uniquement à chiffrer des serveurs au moyen d’un rançongiciel. Ils peuvent également voler des renseignements, usurper des identités, détourner des paiements, compromettre des comptes ou perturber directement les processus d’affaires.
Deux incidents survenus en Amérique du Nord en 2026 illustrent cette évolution.
En janvier, Canada Computers & Electronics a détecté une intrusion dans un système soutenant son site transactionnel. Des renseignements personnels et des données de cartes de crédit appartenant à certains clients ayant effectué un achat comme invités ont été compromis. L’entreprise a dû enquêter, aviser les autorités et offrir des services de surveillance du crédit aux personnes touchées.
En juin, Chick-fil-A a subi une attaque automatisée reposant sur la réutilisation d’identifiants obtenus auprès d’une source externe. Les attaquants ont pu accéder à certains comptes de fidélité et consulter des renseignements personnels, des soldes de récompenses et des données partielles de paiement.
Ces événements rappellent qu’une compromission ne commence pas nécessairement par une attaque spectaculaire contre l’infrastructure centrale. Elle peut provenir d’un système périphérique, d’un compte insuffisamment protégé ou d’un processus dont les contrôles sont incomplets.
La question que doit se poser une direction n’est donc plus uniquement : « Notre réseau est-il protégé? » Elle doit aussi se demander : « Nos données et nos processus sont-ils correctement gouvernés? »
Un ERP ne remplace pas les outils de sécurité
Un ERP ne remplace ni une solution de protection des postes de travail, ni un pare-feu, ni un système de détection des menaces. Il ne dispense pas non plus l’entreprise d’appliquer les correctifs de sécurité, de surveiller son réseau, de protéger ses sauvegardes ou de former ses employés contre l’hameçonnage. Son rôle se situe sur une autre couche : celle de la gouvernance des données et des processus.
Le Cybersecurity Framework 2.0 du National Institute of Standards and Technology, ou NIST, structure d’ailleurs la gestion du risque autour de six fonctions complémentaires : gouverner, identifier, protéger, détecter, intervenir et rétablir les activités.
Un ERP contribue principalement à la gouvernance et à la protection. Il permet de préciser où se trouve l’information, qui peut la consulter, quelles opérations sont autorisées et comment les transactions importantes doivent être validées.
Centraliser pour réduire la surface de risque
Dans de nombreuses entreprises, l’information demeure dispersée entre des feuilles de calcul, des boîtes courriel, des répertoires locaux, SharePoint, Teams, Dropbox et plusieurs applications spécialisées.
Cette multiplication crée des risques difficiles à maîtriser :
- des versions contradictoires d’un même document;
- des fichiers transmis au mauvais destinataire;
- des données confidentielles téléchargées sur des appareils personnels;
- des liens de partage qui demeurent actifs;
- des informations conservées dans des systèmes dont personne ne supervise réellement les accès.
Dans notre article « Multiplier les outils, c’est diviser l’efficacité », nous expliquions déjà que cette dispersion augmente les erreurs, les doubles saisies et le manque de visibilité. Elle élargit également la surface d’attaque : chaque application, chaque intégration, chaque compte et chaque copie locale constitue un élément supplémentaire à protéger.
Un ERP comme Odoo peut réunir les ventes, les achats, la comptabilité, les inventaires, les projets et plusieurs autres fonctions dans un environnement commun. Il ne fait pas disparaître automatiquement toutes les copies de données, mais il réduit considérablement la nécessité de créer des fichiers parallèles pour faire circuler l’information.
La centralisation facilite également l’application de politiques cohérentes en matière d’accès, de conservation, de sauvegarde et de traçabilité.
Contrôler les privilèges qui s’accumulent avec le temps
L’un des principaux apports d’un ERP réside dans sa capacité à attribuer les droits d’accès selon les rôles, les responsabilités et les données concernées.
Dans Odoo, les droits peuvent notamment déterminer si une personne est autorisée à lire, créer, modifier ou supprimer un type d’information. Des règles d’enregistrement permettent ensuite de restreindre l’accès à des dossiers ou à des ensembles de données précis
Dans une entreprise réelle, le principal risque ne vient généralement pas d’une configuration manifestement absurde. Il provient plutôt de l’accumulation progressive des privilèges.
Un gestionnaire change de fonction, mais conserve les accès liés à son ancien poste. Un consultant reçoit temporairement des droits étendus qui ne sont jamais retirés. Une intégration utilise un compte technique doté de permissions excessives. Un utilisateur obtient une autorisation exceptionnelle pour régler une urgence, puis cette exception devient permanente.
Pris isolément, chacun de ces ajustements peut sembler raisonnable. Après plusieurs années, ils créent toutefois un environnement dans lequel certaines personnes ou certains systèmes disposent de beaucoup plus de pouvoir que nécessaire.
La gestion des accès doit donc être considérée comme un processus continu. Elle exige une révision périodique des comptes, des groupes, des autorisations exceptionnelles et des privilèges administratifs.
Gérer les changements de responsabilités et les départs
Les mouvements de personnel constituent un autre point de vulnérabilité.
Lorsqu’une personne est promue, transférée ou affectée à un projet particulier, ses nouveaux droits sont généralement ajoutés rapidement. Ses anciennes autorisations sont toutefois moins systématiquement réévaluées. C’est ainsi que se développent des combinaisons de privilèges qui n’avaient jamais été prévues.
Les départs présentent un risque comparable. Désactiver un compte utilisateur ne suffit pas toujours. Il faut également examiner les accès aux applications externes, les clés d’API, les appareils mobiles, les boîtes courriel partagées, les comptes techniques et les documents qui ont pu être synchronisés localement.
Un ERP centralisé facilite ce travail en offrant un point de référence pour déterminer les responsabilités, les activités récentes et les autorisations associées à une personne. Encore faut-il que les processus des ressources humaines, de la direction et des responsables informatiques soient coordonnés.
Renforcer l’identité avec l’authentification multifacteur
Un mot de passe peut être volé par hameçonnage, réutilisé sur plusieurs plateformes ou exposé lors d’une fuite provenant d’un tiers.
L’authentification multifacteur ajoute une seconde preuve d’identité et réduit ainsi le risque qu’un mot de passe compromis suffise pour ouvrir une session. Odoo permet d’activer et d’imposer cette protection aux utilisateurs concernés.
Le déploiement doit néanmoins être encadré. Les comptes administrateurs doivent être protégés en priorité, les méthodes de récupération doivent être contrôlées et les mécanismes permettant de contourner temporairement l’authentification multifacteur doivent être surveillés.
Une protection solide perd rapidement sa valeur lorsqu’un processus de récupération trop permissif permet de la contourner.
Rendre les opérations réellement traçables
Lorsqu’un incident survient, la direction doit pouvoir répondre rapidement à quatre questions :
Qui a consulté ou modifié l’information? À quel moment? Quelle validation a été effectuée? Quel était l’état du dossier avant l’intervention?
Un ERP bien configuré peut conserver différents éléments utiles : changements de statut, approbations, messages associés à un dossier, activités attribuées, dates d’intervention et identité des utilisateurs. Des mécanismes supplémentaires de journalisation ou d’audit peuvent être ajoutés lorsque le niveau de risque le justifie.
Cette traçabilité facilite les contrôles internes, les enquêtes et la démonstration de conformité. Elle peut également révéler des anomalies : approbation inhabituelle, modification effectuée en dehors du processus normal, transaction exécutée à une heure atypique ou succession incohérente d’actions.
Il faut toutefois définir précisément ce qui doit être journalisé. Odoo n’historise pas automatiquement chaque consultation et chaque modification dans toutes les configurations. Le niveau de traçabilité doit être établi selon la sensibilité des données, les risques de l’entreprise et ses obligations contractuelles ou réglementaires.
Sécuriser les processus, et non seulement les fichiers
La cybersécurité doit aussi protéger l’intégrité des opérations.
Dans un processus d’achat, par exemple, une même personne ne devrait pas pouvoir créer un fournisseur, modifier ses coordonnées bancaires, produire une commande et autoriser le paiement sans contrôle complémentaire.
Un ERP permet d’établir des seuils d’approbation, de séparer certaines responsabilités et d’exiger une validation supplémentaire lorsque des conditions particulières sont réunies : nouveau fournisseur, modification bancaire, montant inhabituel ou transaction réalisée en dehors des paramètres habituels.
Ces contrôles réduisent les erreurs, mais également les risques de fraude interne, d’usurpation d’identité et de détournement de paiement.
La sécurité devient alors une composante du fonctionnement quotidien, plutôt qu’une politique théorique conservée dans un document.
Préparer la continuité des activités
La centralisation procure des avantages importants, mais elle crée aussi une dépendance. Lorsque l’ERP devient le centre névralgique de l’entreprise, sa disponibilité et sa capacité de récupération deviennent critiques.
Les sauvegardes doivent être régulières, protégées, chiffrées lorsque nécessaire et conservées selon une politique documentée. Elles doivent surtout être testées.
Une sauvegarde dont la restauration n’a jamais été vérifiée ne constitue pas encore une garantie de continuité.
La direction doit déterminer :
- la quantité maximale de données que l’entreprise peut accepter de perdre;
- la durée pendant laquelle elle peut fonctionner sans son ERP;
- les fonctions à rétablir en priorité;
- les personnes responsables de la reprise;
- la procédure à suivre si l’environnement principal est indisponible.
Ces décisions relèvent de la gestion du risque d’entreprise, et non uniquement du service informatique.
La technologie ne remplace pas la gouvernance
Aucun ERP ne peut empêcher une personne autorisée de prendre une mauvaise décision. Un utilisateur peut toujours approuver trop rapidement une demande, transmettre une information au mauvais destinataire ou communiquer un code d’authentification à un fraudeur convaincant.
L’ERP doit donc être accompagné de procédures claires, de formations adaptées et d’une culture de vigilance.
Les employés doivent comprendre non seulement comment utiliser les contrôles, mais aussi pourquoi ceux-ci existent. Lorsqu’une validation est trop lourde, mal comprise ou déconnectée des réalités opérationnelles, les utilisateurs cherchent inévitablement à la contourner.
Un bon contrôle doit être proportionné au risque, intégré au travail et suffisamment simple pour être appliqué de manière constante.
Un ERP sécuritaire est un ERP rigoureusement gouverné
Un ERP peut devenir un pilier de la cybersécurité parce qu’il centralise l’information, encadre les accès, structure les validations et améliore la traçabilité.
Mais Odoo n’est pas sécuritaire simplement parce qu’il est installé.
Il faut limiter les privilèges administratifs, appliquer le principe du moindre privilège, imposer l’authentification multifacteur, réviser les permissions, sécuriser les intégrations, surveiller les journaux, effectuer les mises à jour et tester les sauvegardes.
L’ERP doit également être exploité dans une infrastructure sécurisée, surveillée et soutenue par des processus documentés. C’est dans cette perspective qu’un environnement encadré par une attestation SOC 2 Type 2 prend tout son sens. Comme nous l’expliquions dans notre article sur la certification SOC 2 Type 2, celle-ci porte sur l’application et l’évaluation de contrôles dans la durée.
Elle ne constitue pas une garantie d’invulnérabilité. Elle témoigne plutôt d’un niveau structuré de gouvernance, de documentation, de surveillance et de vérification.
Un ERP bien conçu dans un environnement mal protégé demeure vulnérable. À l’inverse, une infrastructure hautement sécurisée ne compensera jamais des permissions excessives ou des processus mal définis.
La cybersécurité résulte de l’ensemble : l’outil, sa configuration, son hébergement, ses procédures et les personnes qui l’utilisent.
Souhaitez-vous déterminer si les accès, les processus et l’environnement de votre Odoo correspondent réellement aux risques de votre entreprise? Communiquez avec TechNuCom pour établir les améliorations à prioriser.
