Cybersécurité en PME : les protections qui comptent vraiment

La cybersécurité d'une PME ne tient pas d'abord à un logiciel coûteux, mais à quelques réflexes simples : des mots de passe différents pour chaque service, une double authentification activée partout où c'est possible, des sauvegardes déconnectées et testées, et des équipes qui savent reconnaître un mail piégé. Imaginons une entreprise de la Nièvre de huit salariés qui découvrirait un lundi matin que son logiciel de comptabilité est devenu illisible, tous les fichiers portant désormais une extension inconnue : un rançongiciel aurait chiffré le poste du comptable, après l'ouverture d'une pièce jointe piégée quelques jours plus tôt. Ce guide détaille les protections qui comptent réellement, dans quel ordre les mettre en place, ce qu'il faut faire en cas d'attaque, et vers qui se tourner pour être accompagné sans y laisser un budget disproportionné.

Pourquoi les petites entreprises sont-elles visées par les cybercriminels ?

L'idée répandue qu'une petite structure n'intéresse pas les cybercriminels est fausse, et c'est justement cette idée qui la rend vulnérable. Cybermalveillance.gouv.fr le formule sans détour : les plus petites entreprises « sont souvent peu conscientes des risques et ne prennent pas forcément les mesures nécessaires pour se protéger, car elles pensent souvent, à tort, que leur taille ou leur activité ne sont pas assez significatives pour intéresser des cybercriminels ». En réalité, « les cybercriminels ont bien compris que toute entreprise, quelle que soit sa taille, constitue une valeur marchande, que ce soit à travers une trésorerie potentielle ou des informations qu'elle détient ». Et les petites entreprises sont d'autant plus faciles à pirater qu'elles sont souvent moins protégées.

L'Agence nationale de la sécurité des systèmes d'information et la Direction générale des Entreprises confirment ce constat dans leur guide commun : les TPE et PME sont « rarement préparées à de tels risques », alors qu'elles peuvent être « la cible de nombreuses attaques : vol de données, sabotage, demandes de rançon, atteinte à l'image ». Des risques qui peuvent briser à la fois la réputation et la pérennité d'une entreprise, comme le souligne MesServicesCyber, qui ajoute que « vol de données, demandes de rançon, atteinte à l'image ou sabotage sont autant de risques qui pèsent sur les organisations, avec des conséquences souvent graves, parfois irréversibles ».

Le baromètre 2026 de France Num, publié début octobre, confirme que la cybersécurité « reste un enjeu important » pour les TPE-PME françaises : une part significative des dirigeants dit craindre la perte de données ou le piratage, et une part des entreprises confirme avoir déjà été confrontée à un incident de cybersécurité au cours des douze derniers mois. Dans le même temps, le numérique prend une place croissante dans l'activité des petites entreprises, avec davantage de ventes en ligne et de projets numériques en cours, ce qui multiplie mécaniquement les portes d'entrée possibles.

Les mots de passe : la première ligne de défense, et la plus négligée

Cybermalveillance.gouv.fr place cette recommandation en tête de ses mesures élémentaires : « l'utilisation de mots de passe différents et complexes pour chaque service (messagerie, cloud, site Internet, réseaux sociaux, banque en ligne, logiciels métiers…) afin d'éviter que le piratage d'un accès ne permette d'en pirater d'autres ». C'est le principe qui manque le plus souvent dans les PME : un mot de passe unique, réutilisé pour la messagerie professionnelle, le logiciel de facturation et parfois des comptes personnels. Dès qu'un seul de ces services est compromis, l'ensemble des accès tombe avec lui.

La métaphore employée par Cybermalveillance.gouv.fr résume bien l'enjeu de l'ouverture des accès numériques : « Plus vous ouvrez de portes, plus vous risquez de voir entrer quelqu'un d'indésirable et malveillant, a fortiori si les portes sont sécurisées par un simple verrou. » Un mot de passe faible ou recyclé, c'est précisément ce verrou trop simple. Un gérant d'entreprise peut difficilement mémoriser des dizaines de mots de passe complexes et différents : c'est à ce moment-là qu'un gestionnaire de mots de passe devient utile, pour générer et stocker des identifiants robustes sans avoir à les retenir.

Pourquoi activer la double authentification partout où c'est possible

La double authentification (ou authentification à deux facteurs) ajoute une seconde vérification après le mot de passe : un code envoyé par SMS, une application dédiée, ou une clé physique. Elle ne figure pas noir sur blanc dans les treize questions de l'ANSSI telles que résumées plus haut, mais elle s'inscrit directement dans la logique défendue par Cybermalveillance.gouv.fr de ne pas laisser un mot de passe seul protéger un accès sensible. Concrètement, même si un mot de passe est volé par hameçonnage ou retrouvé dans une fuite de données, l'attaquant ne peut pas se connecter sans le second facteur.

Dans une PME, les comptes à protéger en priorité par cette double vérification sont la messagerie professionnelle (porte d'entrée vers la fraude au virement et le phishing), les accès bancaires en ligne, les logiciels de comptabilité et de paie, et les outils de sauvegarde ou de cloud. Un pirate qui accède à une messagerie professionnelle peut ensuite usurper un dirigeant ou un fournisseur pour réclamer un virement : ce scénario est détaillé dans notre guide sur la fraude au président et dans celui consacré au faux RIB fournisseur, deux conséquences fréquentes d'une messagerie compromise.

Sauvegardes, mises à jour et accès extérieurs : les trois piliers techniques

Des sauvegardes régulières et déconnectées

Cybermalveillance.gouv.fr recommande de s'assurer que « vos données les plus sensibles sont bien régulièrement sauvegardées et déconnectées de votre réseau afin d'éviter qu'elles ne soient détruites en cas d'attaque ». C'est la mesure qui, en cas de rançongiciel, fait toute la différence entre une entreprise qui reprend son activité en quelques jours et une entreprise qui perd des années de données. Une sauvegarde reliée en permanence au réseau de l'entreprise est elle-même chiffrée par le rançongiciel en même temps que les fichiers d'origine : elle ne sert alors plus à rien.

Des appareils à jour

Ordinateurs, smartphones, tablettes et serveurs doivent être « mis à jour de leurs correctifs de sécurité », rappelle Cybermalveillance.gouv.fr. Les mises à jour corrigent des failles déjà identifiées et exploitées par les cybercriminels : reporter une mise à jour, c'est laisser une porte connue ouverte plus longtemps que nécessaire.

Des connexions extérieures maîtrisées

Télétravail, télémaintenance, interconnexion avec des clients ou fournisseurs : chaque connexion extérieure au réseau de l'entreprise est un accès potentiel pour un attaquant si elle n'est pas « suffisamment sécurisée », selon les termes de Cybermalveillance.gouv.fr. L'enjeu n'est pas de refuser ces usages, devenus indispensables, mais de n'ouvrir que les accès strictement nécessaires au fonctionnement de l'activité, et de les sécuriser correctement.

Sensibiliser les équipes : pourquoi l'humain compte autant que la technique

Une bonne partie des attaques réussies commencent par un geste humain : un courriel ouvert trop vite, une pièce jointe exécutée, un lien cliqué sans vérification. Cybermalveillance.gouv.fr a lancé la MalletteCyber Pro, un outil de sensibilisation conçu pour « responsabiliser, accompagner les entreprises et leur permettre de se protéger des risques cyber », en partenariat avec plusieurs organisations professionnelles. L'initiative part d'un constat partagé par les TPE-PME elles-mêmes : une majorité d'entre elles reconnaît que la cybersécurité « concerne tout le monde au sein de l'entreprise » et exprime des besoins concrets en matière de sensibilisation.

Concrètement, sensibiliser une équipe ne demande pas un budget de formation important. Cela peut commencer par des règles simples rappelées régulièrement : ne jamais communiquer un mot de passe par courriel ou téléphone, vérifier l'expéditeur réel d'un message avant de cliquer sur un lien, appeler sur un numéro habituel en cas de demande de changement de coordonnées bancaires plutôt que de répondre au message reçu. Le guide sur le phishing en entreprise détaille les signes qui doivent alerter dans un courriel piégé.

Que faire en cas d'attaque : les bons réflexes, dans l'ordre

Face à un rançongiciel ou à toute attaque informatique en cours, l'ordre des actions compte. Voici la marche à suivre, fondée sur la fiche réflexe de Cybermalveillance.gouv.fr :

1. Déconnecter immédiatement du réseau les machines touchées, câble ou Wi-Fi, pour empêcher la propagation à d'autres postes.

2. Débrancher les sauvegardes connectées, si elles ne l'étaient pas déjà, pour éviter qu'elles ne soient chiffrées à leur tour.

3. Alerter le service ou le prestataire informatique de l'entreprise sans attendre.

4. Ne jamais payer la rançon demandée : rien ne garantit la récupération des données, ni qu'elles ne seront pas tout de même publiées.

5. Contacter 17Cyber, le dispositif public d'assistance en ligne disponible 24 heures sur 24 et 7 jours sur 7, lancé en décembre 2024 par le ministère de l'Intérieur avec Cybermalveillance.gouv.fr. En cas d'urgence, le 17 ou le 112 restent les numéros à composer.

Ce protocole est détaillé plus largement dans notre guide sur la conduite à tenir en cas de rançongiciel, avec les étapes à suivre une fois l'urgence passée.

Comment se faire accompagner sans y consacrer un budget disproportionné

Une entreprise qui souhaite être rappelée par un conseiller public pour protéger ses données et se prémunir contre les cyberattaques peut déposer une demande auprès du Service Public Conseillers entreprises, un service de l'État qui met en relation les TPE et PME avec des conseillers publics. La demande se fait en ligne, et le dispositif annonce un rappel dans un délai moyen de cinq jours. Ce service ne remplace pas un prestataire informatique, mais il permet d'orienter une entreprise qui ne sait pas par où commencer vers les bons interlocuteurs et les accompagnements publics existants.

Il n'est pas nécessaire d'investir dans des outils coûteux pour progresser. Les recommandations de l'ANSSI et de la DGE insistent sur le fait que « l'application de quelques bonnes pratiques permet déjà de réduire très significativement le risque » : mots de passe, sauvegardes, mises à jour et sensibilisation relèvent de bonnes pratiques accessibles à toute structure, avant d'envisager un investissement plus important pour lequel l'entreprise peut être accompagnée.

Messagerie piratée et faux virements : un risque lié au manque de protection

Une messagerie professionnelle mal protégée, sans mot de passe robuste ni double authentification, peut servir de point d'entrée à une fraude au virement, comme détaillé dans nos guides sur la fraude au président et sur le faux virement reçu par une entreprise. Avant tout changement de coordonnées bancaires reçu par message, le réflexe reste le même : rappeler le créancier ou le fournisseur sur son numéro habituel, jamais celui indiqué dans le message reçu. Ce principe simple, répété régulièrement aux équipes, évite une grande partie des pertes financières liées à ce type d'escroquerie.

Questions fréquentes

La cybersécurité d'une PME n'est pas un sujet réservé aux grandes entreprises équipées d'un service informatique dédié. Elle commence par des gestes simples, mots de passe différents, double authentification, sauvegardes déconnectées, mises à jour régulières et équipes informées, qui réduisent déjà fortement le risque sans bouleverser l'organisation ni le budget. Dans l'rubrique Industrie et BTP comme sur l'ensemble du site Alerte Entreprises Nièvre, l'objectif reste le même : donner aux dirigeants les réflexes qui comptent vraiment, avant une attaque plutôt qu'après.

Claire Morvillard, rédactrice en chef. Elle explique aux commerçants, artisans et exploitants comment repérer une arnaque, limiter un vol et réagir vite. Chaque conseil est vérifié sur les sources officielles.