La première chose à comprendre, c'est que votre entreprise n'est probablement pas visée. La grande majorité des attaques qui touchent les PME sont opportunistes : des robots balaient Internet en permanence à la recherche de portes mal fermées, et s'engouffrent dans celles qu'ils trouvent. Ce n'est pas une question de taille ni de secteur, c'est une question d'exposition.
En résumé
- Les attaques contre les PME sont automatisées et opportunistes, pas ciblées.
- Cinq mesures simples éliminent la majorité des scénarios courants.
- La double authentification sur la messagerie est la première à mettre en place.
- L'humain est la porte d'entrée principale, avant toute faille technique.
- Un inventaire du parc précède toute décision de protection.
Commencer par savoir ce que vous avez
Impossible de protéger un parc dont personne ne connaît le contour. Avant d'acheter le moindre outil, listez les postes, les serveurs, les comptes de messagerie actifs, les services en ligne utilisés, et les personnes qui disposent de droits d'administration. Cet inventaire prend une demi-journée et révèle presque toujours des surprises : des comptes d'anciens salariés toujours actifs, un service en ligne payé et oublié, un poste qui n'a pas vu de mise à jour depuis deux ans.
Les cinq mesures qui font le gros du travail
| Mesure | Ce qu'elle bloque | Effort de mise en place |
|---|---|---|
| Double authentification sur la messagerie | Prise de contrôle d'une boîte, fraude au virement | Faible |
| Mots de passe uniques via un gestionnaire | Réutilisation d'un mot de passe fuité ailleurs | Faible |
| Mises à jour automatiques des postes et serveurs | Exploitation de failles connues | Faible |
| Sauvegarde hors ligne testée | Rançongiciel, effacement | Moyen |
| Filtrage des messages entrants | Hameçonnage, pièces jointes piégées | Moyen |
Aucune de ces mesures n'est spectaculaire. C'est justement leur intérêt : elles couvrent les scénarios réellement fréquents, alors que les budgets se portent souvent d'abord sur des outils sophistiqués qui répondent à des menaces que la PME ne rencontrera jamais.
Pourquoi la double authentification d'abord
Parce que la messagerie est la clé de tout le reste. Qui contrôle une boîte professionnelle peut réinitialiser les mots de passe des autres services, lire les échanges avec les clients et les fournisseurs, et se faire passer pour son propriétaire. La fraude au virement, qui coûte très cher aux PME, commence presque toujours par là.
Le budget n'est pas le premier obstacle
Trois des cinq mesures ci-dessus ne coûtent rien d'autre que du temps de mise en place. La double authentification est incluse dans les offres de messagerie professionnelle. Les mises à jour automatiques sont une case à cocher. Un gestionnaire de mots de passe coûte quelques euros par personne et par mois.
Ce qui coûte, c'est la sauvegarde correcte et le filtrage avancé. Ce sont aussi les deux postes qui évitent les sinistres les plus lourds, comme nous le détaillons dans nos guides sur la sauvegarde.
Former, sans faire de la formation
La sensibilisation ne demande pas un séminaire annuel de trois heures que personne n'écoute. Une note d'une page sur les demandes de virement, un rappel trimestriel en réunion, et une règle simple, connue de tous : aucun changement de coordonnées bancaires n'est validé sans un appel téléphonique au numéro habituel du fournisseur. Cette seule règle bloque la fraude la plus coûteuse.
Le portail cybermalveillance.gouv.fr met à disposition des supports gratuits, conçus pour des non-informaticiens, que vous pouvez diffuser tels quels.
Ce que votre prestataire doit prendre en charge
Un prestataire informatique sérieux ne vous vend pas une couche de sécurité isolée. Il commence par l'inventaire, propose un ordre de priorité, et vous dit clairement ce qui relève de lui et ce qui relève de vos équipes. Si la conversation démarre par un nom de produit avant toute question sur votre organisation, méfiez-vous.
Nos guides sur le choix d'un prestataire détaillent les questions à poser, et notre annuaire par ville recense les entreprises actives près de chez vous avec leurs avis clients.
