Une PME n'a pas besoin de reproduire l'organisation d'un grand groupe pour progresser en cybersécurité. Elle doit d'abord savoir ce qui ferait réellement mal : impossibilité de facturer, comptes de messagerie détournés, données clients exposées, sauvegardes inutilisables ou prestataire critique indisponible.
La sécurité efficace commence par ces conséquences métier, puis organise quelques protections vérifiables. Acheter plusieurs outils sans responsable, sans inventaire et sans test de restauration produit surtout un sentiment de protection.
Identifier les services dont l'arrêt bloque l'entreprise
Listez les activités qui ne peuvent pas rester indisponibles plus d'une journée : messagerie, facturation, fichiers partagés, boutique, production, accès bancaire ou relation client. Pour chacune, notez le service technique, le prestataire, le responsable interne et la solution de repli.
Ajoutez les données les plus sensibles : informations personnelles, contrats, secrets commerciaux, identifiants et moyens de paiement. Cette cartographie tient sur une page. Elle permet pourtant de décider où appliquer l'authentification forte, quelles sauvegardes tester et quels fournisseurs interroger.
Le cadre NIST CSF organise ce travail autour de six fonctions : gouverner, identifier, protéger, détecter, répondre et récupérer. Une petite structure peut les utiliser comme questions sans adopter une méthodologie lourde.
Sécuriser d'abord les identités
La messagerie est souvent la porte d'entrée vers les autres services. Un attaquant qui contrôle un compte peut réinitialiser des mots de passe, observer les factures et préparer une fraude crédible.
Les mesures prioritaires sont :
- activer le MFA sur la messagerie, l'administration, le cloud et les comptes financiers ;
- supprimer les comptes des personnes parties ;
- éviter les comptes administrateur partagés ;
- utiliser un gestionnaire de mots de passe ;
- conserver séparément les codes de récupération ;
- vérifier chaque trimestre les droits les plus élevés.
Les passkeys réduisent fortement le risque de phishing lorsqu'elles sont disponibles. Elles ne remplacent toutefois pas la gestion des départs, des appareils perdus et des droits. Notre article sur les passkeys et le MFA résistant au phishing explique cette différence.
Maintenir les postes, serveurs et équipements de bordure
Un inventaire minimal doit inclure ordinateurs, téléphones professionnels, serveurs, routeurs, VPN, NAS et logiciels exposés sur Internet. Pour chaque élément, identifiez une version, un propriétaire et une date de fin de support.
Activez les mises à jour automatiques lorsque le risque opérationnel le permet. Pour les systèmes critiques, testez rapidement les correctifs au lieu de les repousser sans échéance. Les équipements de bordure méritent une attention particulière : l'ANSSI rappelle leur ciblage régulier dans son panorama de la menace.
Retirez les logiciels inutilisés et les extensions de navigateur non approuvées. Un petit parc cohérent est plus facile à maintenir qu'une accumulation d'outils historiques. L'article sur les extensions de navigateur et la chaîne logicielle fournit une méthode de revue.
Concevoir des sauvegardes qui peuvent réellement restaurer
Synchronisation et sauvegarde ne sont pas synonymes. Une suppression, un chiffrement ou une erreur peut être répliqué vers le cloud. Conservez plusieurs copies, sur des supports ou services distincts, dont au moins une n'est pas accessible en permanence depuis les comptes ordinaires.
Définissez deux objectifs :
- la quantité maximale de travail que l'entreprise accepte de perdre ;
- le temps maximal nécessaire pour reprendre l'activité.
Ces objectifs déterminent la fréquence et la méthode. Le test décisif reste la restauration. Chaque trimestre, choisissez un dossier, une boîte ou un système, restaurez-le dans un emplacement isolé et notez la durée, les accès nécessaires et les problèmes rencontrés. Une sauvegarde jamais restaurée est une hypothèse.
Réduire le phishing par le processus
La sensibilisation utile ne consiste pas à demander aux équipes d'être constamment méfiantes. Elle crée un chemin simple pour vérifier une demande et signaler un doute.
Les virements, changements de RIB, partages de secrets ou modifications de droits doivent utiliser un second canal de validation. Une demande urgente reçue par courriel ne doit pas être confirmée dans le même fil.
Affichez une adresse ou un bouton de signalement et remerciez les personnes qui l'utilisent. Mesurez le délai entre le premier doute et l'alerte, pas seulement le nombre de clics lors d'une simulation. Les techniques ClickFix montrent pourquoi une instruction apparemment technique peut être dangereuse : le guide destiné aux victimes détaille les premiers réflexes.
Préparer une réponse à incident sur une page
Le jour d'un incident, les coordonnées stockées uniquement dans la messagerie compromise deviennent inutiles. Préparez une fiche hors ligne contenant :
- les responsables à appeler ;
- le prestataire informatique et l'assureur éventuel ;
- les accès d'urgence ;
- la procédure pour isoler un poste sans effacer les traces ;
- les obligations de notification à examiner ;
- les priorités de restauration ;
- un modèle de journal des décisions.
Les premiers gestes doivent limiter l'extension sans détruire les preuves. Déconnecter un poste du réseau peut être nécessaire ; le réinitialiser immédiatement peut compliquer l'analyse. Les décisions dépendent du contexte, d'où l'intérêt d'un contact spécialisé préparé avant la crise.
Encadrer les fournisseurs et le cloud
Une grande partie du système d'information vit chez des prestataires. Demandez comment sont protégés les comptes administrateur, comment les données sont sauvegardées, où se trouvent les journaux et comment l'entreprise récupère ses informations en cas de rupture.
Le contrat doit préciser les responsabilités, les délais de notification et les possibilités d'export. Vérifiez aussi les intégrations oubliées : anciennes agences, connecteurs marketing, comptes de support et clés d'API.
Un plan sur trente jours
Semaine 1
Cartographier les cinq services critiques, leurs responsables et les comptes administrateur. Supprimer les accès manifestement inutiles.
Semaine 2
Activer le MFA, vérifier les mises à jour et documenter les équipements exposés. Choisir un gestionnaire de mots de passe.
Semaine 3
Tester une restauration complète et corriger ce qui empêche la reprise. Stocker la procédure hors des systèmes ordinaires.
Semaine 4
Organiser un exercice simple : compte de messagerie compromis, poste chiffré ou fournisseur indisponible. Noter les décisions qui restent ambiguës et leur attribuer un responsable.
La sécurité comme capacité de reprise
Une PME ne supprimera jamais tout risque. Elle peut en revanche rendre les attaques plus difficiles, détecter plus vite les anomalies et reprendre son activité sans improviser. Les meilleurs indicateurs ne sont pas le nombre d'outils achetés, mais le taux de comptes protégés, le délai de correction, la dernière restauration réussie et la capacité à joindre les bonnes personnes.
