Les 10 bonnes pratiques cybersécurité pour protéger votre PME

En bref

• En 2025, les TPE, PME et ETI représentent 48 % des victimes de rançongiciel recensées par l'ANSSI, contre 37 % l'année précédente.
• Contrairement à une idée reçue, l'erreur humaine n'explique pas tout : chez les petites structures, le premier point d'entrée des attaquants est l'exploitation d'une faille logicielle non corrigée.
• 80 % des dirigeants de TPE-PME reconnaissent être mal préparés à une attaque, alors que 58 % jugent leur protection bonne. C'est cet écart qui coûte cher.
• Les dix mesures ci-dessous sont directement issues des recommandations de l'ANSSI. Aucune ne nécessite un budget à six chiffres.

Pourquoi votre PME intéresse les attaquants

Il faut évacuer d'emblée deux discours également faux. Le premier : « nous sommes trop petits pour intéresser qui que ce soit ». Le second : « il faut un budget de grand groupe pour se protéger ». Les données publiques disent autre chose, et disent surtout que la réalité est plus banale que les deux.

Dans son Panorama de la cybermenace 2025, publié en mars 2026, l'ANSSI recense 128 compromissions par rançongiciel portées à sa connaissance. Parmi ces victimes, la catégorie « PME / TPE / ETI » arrive largement en tête avec 48 % des cas, en nette progression par rapport aux 37 % de 2024. L'Agence est explicite sur le mode opératoire : ces attaques sont opportunistes. Les attaquants ne choisissent pas leur cible parce qu'elle est prestigieuse, ils la choisissent parce qu'elle est accessible.

C'est une nuance essentielle. Vous n'êtes pas visé pour ce que vous êtes, mais parce qu'un scan automatisé a trouvé chez vous un serveur exposé, un pare-feu non mis à jour ou un mot de passe réutilisé. Le Data Breach Investigations Report 2026 de Verizon, qui analyse plus de 22 000 violations confirmées dans 145 pays, le confirme pour les petites et moyennes entreprises : dans 100 % des cas étudiés, l'attaquant est externe et sa motivation est financière. Rien de personnel.

L'écart entre le sentiment de protection et la réalité

Le baromètre de la maturité cyber des TPE-PME publié par Cybermalveillance.gouv.fr donne la mesure du problème. 58 % des dirigeants estiment leur niveau de protection bon ou très bon : une progression réelle par rapport aux 39 % de l'édition précédente. Mais dans le même échantillon, 80 % reconnaissent ne pas être préparés à faire face à une attaque, et 24 % seulement disposent d'une procédure de réaction en cas d'incident.

Autrement dit : beaucoup d'entreprises ont installé un antivirus (84 %) et font des sauvegardes (78 %), et en concluent qu'elles sont couvertes. Elles le sont contre le tout-venant. Elles ne le sont pas contre une attaque qui aboutit, parce que ce qui fait la différence à ce moment-là, ce n'est pas l'antivirus, c'est de savoir quoi faire, avec qui, et si les sauvegardes sont restaurables.

Ce que dit vraiment le chiffre de « l'erreur humaine »

On lit partout que 90 % des incidents de sécurité viennent d'une erreur humaine. Ce chiffre circule beaucoup, il est rarement sourcé, et les données disponibles ne le soutiennent pas.

Le DBIR 2026 mesure la présence de « l'élément humain » (ce qui inclut l'erreur, l'abus de privilège et l'ingénierie sociale) dans 62 % des violations toutes tailles confondues, et dans 45 % des violations touchant des PME. C'est considérable, mais ce n'est pas 90 %. Surtout, la même étude montre que l'exploitation de vulnérabilités logicielles est devenue en 2026 le premier vecteur d'accès initial (31 % des violations, 26 % chez les PME), devant l'usage d'identifiants volés (13 %) et l'hameçonnage (16 % au global, 9 % chez les PME).

La conséquence pratique est directe : une politique de sécurité qui repose uniquement sur la sensibilisation des salariés laisse ouverte la porte la plus utilisée. Il faut faire les deux : former, et corriger.

Les 10 mesures à mettre en place

Les dix points qui suivent reprennent la structure du guide « La cybersécurité pour les TPE/PME en 13 questions », rédigé par l'ANSSI avec la Direction générale des entreprises, la CPME et Cybermalveillance.gouv.fr. Ils sont classés par ordre de mise en œuvre, pas par ordre d'importance.

1. Savoir ce que vous possédez

C'est la première question du guide de l'ANSSI, et elle passe presque toujours à la trappe. On ne protège pas ce qu'on ne sait pas avoir. L'inventaire porte sur quatre choses : les équipements (postes, serveurs, box, imprimantes, clés 4G), les logiciels et leurs versions, les données et traitements vitaux pour l'activité, et surtout les accès, qui se connecte, comment, avec quels droits.

Ce dernier point est celui qui rapporte le plus vite. L'inventaire des accès fait systématiquement apparaître des comptes d'anciens salariés toujours actifs, des accès de prestataires qui n'interviennent plus depuis deux ans, des comptes de service partagés dont plus personne ne connaît l'usage. Chacun est une porte ouverte que personne ne surveille. Un tableur suffit pour commencer ; l'ANSSI recommande une mise à jour au moins annuelle.

2. Sauvegarder selon la règle 3-2-1 et tester la restauration

La règle est simple : 3 copies, sur 2 supports différents, dont 1 hors ligne. Le troisième terme est le seul qui compte vraiment face à un rançongiciel.

La raison est mécanique. Une sauvegarde sur un NAS ou un cloud connecté au réseau est atteignable par un attaquant qui a pris pied sur votre système d'information : il la chiffrera en même temps que le reste, ou l'exfiltrera. L'ANSSI insiste sur la nécessité de compléter par une sauvegarde « déconnectée », un disque externe physiquement débranché après l'opération, ou un service cloud proposant explicitement une garantie de déconnexion (souscrite, et vérifiée).

Deuxième point, tout aussi négligé : une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse. Testez la restauration régulièrement, sur un jeu de données réel. C'est le jour de l'incident qu'on découvre que le job échouait silencieusement depuis huit mois.

3. Appliquer les mises à jour, sans exception

C'est la mesure au meilleur rapport effort/résultat, et celle que les données désignent désormais comme prioritaire.

Le DBIR 2026 fournit un constat sévère : parmi les vulnérabilités critiques listées au catalogue KEV de la CISA (c'est-à-dire celles dont l'exploitation par des attaquants est avérée), seulement 26 % ont été entièrement corrigées par les organisations en 2025, contre 38 % l'année précédente. Le délai médian de correction complète est passé de 32 à 43 jours. Pendant ce temps, l'ANSSI observe que le délai entre la publication d'une faille et son exploitation massive se réduit à quelques jours.

Concrètement : activez les mises à jour automatiques partout où c'est possible, en priorité sur tout ce qui est exposé à Internet (pare-feu, VPN, serveur de messagerie, site web). Et remplacez ce qui n'est plus maintenu : « tout matériel ou logiciel qui ne peut plus être mis à jour doit être désinstallé et remplacé », écrit l'ANSSI. Un Windows Server en fin de support n'est pas une économie, c'est une dette qui porte intérêt.

4. Activer l'authentification multifacteur partout

L'authentification multifacteur (MFA, ou 2FA) ajoute au mot de passe un second élément : un code temporaire, une notification, une clé physique. Elle neutralise l'essentiel des attaques par mot de passe volé ou deviné.

Le baromètre TPE-PME montre que 26 % seulement des petites entreprises l'ont déployée, malgré une progression de 6 points. C'est le plus gros gisement de sécurité disponible aujourd'hui pour un coût quasi nul : la MFA est proposée gratuitement par les messageries, les banques et la plupart des services cloud.

Priorité absolue : la messagerie professionnelle, les accès distants (VPN), les comptes d'administration et les outils bancaires. Une réserve honnête : la MFA n'est pas invulnérable. L'ANSSI documente des techniques de contournement (fatigue MFA, échange de carte SIM, faux support technique) que nous détaillons plus loin. Elle relève massivement le coût de l'attaque, elle ne l'annule pas.

5. Adopter une politique de mots de passe qui tienne la route

Les règles ont changé, et beaucoup de politiques d'entreprise appliquent encore les recommandations d'avant 2022, notamment le changement obligatoire tous les 90 jours, que la CNIL ne recommande plus pour les comptes courants.

Nous détaillons le sujet dans notre guide pour mettre en place une politique de mots de passe robuste. Retenez pour l'instant l'essentiel : des mots de passe longs et uniques pour chaque service, un gestionnaire de mots de passe pour ne pas avoir à les retenir, et jamais le même secret entre messagerie personnelle et professionnelle.

6. Déployer un antivirus, et savoir ce qu'il ne fait pas

L'antivirus reste une première ligne de défense utile, à condition que le logiciel et sa base de signatures soient tenus à jour automatiquement. 84 % des TPE-PME en ont un : c'est la mesure la mieux adoptée.

Il faut cependant connaître sa limite. Un antivirus reconnaît des menaces connues. Or l'ANSSI observe en 2025 une bascule nette des attaquants vers l'usage d'outils parfaitement légitimes, logiciels de prise en main à distance (RMM), services de stockage cloud, utilitaires système, précisément pour passer sous les radars. Une solution de type EDR (détection et réponse sur les postes), qui analyse les comportements plutôt que les signatures, répond à cette évolution. C'est un investissement à envisager dès que l'entreprise dépasse quelques dizaines de postes.

7. Sécuriser la messagerie

La messagerie reste le principal point de contact entre vos salariés et l'extérieur. Chez Cybermalveillance.gouv.fr, l'hameçonnage est le deuxième motif de demande d'assistance des entreprises en 2025, avec 16 % des dossiers, en hausse de 29 %.

Trois réflexes techniques : activez les protections anti-hameçonnage de votre fournisseur, configurez correctement SPF, DKIM et DMARC sur votre nom de domaine (cela empêche qu'on usurpe votre adresse pour piéger vos clients), et activez la MFA sur les boîtes aux lettres. Le volet humain est traité dans notre article sur la formation au phishing.

8. Séparer les usages

Ne pas mélanger comptes personnels et professionnels, ne pas administrer le système d'information depuis le compte utilisé pour consulter ses mails, ne pas brancher n'importe quelle clé USB sur le poste qui accède à la comptabilité.

Le principe sous-jacent est celui du moindre privilège : un compte ne doit avoir que les droits nécessaires à sa fonction. Il limite mécaniquement les dégâts d'une compromission. Si le poste d'un commercial est infecté, l'attaquant hérite des droits de ce commercial, pas de ceux d'un administrateur. C'est aussi ce qui empêche un rançongiciel de se propager latéralement à tout le réseau, un mouvement que l'activation du pare-feu local sur chaque poste rend nettement plus difficile.

9. Sensibiliser : sérieusement

60 % des TPE-PME déclarent mener des actions de sensibilisation. Le chiffre est encourageant, mais tout dépend de ce qu'on met derrière.

Une réunion annuelle en présentation projetée ne change pas les comportements. Ce qui fonctionne : des sessions courtes et répétées, des exemples tirés de votre secteur, et surtout une règle de signalement sans reproche. Un salarié qui a cliqué et qui a peur d'être sanctionné ne le dira pas, et vous perdrez les heures qui comptent le plus. Le message doit être : signaler vite est valorisé, même en cas de fausse alerte, même quand on s'est fait avoir.

10. Préparer l'incident avant qu'il arrive

C'est la mesure la moins déployée (24 % des TPE-PME) et celle qui fait la plus grande différence le jour J.

Préparer, ce n'est pas rédiger un classeur de 80 pages. C'est répondre à l'avance à quatre questions : qui décide de débrancher, qui appelle-t-on (le prestataire de réponse à incident, identifié et contractualisé avant), comment communique-t-on quand la messagerie est hors service, et quelles données doivent revenir en premier. Ajoutez-y les numéros utiles : Cybermalveillance.gouv.fr pour le diagnostic et la mise en relation, le dépôt de plainte, et la CNIL sous 72 heures si des données personnelles sont concernées.

Deux compléments valent d'être examinés : un plan de reprise d'activité qui documente la remise en route, et une assurance cyber dont vous aurez lu les exclusions, beaucoup de contrats conditionnent l'indemnisation à l'existence de sauvegardes déconnectées et de la MFA.

Par où commencer avec un budget contraint

75 % des TPE-PME investissent moins de 2 000 € par an en cybersécurité, et les trois freins cités en tête sont le manque de connaissances (63 %), le budget (61 %) et le temps (59 %). L'ordre de priorité suivant tient compte de cette réalité.

1. Coût nul, effet immédiat : activer la MFA sur la messagerie et les accès bancaires ; activer les mises à jour automatiques ; faire l'inventaire des accès et couper ceux qui ne servent plus.
2. Coût faible : un gestionnaire de mots de passe pour toute l'équipe ; un disque externe dédié à la sauvegarde hors ligne, avec un test de restauration trimestriel.
3. Investissement à planifier : le remplacement des équipements en fin de support ; une solution EDR ; un accompagnement pour formaliser la procédure d'incident.

Si vous ne savez pas où vous en êtes, commencez par mesurer. Notre diagnostic de maturité cyber établit un état des lieux par thème en quelques minutes et identifie les écarts prioritaires. À partir de là, vous pouvez consulter des prestataires certifiés sur les chantiers que vous ne traiterez pas en interne.

Questions fréquentes

Une TPE de moins de 10 salariés est-elle vraiment concernée ?

Oui. Les attaques par rançongiciel recensées par l'ANSSI sont majoritairement opportunistes : elles ciblent des systèmes vulnérables, pas des organisations identifiées. La taille ne protège pas, elle réduit seulement les moyens de réaction.

Faut-il un responsable sécurité dédié ?

Pas à l'échelle d'une PME. Ce qu'il faut, c'est un responsable désigné (quelqu'un dont c'est explicitement une part du rôle, avec du temps alloué) et un prestataire externe identifié pour ce qui dépasse ses compétences. 25 % des TPE-PME ne font appel à aucun prestataire spécialisé : c'est le point le plus fragile de la chaîne.

Ces mesures suffisent-elles pour être conforme au RGPD ?

Elles y contribuent fortement. L'article 32 du RGPD impose des « mesures techniques et organisationnelles appropriées » sans en dresser la liste : les recommandations de l'ANSSI constituent une référence défendable. Voir notre article sur les liens entre RGPD et cybersécurité.

Sources

• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• ANSSI, DGE, CPME et Cybermalveillance.gouv.fr, La cybersécurité pour les TPE/PME en 13 questions.
• Cybermalveillance.gouv.fr, Baromètre national de la maturité cyber des TPE-PME, 2^e édition.
• Verizon, 2026 Data Breach Investigations Report (19^e édition, 22 000+ violations confirmées).