Cybersécurité PME : bâtir une stratégie qui tient

La cybersécurité d’une PME se pilote comme un risque d’exploitation : quelques actifs vitaux identifiés, un socle de mesures qui couvre la majorité des scénarios, un plan de réaction écrit, un budget tenu. Le matériel et les logiciels arrivent après ces quatre décisions, jamais avant.

Le contexte a cessé d’être théorique. Le panorama de la cybermenace 2025 publié par l’ANSSI recense 3 586 événements de sécurité traités par l’agence, dont 1 366 incidents, et 128 compromissions par rançongiciel sur l’année. Les TPE, PME et ETI pèsent 48 % des victimes de ces compromissions, loin devant les collectivités territoriales (11 %) et les établissements de santé (8 %).

Les attaquants ne vous ciblent pas, ils vous trouvent

Une petite structure n’intéresse pas un attaquant pour ce qu’elle est, mais parce qu’elle est atteignable. Les campagnes de rançongiciel fonctionnent par balayage : des robots parcourent des plages d’adresses, repèrent un accès distant mal protégé ou un identifiant récupéré dans une fuite ancienne, et le tri des victimes se fait après l’entrée.

Le rapport d’activité 2025 de Cybermalveillance.gouv.fr donne la mesure du phénomène côté victimes : plus de 500 000 personnes et organisations assistées sur l’année, en progression de 20 %, avec un nombre d’entreprises accompagnées en hausse de 73 %. Trois motifs dominent les demandes professionnelles, le piratage de compte (21 %), l’hameçonnage (16 %) et la fraude au virement (13,5 %).

Ces trois motifs partagent une caractéristique gênante : aucun ne suppose de prouesse technique. Un mot de passe réutilisé, une pièce jointe ouverte un vendredi soir, un changement de coordonnées bancaires accepté par téléphone suffisent. La cybersécurité des PME se joue moins sur la sophistication des outils que sur la qualité des habitudes et la vitesse de réaction.

Partir de ce qui arrête l’entreprise, pas du catalogue fournisseur

Le réflexe classique consiste à demander un devis avant d’avoir défini quoi que ce soit. La démarche inverse coûte deux heures et change tout le reste.

Ouvrez un tableur, listez les processus sans lesquels l’activité s’arrête : facturation, production, prise de commande, paie, dossiers clients. Pour chacun, notez trois informations : quel outil le porte, quelle donnée il consomme, combien de temps vous survivez sans lui.

Ce dernier chiffre, le temps d’arrêt tolérable, hiérarchise tout le reste. Un atelier privé de sa gestion de production pendant quatre heures perd une journée de facturation ; un cabinet privé de sa messagerie pendant une semaine perd des clients. La protection se dimensionne sur cette durée, pas sur la valeur d’achat du matériel.

Quatre questions complètent l’exercice :

• Quelle donnée, perdue définitivement, empêcherait de reprendre l’activité
• Qui détient les accès d’administration, prestataires compris
• Quels services restent joignables depuis Internet sans passer par le réseau interne
• Comment réagiraient vos trois plus gros clients si leurs données fuitaient

La première question renvoie directement à la sauvegarde de vos données et surtout à la date du dernier essai de restauration. Une copie jamais restaurée reste une hypothèse, pas une protection.

Le socle qui couvre la majorité des scénarios

L’ANSSI publie un guide d’hygiène informatique structuré en 42 mesures réparties sur huit axes, du contrôle des accès à la sécurisation de l’administration. Une entreprise de vingt personnes n’en appliquera pas quarante-deux la première année. Elle en appliquera six, correctement, et couvrira déjà l’essentiel des scénarios observés sur le terrain.

L’agence propose également un dispositif gratuit, MonAideCyber, qui produit un diagnostic accompagné par un aidant formé puis six recommandations prioritaires. Le service s’adresse aux organisations comptant des salariés, ni aux particuliers ni aux entreprises sans employé.

Le socle qui revient le plus souvent tient en six lignes :

• La double authentification sur la messagerie, la banque, l’hébergement du site et les accès distants
• Une sauvegarde hors ligne, déconnectée entre deux passes, restaurée à date connue
• L’application des correctifs de sécurité dans un délai écrit, plus court sur les équipements exposés à Internet
• La fermeture des comptes des personnes parties, vérifiée le jour même du départ
• La séparation stricte entre les comptes d’administration et les usages quotidiens
• La conservation des journaux de connexion assez longtemps pour servir après coup

Ces six mesures ne pèsent presque rien en licences. Elles pèsent en temps de configuration et en discipline, ce qui explique leur absence si fréquente. Le baromètre France Num 2025, mené auprès de plus de 11 000 entreprises, mesure que 84 % des TPE et PME disposent d’au moins une mesure de sécurité, dont 96 % un antivirus et 82 % une sauvegarde externalisée. L’équipement de base existe donc largement ; l’organisation autour, beaucoup moins.

Ce que ce socle ne couvre pas

Le socle traite la porte d’entrée. Il ne dit rien de la fenêtre laissée ouverte par un équipement réseau oublié dans un placard, ni du poste personnel utilisé le soir pour consulter la messagerie professionnelle. L’architecture du réseau de l’entreprise décide de ce qu’un attaquant atteint une fois entré : un réseau plat lui livre tout, un réseau segmenté limite les dégâts à une zone. Côté machines, les réglages détaillés dans notre guide pour sécuriser un PC contre les cyberattaques forment la couche individuelle, celle qui ne se pilote depuis aucun tableau de bord.

Combien y consacrer, et comparé à quoi

Le cabinet Astérès, dans une étude publiée en juin 2023, chiffre à 59 000 euros le coût moyen d’une cyberattaque réussie en France et à 2 milliards d’euros le coût total supporté par l’économie nationale. Sur les 347 000 attaques réussies recensées contre des entreprises, 330 000 visaient des PME. Cette moyenne masque une distribution très étalée : beaucoup d’incidents à quelques milliers d’euros, une poignée qui emportent la trésorerie d’une petite structure.

Trois postes composent le budget réel, et deux passent rarement dans un devis :

• Les licences et abonnements, seul poste que le marché sait chiffrer précisément
• Le temps du prestataire, qu’il facture en forfait d’infogérance ou en interventions
• Le temps interne, celui du dirigeant et des équipes, qui reste le poste le plus sous-évalué

L’assurance cyber complète le dispositif sans le remplacer : elle transfère une partie du coût financier, jamais l’interruption d’activité ni la perte de confiance d’un client. Un assureur exige d’ailleurs des mesures de protection avant de couvrir.

Une stratégie de cybersécurité proportionnée s’étale sur trois exercices : le socle et la sauvegarde, puis la supervision et les exercices, puis les points restants du diagnostic. Cet étalement évite l’effet accordéon, gros investissement après un incident et abandon dix-huit mois plus tard.

Nommer un responsable, écrire les décisions

Un sujet sans propriétaire ne progresse pas. Dans une PME, le responsable désigné n’a aucune obligation d’être technicien : il porte l’arbitrage, tient la liste des chantiers, convoque la revue et relance le prestataire. Un directeur administratif et financier fait très bien l’affaire.

Trois rendez-vous suffisent à faire vivre le sujet : une revue trimestrielle de quarante-cinq minutes avec le prestataire sur les incidents, les correctifs en retard et les accès ouverts, un point annuel de budget, un exercice par an.

Le contrat du prestataire mérite une relecture attentive, car la zone grise s’y loge presque toujours. Trois éléments doivent y figurer noir sur blanc : le périmètre exact des systèmes administrés, le délai d’intervention en cas d’incident majeur, et la liste de ce qui reste explicitement hors couverture. Beaucoup de dirigeants découvrent la sauvegarde absente du contrat le jour où elle manque.

Consignez les arbitrages dans un document unique, daté, court : le risque accepté faute de budget, la mesure reportée, la date de réexamen. Ce registre se range avec vos autres procédures internes.

Le plan de réponse tient sur une feuille imprimée

Un incident s’improvise mal, et plus mal encore quand le réseau est indisponible. Le plan de réponse vit donc sur papier, dans un classeur, avec une copie chez le dirigeant.

Six éléments y figurent :

• Qui prévient qui, dans quel ordre, avec les numéros de téléphone personnels
• Les coordonnées du prestataire et de son astreinte, vérifiées deux fois par an
• Le geste technique immédiat : isoler les machines du réseau sans les éteindre, pour préserver les traces
• Le lieu de la sauvegarde hors ligne et la procédure de restauration
• Le message type destiné aux clients et aux salariés, écrit à froid
• Le journal des actions, tenu à la main, horodaté, avec le nom de chaque intervenant

Deux démarches complètent la réaction technique : le dépôt de plainte, qui suppose de conserver les preuves plutôt que de tout réinstaller dans l’heure, et le recours à Cybermalveillance.gouv.fr, dispositif public qui oriente vers des prestataires référencés.

La vitesse compte plus qu’il n’y paraît. Le rapport Cost of a Data Breach 2025 d’IBM mesure un cycle moyen de 241 jours entre la compromission et sa résolution, dont 181 jours pour détecter et 60 pour contenir, avec un coût moyen mondial de 4,44 millions de dollars, en baisse de 9 % sur un an. Ces durées se compriment dès qu’une procédure existe et que quelqu’un sait où elle se trouve.

Former sur les gestes qui coûtent, pas sur la théorie

Le module de sensibilisation d’une heure suivi une fois par an ne change presque rien. Ce qui change les comportements : des exercices courts, répétés, ancrés dans les gestes du métier.

La fraude au virement, qui représente 13,5 % des demandes d’assistance des entreprises auprès de Cybermalveillance.gouv.fr en 2025, se traite par une procédure de vingt lignes. Tout changement de coordonnées bancaires d’un fournisseur se vérifie par un appel sortant vers un numéro connu à l’avance, jamais celui figurant dans le message reçu. Au-delà d’un montant fixé par la direction, une seconde validation humaine s’impose. Cette règle protège aussi celui qui l’applique : un comptable qui refuse un virement urgent doit pouvoir s’appuyer sur un texte.

Trois exercices annuels couvrent l’essentiel :

• Un faux message d’hameçonnage envoyé en interne, suivi d’un débriefing collectif sans nommer personne
• Une simulation de demande de virement urgent auprès du service comptable
• Une restauration réelle de sauvegarde, chronométrée, avec un fichier ouvert pour vérification

L’argument du message mal écrit ne tient plus. Les outils d’intelligence artificielle utilisés en entreprise produisent des courriels en français impeccable, adaptés au vocabulaire du secteur visé. La détection repose désormais sur le contexte, sur l’urgence anormale et sur la procédure, plus sur l’orthographe.

Six indicateurs pour savoir si ça tient encore

Une politique se dégrade en silence. Ces six mesures se relèvent en une demi-heure, deux fois par an :

• Date du dernier test de restauration réussi, et durée constatée
• Nombre de comptes actifs sans propriétaire identifié
• Délai moyen entre la publication d’un correctif critique et son application
• Part des salariés ayant suivi un exercice au cours des douze derniers mois
• Nombre d’accès distants ouverts vers l’extérieur, et justification de chacun
• Date du dernier passage en revue du contrat de prestation

Trois régressions reviennent d’une PME à l’autre : la sauvegarde qui échoue depuis six semaines sans que personne ne lise l’alerte, le compte d’un ancien salarié maintenu ouvert parce qu’une automatisation en dépend, le prestataire remplacé sans reprise du plan de réponse.

Prochaine étape, cette semaine : listez les trois processus dont l’arrêt coûterait le plus cher, vérifiez que leurs données figurent dans une sauvegarde hors ligne, puis restaurez un fichier au hasard. Le résultat de ce test vous donnera le vrai point de départ, et il tient en une matinée.