Les 5 erreurs de sécurité des PME
Les pièges classiques, et comment les corriger simplement.
Les 5 erreurs de sécurité des PME
Ce que la plupart des entreprises n'ont pas encore corrigé.
Ce cours s'adresse aux dirigeants et aux équipes de PME. Pas aux experts en sécurité. L'objectif est simple : vous montrer les cinq erreurs les plus fréquentes, pourquoi elles coûtent cher, et comment les corriger sans être informaticien.
Les 5 erreurs couvertes dans ce cours
- Mots de passe faibles ou réutilisés, sans authentification à deux facteurs.
- Aucune vraie sauvegarde, ou une sauvegarde qui n'a jamais été testée.
- Logiciels et systèmes qui ne sont pas à jour.
- Des équipes qui n'ont jamais été formées aux risques cyber.
- Aucun plan ni partenaire prévu en cas d'incident.
Chaque module suit la même logique : le problème concret, pourquoi c'est risqué, et la correction à mettre en place. Aucun jargon inutile.
Erreur n°1 : des mots de passe trop faibles
Et pas d'authentification à deux facteurs.
Le problème concret
Dans la plupart des PME, les mots de passe ressemblent à ceci : Entreprise2023, admin, 123456, ou le prénom du dirigeant suivi de deux chiffres. Et le même mot de passe est utilisé partout : la messagerie, le logiciel de facturation, l'accès au serveur.
Pourquoi c'est risqué
Un attaquant n'a pas besoin de deviner votre mot de passe. Il achète des bases de données d'identifiants déjà volés, pour quelques dizaines d'euros, et les teste en quelques secondes sur vos services. C'est une attaque automatisée, sans ciblage particulier. Votre PME n'a pas besoin d'être connue pour figurer dans la liste.
La correction
- ·Un mot de passe mémorisable partagé entre collègues.
- ·Le même identifiant sur la messagerie, le VPN et le logiciel de gestion.
- ·Aucune vérification supplémentaire à la connexion.
- ·Quand quelqu'un part, le mot de passe n'est pas changé.
- ·Un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass) : un coffre unique, des mots de passe longs et uniques partout.
- ·Un mot de passe différent par service, généré automatiquement.
- ·L'authentification à deux facteurs (MFA) activée sur tous les accès critiques.
- ·Les accès révoqués immédiatement lors d'un départ.
Par où commencer
- Choisissez un gestionnaire de mots de passe pour votre équipe. Bitwarden Business est une option abordable pour les PME.
- Activez le MFA (par application comme Google Authenticator ou Microsoft Authenticator) en priorité sur la messagerie, l'espace cloud et le VPN.
- Changez tous les mots de passe partagés entre plusieurs personnes.
- A.Rien de grave : les attaquants ne connaissent pas le nom de votre logiciel de facturation.
- B.Les attaquants peuvent tester ce mot de passe sur vos autres services et y accéder automatiquement.
- C.Le problème est limité à ce service de stockage.
Erreur n°2 : pas de vraie sauvegarde testée
Sauvegarder ne suffit pas si on ne vérifie jamais que la restauration fonctionne.
Le problème concret
Beaucoup de PME pensent avoir des sauvegardes parce qu'elles synchronisent leurs fichiers sur un NAS ou dans le cloud. Mais synchroniser n'est pas sauvegarder. Si un ransomware chiffre vos fichiers, la synchronisation propage immédiatement les fichiers chiffrés sur tous les appareils. Résultat : la 'sauvegarde' est chiffrée elle aussi.
La règle 3-2-1
La règle de base en matière de sauvegarde, adoptée par tous les professionnels :
- 3 copies de vos données.
- 2 supports différents (par exemple : serveur interne + cloud).
- 1 copie hors site et déconnectée, inaccessible depuis votre réseau principal.
L'étape que personne ne fait : tester la restauration
Une sauvegarde dont on n'a jamais testé la restauration n'est pas une sauvegarde : c'est un espoir. La seule façon de savoir si vos sauvegardes fonctionnent est de restaurer effectivement des fichiers, régulièrement, et de vérifier qu'ils sont complets et lisibles.
- Planifiez un test de restauration au moins une fois par trimestre.
- Restaurez un ou plusieurs fichiers et vérifiez qu'ils s'ouvrent correctement.
- Documentez la procédure pour que quelqu'un d'autre que votre IT puisse l'exécuter en cas d'urgence.
Erreur n°3 : des logiciels et systèmes pas à jour
Les failles connues sont la première porte d'entrée des attaquants.
Le problème concret
Les mises à jour sont repoussées parce qu'elles prennent du temps, parce qu'on a peur qu'elles cassent quelque chose, ou simplement parce que personne ne s'en occupe. Résultat : des postes sous Windows non patchés depuis six mois, des logiciels de gestion en version obsolète, un pare-feu dont le firmware n'a pas changé depuis deux ans.
Pourquoi c'est risqué
De grandes cyberattaques de ces dernières années ont exploité des failles pour lesquelles un correctif existait depuis des semaines ou des mois. Pas un zero-day sophistiqué : une faille connue, non corrigée, sur un poste ou un serveur oublié.
La correction : une politique de mises à jour
- Postes de travail : activez les mises à jour automatiques de l'OS et des navigateurs. Un poste non patché depuis plus d'un mois est un risque réel.
- Serveurs : planifiez les mises à jour de sécurité chaque mois, avec un test minimal avant déploiement si des applications critiques y tournent.
- Equipements réseau (pare-feu, switch, VPN) : vérifiez les mises à jour du firmware au moins une fois par trimestre.
- Logiciels métier : tenez un inventaire de vos logiciels et de leur version. Les éditeurs publient des bulletins de sécurité : abonnez-vous-y ou demandez à votre prestataire de le faire.
Le cas particulier des logiciels en fin de vie
Un logiciel 'en fin de vie' ne reçoit plus de correctifs de sécurité de son éditeur. Windows 10 fin 2025, Windows Server 2012, ou un logiciel métier abandonné : ces équipements présentent des risques permanents, car les failles découvertes après la date de fin de vie ne seront jamais corrigées.
Erreur n°4 : des équipes non formées
Le phishing vise l'humain, pas la machine.
Le problème concret
La plupart des cyberattaques réussies commencent par un clic sur un lien ou une pièce jointe malveillante. Pas parce que l'équipe est négligente, mais parce qu'elle n'a pas été formée à reconnaître les signaux d'alerte. Un mail d'apparence légitime, une demande de virement urgente, une facture 'de votre fournisseur habituel' : les techniques sont rodées.
Les formes les plus courantes
- Phishing par mail : un mail qui imite votre banque, votre fournisseur ou votre direction, avec un lien vers un faux site de connexion.
- Spear phishing : un mail très ciblé qui utilise votre nom, celui d'un collègue ou un contexte réel (une facture en attente, un devis).
- Fraude au président : un mail ou un appel qui se fait passer pour le dirigeant et demande un virement urgent.
- Smishing : les mêmes techniques par SMS.
La correction : former, simuler, instaurer le réflexe
- Formez vos équipes : une session d'une heure par an minimum, adaptée à des non-techniciens. Montrez de vrais exemples de mails frauduleux.
- Simulez des attaques : envoyez de faux mails de phishing à votre équipe pour mesurer le niveau de vigilance et former ceux qui cliquent, sans sanction.
- Instaurez le réflexe du doute : toute demande de virement urgente par mail ou par téléphone doit être vérifiée par un autre canal. Toujours.
- Créez un canal de signalement : vos collaborateurs doivent savoir à qui signaler un mail suspect, sans craindre d'être ridicules s'ils se sont trompés.
- A.Vous faites le virement : le message est clair et urgent.
- B.Vous essayez de le rappeler sur son téléphone personnel pour confirmer avant tout virement.
- C.Vous répondez au mail pour lui demander confirmation.
Erreur n°5 : aucun plan ni partenaire en cas d'incident
La pire question à se poser pendant une crise : 'qu'est-ce qu'on fait ?'
Le problème concret
La plupart des PME n'ont ni plan de réponse à incident, ni prestataire clairement désigné pour intervenir en cas de crise. La découverte d'une attaque se fait souvent un lundi matin, quand les postes ne démarrent plus. Et là commence une série de mauvaises décisions sous pression : payer la rançon, contacter le mauvais prestataire, perdre des heures à chercher qui appeler.
Ce que coûte l'absence de plan
- Des heures perdues à chercher qui appeler pendant que l'attaque se propage.
- Des décisions prises dans la panique, comme payer la rançon sans garantie de récupérer les données.
- Un prestataire contacté en urgence qui n'a aucun contexte sur votre infrastructure.
- Une reconstruction plus longue et plus coûteuse parce que personne n'avait documenté l'environnement.
Ce qu'un plan minimal doit contenir
- Les contacts d'urgence : votre prestataire IT avec son numéro direct, votre assureur cyber, et si vous avez souscrit une assurance cyber, le numéro d'assistance 24h/24.
- La procédure d'isolation : qui peut couper l'accès internet, qui peut isoler un poste du réseau. Ces actions doivent pouvoir être faites en moins de 10 minutes.
- La liste des systèmes critiques : quels serveurs, quels logiciels sont indispensables à votre activité, et dans quel ordre les restaurer.
- Les coordonnées des autorités : en France, les incidents cyber doivent être signalés à l'ANSSI (anssi.gouv.fr) et déposés au commissariat ou à la gendarmerie.
L'assurance cyber
De plus en plus de PME souscrivent une assurance cyber. Elle peut couvrir les frais de remise en état, la perte d'exploitation et parfois l'assistance à la gestion de crise. Vérifiez ce que couvre votre contrat actuel : beaucoup d'assurances multirisques professionnelles ont des exclusions importantes sur le risque cyber.
Récapitulatif : ce que vous pouvez faire cette semaine
Cinq corrections concrètes, sans technicité.
La cybersécurité n'est pas réservée aux experts. Les cinq erreurs couvertes dans ce cours sont corrigibles par n'importe quelle PME, sans budget exceptionnel. Voici le plan d'action résumé.
Les 5 corrections en résumé
- Mots de passe et MFA : déployez un gestionnaire de mots de passe pour l'équipe et activez l'authentification à deux facteurs sur tous les accès critiques.
- Sauvegardes : vérifiez que vous avez une copie déconnectée de votre réseau, et planifiez un test de restauration dans les 30 prochains jours.
- Mises à jour : faites un inventaire de vos équipements, activez les mises à jour automatiques là où c'est possible, et traitez les équipements en fin de vie comme une urgence.
- Formation des équipes : organisez une session de sensibilisation au phishing, même courte, et mettez en place un canal pour signaler les mails suspects.
- Plan d'urgence : rédigez une page avec les contacts à appeler et les premières actions à faire en cas d'incident. Partagez-la avec les personnes qui doivent agir.
Ce qui ne change pas
La sécurité informatique n'est pas un projet qu'on termine. C'est une pratique continue : les accès doivent être révoqués quand un collaborateur part, les sauvegardes doivent être testées régulièrement, les équipes doivent être rappelées aux bonnes pratiques. Un prestataire de confiance peut vous accompagner dans cette continuité.