Cybersécurité PME : Par où commencer ?

Cybersécurité PME : par où commencer en 2026 ?

Vous n’avez pas besoin de commencer par un catalogue de solutions. Pour une PME, la première étape consiste à identifier ce qui doit continuer à fonctionner, puis à protéger les accès, les données et les prestataires dont cette activité dépend.

En novembre 2026, les fondamentaux restent concrets : connaître son informatique, limiter les accès, maintenir les outils, sauvegarder et préparer la réaction. Le guide de l’ANSSI pour les TPE et PME constitue un point d’appui officiel pour structurer ce travail. Voici une méthode pour passer des bonnes intentions à des mesures vérifiables.

Pourquoi une PME doit se préparer

Une attaque n’a pas besoin de viser votre entreprise personnellement pour l’affecter. Un compte de messagerie compromis, un équipement exposé ou un accès prestataire mal protégé peuvent suffire à interrompre une activité.

Raisonnez en conséquences métier. Si vous perdez l’accès aux commandes, à la facturation ou aux dossiers de production, que pouvez-vous encore faire ? Pendant combien de temps ? Qui décide de poursuivre en mode dégradé ? Ces questions permettent de hiérarchiser les protections sans chercher à tout traiter simultanément.

Les cinq risques à comprendre

Hameçonnage et vol de compte

Un message peut demander un mot de passe, pousser à ouvrir une pièce jointe ou détourner une procédure de paiement. Une page de connexion convaincante et un sentiment d’urgence suffisent parfois à déclencher une erreur. La formation doit donc être accompagnée de protections techniques et d’un canal de signalement simple.

Rançongiciel et interruption d’activité

Un attaquant peut chiffrer des fichiers, perturber les applications ou voler des données avant de réclamer une rançon. Une sauvegarde accessible avec les mêmes comptes d’administration que la production risque aussi d’être compromise. La capacité de restauration compte autant que l’existence des copies.

Fuite de données

Un partage public, une erreur de destinataire ou des droits trop larges peuvent exposer des informations sans attaque spectaculaire. Examinez les dossiers partagés, les exports et les comptes externes, pas uniquement le pare-feu.

Fraude au dirigeant et au fournisseur

Les demandes de virement et changements de coordonnées bancaires doivent suivre une vérification indépendante. Rappelez un interlocuteur à un numéro déjà connu, jamais uniquement à celui fourni dans le message suspect. Une voix ou une vidéo ne suffit pas à valider une opération inhabituelle.

Compromission d’un prestataire

Votre maintenance informatique, votre hébergeur ou un fournisseur logiciel peuvent disposer d’accès sensibles. Identifiez ces dépendances et les moyens de couper les accès. Un contrat ne remplace pas la vérification des pratiques réellement appliquées.

Commencer par les activités et les actifs

Dressez une liste simple des services indispensables, puis associez à chacun ses applications, données, équipements et prestataires. N’oubliez pas les outils en ligne souscrits directement par les équipes ni les comptes d’administration.

Pour chaque élément, notez un responsable, son usage, les personnes autorisées et la manière de le restaurer. Cette cartographie des actifs vous aidera à repérer un logiciel abandonné, un ordinateur non maintenu ou une dépendance sans solution de secours.

Demandez ensuite au dirigeant et aux responsables métier de sélectionner les interruptions les plus graves. Une courte analyse de risques relie les mesures techniques aux conséquences à éviter : commandes perdues, paiements bloqués, dossiers indisponibles ou divulgation d’informations.

Les protections techniques prioritaires

Protéger les identités

Utilisez des mots de passe uniques et un gestionnaire adapté aux usages professionnels. Activez l’authentification multifacteur sur la messagerie, les accès distants et les comptes privilégiés ; privilégiez des méthodes résistantes à l’hameçonnage lorsque les services le permettent.

Séparez les comptes d’administration des comptes quotidiens. Organisez l’arrivée, le changement de poste et le départ des collaborateurs. Les comptes partagés compliquent la traçabilité : remplacez-les lorsque c’est possible et encadrez strictement les exceptions.

Maintenir les équipements et les applications

Activez les mises à jour automatiques quand elles sont adaptées. Attribuez le suivi des applications qui demandent une intervention manuelle et remplacez les composants qui ne reçoivent plus de correctifs.

Incluez les routeurs, équipements de sécurité et outils exposés sur Internet. Vérifiez aussi le bon fonctionnement de la protection des postes : une licence disponible ne garantit pas une protection active sur chaque appareil.

Sauvegarder pour pouvoir redémarrer

Définissez ce qu’il faut sauvegarder à partir des activités prioritaires. Conservez des copies isolées ou protégées contre la modification, avec des accès distincts de ceux de la production. Pour les services cloud, vérifiez précisément les possibilités de récupération : synchronisation et sauvegarde ne sont pas équivalentes.

Restaurez régulièrement un fichier puis une application représentative dans un environnement maîtrisé. Notez le résultat, les dépendances manquantes et les corrections nécessaires. Le test doit confirmer que les équipes peuvent réutiliser les données, pas seulement les télécharger.

Installer des habitudes simples

Les consignes doivent pouvoir tenir dans le quotidien :

• signaler un message douteux sans crainte d’être sanctionné ;
• vérifier les paiements inhabituels par un canal indépendant ;
• utiliser les outils approuvés pour partager des documents ;
• verrouiller les sessions et protéger les appareils en déplacement ;
• faire valider les accès exceptionnels et leur date de fin.

La formation et la sensibilisation doivent reprendre des situations réelles. Après un exercice d’hameçonnage, expliquez les indices et la bonne réaction plutôt que de chercher des responsables individuels.

Un démarrage en cinq étapes

1. Nommer un pilote. La direction arbitre ; un responsable coordonne les tâches avec les métiers et le prestataire informatique.
2. Choisir les activités prioritaires. Décrivez leurs dépendances et les conséquences d’une interruption.
3. Vérifier les protections essentielles. Contrôlez les accès, mises à jour et sauvegardes avec des preuves concrètes.
4. Tester un incident. Simulez un compte compromis et une restauration, puis corrigez les blocages observés.
5. Suivre un plan court. Chaque action possède un responsable, une échéance et un critère de clôture ; les écarts importants reviennent devant la direction.

Préparer la réaction, même avec une petite équipe

Conservez hors des systèmes habituels les contacts utiles : prestataire, responsables métier, assurance et assistance spécialisée. Précisez qui peut isoler un équipement, suspendre un compte ou engager une communication.

En cas d’incident, signalez rapidement, préservez les éléments utiles à l’analyse et évitez les manipulations improvisées. Faites évaluer les obligations de notification si des données personnelles sont concernées. Ne promettez ni délai de reprise ni absence de fuite avant vérification.

Domyno associe une plateforme SaaS à un expert humain dédié : les agents préparent le travail, l’humain le valide. Pour structurer vos priorités et leur suivi, demandez une démonstration.