Cybersécurité TPE / PME : par où commencer quand on n’est pas expert ?

La cybersécurité peut sembler réservée aux grandes entreprises et aux spécialistes. Pourtant, une TPE ou une PME dépend déjà de nombreux services numériques : messagerie, fichiers partagés, logiciel de gestion, banque en ligne, téléphonie IP, postes mobiles et sauvegardes. Une interruption ou un compte compromis peut donc bloquer rapidement une partie de l’activité.

Il n’est pas nécessaire de commencer par un projet complexe. L’ANSSI rappelle dans son guide destiné aux TPE et PME que quelques mesures essentielles réduisent déjà fortement le risque et limitent les conséquences d’une attaque. L’objectif est de construire un socle cohérent, puis de l’améliorer dans le temps.

Pourquoi les petites entreprises sont-elles exposées ?

Une petite structure n’est pas nécessairement attaquée parce qu’un cybercriminel la connaît. De nombreuses campagnes sont automatisées : elles recherchent des comptes mal protégés, des logiciels non mis à jour, des accès distants exposés ou des utilisateurs susceptibles d’ouvrir un message frauduleux.

Les conséquences, elles, sont très concrètes : messagerie inaccessible, fraude au virement, données chiffrées par un rançongiciel, interruption de production, vol de fichiers ou usurpation d’un compte. La taille de l’entreprise ne réduit pas sa dépendance au numérique. Elle limite souvent les ressources disponibles pour réagir.

La bonne question n’est donc pas « pouvons-nous supprimer tout risque ? ». Aucun dispositif ne le permet. Il faut plutôt demander : quelles mesures réduisent les scénarios les plus probables, et comment reprendre l’activité si un incident survient ?

Action 1 : mettre en place des sauvegardes restaurables

Une sauvegarde ne sert pas seulement en cas de cyberattaque. Elle protège aussi contre une panne, une suppression accidentelle, un vol ou une erreur de manipulation. Elle devient toutefois décisive face à un rançongiciel, car l’attaquant peut chiffrer les fichiers de production et tenter d’atteindre les sauvegardes connectées.

Appliquer la règle 3-2-1

Le guide de l’ANSSI consacré à la sauvegarde recommande la règle 3-2-1 : conserver trois copies distinctes des données, c’est-à-dire les données de production et deux sauvegardes, sur des supports différents, dont une copie hors ligne. Une sauvegarde hors site peut compléter ce dispositif pour éviter qu’un sinistre physique touche toutes les copies au même endroit.

• 3 copies : la donnée utilisée et deux copies de sauvegarde.
• 2 supports ou environnements distincts : par exemple un stockage local dédié et une sauvegarde externalisée.
• 1 copie hors ligne : inaccessible depuis le réseau de production lorsqu’elle n’est pas utilisée.

Tester la restauration

Un voyant vert ou un rapport automatique ne prouve pas que l’activité pourra redémarrer. Il faut tester périodiquement la restauration d’un fichier, puis d’un ensemble plus complet. Le test vérifie l’intégrité des données, les droits d’accès, le temps nécessaire et la présence des informations réellement critiques.

Action 2 : sécuriser les comptes et les mots de passe

Le mot de passe reste la clé de nombreux services. Lorsqu’il est réutilisé, une fuite sur un site peut ouvrir l’accès à la messagerie ou à un outil professionnel. Lorsqu’il est partagé entre collègues, il devient impossible d’attribuer une action ou de retirer proprement un accès.

Utiliser un gestionnaire de mots de passe

Un gestionnaire permet de créer et conserver des mots de passe uniques sans demander aux utilisateurs de tous les mémoriser. L’entreprise peut organiser les accès partagés, transmettre un secret sans l’envoyer en clair et retirer les droits lorsqu’un collaborateur change de poste ou quitte l’entreprise.

La CNIL rappelle que le mot de passe seul offre un niveau de protection limité. Elle encourage l’authentification forte lorsqu’elle est possible, particulièrement pour les accès sensibles.

Activer l’authentification multifacteur

La MFA ajoute un second facteur : application d’authentification, clé physique, certificat ou autre preuve de possession. Un mot de passe volé ne suffit alors plus à ouvrir le compte. La CNIL recommande d’activer l’authentification multifacteur chaque fois qu’un service le propose, en choisissant une méthode adaptée au niveau de risque et aux usages.

Commencez par les comptes les plus critiques : messagerie, administration Microsoft 365 ou Google Workspace, sauvegarde, accès distant, outils comptables et comptes disposant de privilèges élevés.

Action 3 : protéger et superviser les postes

Tous les équipements connectés peuvent être visés : ordinateurs, serveurs, smartphones, tablettes ou objets réseau. Ils doivent recevoir leurs mises à jour de sécurité et disposer d’une protection adaptée. Un antivirus grand public se concentre principalement sur la détection de fichiers connus sur un appareil. Une solution professionnelle ajoute généralement une gestion centralisée, des politiques communes, des alertes et une visibilité sur l’ensemble du parc.

Que signifie EDR ?

EDR signifie Endpoint Detection and Response, c’est-à-dire détection et réponse sur les postes et serveurs. L’outil observe les comportements, rapproche des événements et aide l’équipe technique à isoler un équipement ou à comprendre le déroulement d’une attaque. Il complète les fonctions antivirus, mais ne remplace ni les mises à jour, ni les sauvegardes, ni la sensibilisation.

Pour une PME, l’intérêt principal réside dans la supervision centralisée. Une alerte isolée sur un poste peut sembler anodine. Plusieurs événements similaires sur différents appareils peuvent révéler une campagne ou un mouvement de l’attaquant. Encore faut-il que les alertes soient réellement suivies et qu’une procédure définisse les actions à mener.

Action 4 : sensibiliser les équipes

La sensibilisation ne consiste pas à transformer chaque salarié en expert. Elle doit donner des réflexes simples et créer un canal de signalement sans crainte d’être sanctionné. Un collaborateur qui doute d’un message doit savoir à qui le transmettre et obtenir une réponse rapidement.

Phishing : cinq signaux à repérer

Cybermalveillance.gouv.fr définit l’hameçonnage comme l’usurpation d’un tiers de confiance afin d’inciter la victime à communiquer des informations, ouvrir une pièce jointe ou réaliser une action. Les campagnes deviennent plus crédibles, mais plusieurs signaux doivent déclencher une vérification :

• Une urgence inhabituelle : paiement immédiat, compte menacé ou demande présentée comme confidentielle.
• Une adresse trompeuse : le nom affiché semble correct, mais le domaine d’expédition comporte une variation.
• Une pièce jointe inattendue : facture, archive ou document que vous n’attendiez pas.
• Un lien incohérent : l’adresse réelle ne correspond pas au service annoncé.
• Une demande anormale : mot de passe, code MFA, changement de RIB ou achat urgent de cartes prépayées.

Le bon réflexe est de ne pas utiliser les coordonnées présentes dans le message suspect. Contactez la personne ou l’organisme par un canal connu : numéro enregistré, site saisi manuellement ou échange précédent vérifié.

Des rappels courts et réguliers fonctionnent mieux qu’une formation unique oubliée après quelques mois. Ils peuvent s’appuyer sur des exemples proches du métier : fausse facture fournisseur, demande du dirigeant, notification de partage de document ou renouvellement de mot de passe.

Action 5 : préparer un plan de réponse simple

La première heure d’un incident est rarement le bon moment pour chercher le numéro du prestataire, décider qui prévient la direction ou retrouver l’assureur. Une fiche d’une page peut suffire pour répartir les rôles et conserver les coordonnées utiles hors du système informatique.

Les premiers réflexes

1. Isoler l’équipement : débrancher le câble réseau et couper le Wi-Fi pour limiter la propagation.
2. Ne pas poursuivre son utilisation : éviter de modifier ou supprimer des traces utiles au diagnostic.
3. Alerter immédiatement : prévenir le support informatique ou le prestataire désigné dans la procédure.

Cybermalveillance.gouv.fr recommande de ne pas éteindre automatiquement une machine compromise, car des éléments utiles à l’investigation peuvent disparaître de sa mémoire. La situation doit être prise en charge par un professionnel, notamment si un chiffrement est toujours en cours.

Le plan doit aussi prévoir les personnes à informer, la conservation des preuves, la vérification des sauvegardes et les obligations éventuelles auprès de l’assureur, des autorités ou de la CNIL en cas de violation de données personnelles.

Faut-il tout faire seul ?

Une TPE peut appliquer elle-même plusieurs mesures : activer la MFA, mettre à jour ses logiciels, former ses équipes et documenter les contacts d’urgence. D’autres sujets demandent une vue technique plus large : architecture des sauvegardes, configuration du pare-feu, supervision des postes, gestion des droits et réponse à incident.

L’accompagnement commence idéalement par un état des lieux. Il identifie les données critiques, les accès exposés, les équipements non suivis et les dépendances métier. Le plan d’action peut ensuite classer les mesures selon leur urgence, leur coût et leur impact opérationnel.

BTR accompagne les TPE et PME sur la protection des postes et des serveurs, les sauvegardes, le cloud et la sensibilisation, avec Sophos parmi ses partenaires de cybersécurité et l’appui du réseau XEFI. Cette démarche s’intègre dans une vision plus large du guichet unique IT, car la sécurité dépend aussi du matériel, du réseau, des comptes et des usages télécom.

La cybersécurité est un processus, pas un achat unique

Commencer par cinq actions cohérentes vaut mieux qu’accumuler des outils mal configurés. Sauvegardez et testez la restauration. Sécurisez les comptes avec des mots de passe uniques et la MFA. Maintenez et supervisez les postes. Donnez aux équipes des réflexes face au phishing. Préparez enfin une procédure de réponse connue et accessible.

Ce socle doit être revu après un changement important : nouveau logiciel, déménagement, ouverture d’un site, évolution du télétravail ou départ d’un collaborateur clé. La sécurité suit l’entreprise et ses usages.