Cybersécurité PME : Le Guide Pratique Sans Jargon

Chapitre 1 : Pourquoi les PME sont les nouvelles cibles privilégiées

Le mythe du "trop petit pour être attaqué"

Pendant longtemps, les dirigeants de PME ont cru être à l'abri : "Pourquoi un hacker s'intéresserait-il à ma petite entreprise ?" Cette époque est révolue.

Les chiffres qui font réfléchir :

• 43% des cyberattaques ciblent les PME
• 60% des PME attaquées ferment dans les 6 mois
• 150 000 € : coût moyen d'une cyberattaque pour une PME française
• 82% des ransomwares visent des entreprises de moins de 1000 salariés

Pourquoi les PME sont attractives pour les hackers

1. Le rapport effort/gain optimal

Attaquer une grande entreprise demande des mois de préparation face à des équipes de sécurité chevronnées. Une PME ? Quelques heures suffisent souvent.

2. L'effet "porte d'entrée"

Votre PME travaille peut-être avec un grand groupe. Vous devenez alors le maillon faible par lequel les attaquants peuvent atteindre leur vraie cible.

3. La capacité de paiement

Les demandes de rançon s'adaptent à la taille de l'entreprise. 10 000 à 50 000 € : suffisamment douloureux pour être pris au sérieux, mais "payable" pour éviter la catastrophe.

4. Le manque de ressources

Pas de RSSI, pas d'équipe SOC, pas de budget cybersécurité dédié. Les attaquants le savent.

Avec Domyno : La plateforme est conçue spécifiquement pour les PME/ETI sans équipe sécurité dédiée. L'assistant IA guide les non-experts dans la mise en place des protections essentielles.

---

Chapitre 2 : Les 5 menaces qui visent spécifiquement les PME

Menace #1 : Le Phishing (Hameçonnage)

Comment ça marche : Un email imitant votre banque, un fournisseur ou même un collègue vous demande de cliquer sur un lien ou d'ouvrir une pièce jointe. Le piège est tendu.

Les signes qui alertent :

• Urgence artificielle ("Votre compte sera suspendu dans 24h")
• Fautes d'orthographe subtiles
• Adresse email légèrement différente (contact@domyno.io vs contact@domyn0.io)
• Demande inhabituelle (virement urgent, modification de RIB)

Comment se protéger :

• Former tous les collaborateurs (exercices réguliers)
• Mettre en place un filtre anti-phishing
• Instaurer une procédure de double validation pour tout virement

Menace #2 : Le Ransomware (Rançongiciel)

Comment ça marche : Un logiciel malveillant chiffre tous vos fichiers. Pour récupérer l'accès, vous devez payer une rançon en cryptomonnaie. Sinon, tout est perdu.

Les vecteurs d'infection :

• Pièce jointe infectée
• Téléchargement de logiciel pirate
• Exploitation d'une faille non corrigée

Comment se protéger :

• Sauvegardes régulières ET déconnectées (règle 3-2-1)
• Mises à jour automatiques de tous les systèmes
• Antivirus/EDR sur tous les postes

Menace #3 : L'Arnaque au Président (BEC)

Comment ça marche : Un email semblant venir du dirigeant demande à la comptabilité d'effectuer un virement urgent et confidentiel. Quand on découvre la fraude, l'argent est déjà loin.

Les montants en jeu :

• 50 000 à 500 000 € par attaque réussie
• 26 milliards de dollars perdus mondialement entre 2016 et 2023

Comment se protéger :

• Procédure de double signature pour tout virement > seuil
• Contre-appel systématique sur numéro connu
• Formation spécifique des équipes comptables

Menace #4 : La fuite de données

Comment ça marche : Vos données clients, fournisseurs ou employés se retrouvent "dans la nature" : vendues sur le dark web, utilisées pour des fraudes, ou exploitées par des concurrents.

Les causes principales :

• Employé malveillant ou négligent
• Piratage de compte cloud mal configuré
• Vol d'ordinateur portable non chiffré

Comment se protéger :

• Chiffrement des disques et des échanges
• Gestion des accès (qui a accès à quoi ?)
• Politique de sortie des données claire

Menace #5 : L'attaque de la chaîne d'approvisionnement

Comment ça marche : Un de vos fournisseurs de logiciel ou de service est compromis. Les attaquants utilisent cette confiance pour vous atteindre.

Exemples récents :

• SolarWinds (2020) : 18 000 entreprises touchées
• Kaseya (2021) : 1 500 entreprises victimes
• MOVEit (2023) : des milliers d'organisations impactées

Comment se protéger :

• Évaluer la sécurité des fournisseurs critiques
• Limiter les accès accordés aux tiers
• Surveiller les connexions tierces

Avec Domyno : Le module de gestion des fournisseurs permet d'évaluer et de suivre le niveau de sécurité de vos partenaires critiques, avec des questionnaires automatisés et un scoring de risque.

---

Chapitre 3 : Les bases indispensables - Le kit de survie cyber

Les 10 mesures qui bloquent 90% des attaques

Ces mesures ne demandent pas de compétences techniques pointues. Elles constituent le socle minimal que toute PME doit mettre en place.

1. Mots de passe robustes + Gestionnaire

• Minimum 12 caractères, complexes
• Un mot de passe différent par service
• Gestionnaire de mots de passe pour l'équipe (Bitwarden, 1Password)

2. Authentification Multi-Facteurs (MFA)

• Obligatoire sur : messagerie, cloud, banque, VPN
• Application d'authentification (pas SMS si possible)
• Déploiement progressif, service par service

3. Mises à jour automatiques

• Systèmes d'exploitation : activer les mises à jour automatiques
• Logiciels : alertes et politique de mise à jour sous 48h
• Firmware : routeurs, imprimantes, IoT souvent oubliés

4. Sauvegardes 3-2-1

• 3 copies des données importantes
• 2 supports différents (NAS + cloud par exemple)
• 1 copie hors site (cloud ou coffre)
• Test de restauration trimestriel

5. Antivirus / EDR sur tous les postes

• Solutions professionnelles (pas les versions gratuites grand public)
• Gestion centralisée
• Alertes en temps réel

6. Pare-feu et segmentation

• Pare-feu activé sur tous les postes
• Pare-feu réseau si plus de 10 postes
• Segmentation : séparer le WiFi invités du réseau interne

7. Chiffrement des données sensibles

• Disques des portables : BitLocker (Windows), FileVault (Mac)
• Clés USB : interdites ou chiffrées
• Emails sensibles : chiffrement activé

8. Gestion des accès

• Chaque collaborateur = un compte nominatif
• Principe du moindre privilège
• Révocation immédiate au départ d'un collaborateur

9. Sensibilisation continue

• Formation initiale à l'arrivée
• Rappels réguliers (phishing, bonnes pratiques)
• Tests de phishing simulés (sans punition !)

10. Plan de réponse aux incidents

• Qui contacter en cas de problème ?
• Numéros d'urgence (ANSSI, prestataire IT, assurance)
• Procédure de coupure d'urgence

Avec Domyno : Le tableau de bord affiche en temps réel le niveau de déploiement de ces 10 mesures et guide leur mise en œuvre progressive.

---

Chapitre 4 : Conformité minimale viable

Le RGPD : l'incontournable

Depuis 2018, le RGPD s'applique à toutes les entreprises traitant des données de résidents européens. Les sanctions peuvent atteindre 20M€ ou 4% du CA mondial.

Les 5 obligations clés pour une PME :

1. Registre des traitements (Article 30)

   • Listez tous vos traitements de données personnelles
   • Qui ? Quoi ? Pourquoi ? Combien de temps ?

2. Information des personnes (Articles 13-14)

   • Mentions légales sur le site web
   • Politique de confidentialité
   • Information des employés et clients

3. Droits des personnes (Articles 15-22)

   • Accès, rectification, effacement
   • Procédure de réponse sous 30 jours

4. Sécurité des données (Article 32)

   • Mesures techniques et organisationnelles
   • Proportionnées aux risques

5. Notification de violation (Articles 33-34)

   • 72h pour notifier la CNIL en cas de fuite
   • Information des personnes si risque élevé

Cyber Resilience Act : l'horizon 2027

Ce nouveau règlement européen imposera des exigences de cybersécurité à tous les produits numériques vendus dans l'UE.

Impact pour les PME :

• Si vous fabriquez des produits connectés
• Si vous développez des logiciels
• Documentation de sécurité obligatoire

Les certifications volontaires mais différenciantes

• Cyber Essentials (UK) : certification de base, bon début
• ISO 27001 : la référence internationale, différenciante commercialement
• SOC 2 : indispensable pour travailler avec des entreprises US

Avec Domyno : L'assistant IA génère automatiquement le registre RGPD à partir des informations collectées, et guide la mise en conformité étape par étape.

---

Chapitre 5 : Le vrai coût d'une cyberattaque vs protection

Le coût réel d'une cyberattaque sur une PME

Coûts directs :

Poste	Montant moyen
Rançon (si payée)	15 000 - 50 000 €
Intervention expert	5 000 - 20 000 €
Restauration systèmes	10 000 - 50 000 €
Notification RGPD	2 000 - 10 000 €
Total direct	32 000 - 130 000 €

Coûts indirects :

Poste	Montant moyen
Arrêt d'activité (5 jours)	25 000 - 100 000 €
Perte de clients	20 000 - 200 000 €
Atteinte réputation	Difficile à chiffrer
Augmentation assurance	+50% à +200%
Total indirect	45 000 - 300 000 €

Coût total moyen : 77 000 à 430 000 €

Le budget réaliste pour protéger une PME

Pour une PME de 20 à 50 salariés :

Poste	Coût annuel
Antivirus/EDR managé	2 000 - 4 000 €
Sauvegarde cloud	1 200 - 3 000 €
Formation/sensibilisation	1 500 - 3 000 €
Audit annuel	2 000 - 5 000 €
Assurance cyber	3 000 - 8 000 €
Outils de conformité (Domyno)	3 600 - 7 200 €
Total annuel	13 300 - 30 200 €

ROI de la protection :

• Coût moyen d'une attaque : 150 000 €
• Probabilité d'attaque/an : 20-30%
• Risque financier annuel : 30 000 - 45 000 €
• Budget protection : 13 000 - 30 000 €

Conclusion : la protection coûte 2 à 3 fois moins cher que le risque.

---

Chapitre 6 : Plan d'action 90 jours

Semaines 1-2 : L'état des lieux

Jour 1-5 : Inventaire

• Lister tous les équipements (PC, serveurs, mobiles)
• Identifier les logiciels utilisés
• Recenser les accès cloud (O365, Google, CRM...)
• Cartographier les données sensibles

Jour 6-10 : Évaluation

• Tester les sauvegardes existantes
• Vérifier les mises à jour en attente
• Contrôler les mots de passe (comptes partagés ?)
• Identifier les accès obsolètes

Semaines 3-4 : Les fondations

Actions prioritaires :

• Activer le MFA sur tous les comptes email
• Déployer un gestionnaire de mots de passe
• Mettre en place les sauvegardes 3-2-1
• Installer un antivirus/EDR professionnel

Documentation :

• Rédiger la politique de sécurité (1 page max)
• Créer la procédure d'incident (qui appeler ?)
• Documenter les accès administrateurs

Semaines 5-8 : Le renforcement

Sécurité technique :

• Activer le chiffrement des disques
• Segmenter le réseau (WiFi invités séparé)
• Configurer les pare-feu
• Mettre à jour tous les systèmes

Conformité RGPD :

• Créer le registre des traitements
• Mettre à jour les mentions légales
• Documenter les procédures de droits

Semaines 9-12 : La culture sécurité

Formation :

• Session de sensibilisation générale (2h)
• Formation spécifique comptabilité (fraude au président)
• Premier test de phishing simulé

Amélioration continue :

• Planifier l'audit annuel
• Souscrire une assurance cyber
• Définir les indicateurs de suivi

Le tableau de bord à suivre

Indicateur	Objectif J+30	Objectif J+90
MFA activé	100%	100%
Postes à jour	80%	100%
Sauvegardes testées	1 test	2 tests
Collaborateurs formés	50%	100%
Registre RGPD	Ébauche	Complet

---

Conclusion : La cybersécurité est un investissement, pas une dépense

Vous n'avez pas besoin d'être expert en cybersécurité pour protéger votre PME. Vous avez besoin d'une méthode simple et d'outils adaptés à votre réalité.

Les 3 messages clés :

1. Vous êtes une cible - Acceptez-le et agissez en conséquence
2. 90% des risques se traitent avec des mesures simples - Le kit de survie suffit pour commencer
3. L'investissement est rentable - La protection coûte moins cher que l'attaque

Passez à l'action avec Domyno

Domyno a été conçu pour les PME comme la vôtre : pas d'équipe sécurité dédiée, pas de budget illimité, mais une vraie volonté de se protéger.

Notre plateforme vous guide pas à pas dans :

• La mise en place des 10 mesures essentielles
• La conformité RGPD sans jargon juridique
• Le suivi de votre niveau de protection

Demandez une démonstration personnalisée →