Les bonnes pratiques de cybersécurité pour une PME consistent à sécuriser les comptes, maintenir les systèmes à jour, sauvegarder les données, protéger les postes et le réseau, sécuriser la messagerie, sensibiliser les collaborateurs, limiter les droits d’accès, surveiller les événements importants et préparer une réponse aux incidents. La priorité dépend du niveau de risque, des données traitées et des activités essentielles de chaque entreprise.
Comment prioriser les bonnes pratiques de cybersécurité dans une PME ?
Une PME n’a pas nécessairement besoin de mettre en œuvre toutes les mesures au même moment. L’objectif est d’abord de traiter les fondamentaux qui réduisent les risques les plus importants, puis de renforcer progressivement l’organisation.
L’ANSSI recommande notamment aux TPE et PME d’identifier leurs données essentielles, de réaliser des sauvegardes régulières, de maintenir les équipements à jour, de maîtriser les accès et de sensibiliser les collaborateurs.
Dans ce guide, les dix pratiques sont présentées dans un ordre opérationnel. Le niveau de priorité indiqué constitue un repère général : il doit être adapté au contexte réel de chaque entreprise.
1. Sécuriser les comptes avec des mots de passe uniques et la MFA
Les comptes utilisateurs constituent un point d’accès essentiel au système d’information. Un mot de passe compromis peut devenir problématique lorsqu’il est réutilisé sur plusieurs services.
L’ANSSI recommande notamment de ne pas réutiliser les mots de passe et de privilégier l’authentification multifacteur lorsqu’elle est disponible.
Pourquoi c’est important
La messagerie, les services cloud, les applications métiers et les outils d’administration peuvent donner accès à des informations importantes pour l’entreprise.
Renforcer l’authentification permet donc de réduire le risque qu’un identifiant compromis suffise à accéder à un service.
Action concrète
Commencez par identifier les comptes les plus sensibles et :
- activez la MFA lorsqu’elle est disponible ;
- utilisez un mot de passe différent pour chaque service ;
- évitez les comptes partagés lorsque ce n’est pas nécessaire ;
- supprimez ou désactivez les comptes qui ne sont plus utilisés.
Un gestionnaire de mots de passe peut également faciliter l’utilisation de mots de passe uniques.
Priorité
Priorité : très élevée
La sécurisation des comptes constitue généralement l’un des premiers sujets à traiter dans une PME.
2. Maintenir les systèmes et logiciels à jour
Les logiciels et équipements peuvent présenter des vulnérabilités corrigées par les éditeurs au moyen de mises à jour de sécurité.
Cybermalveillance.gouv.fr rappelle que les mises à jour permettent notamment de corriger des failles susceptibles d’être exploitées pour compromettre un équipement ou un logiciel.
Pourquoi c’est important
Un système qui reste longtemps sans correctif peut conserver une vulnérabilité connue alors qu’une mise à jour existe déjà.
Cela concerne aussi bien les ordinateurs que les smartphones, serveurs, équipements réseau, logiciels métiers ou applications utilisées dans le cloud.
Action concrète
Mettez en place un suivi permettant de savoir :
- quels équipements et logiciels sont utilisés ;
- lesquels nécessitent des mises à jour ;
- qui est responsable de leur application ;
- quelles exceptions doivent être suivies.
Les équipements exposés directement à Internet méritent une attention particulière. Cybermalveillance.gouv.fr recommande notamment de veiller aux correctifs de sécurité des équipements et services exposés.
Priorité
Priorité : très élevée
Une gestion régulière des correctifs doit faire partie des opérations courantes.
3. Mettre en place des sauvegardes fiables
Une sauvegarde doit permettre de retrouver les données nécessaires après une perte, une panne ou un incident.
L’ANSSI recommande d’identifier les données essentielles, de définir un rythme de sauvegarde adapté à l’activité et de vérifier la capacité de restauration.
Pourquoi c’est important
Une entreprise peut continuer à fonctionner après un incident si elle dispose des informations nécessaires pour reprendre son activité.
À l’inverse, une sauvegarde qui existe mais dont la restauration n’a jamais été vérifiée peut créer une fausse impression de sécurité.
Action concrète
Identifiez d’abord les données indispensables à l’activité : documents clients, données comptables, fichiers métiers, configurations ou autres informations critiques.
Définissez ensuite une fréquence adaptée au rythme de production des données et conservez des copies permettant de limiter le risque qu’un même incident affecte simultanément les données de travail et les sauvegardes.
Enfin, vérifiez régulièrement que les données peuvent réellement être restaurées.
Priorité
Priorité : très élevée
La sauvegarde et la capacité de restauration doivent être traitées avant les mesures plus secondaires.
4. Protéger les postes et équipements
Les ordinateurs, serveurs et appareils mobiles constituent les points de contact quotidiens avec le système d’information.
La protection ne repose pas sur un seul outil. Elle associe notamment mises à jour, configuration adaptée, protection contre les logiciels malveillants et bonnes pratiques d'utilisation.
Pourquoi c’est important
Un poste compromis peut permettre à un attaquant d’accéder à des informations, de perturber l'activité ou de tenter de se déplacer vers d'autres ressources.
La protection des équipements doit donc être cohérente avec leur rôle et les données auxquelles ils donnent accès.
Action concrète
Vérifiez que les postes et serveurs disposent de protections adaptées, que leurs systèmes sont maintenus à jour et que les utilisateurs ne disposent pas de droits administrateur lorsque ceux-ci ne sont pas nécessaires.
Les équipements mobiles doivent également être intégrés à la démarche lorsque les collaborateurs les utilisent pour accéder aux ressources professionnelles.
Priorité
Priorité : élevée
Cette pratique doit être adaptée à l’environnement technique réel de l’entreprise.
5. Sécuriser les connexions et le réseau
Le réseau relie les utilisateurs, équipements, applications et services de l'entreprise. Sa configuration doit limiter les accès inutiles et protéger les connexions vers les ressources internes.
Pour les TPE/PME, Cybermalveillance.gouv.fr recommande notamment de maîtriser les connexions extérieures et l'ANSSI recommande, lorsque les ressources de l'entreprise s'y prêtent, de cloisonner les différents environnements réseau.
Pourquoi c’est important
Une organisation qui expose inutilement des services ou accorde des accès trop larges augmente sa surface d’exposition.
Le télétravail, la télémaintenance et les connexions avec des fournisseurs ou partenaires doivent également être pris en compte.
Action concrète
Commencez par identifier les accès extérieurs réellement nécessaires.
Selon l’environnement, cela peut conduire à :
- sécuriser les accès distants ;
- limiter les services exposés sur Internet ;
- séparer certains environnements réseau ;
- protéger les connexions Wi-Fi ;
- revoir les accès des prestataires et partenaires.
Priorité
Priorité : élevée
Le niveau de priorité dépend fortement de l'architecture et des accès de chaque PME.
6. Protéger la messagerie et prévenir le phishing
La messagerie est utilisée quotidiennement pour échanger avec les clients, fournisseurs et collaborateurs. Elle doit donc bénéficier de mesures techniques et organisationnelles adaptées.
Le phishing doit être traité ici comme une pratique parmi les dix, et non comme le sujet principal de ce guide.
Pourquoi c’est important
Un message frauduleux peut chercher à obtenir des identifiants, provoquer une action financière ou amener un utilisateur à ouvrir un contenu malveillant.
La prévention repose sur plusieurs niveaux : protection de la messagerie, authentification renforcée, vigilance des utilisateurs et procédure de signalement.
Action concrète
Vérifiez notamment que les comptes de messagerie importants disposent de protections adaptées et que les collaborateurs savent signaler un message suspect.
Pour approfondir exclusivement la prévention du phishing, consultez le guide Prévenir le phishing en PME : reconnaître et réagir face au hameçonnage.
Priorité
Priorité : élevée
La messagerie étant au cœur des échanges professionnels, sa protection doit faire partie des fondamentaux.
7. Sensibiliser régulièrement les collaborateurs
Les collaborateurs participent directement à la protection du système d’information. Ils doivent connaître les comportements attendus lorsqu’ils reçoivent un message inhabituel, utilisent un équipement professionnel ou constatent un incident.
Cybermalveillance.gouv.fr recommande notamment de sensibiliser les collaborateurs aux risques et de rappeler les consignes concernant les messages suspects, pièces jointes et liens.
Pourquoi c’est important
Une procédure technique ne suffit pas si les utilisateurs ne savent pas comment réagir.
La sensibilisation permet surtout de créer des réflexes : vérifier une demande inhabituelle, ne pas communiquer ses identifiants et signaler rapidement un problème.
Action concrète
Organisez régulièrement des rappels courts à partir de situations concrètes :
- message suspect ;
- demande inhabituelle ;
- perte d’un équipement ;
- utilisation d’un service professionnel ;
- incident sur un compte.
L’objectif n’est pas de culpabiliser les salariés, mais de rendre le signalement rapide et normal.
Priorité
Priorité : élevée
La sensibilisation doit être entretenue dans le temps plutôt que réalisée une seule fois.
8. Maîtriser les droits d’accès
Chaque collaborateur devrait disposer uniquement des accès nécessaires à ses missions.
Cette logique concerne les fichiers, applications métiers, services cloud, ressources réseau et outils d'administration.
Pourquoi c’est important
Un compte compromis ou mal utilisé ne devrait pas permettre d'accéder à l'ensemble du système d'information.
La limitation des droits réduit donc l'exposition potentielle lorsqu'un compte est compromis ou lorsqu'une erreur humaine survient.
Action concrète
Effectuez régulièrement une revue des comptes et des droits :
- quels utilisateurs ont accès à quelles ressources ?
- ces accès sont-ils toujours nécessaires ?
- quels comptes disposent de droits élevés ?
- les anciens collaborateurs ont-ils été retirés ?
- les comptes des prestataires sont-ils encore nécessaires ?
Cybermalveillance.gouv.fr recommande de n’ouvrir que les accès strictement nécessaires au fonctionnement de l’activité.
Priorité
Priorité : élevée
Cette pratique devient particulièrement importante lorsque l’entreprise possède plusieurs services, sites ou profils d’utilisateurs.
9. Surveiller les événements et les accès importants
Une PME ne dispose pas nécessairement d'un centre de supervision dédié. Elle doit néanmoins savoir quels événements importants doivent être détectés et comment ils seront examinés.
Pourquoi c’est important
Une activité inhabituelle peut constituer un signal qu'un compte ou un équipement présente un problème.
Le suivi permet également de disposer d'éléments utiles lorsqu'un incident doit être analysé.
Action concrète
Déterminez les événements qui méritent une attention particulière dans votre environnement : connexions inhabituelles, changements importants sur les comptes, événements de sécurité ou alertes provenant des protections déployées.
Selon la taille et la complexité de l’entreprise, cette surveillance peut être assurée en interne ou avec l’aide d’un prestataire.
Priorité
Priorité : moyenne à élevée
Le niveau dépend de la criticité du système d'information et des ressources disponibles pour analyser les alertes.
10. Préparer la réponse aux incidents et la continuité
Même avec des mesures de prévention, une entreprise doit prévoir ce qu’elle fera si un incident survient.
L’objectif n’est pas nécessairement de construire immédiatement une organisation complexe, mais de savoir qui alerter, quelles décisions prendre et comment maintenir ou reprendre les activités essentielles.
Pourquoi c’est important
Dans une situation de crise, l’absence de procédure peut ralentir les décisions.
La préparation doit notamment prendre en compte les activités critiques, les personnes responsables, les contacts utiles et les moyens permettant de restaurer ou maintenir les fonctions essentielles.
Action concrète
Commencez par formaliser une procédure simple :
- identifier les personnes à prévenir ;
- définir les premières mesures à prendre ;
- identifier les ressources et données critiques ;
- définir les priorités de reprise ;
- conserver les coordonnées des interlocuteurs importants ;
- vérifier périodiquement que les dispositions prévues restent adaptées.
Un PCA ou un PRA peut ensuite être structuré selon les besoins et la criticité de l’entreprise.
Priorité
Priorité : élevée
La priorité augmente lorsque l'activité dépend fortement des systèmes numériques ou de données indisponibles en cas d'incident.
Checklist : les 10 pratiques à vérifier dans votre PME
Cette checklist permet de faire un premier état des lieux sans remplacer un audit de sécurité.
| Pratique | Vérification | Priorité |
|---|---|---|
| Comptes et MFA | MFA activée lorsque disponible, mots de passe uniques | Très élevée |
| Mises à jour | Systèmes et logiciels suivis et corrigés | Très élevée |
| Sauvegardes | Données critiques sauvegardées et restauration vérifiée | Très élevée |
| Postes | Équipements protégés et correctement administrés | Élevée |
| Réseau | Accès externes et connexions maîtrisés | Élevée |
| Messagerie | Protection + procédure anti-phishing | Élevée |
| Sensibilisation | Collaborateurs informés et consignes connues | Élevée |
| Droits d’accès | Accès limités au nécessaire | Élevée |
| Supervision | Événements importants suivis | Moyenne à élevée |
| Réponse | Procédure d'incident et continuité préparées | Élevée |
La priorité reste indicative : une PME doit l'adapter à son activité, à ses données, à son infrastructure et à son exposition.
Plan cybersécurité PME : quoi faire en 30, 60 et 90 jours ?
Un plan sur 90 jours permet de transformer la checklist en actions concrètes sans chercher à tout traiter simultanément.
Les 30 premiers jours : sécuriser les fondamentaux
La première phase doit viser les mesures dont l'absence peut créer une exposition immédiate.
Objectifs :
- inventorier les comptes et équipements essentiels ;
- activer la MFA lorsque disponible ;
- vérifier les mots de passe et comptes inutilisés ;
- identifier les données critiques ;
- vérifier les sauvegardes ;
- contrôler les mises à jour importantes ;
- rappeler les règles essentielles aux collaborateurs.
Cette phase permet d'obtenir rapidement une vision plus claire de la situation.
De 30 à 60 jours : renforcer l’organisation
Une fois les fondamentaux vérifiés, l'entreprise peut approfondir les accès et les pratiques.
Objectifs :
- revoir les droits d'accès
- sécuriser les accès distants
- examiner les protections des postes
- formaliser la procédure de signalement
- préciser les responsabilités en cas d'incident
- examiner les événements et alertes importants
- traiter les principaux écarts identifiés
La logique est de passer de mesures ponctuelles à une organisation suivie.
De 60 à 90 jours : structurer la résilience
La troisième phase consiste à améliorer la capacité de l'entreprise à faire face à une interruption.
Objectifs :
- identifier les activités critiques
- définir les priorités de reprise
- vérifier les capacités de restauration
- formaliser ou mettre à jour les procédures de réponse
- identifier les contacts internes et externes utiles
- planifier les actions restant à traiter
À ce stade, la PME dispose d'une base pour construire une démarche d'amélioration continue.
Comment savoir quelles pratiques traiter en priorité ?
Les dix pratiques ne doivent pas être considérées comme une liste figée.
Une PME qui dépend fortement de sa messagerie et de ses applications cloud peut donner une priorité élevée aux comptes, à la MFA et aux accès. Une entreprise dont l'activité dépend de serveurs locaux ou d'applications métiers critiques devra accorder une attention particulière aux sauvegardes, au réseau et à la capacité de reprise.
Le bon ordre dépend donc de trois éléments :
- ce qui est critique pour l'activité
- ce qui présente actuellement le plus de risque
- ce que l'entreprise peut réellement mettre en œuvre
Cette logique rejoint l'approche recommandée par Cybermalveillance.gouv.fr : commencer par identifier les systèmes et informations critiques, puis prioriser les actions en fonction des risques et des lacunes constatées.
Quand faire appel à un accompagnement professionnel ?
Les bonnes pratiques permettent de traiter une partie importante des fondamentaux. Mais une PME peut avoir besoin d'un accompagnement lorsqu'elle ne dispose pas des ressources internes nécessaires pour évaluer son environnement, vérifier ses configurations ou structurer son plan d'amélioration.
Un accompagnement peut notamment aider à identifier les écarts, prioriser les actions et mettre en œuvre les mesures adaptées à l'environnement réel de l'entreprise.
Pour les besoins qui dépassent ce guide général et nécessitent un accompagnement professionnel, OM Conseil présente ses services sur sa page cybersécurité entreprise.
Ce guide conserve cependant une intention différente : fournir aux dirigeants et responsables de PME une checklist globale des pratiques à vérifier, sans remplacer une analyse personnalisée du système d'information.
FAQ | Bonnes pratiques de cybersécurité pour les PME
Quelles sont les bonnes pratiques de cybersécurité pour une PME ?
Les principales pratiques consistent à sécuriser les comptes avec des mots de passe uniques et la MFA, maintenir les systèmes à jour, sauvegarder les données, protéger les postes et le réseau, sécuriser la messagerie, sensibiliser les collaborateurs, limiter les droits d’accès, surveiller les événements importants et préparer une procédure de réponse aux incidents et de continuité.
Quelle est la première mesure de cybersécurité à mettre en place dans une PME ?
Il n’existe pas une première mesure identique pour toutes les PME, mais la sécurisation des comptes constitue généralement un point de départ important. Il est pertinent de vérifier les comptes sensibles, d’utiliser des mots de passe uniques et d’activer la MFA lorsqu’elle est disponible. Cette première étape peut être complétée par la vérification des sauvegardes et des mises à jour.
La MFA est-elle indispensable pour une PME ?
La MFA apporte une protection supplémentaire aux comptes en demandant une vérification complémentaire au mot de passe. Elle est particulièrement pertinente pour les comptes sensibles et les services qui la proposent. Elle ne remplace toutefois pas les autres mesures de sécurité : une PME doit également gérer les accès, les mises à jour, les sauvegardes et la sensibilisation des utilisateurs.
À quelle fréquence une PME doit-elle sauvegarder ses données ?
Il n’existe pas une fréquence universelle. Elle doit dépendre de la quantité de données produites et de l'impact d'une perte sur l'activité. L'ANSSI recommande de définir le rythme des sauvegardes en fonction des données essentielles et des besoins de l'entreprise. La capacité à restaurer réellement les données doit également être vérifiée.
Pourquoi les mises à jour sont-elles importantes en cybersécurité ?
Les mises à jour peuvent corriger des vulnérabilités de sécurité présentes dans les logiciels et équipements. Les maintenir à jour permet donc de réduire l'exposition à certaines failles connues. Cette pratique concerne les ordinateurs, smartphones, serveurs, logiciels, équipements réseau et autres systèmes utilisés par l'entreprise. Les équipements exposés sur Internet doivent faire l'objet d'une attention particulière.
Une PME doit-elle avoir un plan de reprise d’activité ?
La nécessité d'un PRA dépend du contexte, de l'activité et de la criticité du système d'information. Une PME doit toutefois réfléchir à la manière dont elle maintiendrait ou reprendrait ses activités essentielles après une interruption. Cette réflexion peut commencer simplement par l'identification des données, applications et processus indispensables, puis être formalisée davantage selon les besoins.
Comment sensibiliser les salariés aux risques cyber ?
La sensibilisation doit partir de situations concrètes rencontrées dans l'entreprise : message suspect, demande inhabituelle, perte d'un équipement, utilisation d'un service cloud ou incident sur un compte. Les collaborateurs doivent surtout connaître les comportements attendus et savoir à qui signaler un problème. Les rappels réguliers sont généralement plus utiles qu'une seule formation isolée.
Quand une PME doit-elle faire réaliser un audit de sécurité ?
Un audit peut être pertinent lorsque l'entreprise souhaite disposer d'une vision structurée de ses risques et de ses écarts, notamment après une évolution importante de son système d'information ou lorsqu'elle ne sait plus quelles actions prioriser. Il ne remplace pas les bonnes pratiques quotidiennes, mais peut aider à établir une feuille de route adaptée au contexte réel de l'organisation.
