Cybersécurité en PME : la checklist pour faire le point
En cybersécurité, le danger ne vient pas toujours de là où on l'attend. Les attaques ne visent plus seulement les géants du web. Elles touchent de plus en plus les PME, les indépendants et les associations, souvent parce qu'ils sont mal préparés. Pas besoin de jargon ni de dramatisation pour y voir clair. Voici 7 points concrets à vérifier pour évaluer, dès aujourd'hui, le niveau de sécurité de votre entreprise. Si vous cochez toutes les cases, parfait. Sinon, mieux vaut le savoir maintenant que le jour d'un incident.
TL;DR : Pour savoir si votre entreprise est protégée, vérifiez 7 points : une vraie politique de mots de passe avec double authentification, des sauvegardes testées, des mises à jour automatiques, un réseau cloisonné, un référent sécurité désigné, des équipes formées à l'hameçonnage et un plan de reprise d'activité testé. La plupart de ces mesures relèvent de l'organisation, pas du budget.
Pourquoi maintenant ? Parce que les PME sont devenues la cible principale. Selon l'ANSSI, les PME, TPE et ETI représentaient 48 % des victimes de rançongiciel traitées en 2025. Et selon le baromètre national de la maturité cyber des TPE-PME, 80 % d'entre elles ne sont pas préparées ou l'ignorent. Pour le contexte général, lisez aussi notre article sur l'importance de la cybersécurité pour les PME.
1. Avez-vous une vraie politique de mots de passe ?
Une vraie politique de mots de passe, c'est un gestionnaire, des règles claires et la double authentification partout où c'est possible.
Les mots de passe, c'est l'évidence. Mais ce qui est évident n'est pas toujours bien géré. Beaucoup d'entreprises comptent sur le bon sens des salariés. Mauvaise idée. Post-it sous le clavier, mots de passe trop simples, identifiants recyclés : les erreurs sont fréquentes, et dangereuses. Le piratage de compte est d'ailleurs la première menace signalée par les entreprises en 2025, avec 21 % des assistances de Cybermalveillance.gouv.fr.
Une vraie politique de mots de passe, c'est :
- un gestionnaire de mots de passe partagé, plutôt qu'un fichier Excel non protégé ;
- des mots de passe longs et uniques pour chaque service ;
- une revue régulière des accès sensibles ;
- la double authentification sur les outils critiques.
La double authentification est la mesure la plus rentable. Le baromètre des TPE-PME montre que seules 26 % d'entre elles l'ont mise en place. Cela demande un petit effort au départ. Vos équipes s'y habituent vite avec un peu d'accompagnement.
2. Vos sauvegardes sont-elles vraiment restaurables ?
Une sauvegarde n'a de valeur que si vous avez déjà vérifié qu'on peut la restaurer.
Beaucoup d'entreprises se croient protégées parce qu'elles ont des sauvegardes. Mais une sauvegarde jamais testée, c'est comme une ceinture de sécurité qu'on n'a jamais bouclée. Le jour où on en a besoin, on découvre qu'elle ne fonctionne pas.
Autre piège : sauvegarder les fichiers bureautiques, mais pas la base clients, le CRM ou les emails. Une vraie stratégie de sauvegarde se pense dans sa globalité, avec des priorités et des scénarios de reprise.
L'ANSSI recommande la règle 3-2-1 dans son guide « La cybersécurité pour les TPE/PME en 13 questions » : trois copies, sur deux supports différents, dont une hors ligne. Cybermalveillance.gouv.fr ajoute de garder une copie dans un autre lieu, de débrancher le support après usage et de tester la restauration.
3. Les mises à jour automatiques sont-elles activées ?
Si les mises à jour sont repoussées, les failles connues restent ouvertes, et ce sont celles que les attaquants cherchent.
Personne n'aime redémarrer son poste en pleine réunion. Résultat : on reporte la mise à jour, puis on l'oublie. Pendant ce temps, les failles documentées restent exploitables.
Des outils de gestion des mises à jour permettent de les planifier sur tous les postes, d'alerter en cas d'échec et de centraliser le contrôle. L'objectif n'est pas d'imposer des redémarrages intempestifs, mais de ne pas laisser traîner les failles.
Les mises à jour ne concernent pas que le système d'exploitation. Navigateurs, logiciels métiers, box internet, et votre site web aussi. Un CMS ou un plugin non mis à jour est l'une des portes d'entrée les plus courantes. C'est le cœur d'une maintenance de site web sérieuse : mises à jour, sauvegardes et suivi.
4. Votre réseau est-il cloisonné ?
Un réseau cloisonné empêche une attaque locale de devenir un problème pour toute l'entreprise.
Imaginez une entreprise où salariés, prestataires et visiteurs sont connectés au même réseau. Un poste est infecté par un rançongiciel ? L'infection peut gagner l'ensemble du réseau. Le Wi-Fi invité donne accès aux imprimantes ? Une faille banale devient un cauchemar.
Cloisonner le réseau permet d'isoler les services critiques et de limiter les accès. Les ressources humaines n'ont pas besoin d'accéder aux outils de développement, et inversement. Vos visiteurs n'ont aucune raison d'être sur le même réseau que votre serveur de fichiers. Ce n'est pas une tâche insurmontable. C'est une bonne pratique de base, qui peut sauver votre activité.
5. Qui est responsable de la cybersécurité dans l'entreprise ?
Il faut un référent désigné, même à temps partiel, sinon personne ne s'en occupe vraiment.
Souvent, la réponse est « personne ». Ou « tout le monde », ce qui revient au même. On compte sur le prestataire informatique, ou sur le dirigeant, ou sur le fait que « tout marche bien jusque-là ». Cette logique est dangereuse.
Il faut un pilote dans l'avion. Pas forcément un expert à plein temps, mais un référent désigné. Il est le point de contact en cas d'incident. Il sensibilise les équipes, tient à jour les accès, relance les mises à jour et les sauvegardes. Il coordonne les audits ponctuels et veille à ce que le plan de reprise ne prenne pas la poussière. Il ne règle pas tout, mais il fait le lien.
6. Vos équipes savent-elles repérer une attaque ?
Former les équipes aux bons réflexes est l'une des protections les plus efficaces contre l'hameçonnage.
On parle beaucoup d'hameçonnage, mais peu de salariés savent vraiment le reconnaître. Un email d'apparence légitime, un lien vers un faux site, une pièce jointe piégée : et l'entreprise peut se retrouver bloquée par un rançongiciel. Souvent, c'est un collaborateur qui a cliqué en pensant bien faire. Pas par bêtise, mais par manque de réflexes. Selon le baromètre des TPE-PME, 43 % des attaques subies viennent de l'hameçonnage.
Former les équipes ne veut pas dire leur faire peur. Cela veut dire leur donner les bons réflexes. Une courte vidéo de temps en temps, un quiz, un faux email d'hameçonnage pour s'entraîner : c'est souvent suffisant pour éveiller la vigilance. Une équipe bien formée repère parfois ce qu'aucun logiciel ne détecte.
7. Avez-vous déjà testé votre plan de reprise d'activité ?
Un plan de reprise d'activité ne sert que s'il est à jour et qu'on s'est déjà entraîné à l'appliquer.
C'est souvent le document le plus important, et le moins lu, de l'entreprise. Quand une attaque, une panne ou un sinistre survient, il doit dire qui fait quoi, dans quel ordre, avec quels outils. Trop d'entreprises se contentent d'un document rédigé il y a longtemps, jamais relu, jamais testé.
Un bon plan de reprise pose des priorités claires : que faut-il restaurer en premier ? Qui prévenir ? Combien de temps l'entreprise peut-elle fonctionner sans messagerie ? Quels outils doivent rester accessibles à distance ?
Il contient au minimum :
- une cartographie des systèmes critiques ;
- les contacts internes et externes en cas de crise ;
- des procédures de redémarrage pas à pas ;
- des objectifs de reprise réalistes, définis avec votre prestataire ;
- un retour d'expérience sur les derniers tests.
Tester le plan régulièrement, c'est comme un exercice incendie. Personne n'en a envie, mais ça change tout le jour où ça brûle.
Un point souvent oublié : en cas de fuite de données personnelles, la CNIL doit être notifiée au plus tard 72 heures après la découverte si la violation présente un risque. Prévoyez-le dans votre plan.
FAQ
Par où commencer si je n'ai rien mis en place ? Par la double authentification sur la messagerie et les outils sensibles, puis par des sauvegardes testées. Ce sont les deux mesures les plus efficaces pour le moindre effort.
Une petite entreprise intéresse-t-elle vraiment les pirates ? Oui. Les attaquants cherchent des failles, pas des noms connus. Les PME, moins protégées, sont devenues la première catégorie de victimes de rançongiciel selon l'ANSSI.
Mon site web fait-il partie du périmètre ? Oui. Un site non mis à jour peut être piraté, servir à diffuser du contenu malveillant ou exposer les données de vos formulaires. Il doit être maintenu et surveillé, comme le reste de vos outils. Notre guide pour surveiller son site web détaille les bons réflexes.
Qui contacter en cas d'attaque ? Votre prestataire informatique en premier lieu. Le dispositif national Cybermalveillance.gouv.fr aide aussi les victimes et oriente vers des prestataires de proximité.
Conclusion : ce n'est pas une question de « si », mais de « quand »
Penser que votre entreprise n'intéresse pas les pirates est une illusion. Ils ne cherchent pas que les grands groupes. Ils cherchent des failles. La bonne nouvelle : la plupart des problèmes de cybersécurité ne viennent pas d'un manque de moyens, mais d'un manque d'organisation. En vérifiant ces 7 points, vous prenez de l'avance, et vous montrez à vos clients que vous prenez le sujet au sérieux.
Votre site est-il à jour, sauvegardé et surveillé ? Parlons-en : on fait le point avec vous.
