Cybersécurité: les bases pour une PME sans DSI

Aucune DSI, aucun budget cybersécurité dédié, et pourtant un système d’information dont dépend toute l’activité : c’est la situation de la grande majorité des PME françaises. La bonne nouvelle, rappelée sans détour par l’agence nationale de cybersécurité elle-même : il n’y a pas besoin d’une équipe technique interne pour réduire l’essentiel du risque, seulement de quelques mesures appliquées dans le bon ordre.

Ce sujet touche directement les logiciels métier développés sur mesure, pas seulement les postes de travail et la messagerie : un outil qui centralise les données clients, la facturation ou la production devient, par définition, l’un des actifs les plus critiques du système d’information. Le sécuriser mérite la même rigueur que celle appliquée aux ordinateurs et aux serveurs.

Pourquoi une PME sans DSI est-elle une cible de choix ?

Parce que la numérisation apporte les mêmes bénéfices à toutes les entreprises, mais pas les mêmes moyens de se protéger. L’ANSSI le formule directement dans son guide dédié aux TPE et PME : les structures de taille petite, moyenne et intermédiaire sont particulièrement à risque, parce qu’en l’absence de dispositifs de protection, elles sont une cible de choix pour des attaquants malveillants qui optimisent leurs gains en visant les plus vulnérables (La cybersécurité pour les TPE/PME en 13 questions, ANSSI et Direction générale des Entreprises). Un attaquant automatisé ne fait pas de distinction morale entre une multinationale et un artisan : il cible ce qui est le plus facile à compromettre, à l’échelle de milliers de tentatives.

Le panorama annuel de la menace publié par l’ANSSI confirme que cette pression ne faiblit pas : l’agence a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents avérés, sur des cibles de toute taille et de tout secteur (Panorama de la cybermenace 2025, ANSSI). Les grandes entreprises et les administrations concentrent l’attention médiatique, mais la mécanique qui frappe une PME est la même : des équipements de bordure mal mis à jour, des accès jamais révoqués, des sauvegardes jamais testées. Ce n’est pas la taille de l’entreprise qui attire l’attaquant, c’est la facilité d’accès.

Par où commencer : cartographier son parc informatique

Avant toute mesure de protection, une question préalable : que possède réellement l’entreprise, et où. L’ANSSI en fait la toute première recommandation de son guide : inventorier ses matériels, ses logiciels, ses données et ses accès est la condition pour identifier ensuite les biens critiques et les mesures de protection adaptées. Concrètement, cet inventaire couvre quatre catégories : les équipements (ordinateurs, mobiles, serveurs, box, imprimantes connectées), les logiciels utilisés et leurs versions, les données sensibles pour l’activité (fichiers clients, comptabilité, savoir-faire), et enfin tous les accès au système d’information, y compris ceux d’anciens employés ou d’anciens prestataires trop souvent oubliés.

Ce travail, qui prend rarement plus d’une demi-journée pour une PME de taille modeste, n’est pas qu’un exercice administratif : c’est lui qui révèle les angles morts. Un ancien accès jamais révoqué, un serveur oublié qui tourne encore sur un système obsolète, un fichier client stocké sur un poste personnel : ce sont précisément ces angles morts que les attaquants exploitent, pas les systèmes que tout le monde surveille déjà.

Prenons un cas type pour rendre ça concret. Une PME de quinze personnes fait cet inventaire pour la première fois, à l’occasion d’un changement de prestataire informatique. L’exercice révèle trois angles morts : un ancien salarié parti depuis huit mois qui conserve encore un accès actif à la messagerie professionnelle, un serveur de fichiers hébergé chez un prestataire dont plus personne ne connaît les identifiants d’administration, et un fichier client complet stocké en copie sur l’ordinateur personnel d’un commercial. Aucun de ces trois points n’a causé d’incident, ce jour-là. Mais chacun aurait suffi, seul, à transformer une tentative d’attaque banale en compromission complète.

Les mesures qui réduisent le plus le risque, dans l’ordre

Cinq mesures, empruntées aux recommandations de base de l’ANSSI, couvrent l’essentiel du risque pour une PME sans équipe technique dédiée :

Les sauvegardes méritent une attention particulière, parce qu’elles conditionnent la survie de l’activité en cas d’attaque par rançongiciel, la menace la plus redoutée des PME. Une sauvegarde efficace suit trois règles : elle est régulière, avec une fréquence adaptée au volume de données produites (hebdomadaire suffit souvent, quotidienne pour une activité à forte volumétrie) ; elle est testée en restauration, parce qu’une sauvegarde jamais restaurée est une hypothèse, pas une garantie ; et au moins une copie reste déconnectée du réseau principal, pour ne pas être chiffrée en même temps que le reste en cas d’attaque.

Les mots de passe méritent la même rigueur : un mot de passe réutilisé sur plusieurs services transforme une fuite de données chez un fournisseur tiers, un événement que l’entreprise ne maîtrise pas, en porte d’entrée directe vers ses propres comptes. Un gestionnaire de mots de passe, gratuit dans ses versions de base, résout ce problème sans effort de mémorisation.

La séparation des usages, souvent perçue comme secondaire, mérite d’être remontée dans les priorités dès qu’un logiciel métier développé sur mesure entre en jeu. Un développement sur mesure bien conçu intègre nativement la gestion des droits par utilisateur, ce qui limite d’emblée ce qu’un compte compromis peut atteindre : un commercial n’a pas accès aux données de paie, un stagiaire n’a pas accès à la configuration système. Cette granularité, absente par défaut dans beaucoup d’outils génériques mal paramétrés, se pose dès la conception plutôt que de se rajouter après coup.

Que faire en cas de cyberattaque ?

Trois réflexes, dans cet ordre, limitent les dégâts d’une attaque déjà en cours :

1. Isoler immédiatement les équipements touchés. Débrancher le réseau, pas nécessairement éteindre les machines, pour limiter la propagation sans détruire des preuves utiles à l’enquête qui suivra.
2. Ne jamais payer une éventuelle rançon. Rien ne garantit la récupération des données après paiement, et chaque paiement finance la poursuite de ces attaques contre d’autres entreprises.
3. Signaler l’incident sur la plateforme officielle. Cybermalveillance.gouv.fr met en relation les victimes avec des prestataires de proximité qualifiés et centralise le signalement des incidents, une démarche utile même quand l’attaque semble mineure.

Une police d’assurance cyber, quand elle existe, doit aussi être activée à ce stade : encore faut-il en connaître les conditions avant l’incident, pas les découvrir pendant. L’ANSSI recommande explicitement de vérifier que la couverture souscrite correspond réellement aux risques de l’entreprise, un point que beaucoup de dirigeants négligent jusqu’au jour où ils en ont besoin.

Faut-il une assurance cyber pour une PME ?

C’est une question à évaluer au cas par cas, jamais une évidence automatique. Une assurance cyber couvre généralement les frais de gestion de crise, la perte d’exploitation liée à l’incident et parfois la responsabilité civile en cas de fuite de données affectant des tiers. Sa pertinence dépend directement de ce que l’entreprise a à perdre : une PME qui traite des données sensibles à grande échelle, ou dont l’activité s’arrêterait totalement en cas de panne informatique prolongée, a plus à y gagner qu’une structure dont le système d’information reste secondaire à l’activité principale.

Dans tous les cas, une assurance cyber ne remplace jamais les mesures de base détaillées plus haut : la plupart des polices exigent d’ailleurs un niveau minimal de protection pour être valables, et réduisent leur indemnisation en cas de négligence manifeste. L’assurance couvre le risque résiduel, pas l’absence totale de protection.

Un point mérite d’être vérifié avant de signer, plutôt que découvert au moment de la déclaration de sinistre : certains contrats conditionnent l’indemnisation au respect d’un niveau minimal de mesures de protection, sauvegardes et mises à jour en tête. Lire les clauses d’exclusion avec la même attention que le montant de la garantie évite une mauvaise surprise au pire moment possible, idéalement avec l’aide d’un courtier habitué à ce type de contrat plutôt qu’en confiance aveugle dans une offre standard.

Combien coûte la sécurisation d’un système d’information de PME ?

L’essentiel des cinq mesures détaillées plus haut coûte peu ou rien au-delà du temps de mise en place : un pare-feu correctement configuré, une politique de mots de passe et un calendrier de sauvegardes ne demandent pas de budget disproportionné, seulement de la discipline et, souvent, une demi-journée d’accompagnement pour démarrer du bon pied. L’investissement grandit avec la complexité du système d’information : un audit initial suivi de sa mise en œuvre technique se cadre généralement dans les mêmes ordres de grandeur qu’une intervention de tierce maintenance applicative, entre 700 et 1 100 € HT par jour selon la complexité du sujet traité.

Pour la part logicielle, le meilleur budget sécurité est celui qui figure déjà dans le devis : un outil métier livré sérieusement embarque dès le départ les accès par rôle, le chiffrement des données sensibles, des sauvegardes testées et un calendrier de mise à jour des dépendances. Payer ces fondamentaux à la livraison coûte toujours moins cher que de les rattraper après un incident.

Ce budget reste sans commune mesure avec le coût d’une attaque non anticipée : temps d’arrêt de l’activité, reconstruction des systèmes, parfois perte de données irrécupérables, sans compter l’impact sur la confiance des clients. La sécurité d’un système d’information n’est jamais un chantier isolé chez nous : elle fait partie du même travail de fond que la dette technique d’un logiciel, à mesurer et rembourser régulièrement plutôt qu’à découvrir le jour où elle coûte cher. Nos propres produits, utilisés chaque jour par des milliers de personnes, vivent sous ce même régime de vigilance continue avant que nous le proposions à nos clients.

Cette logique de mesure avant investissement rejoint le principe qui structure l’ensemble de notre méthode : cadrer précisément ce qui doit être protégé, prioriser les mesures selon leur impact réel, puis avancer par étapes courtes et vérifiables plutôt que de promettre une sécurisation totale d’un coup. Une PME qui applique les cinq mesures de base de cet article a déjà éliminé la grande majorité des scénarios d’attaque les plus courants, bien avant d’envisager un audit de sécurité approfondi ou un accompagnement plus poussé.

Si vous voulez un état des lieux honnête de votre exposition, sans jargon ni vente sous pression, parlons-en : un audit de quelques jours suffit à transformer l’incertitude en plan d’action concret.