eleanor Avant la fin de l’année, une PME doit prioriser l’authentification multifacteur, les sauvegardes vérifiées, la mise à jour des logiciels et la sensibilisation des employés. Ces mesures, complétées par une gestion des accès et un plan de réponse aux incidents, réduisent les risques sans exiger un budget démesuré.
Cybersécurité des PME : corriger les portes d’entrée les plus courantes
Les cyberattaques passent souvent par des gestes ordinaires : ouvrir une fausse facture, réutiliser un mot de passe ou reporter une mise à jour. Une PME peut ainsi voir ses comptes compromis, ses données copiées ou ses fichiers rendus inaccessibles par un rançongiciel. Les attaquants ne choisissent pas uniquement les grandes entreprises : les petites structures détiennent des informations utiles et disposent parfois de protections moins homogènes.
Le baromètre de maturité cyber des TPE-PME publié par Cybermalveillance.gouv.fr en 2025 indique que, parmi les entreprises victimes capables d’identifier l’origine de l’attaque, 43 % citent l’hameçonnage. L’ANSSI rapporte également une hausse de la part des PME, TPE et ETI parmi les victimes de rançongiciels signalées : 48 % en 2025, contre 37 % en 2024. Ces chiffres soulignent l’intérêt d’agir sur les scénarios les plus fréquents.
Une entreprise fictive de quinze salariés, Atelier Nord, reçoit par courriel une facture imitant celle d’un fournisseur. Un employé ouvre la pièce jointe depuis un poste dont les correctifs sont en retard ; le logiciel malveillant se propage ensuite vers un dossier partagé. Ce cas illustre pourquoi la protection des données repose autant sur les habitudes quotidiennes que sur les outils.
Pour établir un premier état des lieux, recensez les postes, services cloud, logiciels, comptes administrateurs et données sensibles. Un repérage des données à protéger aide à définir les priorités et à éviter les dépenses mal ciblées.
Mesures prioritaires : sécuriser les comptes, les postes et les sauvegardes
Pour une structure de cinq à cinquante postes, l’ordre d’application compte. Les protections doivent couvrir les comptes utilisés au quotidien, les appareils connectés et la capacité à reprendre l’activité après un incident.
| Priorité | Mesure | Risque réduit |
|---|---|---|
| 1 | Authentification multifacteur sur messagerie et accès distants | Connexion avec un mot de passe volé |
| 2 | Sauvegarde des données selon la règle 3-2-1, avec tests de restauration | Perte de fichiers après un rançongiciel |
| 3 | Mise à jour des logiciels et systèmes | Exploitation de vulnérabilités connues |
| 4 | Gestionnaire de mots de passe et droits limités | Réutilisation de codes et accès excessifs |
Activez le MFA d’abord sur la messagerie professionnelle, les outils cloud et les connexions à distance. Un mot de passe unique d’au moins douze caractères, stocké dans un gestionnaire professionnel, est plus facile à maintenir qu’une consigne théorique ou un fichier partagé non sécurisé.
La sauvegarde des données doit comporter plusieurs copies sur des supports différents, dont une copie isolée ou immuable. Il faut surtout tester la restauration : une sauvegarde qui n’a jamais été vérifiée ne garantit pas une reprise. Dans le cas d’Atelier Nord, une copie hors ligne permettrait de récupérer les commandes même si le serveur principal était chiffré.
Automatisez la mise à jour des logiciels, des navigateurs et des systèmes d’exploitation. Réservez un créneau mensuel pour contrôler les appareils qui échappent à l’automatisation, notamment ceux utilisés en déplacement. Pour les accès distants, des règles simples et une authentification forte complètent utilement les protections ; ce guide explique comment encadrer les connexions à distance.
Former les équipes et organiser la gestion des accès
La sensibilisation des employés fonctionne mieux lorsqu’elle est régulière, brève et liée aux situations de travail. Apprenez aux équipes à vérifier l’adresse de l’expéditeur, à se méfier des demandes urgentes de paiement et à signaler les pièces jointes inattendues. Des exercices de simulation permettent de transformer une erreur en occasion d’apprentissage, sans culpabiliser la personne concernée.
La gestion des accès suit le principe du moindre privilège : chacun dispose des droits nécessaires à son rôle, et non d’un accès général au système. Lorsqu’un salarié change de poste ou quitte l’entreprise, ses permissions doivent être révisées rapidement. Les comptes administrateurs, eux, doivent être réservés aux opérations qui l’exigent et protégés par une authentification renforcée.
Pour structurer ces réflexes, une PME peut s’appuyer sur les ressources de Cybermalveillance.gouv.fr et les recommandations de l’ANSSI. Un audit de sécurité proportionné au parc informatique permet ensuite d’identifier les écarts : comptes inutilisés, appareils non suivis, sauvegardes non testées ou réseau insuffisamment segmenté. La formation gagne à être intégrée à une démarche plus large de sensibilisation aux risques informatiques.
Pour Atelier Nord, une courte consigne affichée dans l’espace de travail peut fixer la marche à suivre : ne pas répondre à une demande inhabituelle, vérifier par téléphone avec le fournisseur, puis transmettre le courriel douteux au référent. Ces gestes simples réduisent les clics précipités et accélèrent le signalement.
Préparer la détection des menaces et la réponse aux incidents
Les outils de détection des menaces peuvent signaler des connexions inhabituelles ou des comportements suspects, mais une alerte n’est utile que si quelqu’un la reçoit et sait quoi faire. Une PME peut commencer par activer les alertes de sécurité de ses services cloud, protéger chaque poste avec une solution de sécurité adaptée et désigner un référent, interne ou externe.
Un plan de réponse aux incidents doit préciser les contacts d’urgence, les étapes d’isolement d’un appareil et les responsabilités de communication. En cas d’attaque, déconnectez la machine touchée du réseau sans l’éteindre, prévenez le prestataire informatique et consignez les faits. Si des données personnelles sont concernées, l’entreprise doit évaluer ses obligations de notification à la CNIL, notamment le délai réglementaire de 72 heures lorsque la notification est requise.
Une liste de contrôle tenue à jour peut inclure :
- les coordonnées du prestataire informatique et des responsables internes ;
- la procédure pour isoler un poste compromis et préserver les éléments utiles à l’analyse ;
- l’emplacement des sauvegardes et les étapes de restauration ;
- les contacts à prévenir parmi les clients, partenaires et autorités compétentes.
Testez ce plan au moins une fois par an avec un scénario concret, par exemple une boîte mail compromise ou un serveur indisponible. L’exercice révèle les informations manquantes avant qu’une crise réelle ne désorganise l’activité.
