Cybersécurité PME : le guide pour protéger votre entreprise des cyberattaques
La sécurité informatique d'une PME ne se résume plus à un antivirus. En 2025, les PME, TPE et ETI représentaient 48 % des victimes de rançongiciel connues de l'ANSSI. Ce guide de Global SP, hébergeur cloud de proximité à Paris depuis 2000, réunit l'essentiel : menaces, risques, mesures prioritaires recommandées par l'ANSSI et Cybermalveillance.gouv.fr, et organisation.
Pourquoi les PME sont-elles des cibles privilégiées des cyberattaques ?
Parce qu'elles réunissent ce que cherchent les attaquants : des données et une trésorerie qui ont de la valeur, et des défenses souvent plus légères que celles des grands groupes. Les cybercriminels ne choisissent pas toujours leur cible : ils exploitent en masse les failles connues, les mots de passe volés et les accès mal protégés. Une PME n'est pas visée parce qu'elle est connue, mais parce qu'elle est accessible.
Selon le Panorama de la cybermenace 2025 de l'ANSSI, 128 compromissions par rançongiciel ont été portées à la connaissance de l'Agence en 2025, et les PME, TPE et ETI restent la catégorie d'entités la plus touchée : 48 % des victimes, contre 37 % en 2024. Ces chiffres ne couvrent que les incidents signalés à l'Agence (rapport complet, PDF).
Le guide de l'ANSSI « La cybersécurité pour les TPE/PME en 13 questions » le dit sans détour : faute de protection, les petites et moyennes structures sont une cible de choix pour des attaquants qui visent les plus vulnérables. Trois fragilités reviennent :
- Moins de moyens dédiés : rarement un responsable sécurité à plein temps.
- Plus d'exposition : messagerie en ligne, accès à distance, télétravail, autant de portes ouvertes sur Internet.
- Un rôle de passerelle : une messagerie compromise sert à piéger clients et partenaires, rappelle l'ANSSI.
Quelles sont les principales cybermenaces pour une PME ?
Quatre menaces concentrent l'essentiel des incidents subis par les PME : le rançongiciel, qui chiffre les données et paralyse l'activité ; l'hameçonnage, qui vole des identifiants ; la compromission de messagerie, qui sert aux fraudes au virement ; et la fuite de données, qui expose clients et salariés. Elles s'enchaînent souvent : un courriel piégé ouvre un compte, le compte ouvre le réseau.
Le bilan 2025 de Cybermalveillance.gouv.fr (plus de 500 000 victimes assistées) va dans le même sens : l'hameçonnage arrive au premier rang des menaces tous publics confondus (+70 %), le piratage de compte est en tête des menaces touchant les professionnels (+45 %) et les fraudes au virement s'intensifient (+170 %).
Le rançongiciel (ransomware)
Un programme malveillant chiffre ou copie les données, puis une rançon est exigée. Les attaquants entrent souvent par un accès à distance mal sécurisé ou un courriel piégé, et cherchent parfois à détruire les sauvegardes (fiche réflexe Cybermalveillance.gouv.fr). Certains volent aussi les données et menacent de les divulguer : c'est la double extorsion.
L'hameçonnage (phishing)
Un courriel, un SMS ou un appel imite un interlocuteur de confiance pour obtenir un mot de passe ou faire cliquer sur un lien piégé (fiche hameçonnage). L'identifiant volé ouvre ensuite la messagerie ou le réseau.
La compromission de messagerie et la fraude au virement
Installé dans une boîte de messagerie, l'attaquant observe les échanges puis frappe au bon moment : faux changement de RIB d'un fournisseur, « fraude au président » réclamant un virement urgent. Selon Cybermalveillance.gouv.fr, ces fraudes gagnent la facturation électronique et la paie ; sa fiche sur les faux ordres de virement détaille les parades.
La fuite de données
Fichiers clients, données RH, devis : ces données se revendent ou alimentent des arnaques ciblées. Les demandes d'assistance liées aux violations de données ont bondi de 107 % en 2025 selon Cybermalveillance.gouv.fr. Une fuite vient d'une attaque, d'un partage mal configuré ou d'une messagerie professionnelle redirigée vers une adresse personnelle, pratique que l'ANSSI demande de proscrire.
Quels sont les risques d'une cyberattaque pour une entreprise ?
Une cyberattaque fait courir à une PME quatre risques qui se cumulent : l'arrêt de l'activité, la perte ou la fuite de données, des pertes financières directes et des conséquences juridiques et commerciales. Le plus lourd est souvent le premier : sans informatique, plus de devis, plus de facturation, parfois plus de production. L'ANSSI pose la question sans détour : êtes-vous prêts à retourner au papier et au crayon ?
- L'arrêt d'activité : postes chiffrés, messagerie coupée, logiciels métiers inaccessibles. Sa durée dépend surtout des sauvegardes et de la préparation.
- La perte ou la fuite de données : détruites si les sauvegardes sont atteintes, volées puis publiées ou revendues.
- Les pertes financières : virements détournés, reconstruction, perte d'exploitation. Payer la rançon n'est pas une issue : l'ANSSI comme Cybermalveillance.gouv.fr recommandent de ne jamais payer.
- Les obligations et la réputation : une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes, et celles-ci doivent être informées si le risque est élevé.
Plutôt qu'une moyenne nationale, chiffrez votre propre exposition : combien coûte une journée sans informatique, et combien de jours pourriez-vous tenir ? S'y ajoutera, pour certaines entreprises, la directive NIS 2, dès sa transposition en droit français (voir la FAQ).
Quelles mesures de sécurité informatique une PME doit-elle prendre en priorité ?
Pour améliorer la sécurité informatique d'une PME, six mesures couvrent l'essentiel du risque : des sauvegardes déconnectées et testées, la double authentification (MFA), des mises à jour appliquées sans délai, une protection des postes de type EDR, une gestion stricte des accès et la sensibilisation des équipes. Aucune n'est exotique : cinq figurent dans les recommandations publiques de l'ANSSI, et l'EDR prolonge l'antivirus qu'elle recommande. La difficulté n'est pas de les connaître, mais de les tenir dans la durée.
Le guide d'hygiène informatique de l'ANSSI en détaille 42 ; voici les six chantiers que nous recommandons d'ouvrir en premier.
1. Des sauvegardes déconnectées, immuables et testées
Après un rançongiciel, seules des sauvegardes intègres permettent de redémarrer. L'ANSSI recommande la règle 3-2-1 (trois copies, deux supports, dont une hors ligne), car une sauvegarde connectée au réseau peut être chiffrée avec le reste. Une sauvegarde immuable, impossible à modifier ou supprimer pendant sa conservation, répond au même objectif. Et une sauvegarde jamais restaurée reste une hypothèse : notre offre sauvegarde et continuité d'activité (PRA / PCA) fixe avec vous les objectifs de reprise et vérifie la restauration par des tests périodiques.
2. La double authentification sur tous les accès sensibles
Un mot de passe volé ne suffit plus quand un second facteur est exigé. L'ANSSI recommande d'activer l'authentification multifacteur dès qu'un service la propose ; nos priorités : la messagerie, les accès à distance et les comptes administrateurs. Pour les mots de passe, elle fixe un minimum de 9 caractères pour les services peu critiques et de 15 pour les services critiques, un mot de passe par service, et conseille un coffre-fort de mots de passe.
3. Des mises à jour appliquées sans attendre
Selon l'ANSSI, la majorité des attaquants exploitent des vulnérabilités publiques, parfois quelques jours après leur révélation. Activez les mises à jour automatiques, traitez d'abord ce qui est exposé à Internet (pare-feu, messagerie, accès distants) et remplacez ce qui n'est plus maintenu. Si un prestataire gère votre parc, inscrivez cette obligation dans son contrat.
4. Une protection des postes et des serveurs de type EDR
L'antivirus reste une première ligne de défense, mais il reconnaît surtout des menaces connues. Un EDR (Endpoint Detection and Response) analyse le comportement des postes et des serveurs, repère une attaque en cours et peut isoler une machine. Encore faut-il traiter ses alertes, y compris la nuit : c'est la différence entre un outil installé et une protection tenue. Dans notre offre de cybersécurité pour PME, à partir du niveau Maîtrise, les alertes sont placées sous la surveillance 24/7 des experts de Global SP, basés en France, qui les qualifient et les escaladent.
5. Une gestion stricte des accès et de la messagerie
Un compte nominatif par salarié, sans droits d'administration, des comptes administrateurs jamais utilisés pour naviguer, des accès révoqués dès le départ d'un collaborateur. Pour la messagerie, l'ANSSI recommande un filtrage antivirus et anti-hameçonnage en amont des boîtes. Sous Microsoft 365, ces réglages (MFA, accès conditionnels, protection des comptes administrateurs) font partie de notre offre Microsoft 365 managé.
6. Des équipes sensibilisées et des procédures anti-fraude
Beaucoup d'attaques visent les personnes plutôt que les machines. L'ANSSI recommande d'informer régulièrement les salariés, de remettre une charte informatique à chaque arrivant et d'encourager le signalement des incidents sans logique de sanction. Contre la fraude au virement, Cybermalveillance.gouv.fr préconise des procédures claires de confirmation des demandes de virement et une validation hiérarchique interne non dérogeable de tout virement imprévu ou changement de coordonnées bancaires ; en cas de doute sur un message, l'ANSSI demande d'en vérifier l'authenticité auprès de l'émetteur par un autre canal, comme le téléphone.
Par où commencer pour sécuriser une PME ?
Par un état des lieux. On ne protège bien que ce que l'on connaît : l'ANSSI place l'inventaire du parc, des données, des accès et des connexions vers l'extérieur en toute première question de son guide pour les TPE et PME, avec une mise à jour au moins annuelle. Cet inventaire permet ensuite de classer les chantiers par urgence, plutôt que d'acheter des outils au hasard.
Quatre questions pour démarrer : quelles données et applications sont vitales ? Qui y accède, et comment ? Qu'est-ce qui est exposé sur Internet ? Les sauvegardes permettraient-elles de repartir, et en combien de temps ?
Pour un regard extérieur, Global SP propose un audit de cybersécurité gratuit et sans engagement, mené par un ingénieur senior. Après un appel de cadrage de 30 minutes, il évalue cinq critères notés de A à E (exposition externe, identité et accès, sauvegardes et restauration, réponse à incident, conformité et sensibilisation) et vous remet un rapport court, aux priorités classées. Ce n'est ni un audit ANSSI ni un test d'intrusion : aucun outil intrusif n'est utilisé, et aucun accès n'est demandé sans votre validation écrite.
Quel plan d'action sur 90 jours pour une PME ?
Un plan réaliste tient en trois temps : sécuriser les accès et les sauvegardes le premier mois, protéger et mettre à jour le parc le deuxième, préparer les équipes et la réponse à incident le troisième. L'ordre compte : la double authentification et des sauvegardes testées réduisent le risque plus vite que n'importe quel outil supplémentaire.
- Mois 1, les fondations : inventaire express, MFA sur la messagerie, les accès distants et les comptes administrateurs, premier test de restauration, suppression des comptes inutilisés.
- Mois 2, le parc : mises à jour automatiques, remplacement des systèmes non maintenus, EDR sur les postes et serveurs, filtrage de la messagerie.
- Mois 3, les personnes et la crise : sensibilisation à l'hameçonnage, procédure de validation des virements, plan de réponse écrit avec les contacts utiles, revue de la couverture d'assurance cyber.
Repère : chez Global SP, les premières protections (MFA, EDR, durcissement de base) sont déployées en quelques semaines ; la trajectoire complète s'installe sur trois à six mois selon le niveau choisi.
Comment se préparer à une cyberattaque avant qu'elle n'arrive ?
En décidant à froid ce que vous ferez à chaud. Une PME préparée dispose d'un plan de réponse écrit, sait qui appeler (prestataire, assureur, autorités), connaît les premiers gestes et a vérifié que ses sauvegardes permettent de repartir. L'ANSSI le résume : sans préparation, lorsque l'incident survient, il est déjà trop tard. La préparation fait la différence entre quelques heures d'interruption et plusieurs jours.
Les réflexes recommandés par l'ANSSI et Cybermalveillance.gouv.fr tiennent en cinq verbes :
- Isoler : déconnecter du réseau les machines touchées et les sauvegardes branchées, sans éteindre les postes, utiles à l'enquête.
- Ne pas payer : la rançon ne garantit rien et encourage de nouvelles attaques.
- Tracer : ouvrir une main courante qui consigne l'heure, l'auteur et la nature de chaque action.
- Alerter : votre prestataire informatique, votre assureur et le dispositif 17Cyber, opéré par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr.
- Déclarer : porter plainte au plus tard 72 heures après avoir eu connaissance de l'attaque si vous voulez être indemnisé par votre assurance (article L12-10-1 du Code des assurances, droit en vigueur au 15 octobre 2026) et, en cas de violation de données personnelles, la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes.
La marche à suivre complète est détaillée dans notre guide pratique « Gérer une cyberattaque ».
Faut-il gérer sa cybersécurité en interne ou l'externaliser ?
Tout dépend de ce que vous pouvez tenir dans la durée. Les mesures de base peuvent être portées en interne si quelqu'un en a réellement le temps et la compétence. La surveillance, en revanche, se prête mal au bricolage : une alerte EDR à 3 heures du matin doit être traitée à 3 heures, pas le lundi suivant. Pour une PME, la formule la plus réaliste combine généralement un référent interne et un prestataire spécialisé.
- En interne : maîtrise totale, mais une compétence rare, disponible aux heures de bureau. Notre comparatif infogérance ou gestion interne détaille les arbitrages.
- Un prestataire ponctuel : utile pour un audit ou un projet, sans vigilance continue.
- La cybersécurité externalisée : un prestataire opère la protection au quotidien (surveillance, mises à jour, durcissement, réponse à incident) et en rend compte à la direction.
Posez cinq questions à tout prestataire : qui traite les alertes, et quand ? Où sont hébergées et administrées vos données ? Que couvre sa certification ISO 27001 ? Comment récupérer vos données en partant ? Les mises à jour sont-elles au contrat ?
C'est ce que fait Global SP, entreprise de cybersécurité basée à Paris : nous tenons cinq missions (protéger, surveiller, durcir, réagir, piloter) avec nos experts basés en France et, à partir du niveau Maîtrise, une surveillance 24/7 des alertes et un comité de suivi qui rend la sécurité lisible pour la direction. Et lorsque vous nous confiez l'hébergement, vos données restent en France : dans notre datacenter propriétaire certifié ISO 27001 à Paris, complété par deux datacenters agréés Tier III en région parisienne.