Un antivirus installé, des sauvegardes en place, des mots de passe jugés solides : beaucoup d’entreprises considèrent leur cybersécurité comme acquise. Les incidents récents montrent que l’exécution reste largement insuffisante. Selon les données disponibles, à peine un quart des TPE-PME avaient activé la double authentification en 2025, alors que le piratage de comptes et la fraude au virement figurent parmi les menaces qui progressent le plus vite.
Le problème n’est donc pas un manque de connaissance des bonnes pratiques. C’est un défaut d’exécution. Améliorer la cybersécurité de son organisation passe moins par une liste de conseils génériques que par trois chantiers concrets, souvent négligés.
Lire également : Comment améliorer la sécurité informatique ?
Authentification multifacteur : le maillon faible des PME
Vous utilisez un mot de passe complexe pour accéder à votre messagerie professionnelle. Un collaborateur clique sur un lien de phishing, saisit ses identifiants sur une fausse page. En quelques minutes, l’attaquant accède au compte, aux fichiers partagés, parfois au système de paiement.
L’authentification multifacteur (souvent abrégée MFA) ajoute une étape après le mot de passe : un code temporaire reçu sur le téléphone, une empreinte digitale ou une clé physique. Même si le mot de passe est volé, l’accès reste bloqué sans ce second facteur.
A voir aussi : Quels sont les trois types de protection ?
Le déploiement reste pourtant très faible dans les petites structures. Alors que 84 % des TPE-PME disposaient d’un antivirus et 78 % réalisaient des sauvegardes, seulement 26 % avaient activé la double authentification. L’écart est frappant, parce que la MFA bloque la grande majorité des tentatives de piratage de comptes.
Pourquoi un tel retard ? L’activation demande de configurer chaque compte utilisateur, de former les équipes à l’usage d’une application d’authentification et de prévoir une procédure de secours en cas de perte du téléphone. Pour une PME sans service informatique dédié, cela représente un effort organisationnel réel.
Concrètement, voici par où commencer :
- Activer la MFA d’abord sur les comptes les plus sensibles : messagerie, outils de paiement, accès administrateur aux serveurs ou au cloud.
- Privilégier une application d’authentification (type Google Authenticator ou Microsoft Authenticator) plutôt que le SMS, plus vulnérable à l’interception.
- Documenter une procédure de récupération : que faire si un collaborateur perd son téléphone un vendredi soir ?
Fraude au virement et ingénierie sociale : des attaques qui contournent la technique
Les outils de sécurité protègent les systèmes. Ils ne protègent pas contre un appel téléphonique convaincant. La fraude au virement progresse fortement : un faux fournisseur envoie une facture avec de nouvelles coordonnées bancaires, ou un escroc se fait passer pour le dirigeant et demande un transfert urgent.
Ces attaques exploitent la confiance, pas une faille logicielle. Un antivirus ne détecte rien. Un pare-feu non plus. La parade est organisationnelle.
Le principe de base : toute modification de coordonnées bancaires doit être vérifiée par un canal différent. Un fournisseur envoie un mail demandant de changer son RIB ? Appelez-le au numéro que vous avez déjà dans vos fichiers, pas à celui indiqué dans le mail.
Cette vérification hors bande est simple à mettre en place. Elle ne coûte rien. Elle suppose uniquement que la procédure soit écrite, connue de tous et appliquée sans exception, y compris quand la demande semble venir de la direction.
Former au-delà du simple mail de sensibilisation
Envoyer une plaquette PDF sur le phishing une fois par an ne change pas les comportements. Les formations qui fonctionnent sont courtes, régulières et basées sur des mises en situation.
Par exemple : envoyer un faux mail de phishing aux équipes, puis organiser un débrief de dix minutes avec ceux qui ont cliqué. Pas pour sanctionner, mais pour ancrer le réflexe. La répétition compte plus que la durée de la formation.
Directive NIS 2 : la cybersécurité comme obligation de gouvernance
Jusqu’à récemment, la cybersécurité restait une affaire de service informatique. La directive européenne NIS 2 change cette logique. Elle prévoit d’étendre le périmètre réglementé à 18 secteurs d’activité et d’imposer aux entités concernées des exigences de gestion des risques, de déclaration d’incidents et de responsabilité organisationnelle.
La direction devient personnellement responsable de la posture cyber de l’entreprise. Ce n’est plus un sujet que l’on peut déléguer entièrement à un prestataire.
La transposition française de NIS 2 n’est pas encore achevée, et aucune échéance nationale de conformité ne peut être considérée comme définitive à ce stade. Cela ne change rien à la direction prise : les obligations arrivent, et les organisations qui s’y préparent maintenant auront un avantage concret.
Trois chantiers à anticiper dès maintenant
- Cartographier les systèmes critiques de l’organisation : quels logiciels, quels services cloud, quels flux de données sont nécessaires au fonctionnement quotidien ?
- Mettre en place un processus de déclaration d’incident, même informel : qui prévient qui, dans quel délai, avec quelles informations ?
- Traiter la dette technique : des serveurs non mis à jour, des logiciels obsolètes ou des droits d’accès jamais revus constituent des risques que NIS 2 obligera à documenter et corriger.
Mesurer l’adoption réelle des mesures de cybersécurité
Installer un outil ne suffit pas. L’enjeu est de vérifier qu’il est activé, configuré correctement et utilisé par tous. Vous avez déjà remarqué qu’un logiciel de sauvegarde peut tourner pendant des mois sans que personne ne vérifie si les restaurations fonctionnent ?
Un audit interne trimestriel, même rapide, vaut mieux qu’un plan de sécurité jamais contrôlé. Il s’agit de répondre à des questions simples : combien de comptes ont la MFA activée ? Quand remonte la dernière sauvegarde testée ? Qui a encore un accès administrateur sans en avoir besoin ?
Ce travail de mesure transforme la cybersécurité d’une intention en réalité. Les PME qui progressent le plus ne sont pas celles qui achètent le plus d’outils, mais celles qui vérifient régulièrement que les mesures déjà en place fonctionnent. Un audit trimestriel de vingt minutes par service couvre les points critiques et corrige les dérives avant qu’elles ne deviennent des failles exploitables.
