Cybersécurité en PME : le plan des trois premiers mois

Dans beaucoup de PME, la cybersécurité tient en une phrase : « c’est le prestataire qui s’en occupe ». Le prestataire, lui, installe un antivirus et un pare-feu, renouvelle les licences, et intervient quand quelque chose casse. Personne n’a décidé quelles données comptent le plus, qui peut valider un virement, ni ce qu’on fait le jour où plus aucun poste ne démarre.

Le baromètre de la maturité cyber des TPE-PME publié en octobre 2025 par Cybermalveillance.gouv.fr avec la CPME, le MEDEF et l’U2P résume bien la situation : 6 entreprises sur 10 ne savent pas évaluer les conséquences d’une cyberattaque, et 80 % estiment ne pas être suffisamment préparées. Ce plan sur trois mois s’adresse à elles. Il ne demande ni service informatique ni budget lourd. Il demande surtout que la direction prenne cinq ou six décisions, dans le bon ordre.

Pourquoi une PME est concernée, même petite

L’argument « nous sommes trop petits pour intéresser des pirates » ne résiste pas aux faits :

• Dans son panorama de la menace 2025, l’ANSSI indique que les PME, TPE et ETI restent la catégorie d’organisations la plus touchée par les rançongiciels parmi les incidents portés à sa connaissance.
• Une grande partie des attaques sont opportunistes. Les attaquants cherchent en masse les équipements exposés sur internet qui ont une faille connue, quelle que soit la taille de l’entreprise derrière.
• Les fraudes les plus fréquentes visent des processus que toutes les entreprises ont : payer une facture, modifier un RIB, gérer une messagerie. Pour les entreprises et associations, Cybermalveillance.gouv.fr classe en 2025 le piratage de compte, l’hameçonnage et la fraude au virement aux trois premières places des demandes d’assistance.

Un point mérite d’être retenu par tout dirigeant : pour les professionnels, les rançongiciels entrent le plus souvent par une faille sur un accès externe (VPN, bureau à distance, serveur de fichiers en réseau) ou sur un équipement de sécurité lui-même, comme le pare-feu. Un pare-feu non mis à jour peut devenir la porte d’entrée qu’il était censé fermer.

Mois 1 : savoir ce que vous protégez

Faire l’inventaire en une demi-journée

Le premier chapitre du guide de l’ANSSI pour les TPE-PME commence par cette question : connaissez-vous votre parc informatique et vos actifs métier ? Un tableau suffit, avec quatre onglets :

• Le matériel : ordinateurs, téléphones professionnels, serveur, box, pare-feu, imprimantes connectées, NAS.
• Les comptes : messagerie, banque en ligne, logiciel de facturation, outil de paie, site web, réseaux sociaux, avec pour chacun la personne qui a les droits d’administration.
• Les données critiques : fichier clients, comptabilité, devis, plans, dossiers du personnel.
• Les prestataires qui ont un accès à distance à vos systèmes, et leur contact d’urgence.

Poser la question qui fixe les priorités

Réunissez la direction et les responsables de service avec une seule question : « Si tout s’arrête lundi matin, qu’est-ce qui doit redémarrer en premier, et en combien de temps ? » Facturation, prise de commande, production, paie : la réponse donne l’ordre de vos efforts et le niveau de sauvegarde à exiger.

Faire un diagnostic gratuit

L’ANSSI propose MonAideCyber : un diagnostic gratuit d’environ 1 h 30 avec un « Aidant cyber », qui débouche sur six recommandations prioritaires. C’est une bonne façon de faire relire votre inventaire par un regard extérieur avant d’engager des dépenses.

Mois 2 : fermer les portes les plus utilisées

Les comptes

• Authentification multifacteur sur la messagerie, la banque, le logiciel de facturation et tous les accès à distance. C’est la mesure qui protège le mieux un compte dont le mot de passe a fuité.
• Un mot de passe différent par service. L’ANSSI recommande au moins 9 caractères pour les services peu critiques et 15 pour les services critiques, et suggère un coffre-fort de mots de passe pour ne pas avoir à les retenir.
• Des comptes d’administration séparés des comptes du quotidien, réservés à la personne qui gère l’informatique.
• Une procédure de départ : le jour où quelqu’un quitte l’entreprise, ses accès sont fermés et les mots de passe partagés qu’il connaissait sont changés.

Les mises à jour

Activez les mises à jour automatiques sur les postes. Pour les équipements exposés sur internet (pare-feu, VPN, NAS, site web), demandez à votre prestataire un engagement écrit : sous quel délai une faille critique publiée est-elle corrigée ? Si un accès « bureau à distance » est ouvert directement sur internet, demandez qu’il passe derrière un VPN protégé par une authentification multifacteur.

Les sauvegardes

L’ANSSI recommande la règle « 3-2-1 » : trois copies des données (la production et deux sauvegardes), sur deux supports différents, dont une hors ligne, c’est-à-dire déconnectée de tout réseau. Une sauvegarde accessible depuis le réseau peut être chiffrée ou effacée par l’attaquant en même temps que le reste. L’Agence insiste aussi sur un point souvent oublié : les sauvegardes doivent être testées régulièrement, avec une procédure de restauration écrite.

Mois 3 : préparer les personnes et le jour J

Écrire trois procédures courtes

Une page chacune, validée par la direction :

1. Paiements : tout changement de RIB et tout virement hors procédure se confirment par téléphone, au numéro déjà connu, par une deuxième personne.
2. Signalement : à qui signaler un mail douteux, un clic regretté, une demande de validation inattendue, et la garantie qu’un signalement rapide n’entraîne aucune sanction.
3. Incident : la fiche réflexe ci-dessous, imprimée, avec les numéros utiles. Le jour où les ordinateurs sont bloqués, un document stocké sur le serveur ne sert à rien.

La fiche réflexe en cas d’attaque

Elle reprend les consignes de Cybermalveillance.gouv.fr et de l’ANSSI :

• Couper la connexion internet du réseau touché et déconnecter les machines atteintes, sans les éteindre : elles serviront aux enquêteurs.
• Ne pas payer de rançon.
• Ouvrir une main courante : date, heure, qui a fait quoi.
• Appeler le prestataire et, si besoin, demander de l’aide via 17Cyber, le service public d’assistance.
• Prévenir l’assureur et déposer plainte : depuis la loi du 24 janvier 2023, l’indemnisation par une assurance cyber est conditionnée à une plainte déposée dans les 72 heures suivant la découverte de l’attaque (article L12-10-1 du Code des assurances).
• Si des données personnelles sont touchées, notifier la CNIL dans les 72 heures.

Former les équipes sur vos propres cas

Une sensibilisation générique a son utilité, et le module gratuit SensCyber de Cybermalveillance.gouv.fr fait un bon socle. Ce qui change les comportements, c’est de travailler sur les situations de votre entreprise : le faux mail du fournisseur que vous payez chaque mois, le faux appel du prestataire, la fausse demande du dirigeant. Terminez par un exercice sur table d’une heure : « lundi, 8 h, plus rien ne fonctionne. Qui appelle qui ? Où est la fiche réflexe ? Où sont les sauvegardes ? »

Qui fait quoi

Le référent interne peut venir de n’importe quel service : son rôle consiste à tenir l’inventaire à jour, relancer le prestataire et organiser les rappels. Réservez-lui un temps fixe chaque mois, par exemple une demi-journée, pour que le sujet ne passe pas toujours après l’urgent.

Comment savoir si ça progresse

Quatre indicateurs simples, à regarder une fois par trimestre :

• Le taux de comptes protégés par une authentification multifacteur, sur la liste de vos comptes critiques.
• La date du dernier test de restauration réussi, et le temps qu’il a pris.
• Le délai de correction des failles critiques sur les équipements exposés.
• Le nombre de signalements reçus. Un chiffre qui monte après une formation est une bonne nouvelle : vos équipes osent prévenir.

Le taux de clic lors de campagnes d’hameçonnage simulé est moins parlant qu’on ne le croit : il dépend surtout du faux message choisi. Dans une étude menée sur plus de 19 500 salariés et présentée au symposium IEEE sur la sécurité en 2025, les leurres banals faisaient cliquer 1 à 2 % des destinataires, d’autres plus de 30 %. Si vous en lancez, regardez plutôt combien de personnes ont signalé le message, et en combien de temps.

Les erreurs qui font perdre des mois

• Acheter un outil avant d’avoir fait l’inventaire. Un logiciel de détection ne sert à rien si personne ne lit ses alertes.
• Tout déléguer au prestataire sans lui fixer d’attentes écrites (délais de mise à jour, tests de restauration, contact en cas d’attaque).
• Exempter la direction des règles de paiement ou d’authentification. Les escrocs imitent justement la direction.
• Attendre l’assurance pour s’organiser. Le guide de l’ANSSI conseille de vérifier ce que couvre votre contrat, et un assureur posera de toute façon des questions sur vos sauvegardes et vos accès.

Cette semaine

Bloquez deux heures avec la personne qui gère l’informatique. Remplissez les quatre onglets de l’inventaire, répondez à la question « qu’est-ce qui redémarre en premier ? », et vérifiez sur trois comptes critiques que l’authentification multifacteur est active. Vous aurez fait la partie la plus difficile : savoir où vous en êtes.

La formation Intégrer la cybersécurité dans son entreprise suit cette logique sur 14 heures : comprendre les menaces et leurs impacts, identifier les vulnérabilités de votre organisation, mettre en place les mesures de protection des données et des accès, puis préparer la sensibilisation des équipes, avec des exercices pratiques. Selon votre situation, elle peut être financée par votre OPCO.

Formations liées à cet article

• Intégrer la cybersécurité dans son entreprise (14 h, présentiel ou distanciel)
• Gestion de l’outil informatique (14 h, présentiel ou distanciel)
• La sûreté en milieu professionnel (14 h, présentiel ou distanciel)