Guide · Cybersécurité des PME
Une messagerie piratée, une demande de virement qui semble venir du dirigeant, un poste qui ralentit sans raison : dans une PME, ces incidents arrivent sans équipe de sécurité dédiée et se règlent souvent dans l’urgence. Cette page s’adresse aux dirigeants, aux office managers et aux responsables informatiques qui veulent reprendre la main. Elle explique ce que recouvre la cybersécurité d’une petite entreprise, les situations qui justifient de s’en occuper, le déroulement d’un projet et les points à comparer avant de signer.
Sommaire
Cybersécurité des PME, c’est quoi ?
La cybersécurité d’une PME regroupe les mesures qui protègent l’information et les moyens informatiques contre les accès frauduleux, les rançongiciels et l’usurpation d’identité. Il ne s’agit pas de bâtir une forteresse, mais de réduire la probabilité d’un incident et de limiter ses effets, avec des moyens proportionnés à la taille de l’entreprise et à ses activités.
Les postes, la messagerie et les accès
Trois surfaces concentrent l’essentiel du risque. Les postes de travail et les serveurs, qui doivent recevoir des correctifs et être surveillés. La messagerie, premier vecteur d’hameçonnage et de fraude au président. Les accès, c’est-à-dire les mots de passe, les comptes administrateur et les connexions à distance, dont la compromission ouvre souvent toutes les portes à la fois.
Des mesures proportionnées
Une démarche adaptée commence rarement par l’achat d’outils. Elle part d’un état des lieux, puis hiérarchise les actions selon leur effet sur le risque et leur effort de mise en œuvre : activer la double authentification, appliquer les mises à jour, limiter les droits administrateur, filtrer les courriels et isoler les sauvegardes. Un service externalisé peut prendre en charge une partie de ces tâches, sans remplacer les réflexes de l’équipe.
Quand faut-il s’en occuper ?
Le sujet revient souvent après un incident, mais il vaut mieux l’ouvrir avant. Quelques situations doivent déclencher un état des lieux :
- Un antivirus gratuit, installé poste par poste, sans suivi : personne ne sait si les postes sont réellement protégés ni si les alertes sont lues.
- Une tentative de faux virement au nom du dirigeant : la fraude au président passe par un courriel crédible, et la comptabilité est une cible habituelle.
- Un compte de messagerie piraté qui envoie des courriels aux clients ou aux fournisseurs, à l’insu de l’entreprise.
- Aucune double authentification sur la messagerie, les accès distants ou les outils de facturation.
- Le même mot de passe utilisé partout, y compris pour des accès qui ouvrent des données sensibles.
- Des postes qui n’ont pas reçu de mises à jour depuis longtemps, faute de responsable identifié pour les déployer.
- Un questionnaire de cyberassurance difficile à remplir, ou un assureur qui demande des preuves de protection.
- Un client qui réclame des garanties de sécurité avant de signer, ou une attaque chez un confrère qui inquiète la direction.
Une seule de ces situations suffit à justifier un état des lieux, dont l’ampleur reste à la mesure de l’entreprise.
Comment se déroule un projet
Un projet de cybersécurité se déroule en trois temps, chacun avec son livrable.
Avant : l’état des lieux
Le prestataire recense les postes, les comptes, la messagerie, les sauvegardes et les accès distants. Il vérifie aussi qui administre quoi et qui doit être joignable en cas d’incident. Le résultat est une liste de points faibles classés par priorité, avec pour chacun l’effort estimé et le gain attendu. Cette étape conditionne le devis : sans elle, le périmètre reste flou.
Pendant : les protections
Les mesures validées sont mises en place dans l’ordre convenu. Il peut s’agir d’un outil de détection et de réponse installé sur chaque poste et serveur, du filtrage et de l’authentification de la messagerie, de l’activation de la double authentification, de la révision des droits administrateur et de la mise à jour des équipements. Les équipes sont prévenues des changements qui touchent leur travail quotidien, comme une nouvelle invite de connexion ou le blocage d’une pièce jointe.
Après : le suivi et le plan d’incident
Une fois les protections en place, il reste à suivre les alertes, appliquer les mises à jour et vérifier régulièrement les accès. Le plan d’incident écrit indique qui appeler, quoi couper et comment repartir. Il doit être connu de la direction et des personnes qui touchent aux outils, puis réexaminé lorsque l’organisation change.
Ce qui distingue une bonne offre
Deux propositions peuvent sembler proches et différer sur l’essentiel. Une offre solide précise d’abord le périmètre : postes, serveurs, messagerie, outils en ligne et accès distants sont-ils tous couverts ? Elle indique ensuite qui surveille les alertes, à quel rythme, et ce qui est inclus ou non : traitement d’un incident, formation des équipes, rapport de suivi.
Elle doit aussi distinguer la mise en place, ponctuelle, du suivi récurrent, car une protection non surveillée se dégrade vite. Méfiez-vous en revanche d’une proposition qui promet une protection totale : aucun prestataire ne peut promettre qu’une entreprise ne sera jamais attaquée. Demandez plutôt comment les mesures sont testées et comment l’entreprise sera informée de leur efficacité.
Les erreurs fréquentes
Certaines erreurs reviennent souvent dans les petites structures. Elles ont presque toujours le même point commun : elles reposent sur l’idée qu’une protection ponctuelle suffit, alors que la sécurité tient dans la durée et dans les réflexes partagés.
- Croire qu’un antivirus suffit. La parade : compléter la protection par une détection capable d’isoler un poste suspect.
- Reporter la double authentification. La parade : l’activer d’abord sur la messagerie, qui concentre les accès les plus sensibles.
- Garder les sauvegardes sur la même machine que les données. La parade : des copies protégées, hors du réseau, et testées par des restaurations d’essai.
- Donner des droits administrateur à tout le monde. La parade : limiter ces droits à ceux qui en ont besoin, et tracer leur usage.
- Ne rien prévoir pour l’incident. La parade : un plan écrit et connu, qui indique les premiers gestes et les interlocuteurs.
Les questions à poser avant de signer
Avant de signer, quatre questions permettent de vérifier qu’une proposition répond vraiment au besoin.
Les mesures sont-elles classées par priorité et par effort ? Une liste plate de protections, sans ordre, ne dit pas ce qui doit être fait en premier ni ce qui peut attendre. Qui surveille les alertes, et à quels horaires ? Une alerte lue le lendemain ne protège pas contre un chiffrement lancé le soir. Que prévoit le plan en cas d’incident ? Le prestataire doit pouvoir expliquer qui appeler, quoi couper et comment repartir. Enfin, les accès administrateur sont-ils limités et tracés ? C’est souvent ce point qui conditionne la capacité à contenir une attaque. Les réponses doivent être écrites dans la proposition, et non seulement annoncées à l’oral, afin de pouvoir être comparées sereinement avec d’autres offres.