Cybersécurité PME : 15 actions concrètes pour réduire votre risque ce trimestre

En tant que dirigeant de PME ou d'ETI, vous n'avez probablement pas de RSSI à plein temps, ni un budget sécurité illimité. La cybersécurité peut alors ressembler à un puits sans fond : trop de sujets, trop de sigles, jamais assez de temps. Bonne nouvelle : l'essentiel du risque se réduit avec un petit nombre d'actions bien choisies, pas avec une usine à gaz.

Pourquoi s'y mettre maintenant ? Parce que le contexte a changé. La directive européenne NIS2 (UE 2022/2555), transposée en droit français en 2025 et pilotée par l'ANSSI, élargit fortement le périmètre des entités concernées : environ 15 000 en France, dont beaucoup de PME et d'ETI qui n'étaient soumises à aucune obligation auparavant. Mais au-delà de la conformité, la réalité opérationnelle est plus simple encore : la plupart des incidents exploitent des failles banales — un mot de passe réutilisé, une sauvegarde jamais testée, un correctif oublié.

Cet article n'est pas un cours théorique : c'est une checklist priorisée de 15 actions réalisables sur un trimestre. Pour chacune, vous trouverez quoi faire, pourquoi c'est utile, et la première étape à lancer. Vous n'êtes pas obligé de tout traiter cette semaine — commencez par le haut de la liste, là où le rapport effort/impact est le meilleur.

1 et 2. Savoir ce que vous avez à protéger

On ne protège bien que ce que l'on voit. Avant tout outil, deux actions de cartographie.

• Inventaire des actifs. Quoi : lister vos serveurs, postes, applications SaaS, noms de domaine, comptes à privilèges et données sensibles. Pourquoi : un actif oublié (un vieux serveur, un sous-domaine de test) est une porte laissée ouverte. Première étape : ouvrez un simple tableur et recensez vos 20 actifs les plus critiques, avec pour chacun un responsable identifié.
• Cartographie de l'exposition externe. Quoi : savoir ce qu'un attaquant voit de vous depuis Internet — ports ouverts, services exposés, sous-domaines, certificats TLS. Pourquoi : votre surface d'attaque externe est le premier terrain de reconnaissance des attaquants. Première étape : lancez un scan de votre domaine principal pour obtenir une photo objective de votre exposition.

3 à 5. Verrouiller les accès

La compromission d'identifiants reste l'une des portes d'entrée les plus courantes. Trois mesures à fort impact.

• MFA partout. Quoi : activer l'authentification multifacteur sur la messagerie, le VPN, les outils d'administration et vos SaaS critiques. Pourquoi : un mot de passe volé ne suffit plus à l'attaquant. Première étape : activez le MFA sur la messagerie professionnelle et les comptes administrateurs dès cette semaine.
• Moindre privilège. Quoi : chaque utilisateur n'a que les droits nécessaires à son rôle, et les comptes administrateurs sont réservés à l'administration. Pourquoi : limiter les droits, c'est limiter les dégâts en cas de compromission. Première étape : recensez qui possède des droits administrateur et retirez ceux qui ne se justifient plus.
• Gestionnaire de mots de passe. Quoi : déployer un coffre-fort d'entreprise pour générer et stocker des mots de passe uniques. Pourquoi : la réutilisation de mots de passe transforme une simple fuite en effet domino. Première étape : choisissez une solution et déployez-la d'abord sur la direction et l'équipe IT.

6 à 9. Réduire la surface technique

Le socle technique : corriger, protéger le poste, sauvegarder, chiffrer.

• Mises à jour et correctifs. Quoi : appliquer les correctifs de sécurité sur les systèmes, logiciels et équipements réseau. Pourquoi : beaucoup d'attaques exploitent des vulnérabilités déjà corrigées mais non installées. Première étape : activez les mises à jour automatiques là où c'est possible et fixez une fenêtre mensuelle pour le reste.
• Sécuriser les postes. Quoi : déployer un antivirus moderne ou un EDR sur tous les postes et serveurs. Pourquoi : le poste de travail est la cible n°1 du hameçonnage et des rançongiciels. Première étape : vérifiez que 100 % de vos postes sont couverts et supervisés, sans exception.
• Sauvegardes 3-2-1 testées. Quoi : trois copies de vos données, sur deux supports différents, dont une hors site et déconnectée. Pourquoi : c'est votre dernière ligne de défense face à un rançongiciel — à condition qu'elle fonctionne. Première étape : réalisez un test de restauration réel ce mois-ci ; une sauvegarde jamais restaurée n'est qu'une hypothèse.
• Chiffrement des données. Quoi : chiffrer les disques des ordinateurs portables, les supports amovibles et les données sensibles au repos. Pourquoi : un portable perdu ou volé ne doit pas devenir une fuite de données. Première étape : activez le chiffrement de disque (BitLocker, FileVault) sur tous les portables.

10 à 12. Email, réseau et journalisation

• SPF, DKIM et DMARC. Quoi : configurer ces trois enregistrements DNS pour authentifier vos emails sortants. Pourquoi : sans eux, un tiers peut usurper votre nom de domaine pour piéger vos clients. Première étape : publiez un enregistrement DMARC en mode observation pour mesurer qui envoie déjà en votre nom.
• Cloisonnement réseau. Quoi : séparer les usages (bureautique, production, invités, administration) en segments distincts. Pourquoi : le cloisonnement empêche une compromission de se propager à tout le réseau. Première étape : isolez le Wi-Fi invité et les équipements industriels ou IoT du réseau bureautique.
• Journalisation et supervision. Quoi : collecter et conserver les journaux des systèmes et équipements clés. Pourquoi : sans traces, impossible de détecter ni de comprendre un incident. Première étape : activez la journalisation sur le pare-feu, la messagerie et l'annuaire, avec une rétention d'au moins six mois.

13 à 15. L'humain et l'écosystème

La technique ne suffit pas : vos équipes, vos prestataires et votre capacité à réagir comptent tout autant.

• Sensibilisation et test de phishing. Quoi : former régulièrement les collaborateurs et mesurer leur vigilance par des simulations. Pourquoi : le hameçonnage vise vos utilisateurs, pas vos machines. Première étape : organisez une session de sensibilisation et une première campagne de phishing simulée pour établir un point de départ.
• Gestion des prestataires. Quoi : recenser vos fournisseurs numériques et leur niveau d'accès à vos systèmes et données. Pourquoi : une partie du risque — et des obligations NIS2 — passe par votre chaîne de sous-traitance. Première étape : listez vos prestataires critiques et vérifiez les clauses de sécurité de vos contrats.
• Plan de réponse à incident. Quoi : écrire une procédure simple : qui prévenir, comment isoler, comment communiquer, comment restaurer. Pourquoi : on ne gère pas une crise en l'improvisant. Première étape : rédigez une fiche d'une page avec les numéros à appeler et les trois premiers gestes à effectuer.

Votre plan d'action sur 90 jours

Inutile de tout mener de front. Voici un séquencement réaliste pour un trimestre :

1. Semaines 1 et 2 : activez le MFA sur la messagerie et les comptes administrateurs, et lancez un scan de votre exposition externe.
2. Semaines 3 et 4 : réalisez un test de restauration de sauvegarde et corrigez les vulnérabilités critiques remontées par le scan.
3. Mois 2 : déployez le gestionnaire de mots de passe, vérifiez la couverture EDR et activez le chiffrement des portables.
4. Mois 2 : publiez SPF, DKIM et DMARC, puis isolez les réseaux invité et IoT.
5. Mois 3 : menez une campagne de sensibilisation et de phishing simulé.
6. Mois 3 : rédigez votre plan de réponse à incident et votre inventaire des prestataires critiques.
7. Fin de trimestre : relancez un scan pour mesurer les progrès et planifiez le trimestre suivant.

Comment Sedona peut aider

Sedona.AI est un cabinet français d'ingénierie en cybersécurité et en IA qui accompagne les PME et ETI. Plusieurs de ces actions peuvent être outillées simplement. Sedona Radar, notre plateforme d'audit de la surface d'attaque externe, cartographie votre exposition Internet — ports, DNS, SPF/DKIM/DMARC, TLS, sous-domaines, vulnérabilités connues — et fournit un score de conformité indicatif sur six référentiels. Il évalue votre niveau d'exposition ; il ne délivre aucune certification. Pour aller plus loin, nous proposons des audits de surface et OSINT réalisés à la main, des simulations de phishing, une veille cybersécurité personnalisée et des formations (certifiées Qualiopi via un partenaire).

Le plus simple pour commencer, c'est de mesurer. Testez gratuitement votre exposition externe avec le plan Découverte de Sedona Radar, ou téléchargez notre checklist cybersécurité PME (15 actions) pour suivre votre avancement. Découvrir Sedona Radar · Nos ressources · Nous contacter