Sécuriser les postes de travail d'une PME : le guide

Pourquoi le poste de travail compte pour une PME

Le poste de travail est l'endroit où l'entreprise rencontre internet : on y ouvre les pièces jointes, on y navigue, on y branche des clés USB, on y stocke des fichiers clients. C'est aussi là que se déclenchent la plupart des infections, et d'où un attaquant rebondit vers le reste du réseau. Un poste à jour, administré et chiffré ne rend pas l'entreprise invulnérable, mais il retire aux attaquants leurs chemins les plus faciles.

Ce que disent les chiffres

Selon le rapport Verizon DBIR 2025, un rançongiciel est présent dans 88 % des violations de données subies par les petites et moyennes entreprises, contre 39 % dans les grandes organisations.
L'exploitation de vulnérabilités atteint 20 % des accès initiaux dans le même rapport, en hausse de 34 %. Parmi les failles d'équipements exposés suivies, seules 54 % environ ont été entièrement corrigées dans l'année, avec un délai médian de 32 jours.
Le DBIR relève aussi que 46 % des machines infectées par un logiciel voleur d'identifiants et contenant des accès professionnels n'étaient pas gérées par l'entreprise : des ordinateurs personnels ou familiaux utilisés pour travailler.
En France, les rançongiciels représentent 8,1 % des demandes d'assistance des entreprises et associations en 2025, en hausse de 9 %. Cybermalveillance.gouv.fr rappelle que cette menace « reste la plus redoutable et la plus impactante pour une organisation ».
Si 84 % des TPE-PME déclarent disposer d'un antivirus, seules 16 % ont une solution de détection d'attaque de type EDR (baromètre Cybermalveillance.gouv.fr et OpinionWay 2025).

Un cas d'actualité : Windows 10

Le support de Windows 10 (version 22H2) a pris fin le 14 octobre 2025. Le CERT-FR rappelle que les vulnérabilités découvertes depuis ne sont plus corrigées et constituent « un risque de sécurité majeur ». Dans les organisations suivies par son service de mesure, 68 % des postes tournaient encore sur une version antérieure à Windows 11 au printemps 2025. Si vous avez encore des postes sous Windows 10 sans extension de support, ils relèvent de la première mesure ci-dessous.

Se situer en six questions

Ces questions reprennent les points que le diagnostic Lyyp évalue dans ce domaine. Répondez par oui ou par non : « sur la plupart des postes » compte comme non.

1. Un antivirus ou un EDR est-il déployé et à jour sur tous les postes ?

Non : un poste sans protection suffit à faire entrer un code malveillant. Oui : quelqu'un reçoit-il les alertes, et sait-il quoi en faire ? Une protection dont personne ne lit les alertes détecte, mais ne sert à rien.

2. Les mises à jour du système et des logiciels sont-elles gérées de façon centralisée ?

Non : chaque salarié repousse les mises à jour à sa convenance, et vous ignorez l'état réel du parc. Oui : les logiciels tiers (navigateur, lecteur PDF, suite bureautique) sont-ils couverts, et les postes en fin de support identifiés ?

3. Les disques des ordinateurs portables sont-ils chiffrés ?

Non : un portable perdu ou volé expose toutes les données qu'il contient, avec une éventuelle notification à la CNIL si des données personnelles sont en jeu. Oui : les clés de récupération sont-elles conservées ailleurs que sur le poste lui-même ?

4. Les droits d'administrateur local sont-ils retirés aux utilisateurs ?

Non : n'importe quel programme lancé par l'utilisateur peut s'installer et désactiver les protections. Oui : existe-t-il une procédure simple pour installer un logiciel légitime, afin que personne ne cherche à la contourner ?

5. Les téléphones et tablettes professionnels sont-ils gérés (MDM) ?

Non : la messagerie de l'entreprise est lisible sur des appareils que vous ne pouvez ni verrouiller ni effacer à distance. Oui : les appareils personnels qui accèdent aux données de l'entreprise sont-ils couverts par une règle ?

6. Tenez-vous un inventaire des postes et appareils ?

Non : c'est le préalable à toutes les autres mesures, car on ne met pas à jour un poste qu'on a oublié. Oui : l'inventaire indique-t-il le système, sa version et la date de fin de support ?

Si vous répondez non aux questions 2 et 6, commencez par elles : ce sont les fondations sur lesquelles reposent l'antivirus et le chiffrement.

Les mesures prioritaires, dans l'ordre

L'ordre ci-dessous s'appuie sur le guide d'hygiène informatique de l'ANSSI (parties « Sécuriser les postes », « Gérer le nomadisme » et « Maintenir le système d'information à jour ») et sur le guide ANSSI et DGE « La cybersécurité pour les TPE/PME en 13 questions ».

1. Inventorier le parc et remplacer ce qui n'est plus maintenu

Le guide des 13 questions demande d'inventorier tous les équipements, y compris périphériques, box et imprimantes, ainsi que les logiciels et leurs versions. Il ajoute : « Tout matériel ou logiciel qui ne peut plus être mis à jour doit être désinstallé et remplacé. » C'est la mesure 35 du guide d'hygiène : anticiper la fin de la maintenance des logiciels et des systèmes. Quand un remplacement immédiat est impossible, le CERT-FR recommande d'isoler ces machines du reste du système d'information au plus vite.

2. Automatiser les mises à jour

Selon le guide des 13 questions, la majorité des attaquants exploitent des vulnérabilités publiques et documentées, et le délai entre la publication d'une faille et son exploitation se réduit à quelques jours pour certaines campagnes. Il recommande d'activer la mise à jour automatique proposée par les éditeurs, pour le système comme pour les logiciels, et d'appliquer au plus vite les correctifs publiés en urgence. Si un prestataire gère votre parc, exigez cette pratique dans le contrat. Le guide d'hygiène en fait sa mesure 34 : définir une politique de mise à jour des composants du système d'information.

3. Déployer une protection administrée de façon centralisée

L'antivirus est la « première ligne de défense », rappelle le guide des 13 questions, à condition que le logiciel et sa base de signatures soient tenus à jour et que l'analyse automatique soit activée. Pour une PME de plusieurs postes, une console centrale (mesure 16 du guide d'hygiène : utiliser un outil de gestion centralisée afin d'homogénéiser les politiques de sécurité) permet de vérifier que chaque poste est protégé. L'étape suivante est un EDR, qui détecte des comportements suspects et pas seulement des fichiers connus ; il ne prend son sens que si quelqu'un, en interne ou chez un prestataire, traite ses alertes.

4. Retirer les droits d'administrateur aux utilisateurs

Mesure 29 du guide d'hygiène : limiter au strict besoin opérationnel les droits d'administration sur les postes de travail. Le guide des 13 questions explique pourquoi : de très nombreuses attaques sont causées par une navigation effectuée depuis un compte doté de privilèges élevés.

5. Chiffrer les portables et encadrer le nomadisme

Mesure 31 : chiffrer les données sensibles, en particulier sur le matériel potentiellement perdable. BitLocker sous Windows et FileVault sous macOS sont intégrés au système ; le coût est surtout organisationnel (conserver les clés de récupération). Voir notre fiche chiffrement.

6. Durcir la configuration de base

Mesure 14 : mettre en place un niveau de sécurité minimal sur l'ensemble du parc. Concrètement : pare-feu local activé et connexions entre postes interdites par défaut (mesure 17), verrouillage automatique de session, exécution automatique des supports amovibles désactivée (mesure 15), logiciels superflus désinstallés.

7. Gérer les mobiles et séparer les usages

Mesure 33 : adopter des politiques de sécurité dédiées aux terminaux mobiles. Un outil de gestion des mobiles (MDM) permet d'imposer un code de verrouillage, de chiffrer et d'effacer à distance. Le guide des 13 questions recommande idéalement un ordinateur dédié à l'usage professionnel, ou à défaut des comptes utilisateur distincts par usage : le chiffre du DBIR sur les machines personnelles infectées montre pourquoi.

Les erreurs fréquentes

Installer un antivirus différent sur chaque poste. Sans console centrale, personne ne voit qu'une licence a expiré ou qu'une protection a été désactivée.
Acheter un EDR sans personne pour lire les alertes. L'outil détecte ; si l'alerte arrive un vendredi soir dans une boîte que personne ne consulte, le rançongiciel aura le week-end devant lui.
Repousser les mises à jour « pour ne pas perturber ». Une mise à jour interrompt dix minutes ; une compromission arrête l'entreprise pour des jours.
Oublier les logiciels tiers. Le système est à jour, mais le navigateur, le lecteur PDF ou le logiciel métier ne le sont pas.
Garder un vieux poste « qui marche très bien ». Un système qui ne reçoit plus de correctifs reste vulnérable à chaque faille découverte après sa fin de support.
Laisser les salariés administrateurs pour gagner du temps. Le temps gagné à l'installation est perdu à la première infection.
Chiffrer sans sauvegarder les clés de récupération. Une panne matérielle et le disque devient illisible pour vous aussi.
Tolérer le travail sur l'ordinateur familial sans règle ni protection : c'est de là que proviennent une grande partie des identifiants volés.

Pour préparer l'entreprise à un rançongiciel au-delà du poste de travail, lisez notre article Se préparer à une attaque par rançongiciel.

Ce que ça coûte

Plusieurs mesures ne demandent aucun achat : activer les mises à jour automatiques, le chiffrement intégré au système ou le pare-feu local, retirer les droits d'administrateur. Pour le reste, voici les fourchettes du catalogue de prestations Lyyp. Le prix réel dépend du nombre de postes et figure dans chaque devis ; les licences logicielles s'ajoutent en général aux prestations de déploiement.

État des lieux

Audit flash (état des lieux) : de 1 500 à 3 000 €, environ 2 jours.
Audit technique d'infrastructure : de 5 000 à 15 000 €, environ 10 jours.

Mise en place

Déploiement EDR : de 2 000 à 6 000 €, environ 10 jours.
Durcissement serveurs : de 2 000 à 6 000 €, environ 5 jours.
Durcissement Active Directory : de 4 000 à 12 000 €, environ 10 jours. Pertinent si vos postes Windows sont gérés par un annuaire.

Services dans la durée

Supervision des vulnérabilités : de 1 000 à 4 000 €, sur une durée de référence d'un an.
MDR (détection et réponse managées) : de 2 000 à 8 000 €, sur une durée de référence d'un an. C'est la réponse au problème des alertes EDR que personne ne lit.
SOC externalisé : de 3 000 à 15 000 €, sur une durée de référence d'un an.

Pour ces services récurrents, vérifiez sur le devis la périodicité de facturation et le nombre de postes couverts. Pour choisir vos priorités, consultez la page Par où commencer.

Ce que la loi exige

RGPD : des mesures adaptées, le chiffrement en tête

L'article 32 du RGPD cite en premier exemple de mesure appropriée « la pseudonymisation et le chiffrement des données à caractère personnel ». Il ne fixe pas de liste d'outils, mais un niveau de sécurité adapté au risque, apprécié selon l'état des connaissances : un poste qui ne reçoit plus de correctifs ou un portable non chiffré contenant un fichier clients s'en écartent. La CNIL détaille les précautions attendues dans son guide de la sécurité des données personnelles (édition 2024), qui comporte des fiches sur les postes de travail et l'informatique mobile.

NIS2 : cyberhygiène et gestion des vulnérabilités

Pour les entités essentielles et importantes, l'article 21 de la directive (UE) 2022/2555 (NIS2) cite notamment « les pratiques de base en matière de cyberhygiène », la sécurité de la maintenance des systèmes d'information « y compris le traitement et la divulgation des vulnérabilités », et les politiques relatives au chiffrement.

État de la transposition au 13 septembre 2026. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, devait être examiné en séance en juillet 2026 ; les dossiers législatifs ne font à ce jour état d'aucune adoption définitive. NIS2 ne s'applique donc pas encore en France. Pour anticiper, lisez NIS2 : votre PME est-elle concernée ?

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

Mesurer d'abord

Le diagnostic Lyyp peut porter sur ce seul domaine : 6 questions sur la protection antivirus ou EDR, les mises à jour, le chiffrement, les droits d'administrateur, les mobiles et l'inventaire du parc. Gratuit, sans inscription préalable.

Évaluer la protection de mes postes (6 questions)

Se faire accompagner ensuite

Pour déployer un EDR, durcir la configuration du parc ou confier la surveillance des alertes, des prestataires vérifiés interviennent auprès des PME. Demandez le nombre de postes couverts, ce qui se passe quand une alerte survient la nuit, et le coût des licences en plus de la prestation.

Trouver un prestataire en protection des postes de travail

Sources

Verizon, 2025 Data Breach Investigations Report, Small- and Medium-Sized Business Snapshot.
Cybermalveillance.gouv.fr, Rapport d'activité 2025, mars 2026.
Cybermalveillance.gouv.fr et OpinionWay, 2e baromètre national de la maturité cyber des TPE-PME, octobre 2025.
CERT-FR, Fin de support de Windows 10 en octobre 2025, avril 2025.
ANSSI, Guide d'hygiène informatique, mesures 14 à 17, 29, 31, 33, 34 et 35.
ANSSI et DGE, La cybersécurité pour les TPE/PME en treize questions, questions 1, 3, 4 et 8.
Cybermalveillance.gouv.fr, Pourquoi et comment bien gérer ses mises à jour ?
CNIL, Guide de la sécurité des données personnelles, édition 2024.
Règlement (UE) 2016/679 (RGPD), article 32, EUR-Lex.
Directive (UE) 2022/2555 (NIS2), article 21, EUR-Lex.
Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
Fourchettes tarifaires : catalogue de prestations Lyyp, septembre 2026.