- Les PME sont ciblées parce qu’elles offrent moins de résistance et servent de porte d’entrée vers leurs clients et donneurs d’ordre.
- Hameçonnage, rançongiciel, fraude au virement et compromission de comptes Microsoft 365 dominent les incidents.
- Les fondamentaux couvrent l’essentiel du risque : MFA, correctifs, sauvegardes isolées, comptes d’administration séparés, sensibilisation.
- Ensuite viennent la détection (EDR, supervision), la segmentation et un plan de réponse testé.
- Public
- Dirigeants de PME, DAF, responsables IT
- Niveau
- Tous niveaux
- Référentiels
- ANSSI, Cybermalveillance.gouv.fr
- Hors périmètre
- Certification ISO 27001
Pourquoi les PME sont ciblées#
- Elles offrent moins de résistance : peu ou pas de personnel dédié à la sécurité, des correctifs appliqués irrégulièrement, des comptes d’administration utilisés au quotidien.
- Elles sont des portes d’entrée : sous-traitants, prestataires logistiques, fournisseurs connectés aux systèmes de clients plus importants. Plusieurs fuites de données de grandes enseignes françaises ont ainsi commencé chez un prestataire.
- Elles paient plus souvent : sans sauvegarde isolée ni plan de reprise, la pression d’un arrêt total est forte.
- Les attaques sont industrialisées : les campagnes d’hameçonnage et de rançongiciel visent en masse, sans distinction de taille.
Les menaces les plus fréquentes#
| Menace | Comment elle opère | Mesure clé |
|---|---|---|
| Hameçonnage | Faux messages pour voler des identifiants ou installer un logiciel malveillant | MFA, filtrage de la messagerie, sensibilisation |
| Compromission de compte Microsoft 365 | Identifiants volés, règles de transfert cachées, envoi de messages frauduleux | MFA résistant à l’hameçonnage, accès conditionnel, alertes |
| Fraude au virement ou au président | Usurpation d’un dirigeant ou d’un fournisseur pour détourner un paiement | Procédure de double validation, DMARC |
| Rançongiciel | Chiffrement des serveurs et des sauvegardes, souvent avec vol de données | Sauvegardes immuables, correctifs, EDR, tiering |
| Exploitation de failles | Équipements exposés sur Internet non mis à jour (VPN, pare-feu, serveurs) | Gestion des vulnérabilités, réduction de l’exposition |
Les fondamentaux, à mettre en place d’abord#
- Authentification multifacteur sur la messagerie, les accès distants et tous les comptes d’administration.
- Correctifs appliqués rapidement, en priorité sur les équipements exposés à Internet.
- Sauvegardes isolées et immuables, y compris de Microsoft 365, et restaurations testées.
- Comptes d’administration séparés des comptes de travail quotidiens, et suppression des comptes inutiles.
- Antivirus nouvelle génération ou EDR sur tous les postes et serveurs.
- Filtrage de la messagerie et authentification du domaine (SPF, DKIM, DMARC).
- Sensibilisation régulière des collaborateurs, avec des exercices concrets.
- Une procédure simple en cas d’incident : qui appeler, que faire, que ne pas faire.
Un plan par niveau de maturité#
| Niveau | Objectif | Mesures typiques |
|---|---|---|
| Fondamentaux | Écarter les attaques courantes | Les huit mesures ci-dessus |
| Renforcé | Limiter la propagation et réagir vite | Tiering Active Directory, segmentation réseau, supervision des journaux, gestion des vulnérabilités, revue des droits |
| Avancé | Détecter et répondre en continu | Détection & réponse managées (SOC), tests d’intrusion, exercices de crise, conformité NIS 2 si concerné |
L’objectif n’est pas d’atteindre tout de suite le niveau avancé, mais de ne laisser aucun trou au niveau fondamental, puis de progresser selon l’exposition et les exigences de vos clients et assureurs.
Assurance cyber et exigences des clients#
Les assureurs cyber conditionnent désormais leur couverture à des mesures précises : MFA, sauvegardes hors ligne ou immuables, EDR, gestion des correctifs. Les donneurs d’ordre font de même dans leurs questionnaires fournisseurs. Les fondamentaux ci-dessus sont donc aussi un argument commercial et une condition d’assurabilité.
En cas d’incident#
- Isoler les machines touchées du réseau, sans les éteindre si possible.
- Prévenir votre prestataire informatique et votre assureur.
- Ne pas payer de rançon sans avoir pris conseil.
- Porter plainte et, le cas échéant, notifier la CNIL sous 72 heures en cas de violation de données personnelles.
- Restaurer à partir de sauvegardes saines, après avoir identifié et fermé le point d’entrée.
La plateforme Cybermalveillance.gouv.fr oriente gratuitement les victimes vers des prestataires de proximité.
Questions fréquentes#
Combien une PME doit-elle consacrer à la cybersécurité ?
Il n’y a pas de ratio universel. Le plus rentable est de financer d’abord les fondamentaux, qui couvrent l’essentiel du risque, puis d’ajuster selon l’exposition et les exigences des clients et assureurs.
Un antivirus suffit-il ?
Non. Il fait partie des fondamentaux, mais sans MFA, correctifs et sauvegardes isolées, une attaque par vol d’identifiants ou par rançongiciel reste très probable.
Microsoft 365 est-il sécurisé par défaut ?
Partiellement. De nombreux réglages importants, comme l’accès conditionnel, la protection avancée de la messagerie ou l’audit, doivent être activés et configurés.
Qu’est-ce qu’un EDR ?
Un outil de détection et de réponse sur les postes et serveurs, qui repère les comportements suspects et peut isoler une machine automatiquement.