Les PME face aux cyberattaques : ce que les idées reçues masquent
Une part importante des entreprises victimes de cyberattaques en France compte moins de 250 salariés. Les statistiques publiées par les autorités et les assureurs convergent sur ce point : la taille de l'entreprise ne constitue plus une protection. Pourtant, plusieurs représentations erronées continuent de structurer les décisions de sécurité dans les petites structures.
L'idée d'une PME trop petite pour intéresser les attaquants
Le raisonnement selon lequel une entreprise sans notoriété n'aurait rien à susciter la convoitise repose sur une confusion entre attaque ciblée et attaque automatisée. La majorité des incidents recensés ne résulte pas d'une campagne dirigée contre une entreprise identifiée, mais de l'exploitation opportuniste de failles non corrigées.
Les outils utilisés balaient des plages d'adresses à la recherche de services exposés, de mots de passe faibles ou de logiciels non mis à jour. Une PME dont le serveur de messagerie ou le portail client présente une vulnérabilité connue sera détectée au même titre qu'un grand groupe. La différence tient moins à l'intérêt suscité qu'à la capacité de détection et de réaction.
Un autre facteur joue : la chaîne d'approvisionnement. Une PME sous-traitante d'un donneur d'ordre important peut servir de point d'entrée vers ce dernier. Cette position la rend attractive non pour ses propres actifs, mais pour l'accès qu'elle offre indirectement.
La croyance en une protection suffisante par l'antivirus
L'installation d'un logiciel antivirus reste souvent présentée comme l'essentiel de la démarche de sécurisation. Ce dispositif traite une partie du problème, principalement les programmes malveillants connus, mais il ne couvre ni l'hameçonnage, ni l'usurpation d'identité, ni l'exploitation d'une mauvaise configuration.
Une part significative des incidents commence par un courriel trompeur qui conduit un salarié à communiquer ses identifiants ou à valider un virement. Aucun antivirus ne bloque ce type de manipulation, qui repose sur la confiance et l'urgence. Les procédures internes, la vérification des demandes inhabituelles et la sensibilisation régulière pèsent davantage dans ce cas.
Les sauvegardes constituent un autre point de fragilité. Une sauvegarde connectée en permanence au réseau peut être chiffrée en même temps que les données qu'elle protège. La règle communément admise consiste à conserver au moins une copie déconnectée ou hors ligne, et à tester régulièrement la restauration. Une sauvegarde jamais éprouvée ne garantit rien.
Ce que la préparation change concrètement
Les conséquences d'une attaque dépendent moins de sa sophistication que de la vitesse à laquelle l'entreprise identifie l'incident et limite sa propagation. Une PME qui dispose d'une procédure écrite, de contacts identifiés et d'une copie de ses données à l'abri se trouve dans une position très différente d'une structure qui découvre la situation sans repères.
Quelques mesures structurent cette préparation :
- recenser les données critiques et les systèmes qui les hébergent, afin de savoir quoi protéger en priorité ;
- imposer une authentification à deux facteurs sur les accès distants et les messageries ;
- appliquer sans délai les correctifs de sécurité édités par les fournisseurs ;
- définir à l'avance qui décide, qui communique et qui contacte les autorités en cas d'incident.
Ces dispositions ont un coût, en temps surtout. Elles supposent qu'une personne au sein de la structure en porte la responsabilité, ce qui n'est pas toujours le cas dans les entreprises de petite taille où les fonctions informatiques sont cumulées avec d'autres missions.
Le cadre juridique ajoute une contrainte : la notification d'une violation de données à caractère personnel auprès de la autorité de protection des données est obligatoire dans certains cas, sous délai. Une entreprise qui découvre cette obligation au moment de l'incident perd un temps précieux. À consulter également : https://boelling-galerie.de.
La question centrale pour une PME n'est donc pas de savoir si elle est visée, mais si elle serait en mesure de reprendre son activité après une interruption de plusieurs jours. La réponse à cette question oriente plus utilement les décisions que la recherche d'une protection totale, qui n'existe pas.
