Ce qu'une attaque change concrètement dans une PME
Une PME qui subit une intrusion ne perd pas seulement des données. Elle perd d'abord du temps d'exploitation, le temps que les systèmes soient remis en état et que l'activité reprenne. Ce coût d'arrêt pèse souvent plus lourd que la rançon éventuellement réclamée.
La question qui revient le plus souvent chez les dirigeants n'est pas de savoir si une attaque est possible, mais combien de jours l'entreprise peut fonctionner sans son système de facturation, sa messagerie ou son accès aux fichiers partagés. La réponse à cette question détermine l'essentiel des priorités.
Pourquoi les PME sont des cibles recherchées
Les attaques automatisées ne choisissent pas leur cible. Elles balaient des adresses et des services exposés sur Internet, sans distinguer la taille de l'organisation. Une PME mal protégée est simplement plus facile à pénétrer qu'une grande entreprise dotée d'une équipe dédiée.
Le mode d'entrée le plus courant reste l'hameçonnage : un message qui imite un fournisseur, une banque ou un service interne, et qui conduit à la saisie d'identifiants ou à l'ouverture d'une pièce jointe piégée. Viennent ensuite les logiciels non mis à jour et les accès à distance mal protégés.
Un point est souvent sous-estimé : les prestataires. Une PME peut être compromise par le biais d'un sous-traitant qui dispose d'un accès à son système, sans qu'aucune faille ne se trouve directement chez elle.
Les mesures qui réduisent réellement le risque
Aucune mesure isolée ne suffit. Ce sont des protections simples, appliquées ensemble, qui font baisser le risque de façon notable.
- Authentification à deux facteurs sur la messagerie et les accès à distance, qui limite l'usage d'identifiants volés.
- Sauvegardes régulières, conservées hors ligne ou chez un tiers, avec un test de restauration effectué au moins une fois.
- Mises à jour suivies, en particulier sur les logiciels exposés sur Internet.
- Procédure claire pour les paiements et les changements de coordonnées bancaires, validée par un second canal.
Ces mesures ne protègent pas d'une attaque ciblée et déterminée. Elles réduisent en revanche fortement le nombre d'incidents courants, qui constituent la majorité des cas.
Ce que la préparation change au moment de l'incident
Une entreprise qui découvre une intrusion sans avoir défini de procédure perd un temps précieux à chercher qui appeler. Une liste de contacts, un ordre de priorité pour la remise en service et la désignation d'une personne responsable permettent de limiter la casse.
La question de la déclaration se pose également. Selon la nature des données concernées et le secteur d'activité, des obligations d'information existent, notamment vis-à-vis de la clientèle ou des autorités. Les ignorer peut aggraver la situation après l'incident. À consulter également : shadowpc.fr.
Le cadre juridique et assurantiel varie selon les cas. Une PME a intérêt à vérifier à l'avance ce que couvre son contrat d'assurance et quelles obligations lui incombent, plutôt que de le découvrir en pleine crise.
Ce que cela implique pour les dirigeants
La cybersécurité relève rarement d'un service informatique interne dans une PME, souvent parce qu'il n'existe pas. Elle devient alors une décision de direction : arbitrer un budget, désigner un responsable, accepter que certaines opérations ralentissent au nom de la sécurité.
Une approche par étapes reste réaliste. Commencer par les accès et les sauvegardes couvre une part importante du risque pour un coût maîtrisé. Les dispositifs plus lourds peuvent attendre, à condition que les bases soient en place et vérifiées.
