Pourquoi les PME doivent auditer leur sécurité
Beaucoup de dirigeants de PME pensent encore que les cyberattaques ne visent que les grandes entreprises. C’est l’inverse : les PME sont des cibles privilégiées, précisément parce qu’elles sont souvent moins bien protégées que les grands groupes, tout en détenant des données et des accès intéressants. Une attaque par rançongiciel peut paralyser une activité pendant des jours et menacer la survie même de l’entreprise.
Ce n’est pas une question de malchance, mais de calcul. Automatiser des attaques contre des milliers de petites structures peu protégées rapporte davantage, pour bien moins d’efforts, que viser une grande entreprise solidement défendue. La taille modeste, longtemps perçue comme une protection (« nous sommes trop petits pour intéresser qui que ce soit »), est devenue un facteur d’exposition, car elle rime souvent avec l’absence de moyens dédiés à la sécurité.
La bonne nouvelle, c’est qu’un audit de sécurité structuré permet de réduire fortement le risque sans budget démesuré. L’essentiel n’est pas d’empiler les outils, mais de couvrir méthodiquement les fondamentaux. Voici les 10 points que nous vérifions systématiquement lors d’un audit PME.
1. Politique de mots de passe
- Longueur minimale de 12 caractères imposée.
- Authentification multi-facteurs (MFA) activée sur tous les comptes critiques.
- Pas de réutilisation de mots de passe entre services.
- Gestionnaire de mots de passe déployé (Bitwarden, KeePass).
2. Mises à jour et correctifs
- Système d’exploitation et logiciels à jour (Windows, Linux, macOS).
- Correctifs de sécurité appliqués sous 72h pour les vulnérabilités critiques.
- Processus de patch management documenté et automatisé.
3. Sauvegardes (règle 3-2-1)
- 3 copies des données, sur 2 supports différents, dont 1 hors site.
- Sauvegardes testées régulièrement (restauration effective vérifiée).
- Au moins une copie immuable ou déconnectée (protection anti-ransomware).
4. Droits d’accès et comptes
- Principe du moindre privilège appliqué.
- Comptes administrateurs séparés des comptes utilisateurs quotidiens.
- Revue trimestrielle des droits d’accès.
- Comptes d’anciens collaborateurs désactivés immédiatement.
5. Protection périmétrique
- Pare-feu correctement configuré avec règles restrictives.
- Segmentation réseau (VLANs) entre les zones sensibles.
- Accès Wi-Fi sécurisé (WPA3, réseau invité séparé).
6. Protection des postes de travail
- Antivirus / EDR déployé et à jour sur tous les postes.
- Chiffrement des disques activé (BitLocker, FileVault).
- Verrouillage automatique après inactivité.
7. Messagerie et phishing
- Filtrage anti-spam et anti-phishing activé.
- SPF, DKIM et DMARC configurés sur le domaine.
- Sensibilisation régulière des collaborateurs au phishing.
8. Supervision et journalisation
- Logs centralisés (pare-feu, serveurs, Active Directory).
- Alertes configurées sur les événements critiques (échecs de connexion, élévation de privilèges).
- Rétention des logs conforme aux obligations légales.
9. Plan de réponse aux incidents
- Procédure documentée : qui fait quoi en cas d’incident.
- Contacts d’urgence identifiés (prestataire IT, ANSSI, assurance cyber).
- Exercice de simulation réalisé au moins une fois par an.
10. Conformité réglementaire
- RGPD : registre des traitements, DPO désigné si nécessaire.
- NIS 2 : évaluation de l’éligibilité et préparation anticipée.
- Contrats fournisseurs : clauses de sécurité et de réversibilité vérifiées.
Votre score
- 8 à 10 points couverts : bonne posture, à maintenir avec des audits réguliers.
- 5 à 7 points : des lacunes à combler rapidement, surtout sur les sauvegardes et le MFA.
- Moins de 5 points : risque élevé, un audit complet est recommandé sans attendre.
Trois priorités pour commencer
Si cette liste paraît intimidante, retenez l’essentiel : trois mesures offrent le meilleur rapport effort/protection. L’authentification multifacteur, qui bloque l’immense majorité des usurpations de compte. Des sauvegardes testées et déconnectées, votre seul vrai filet en cas de rançongiciel. Et la sensibilisation des collaborateurs, car la majorité des attaques commencent par un email piégé, un sujet que nous approfondissons via la sensibilisation à la cybersécurité. Le facteur humain reste la première ligne de défense.
La sécurité n’est jamais acquise une fois pour toutes : elle se maintient par des revues régulières, au rythme des évolutions de votre activité et de la menace.
Le point 4 (droits d’accès) et le point 8 (journalisation) reposent en grande partie sur votre Active Directory, souvent le composant le plus critique et le moins surveillé. Nous réalisons des audits Active Directory : identification des risques de configuration, priorisation des corrections et accompagnement à la remédiation.
Pourquoi ces 10 points précisément
Cette liste n’est pas arbitraire : elle correspond aux points de contrôle qui reviennent systématiquement dans les référentiels de cybersécurité reconnus (recommandations ANSSI, ISO 27001, NIST), simplifiés pour rester actionnables sans expertise préalable. Chaque point couvre une famille de risque distincte : les points 1 et 7 traitent de l’identité (mots de passe, phishing), les points 2 et 6 de la surface d’attaque technique (correctifs, postes), les points 3 et 9 de la capacité de résilience (sauvegardes, réponse à incident), et les points 4, 5 et 8 de la maîtrise des accès et de la visibilité (droits, réseau, journalisation). Le point 10 seul relie l’ensemble à la conformité réglementaire.
Cette structuration explique aussi pourquoi corriger un seul point isolément apporte rarement un gain suffisant : un MFA parfaitement déployé (point 1) ne protège pas contre une sauvegarde jamais testée (point 3) en cas d’incident réussi malgré tout.
Exemple d’usage de cette checklist
Un dirigeant sans compétence technique peut utiliser cette liste comme un premier diagnostic à froid, sans outil ni compétence particulière : cocher les points déjà en place, identifier les zones d’ombre (souvent le MFA, les sauvegardes testées et la revue des droits d’accès), puis en discuter avec son prestataire IT ou solliciter un audit structuré sur les points les plus incertains. Ce n’est pas un substitut à un audit professionnel, mais un moyen de prioriser la conversation avant de s’engager sur un périmètre d’intervention.
Cocher une case ne suffit pas
Le principal piège de ce type de liste est de confondre « avoir » et « être protégé ». Cocher « sauvegardes : oui » ne veut rien dire si personne n’a jamais testé une restauration ; répondre « MFA : activé » n’aide en rien s’il ne couvre que la moitié des comptes sensibles. La valeur d’un point ne tient pas à sa présence, mais à son efficacité réelle, et c’est précisément cet écart que révèle un audit technique là où l’auto-évaluation s’arrête à la surface.
Dans la pratique, deux points ressortent presque toujours comme les plus négligés : la revue régulière des droits d’accès et la désactivation immédiate des comptes d’anciens collaborateurs. Ce sont des mesures simples, sans coût, mais rarement automatisées faute de processus formalisé, si bien que des accès dorment parfois des mois après un départ. Le délai pour se mettre à niveau varie ensuite selon le point de départ : les correctifs rapides, comme activer le MFA ou nettoyer les comptes obsolètes, tiennent en quelques jours, tandis qu’un plan de réponse aux incidents réellement testé demande un projet de plusieurs semaines.
Un diagnostic, pas une fin en soi
Cette checklist n’a de valeur que si elle débouche sur des décisions. Une fois les zones d’ombre repérées, mieux vaut prioriser selon le rapport entre l’effort et la protection gagnée que tout corriger d’un coup, et chiffrer la remédiation une fois le diagnostic posé plutôt qu’à l’aveugle. C’est un point de départ pour situer son niveau et cadrer la conversation avec un prestataire, pas un substitut à un audit qui, lui, ira vérifier la configuration technique réelle que l’on ne peut pas cocher de mémoire.
À lire aussi, notre article sur la directive NIS 2 et nos conseils sur la conformité RGPD. Contactez-nous pour planifier votre audit.