Guide · Cybersécurité
Cybersécurité en TPE et PME : protéger, détecter, réagir
Les petites structures sont des cibles fréquentes, non parce qu'elles sont visées en particulier, mais parce que les attaques sont automatisées et que leurs défenses sont souvent minces. Ce guide liste les mesures prioritaires, ce que l'on peut confier à un prestataire et ce qu'il faut lui demander.
Dans ce guide
- Les 8 mesures prioritaires
- Ce qu'un prestataire peut prendre en charge
- Budgets indicatifs
- Choisir un prestataire de sécurité
- Que faire en cas d'attaque
- Ressources officielles gratuites
La cybersécurité est une chaîne, pas un logiciel
La sécurité d'une entreprise ne se résume pas à un antivirus. Elle repose sur une chaîne de mesures complémentaires : protéger les accès, limiter les droits, corriger les failles, filtrer les menaces, détecter les comportements anormaux, sauvegarder pour pouvoir revenir en arrière et former les utilisateurs. Les principaux scénarios d'attaque qui touchent les TPE et PME sont bien connus : hameçonnage menant au vol d'identifiants, rançongiciel, fraude au faux fournisseur ou au faux virement, compromission d'une messagerie.
Bonne nouvelle : une poignée de mesures bien appliquées réduit fortement l'exposition. Elles figurent dans les recommandations publiques de l'ANSSI (notamment son guide d'hygiène informatique) et de Cybermalveillance.gouv.fr, qui publie des fiches pratiques destinées aux petites structures.
Les mesures prioritaires
- Authentification multifacteur (MFA) sur la messagerie, les accès distants et les outils d'administration. C'est l'une des mesures au meilleur rapport efficacité/coût.
- Sauvegardes avec une copie hors ligne ou immuable, testées régulièrement (voir la règle 3-2-1).
- Correctifs de sécurité appliqués rapidement sur les postes, serveurs, pare-feu et équipements réseau.
- Comptes administrateur séparés et réservés à l'administration ; pas d'utilisateur administrateur de son propre poste au quotidien.
- Protection des postes par un antivirus moderne ou un EDR (outil de détection et de réponse) supervisé.
- Filtrage de la messagerie et configuration du domaine (SPF, DKIM, DMARC) pour limiter l'usurpation.
- Mots de passe robustes et gestionnaire de mots de passe (voir sécurité des mots de passe).
- Sensibilisation des équipes et procédure de vérification des demandes de virement par un second canal.
Ce qu'un prestataire peut prendre en charge
Une partie de ces mesures est technique et se délègue bien ; d'autres relèvent de l'organisation et restent de la responsabilité de la direction. Un prestataire informatique ou un spécialiste de la sécurité propose généralement :
- Un diagnostic ou un audit de sécurité : inventaire des expositions (accès distants, comptes, correctifs, sauvegardes), plan d'action priorisé.
- Le déploiement et la gestion des outils : pare-feu, EDR, filtrage de messagerie, MFA, gestionnaire de mots de passe.
- La supervision des alertes de sécurité, en heures ouvrées ou en continu selon le contrat (on parle parfois de SOC ou de MDR pour les offres de surveillance 24/7).
- Des campagnes de sensibilisation, y compris des simulations d'hameçonnage.
- L'accompagnement en cas d'incident : isolement, analyse, restauration, aide aux déclarations.
Le rôle de l'entreprise reste central : décider ce qui est critique, valider les procédures, faire respecter les règles et fournir les moyens. Un prestataire ne peut pas protéger des données dont il ignore l'existence.
Quel budget prévoir ?
Les prix varient fortement selon les outils, la taille du parc et le niveau de surveillance. Les ordres de grandeur ci-dessous sont indicatifs, hors taxes, et servent surtout à repérer un devis anormalement bas ou élevé.
| Poste de dépense | Ordre de grandeur indicatif HT |
|---|---|
| EDR géré par un prestataire | Quelques euros à une quinzaine d'euros par poste et par mois, selon la surveillance incluse |
| Filtrage de messagerie et sensibilisation en ligne | Quelques euros par utilisateur et par mois |
| Audit de sécurité d'une PME | De quelques jours à quelques semaines de travail, facturés au forfait selon le périmètre |
| Test d'intrusion | Forfait sur devis, généralement plusieurs milliers d'euros selon la cible et la durée |
| Surveillance 24/7 (SOC/MDR) | Offre premium, à réserver aux activités qui le justifient |
Dans une infogérance, une partie de ces éléments (antivirus ou EDR, MFA, filtrage) est souvent incluse dans le forfait par poste : vérifiez précisément lesquels. Voir aussi choisir un antivirus d'entreprise.
Choisir un prestataire
Les questions à poser à un prestataire de sécurité
- Qui regarde les alertes, et quand ? Un EDR dont personne ne lit les alertes le week-end ne protège que partiellement.
- Quelle est la procédure en cas d'incident, et est-elle incluse dans le contrat ou facturée à part ?
- Comment les accès du prestataire à votre système sont-ils sécurisés (MFA, comptes nominatifs, traçabilité) ? Un prestataire est lui-même une cible.
- Disposez-vous d'un label ou d'une qualification ? Le label ExpertCyber, porté par Cybermalveillance.gouv.fr, distingue des prestataires de proximité évalués sur leur expertise en sécurité ; l'ANSSI qualifie par ailleurs des prestataires pour des missions plus pointues (audit, réponse à incident).
- Quels rapports recevrons-nous ? Postes protégés, correctifs appliqués, alertes traitées, résultats des campagnes de sensibilisation.
- Où sont hébergées les données collectées par les outils de sécurité, et dans quel cadre RGPD ?
En cas d'attaque : les premiers réflexes
- Déconnecter du réseau les machines touchées, sans les éteindre si possible (pour préserver les traces).
- Prévenir votre prestataire ou votre référent informatique, et ne pas payer de rançon.
- Obtenir de l'aide : Cybermalveillance.gouv.fr oriente les victimes et propose le service 17Cyber ; selon votre région, un CSIRT régional peut aussi accompagner les entreprises.
- Déposer plainte et, si des données personnelles sont concernées, notifier la violation à la CNIL dans les 72 heures lorsque c'est requis.
Ces étapes se préparent à froid : voir les guides plan de continuité d'activité et plan de reprise d'activité.
Questions fréquentes
FAQ sur la cybersécurité en PME
Une petite entreprise est-elle vraiment une cible ?
Oui. La plupart des attaques sont automatisées et visent les systèmes mal protégés, quelle que soit la taille de l'entreprise. Cybermalveillance.gouv.fr reçoit chaque année de nombreuses demandes d'assistance émanant de TPE et de PME.
Par où commencer avec un petit budget ?
Par les mesures à fort impact et faible coût : authentification multifacteur, sauvegarde avec copie hors ligne testée, correctifs à jour, comptes administrateur séparés et sensibilisation. Un diagnostic permet ensuite de prioriser le reste.
Antivirus ou EDR : quelle différence ?
L'antivirus classique reconnaît surtout des menaces connues ; l'EDR surveille le comportement des postes et peut isoler une machine suspecte. Un EDR n'est utile que si quelqu'un traite ses alertes : vérifiez qui s'en charge.
La cybersécurité est-elle liée au RGPD ?
Oui en partie : le RGPD impose des mesures de sécurité appropriées pour protéger les données personnelles et la notification de certaines violations. Le guide RGPD en entreprise détaille ces obligations.
Comment reconnaître un prestataire compétent en sécurité ?
Il commence par un état des lieux, priorise au lieu d'empiler des outils, explique qui surveille les alertes, sécurise ses propres accès et fournit des rapports vérifiables. Le label ExpertCyber est un indice utile, sans être une garantie.
D'autres questions ? Consultez la FAQ du site. Une erreur dans ce guide ? Écrivez à l'éditeur.
Avant de signer avec un prestataire
Passez chaque offre au crible de la checklist : périmètre, SLA, sécurité, réversibilité, prix. prestataire.org ne vend aucun service et ne transmet aucune demande : les décisions restent les vôtres.