Les menaces réelles, les mesures qui comptent vraiment, le budget à prévoir et un plan d'action concret — sans jargon ni catastrophisme.
Beaucoup de dirigeants de PME estiment, à tort, que leur entreprise est "trop petite pour intéresser un pirate". C'est précisément l'inverse : les cybercriminels ciblent massivement les PME parce qu'elles ont souvent des défenses plus légères qu'une grande entreprise, tout en détenant des données qui ont de la valeur — coordonnées bancaires, données clients, propriété intellectuelle, accès à des donneurs d'ordre plus importants.
La majorité des attaques ne sont d'ailleurs pas ciblées individuellement : elles sont automatisées et envoyées à grande échelle, cherchant simplement la faille la plus facile à exploiter. Une PME sans MFA ni sauvegardes fiables devient alors une cible presque aussi accessible qu'une porte laissée ouverte.
Le point d'entrée le plus fréquent : un e-mail imitant un expéditeur légitime pour voler des identifiants ou installer un logiciel malveillant.
Chiffrement des fichiers de l'entreprise avec demande de rançon — l'une des attaques les plus coûteuses et paralysantes pour une PME.
Mots de passe volés ou réutilisés d'un autre service compromis, permettant un accès direct aux outils de l'entreprise.
Un ordinateur portable ou smartphone non chiffré, perdu ou volé, expose directement les données qu'il contient.
Pas besoin de tout mettre en place d'un coup : ces six mesures couvrent l'essentiel du risque pour une PME.
| Mesure | Pourquoi elle compte |
|---|---|
| Authentification multifacteur (MFA) | Bloque la quasi-totalité des connexions frauduleuses, même avec un mot de passe volé |
| EDR / antivirus nouvelle génération | Détecte et isole les comportements suspects en temps réel |
| Chiffrement des appareils | BitLocker (Windows) ou FileVault (Mac) : rend les données illisibles en cas de perte ou vol |
| Sauvegardes régulières et testées | Permet de restaurer les données sans payer de rançon en cas de ransomware |
| Mises à jour automatisées | Corrige les failles de sécurité connues avant qu'elles ne soient exploitées |
| Gestion centralisée des appareils (MDM) | Applique et vérifie ces mesures sur l'ensemble du parc, sans dépendre de chaque salarié |
La majorité des mesures essentielles se pilotent depuis un seul point : le MDM (Mobile Device Management). Plutôt que de compter sur chaque salarié pour activer le chiffrement, installer les mises à jour ou configurer un antivirus, un MDM applique ces règles automatiquement sur l'ensemble du parc, et permet de vérifier en permanence quels appareils sont conformes.
C'est aussi le MDM qui permet l'effacement à distance en cas de perte ou de vol d'un appareil, et qui bloque l'accès aux e-mails professionnels depuis un appareil non conforme grâce à l'accès conditionnel. Pour aller plus loin, consultez notre guide Microsoft Intune ou notre guide de gestion de parc informatique.
Le chiffrement de disque (BitLocker sur Windows, FileVault sur Mac) doit être activé par défaut sur tout appareil professionnel — c'est une mesure gratuite, intégrée à l'OS, et souvent oubliée.
La majorité des incidents de sécurité en PME ne viennent pas d'une faille technique sophistiquée, mais d'un salarié qui clique sur un lien piégé (hameçonnage) ou réutilise le même mot de passe sur plusieurs services. Aucune solution technique ne remplace une vigilance de base — mais elle se construit, elle ne va pas de soi.
Une sensibilisation simple et régulière (pas nécessairement une formation formelle coûteuse) — reconnaître un e-mail suspect, ne jamais communiquer un mot de passe, signaler rapidement un doute plutôt que de l'ignorer — réduit significativement le risque, à un coût quasi nul comparé aux mesures techniques.
Face à un ransomware, la seule alternative crédible au paiement d'une rançon (fortement déconseillé, sans garantie de récupération et potentiellement illégal selon le contexte) est de disposer de sauvegardes récentes, fiables et surtout testées régulièrement — une sauvegarde qui n'a jamais été testée en restauration n'est pas une garantie.
La règle couramment recommandée est le "3-2-1" : trois copies des données, sur deux supports différents, dont une hors site (ou déconnectée du réseau principal, pour éviter qu'elle ne soit elle-même chiffrée en cas d'attaque).
La cybersécurité d'une PME n'a pas besoin d'un budget séparé et conséquent : la plupart des mesures essentielles (MFA, chiffrement, mises à jour, MDM) sont déjà incluses dans une gestion de parc sérieuse, à partir de 34 € HT par poste et par mois chez Cynera. Le coût marginal d'un véritable niveau de sécurité de base est donc souvent proche de zéro si la gestion du parc est déjà bien structurée.
Des besoins plus poussés (EDR avancé, tests d'intrusion, audit de sécurité approfondi, certification) représentent un investissement supplémentaire, généralement pertinent au-delà d'une certaine taille ou d'exigences sectorielles spécifiques (santé, finance, sous-traitance de grands comptes).
Inventaire des appareils et comptes, activation du MFA sur la messagerie professionnelle
Chiffrement des appareils, mises à jour automatisées, mise en place des sauvegardes
Déploiement d'un MDM pour appliquer et vérifier ces règles sur tout le parc
Session de sensibilisation aux salariés, test de restauration des sauvegardes
Isolez immédiatement l'appareil concerné du réseau (Wi-Fi et câble Ethernet), sans nécessairement l'éteindre si possible, pour préserver les traces utiles à l'investigation. Changez les mots de passe des comptes concernés depuis un autre appareil non compromis, et contactez sans délai votre prestataire informatique.
Si des données personnelles sont concernées, l'entreprise dispose de 72 heures pour notifier la CNIL en cas de violation présentant un risque pour les personnes concernées (voir la section RGPD ci-dessous). Ne payez jamais une rançon sans avis d'expert — cela ne garantit ni la récupération des données, ni l'absence de nouvelle attaque.
Le RGPD impose aux entreprises une obligation de moyens pour protéger les données personnelles qu'elles traitent — pas une liste de mesures techniques précises et universelles, mais un niveau de sécurité "adapté au risque". En cas de négligence manifeste (mots de passe par défaut, absence totale de sauvegarde, données non chiffrées), la responsabilité de l'entreprise peut être engagée en cas de violation de données.
Concrètement, les mesures essentielles décrites dans ce guide (MFA, chiffrement, sauvegardes, gestion des appareils) constituent une base raisonnable pour répondre à cette obligation, sans nécessiter un budget ou une expertise disproportionnés pour une PME.
Activer le MFA sur la messagerie professionnelle et les outils critiques.
Vérifier que le chiffrement de disque est actif sur tous les ordinateurs portables.
Mettre en place des sauvegardes automatiques, et tester une restauration au moins une fois par an.
S'assurer que les mises à jour de sécurité sont appliquées automatiquement, pas manuellement.
Déployer un MDM pour appliquer ces règles sur l'ensemble du parc sans dépendre de chaque salarié.
Organiser une sensibilisation simple des salariés au phishing, même informelle.
Documenter une procédure de base à suivre en cas d'incident suspecté.
Chez Cynera, la sécurité n'est pas une option ajoutée au-dessus de la gestion de parc : c'est le socle même de notre offre. MFA, chiffrement, mises à jour, conformité des appareils et effacement à distance sont inclus dès l'abonnement de base, à partir de 34 € HT par poste et par mois, consultable en détail sur notre page tarifs.
Nous ne prétendons pas remplacer un audit de sécurité approfondi ou un RSSI pour les entreprises qui en ont réellement besoin — mais pour la grande majorité des PME, une gestion de parc bien structurée couvre déjà l'essentiel du risque. Un audit gratuit permet d'évaluer précisément où se situe votre entreprise aujourd'hui.
Oui, et c'est même de plus en plus le cas : les PME sont perçues comme des cibles plus faciles que les grandes entreprises, avec des défenses souvent plus légères, tout en ayant accès à des données de valeur (clients, finances, propriété intellectuelle).
L'authentification multifacteur (MFA) sur les comptes professionnels, en particulier la messagerie. C'est la mesure au meilleur rapport coût/efficacité : elle bloque la grande majorité des tentatives de connexion frauduleuse, même en cas de mot de passe volé.
Non, plus aujourd'hui. Un antivirus classique reconnaît des menaces déjà identifiées, mais reste souvent inefficace face à des attaques nouvelles ou ciblées. Une protection sérieuse combine antivirus/EDR, sauvegardes, MFA, formation des salariés et gestion des mises à jour.
Cela varie fortement selon le périmètre, mais les mesures essentielles (MFA, EDR, sauvegardes, chiffrement) représentent généralement un coût raisonnable rapporté au poste — souvent déjà couvert en partie par une gestion de parc sérieuse plutôt qu'un budget cybersécurité séparé et important.
Isoler l'appareil concerné du réseau (Wi-Fi et câble), ne pas l'éteindre si possible (pour préserver les traces), changer les mots de passe depuis un autre appareil sain, et contacter immédiatement votre prestataire informatique ou votre RSSI. Ne jamais payer une rançon sans avis d'expert.
Le RGPD impose une obligation de moyens pour protéger les données personnelles, avec des sanctions possibles en cas de négligence manifeste. Il n'existe pas de norme de sécurité obligatoire universelle pour toutes les PME, mais certains secteurs (santé, finance, sous-traitance de grands comptes) ont des exigences renforcées.
Rarement à temps plein en dessous de 100-150 salariés. La plupart des PME s'appuient sur un prestataire externe ou un référent interne non-spécialiste, formé aux bonnes pratiques essentielles, plutôt que sur un poste dédié à temps plein.
En 30 minutes, nous évaluons votre niveau de sécurité actuel et vous indiquons précisément où se situent vos priorités — sans obligation d'aller plus loin.