La cybersécurité d’une PME souffre de deux maux opposés. Soit on n’y pense pas jusqu’au jour de l’incident, soit on achète un outil impressionnant pour se rassurer, en laissant les vraies failles béantes. Dans les deux cas, l’argent et l’attention ne vont pas là où le risque se trouve.
Après vingt ans à regarder sous le capot de systèmes de toutes tailles, voici l’ordre dans lequel je conseille de traiter le sujet. Il n’a rien de spectaculaire, et c’est justement pour ça qu’il marche.
D’abord comprendre contre quoi on se défend
La plupart des attaques qui touchent les PME ne sont pas ciblées. Ce ne sont pas des espions qui vous visent, ce sont des campagnes automatisées qui balaient large et s’engouffrent là où c’est ouvert. Le ransomware qui chiffre vos fichiers et réclame une rançon, le phishing qui récupère un mot de passe, la facture frauduleuse glissée dans un échange réel : ces trois-là font l’essentiel des dégâts.
La conséquence est libératrice : vous n’avez pas besoin d’une sécurité de banque. Vous avez besoin de ne plus être la cible facile que les attaques automatisées cherchent.
Les cinq fondamentaux, dans l’ordre
1. Des sauvegardes testées. Une sauvegarde qu’on n’a jamais essayé de restaurer n’est pas une sauvegarde, c’est un espoir. La règle qui tient : plusieurs copies, dont une hors ligne ou hors site, et une restauration testée pour de vrai au moins une fois. C’est ce qui transforme un ransomware d’une catastrophe en une mauvaise journée.
2. L’authentification à deux facteurs, partout où c’est possible. Messagerie, accès distants, outils métier, comptes administrateurs. Le double facteur bloque l’immense majorité des intrusions par mot de passe volé ou deviné. C’est gratuit ou presque, et c’est le meilleur euro de sécurité que vous dépenserez.
3. Les mises à jour. Un système ou un logiciel non mis à jour, c’est une porte dont la serrure est publiquement connue. Tenir à jour les postes, les serveurs et surtout ce qui est exposé sur internet ferme la plupart des brèches exploitées en masse.
4. L’hygiène des accès. Qui a accès à quoi, et est-ce encore justifié ? Le compte d’un ancien salarié encore actif, l’accès administrateur donné une fois et jamais retiré, le mot de passe partagé dans un tableur : ce sont des portes ouvertes qu’on a soi-même laissées. Faire le ménage ne coûte rien d’autre que de la rigueur.
5. Le facteur humain. La plupart des intrusions passent par une personne, pas par une machine. Un quart d’heure d’explication sur le phishing et les fausses factures protège mieux que bien des logiciels. Une équipe qui sait douter au bon moment est votre meilleure défense.
Ce qui rassure pour rien
Acheter un outil de détection sophistiqué avant d’avoir des sauvegardes testées, c’est mettre une alarme dernier cri sur une maison dont la porte reste ouverte. La sécurité par empilement d’outils donne un sentiment de protection sans traiter les failles réelles, qui sont presque toujours des fondamentaux négligés.
De même, un audit de deux cents pages que personne ne lit ne protège personne. Ce qui protège, c’est une poignée de décisions appliquées, vérifiées, et tenues dans le temps.
Le cas des ETI : la conformité s’en mêle
Pour une ETI, la sécurité n’est plus seulement une bonne pratique, elle devient une obligation. La directive NIS2 étend les exigences de cyber-résilience à de nombreux secteurs, avec des obligations de gouvernance, de gestion des risques et de notification d’incident. Là, le sujet dépasse les cinq fondamentaux et demande un vrai pilotage. C’est ce qu’on traite en renfort de DSI pour ETI.
Comment on aborde ça chez nos clients
On ne vend pas de la peur, et on ne vend pas d’outil miracle. On commence par une feuille de route stratégique qui cartographie l’existant et classe les risques réels : ce qui vous expose vraiment, et dans quel ordre le traiter. Le livrable vous appartient, même sans suite. Pour une PME sans équipe dédiée, la fonction de pilotage se tient en DSI externalisée, quelques jours par an suffisant souvent à garder le cap.
L’idée directrice reste la même partout : mettre l’effort là où le risque est, pas là où le marketing de la peur voudrait qu’il soit.
Pour aller plus loin
- DSI externalisée pour PME : la fonction de pilotage, sécurité comprise, sans recruter
- Renfort de DSI pour ETI : cyber-résilience et conformité NIS2 pour les structures plus grandes
- Feuille de route stratégique : cartographier et prioriser les risques réels
- Shadow IT en PME : les fichiers critiques sans protection, une faille qu’on oublie