Cybersécurité pour les PME : 10 mesures qui font vraiment la différence

La plupart des attaques qui mettent une PME à terre ne sont pas l’œuvre d’un hacker de cinéma : c’est un e-mail avec une fausse facture, un mot de passe réutilisé et un serveur non corrigé depuis des mois. Rien de sophistiqué. Et c’est bien là le problème, car cela signifie que presque tout peut être évité avec une poignée de mesures bien placées, et non avec le budget d’une multinationale.

Cet article n’est ni une liste d’épouvantails ni un catalogue de produits. Ce sont les 10 mesures de cybersécurité pour les PME qui font vraiment la différence, classées selon ce qu’elles apportent par rapport à ce qu’elles coûtent. Si vous ne pouvez faire que trois choses ce trimestre, vous saurez ici lesquelles.

Pourquoi les PME sont la cible préférée

On entend souvent : « on ne va pas m’attaquer, je suis trop petit ». C’est exactement l’inverse. La PME est la cible parfaite parce qu’elle a des données et de l’argent, mais pas d’équipe de sécurité. L’attaquant ne vous choisit pas vous : il lance des campagnes automatisées qui balaient des milliers d’entreprises à la recherche de la porte ouverte, et la vôtre l’est généralement.

À cela s’ajoute que beaucoup de PME sont fournisseurs de plus grandes entreprises. Vous compromettre est la voie économique pour atteindre votre client : la fameuse attaque de la chaîne d’approvisionnement. Et quand une PME tombe, elle ne tombe pas « un peu » : la facturation s’arrête, les devis sont chiffrés, l’e-mail disparaît. Un incident qu’une grande entreprise absorbe peut faire mettre la clé sous la porte à une société de 15 personnes.

Les 10 mesures classées par impact/coût

Par expérience, voici les mesures qui offrent le plus de protection pour chaque euro investi. Elles vont de haut en bas : si vous commencez par les premières, vous fermez, pour peu d’argent, la plupart des portes par lesquelles entre une véritable attaque.

• Des sauvegardes testées et isolées (3-2-1). Trois copies, deux supports, une hors du réseau. Et les restaurer chaque mois : une sauvegarde que vous n’avez jamais testée n’est pas une sauvegarde, c’est une illusion.
• La double authentification (MFA) sur tout ce qui compte. Messagerie, VPN, banque, administration. C’est ce qu’il y a de moins cher et cela bloque 99 % des accès avec un mot de passe volé.
• Mises à jour et correctifs à jour. La plupart des intrusions exploitent des failles déjà corrigées. Un calendrier de correctifs automatique vous débarrasse du risque le plus courant et le plus bête.
• Un gestionnaire de mots de passe et la fin des mots de passe réutilisés. Un mot de passe unique et long par service, conservé dans un gestionnaire. Fini le « même mot de passe pour tout » et le post-it sur l’écran.
• Un EDR/antivirus géré sur chaque poste. Pas l’antivirus gratuit que personne ne regarde, mais une protection du poste avec des alertes centralisées que quelqu’un surveille vraiment.
• Une vraie formation contre le phishing. 90 % des attaques entrent par un clic. Apprendre à votre équipe à se méfier d’un e-mail coûte peu et évite le désastre le plus fréquent.
• Le moindre privilège (permissions minimales). Chaque personne accède uniquement à ce dont elle a besoin. Si un compte tombe, les dégâts restent cantonnés à son périmètre et n’emportent pas toute l’entreprise.
• Segmentation du réseau et wifi invités. Que le portable d’un visiteur ou l’imprimante ne soient pas sur le même réseau que votre ERP. Un compartiment étanche freine la propagation.
• Une surveillance 24/7 et une journalisation des événements. Détecter un intrus en heures, pas en semaines. Voir l’attaque pendant qu’elle se produit fait la différence entre une frayeur et une crise.
• Un plan de réponse aux incidents écrit. Savoir qui fait quoi, qui appeler et dans quel ordre restaurer. Improviser le jour de l’attaque est la façon la plus coûteuse d’apprendre.

Remarquez une chose : les quatre premières ne coûtent presque rien, seulement du discernement et de la discipline. Si votre entreprise les avait toutes à jour, elle serait déjà en avance sur la plupart des PME de votre secteur. Le reste ajoute des couches, mais 80 % de la protection se trouve en haut de la liste.

La sécurité n’est pas un produit qu’on achète une fois : c’est une habitude qui s’entretient. Le jour où vous cessez de la surveiller, elle redevient défaillante.

Les erreurs qui laissent la porte ouverte

Presque aucun incident ne commence par une technique brillante de l’attaquant. Il commence par une erreur de notre côté qui traînait depuis des mois. Voici celles que nous rencontrons le plus souvent en entrant pour la première fois dans une entreprise :

• Des sauvegardes que personne n’a jamais restaurées. On découvre qu’elles étaient vides le jour même où on en a besoin.
• Des comptes de personnes qui ne sont plus là restent actifs des mois après leur départ.
• L’administrateur utilise le compte admin pour tout, y compris lire ses e-mails et naviguer.
• Des serveurs et NAS exposés sur internet « pour pouvoir se connecter depuis la maison », sans VPN ni MFA.
• Personne ne regarde les alertes. Il y a un antivirus, il y a des logs, mais personne n’est responsable de leur examen.

Le schéma se répète : ce n’est pas la technologie qui manque, c’est quelqu’un pour prendre les choses en main. La sécurité sans responsable, c’est une maison avec une alarme que personne n’a branchée.

Par où commencer cette semaine

Vous n’avez pas besoin d’un projet de six mois pour faire un bond en sécurité. Vous pouvez commencer aujourd’hui, avec ce que vous avez déjà. En cinq jours ouvrés, voici ce qui est réaliste et ce qui vous protège le plus :

• Lundi : activez la double authentification sur la messagerie et l’administration. C’est gratuit et c’est ce qui freine le plus.
• Mardi : vérifiez que vous avez une sauvegarde et restaurez un fichier test. Si vous ne pouvez pas, vous avez un problème grave à résoudre tout de suite.
• Mercredi : vérifiez qui a accès à quoi et désactivez les comptes des personnes qui ne sont plus là.
• Jeudi : lancez les mises à jour en attente des systèmes et des postes.
• Vendredi : envoyez un e-mail interne avec trois signes pour reconnaître un phishing. Formation minimale, impact maximal.

Avec cette semaine, vous aurez déjà fermé les portes par lesquelles entre la majorité des attaques. L’étape suivante est d’en faire quelque chose de permanent et de surveillé, et c’est là qu’avoir une équipe derrière vous vaut mieux que de compter sur le fait que quelqu’un y pense.

Comment MagicBoxDesk le met en place

Lire la liste est facile ; la tenir dans la durée est le plus difficile. Chez MagicBoxDesk, nous prenons en charge la cybersécurité de votre entreprise de bout en bout : nous commençons par un audit qui vous dit, sans esbroufe, où vous en êtes et quel risque vous courez aujourd’hui. Ensuite, nous déployons les mesures par ordre d’impact —MFA, sauvegardes testées, correctifs, EDR géré, segmentation— et nous les laissons opérationnelles et surveillées 24/7, pas seulement installées.

Nous agissons comme votre service informatique externalisé : support à distance et sur site dans toute l’Espagne, réponse aux incidents quand quelque chose arrive, et accompagnement si vous devez vous conformer à l’ISO 27001 ou au RGPD. Vous vous occupez de votre activité ; nous veillons à ce que personne ne l’arrête. Vous pouvez voir tout ce que nous couvrons dans nos services.

Si vous avez lu jusqu’ici, vous en savez déjà assez pour comprendre que vous ne pouvez pas remettre cela à plus tard. Demandez un devis sans engagement et nous vous dirons ce dont vous avez vraiment besoin —ni plus ni moins— pour que votre entreprise cesse d’être une cible facile.