cybetentreprise

01 — Fondamentaux

Cybersécurité en PME

Les PME sont devenues des cibles prioritaires pour les cybercriminels. Contrairement à une idée reçue, la taille de l'entreprise ne la protège pas — elle expose simplement ses ressources défensives plus limitées.

Pourquoi les PME sont ciblées

Données sensibles : données clients, propriété intellectuelle, secrets commerciaux
Accès aux chaînes d'approvisionnement (les PME sont des fournisseurs de grandes entreprises)
Protection inférieure aux grandes entreprises (moins de RSSI, moins d'outils)
Capacité financière : une rançon de 50 000 € peut paralyser une PME
Mandats de conformité : clients exigent l'ISO 27001, le RGPD

Enjeux critiques

Indisponibilité : arrêt de production, perte de chiffre d'affaires
Amende RGPD : jusqu'à 4 % du CA ou 20 M€
Perte de confiance clients et partenaires
Coût d'une attaque : 3 200 € en moyenne pour une PME
Réputation : publications de données volées

Les 3 piliers

Une stratégie de sécurité repose sur :

Technologie — outils, infrastructure, mises à jour
Processus — politiques, procédures, gestion du changement
Humain — formation, sensibilisation, culture

Réalité PME — Vous n'avez pas besoin d'une sécurité militaire. Vous avez besoin des bonnes pratiques mises en œuvre consciemment et régulièrement : segmentation, authentification forte, sauvegardes, monitoring basique, et une équipe sensibilisée.

02 — Fondamentaux

Menaces PME 2025-2026

Les attaques évoluent. Voici ce qui représente les plus grands risques pour les PME cette année.

Ransomware

Principal vecteur d'attaque. Les bandes organisées ciblent intentionnellement les PME : faciles à compromettre, prêtes à payer rapidement.

Phishing ciblé

Spear phishing avec reconnaissance OSINT. L'attaquant connaît le nom du PDG, du responsable IT, demande un virement d'urgence.

Compromission fournisseur

Supply chain attacks. Un fournisseur de votre entreprise est piraté et devient point d'entrée vers vous.

Exploitation de failles

Logiciels non corrigés, serveurs exposés, configurations par défaut. Automatisé et scanné à grande échelle.

Usurpation identité

Email piégé usurpant le PDG/DAF : "Effectue ce virement avant fin de journée." Perte souvent irrécupérable.

IA générative

Voix clonée du PDG, emails indétectables générés par IA, deepfakes. Démultiplie la capacité des attaquants.

Statistiques 2024-2025

57 % des PME ont subi une cyberattaque (étude IFOP 2024)
Ransomware : +68 % d'attaques contre les PME vs 2023
Temps moyen de détection : 194 jours (trop tard)
Coût moyen/PME : 3 200 € à 4 500 € (sans compter l'arrêt d'activité)
Perte de données, indisponibilité, amende, réputation : coût réel souvent 10x supérieur

03 — Fondamentaux

Gestion des risques

La gestion des risques est un processus continu : identifier → analyser → traiter → surveiller.

Matrice de risque (probabilité × impact)

Risque	Probabilité	Impact	Priorité
Ransomware	Haute	Critique	P1
Phishing réussi	Haute	Élevé	P2
Faille serveur exposée	Haute	Élevé	P2
Perte données (sauvegarde)	Faible	Critique	P3
APT ciblée	Faible	Critique	P3

Les 4 stratégies de traitement

Réduire — diminuer probabilité ou impact (MFA, segmentation, monitoring)
Accepter — risque faible, coût de réduction > impact
Transférer — assurance cybersécurité
Éviter — cesser l'activité (rare)

Cadre simple pour PME

Commencez par :

Inventaire des actifs critiques
Identification des menaces principales
Évaluation des contrôles actuels
Plan d'action par priorité
Révision trimestrielle

Premier exercice

Identifiez 5 actifs critiques de votre entreprise (données, systèmes, personnes) et documentez pour chacun : où c'est stocké, qui y accède, comment c'est sauvegardé. Vous avez ainsi une base solide pour la gestion des risques.

Critique

04 — Gouvernance

RGPD

Le RGPD (Règlement Général sur la Protection des Données) s'applique à TOUTE entreprise qui collecte ou traite des données personnelles de résidents EU — peu importe votre taille.

Obligations principales

Consentement explicite — avant de collecter toute donnée personnelle
Droit d'accès/rectification — les personnes peuvent demander leurs données
Droit à l'oubli — supprimer les données sur demande
Données minimales — collecter seulement ce qui est nécessaire
Chiffrement en transit et au repos — protection technique obligatoire
Signalement incident — notifier la CNIL dans les 72h si fuite de données

Les sanctions

Jusqu'à 10 M€ ou 2 % du CA global (infraction mineure)
Jusqu'à 20 M€ ou 4 % du CA global (violation majeure)
Régulièrement appliquées à des PME
Cumulable avec poursuites civiles

Être en conformité

Nommez un DPO (Délégué Protection Données)
Documentez votre traitement de données
Faites une AIPD (analyse d'impact) pour les traitements sensibles
Signez des contrats de confidentialité
Formez votre équipe
Testez la suppression de données

Pour les PME — Vous pouvez externaliser le DPO auprès d'un cabinet de conseil ou un responsable IT. La CNIL accepte un DPO externalisé. Commencez par documenter ce que vous faites avec les données.

05 — Gouvernance

ISO 27001

Standard international de management de la sécurité de l'information. De plus en plus exigé par les clients et partenaires commerciaux des PME.

Les 3 axes de 27001

Leadership & gouvernance — politique, risques, responsabilités
Gestion opérationnelle — processus, outils, maintien à jour
Mesure & amélioration — audit, métriques, conformité

Les contrôles essentiels

Parmi les 93 contrôles, les prioritaires :

A.5 — Politiques de sécurité
A.6 — Organisation, rôles, responsabilités
A.8 — Gestion des actifs (inventaire)
A.9 — Accès & authentification (MFA)
A.10 — Cryptographie, chiffrement
A.12 — Mises à jour, patch management
A.13 — Continuité & PCA
A.16 — Gestion des incidents

Certification pour PME

Coût : 3 000 € à 8 000 € pour une PME
Durée : 6-12 mois d'implémentation
Bénéfices : gage de confiance client, conformité, processus maîtrisés
Obligatoire pour certains secteurs (banque, santé, défense)
Optionnel mais de plus en plus demandé sinon

06 — Gouvernance

Directive NIS2

Nouvelle directive européenne entrée en vigueur en 2024, remplaçant NIS1. Renforce les obligations de sécurité pour les opérateurs de services essentiels — mais aussi PME fournisseurs.

Qui est concerné ?

Opérateurs essentiels : énergie, transport, eau, santé, finance, digital — tous de taille
Fournisseurs critiques : si vous fournissez des services essentiels (hébergement cloud, telecom, cybersécurité...)
Chaîne d'approvisionnement : vous pouvez être PME fournisseur d'un opérateur essentiel

Obligations NIS2

Gestion du risque cyber (mesures techniques & organisationnelles)
Signalement d'incident dans les 24h à autorité
Audit & tests de sécurité annuels
Responsable cybersécurité nommé
Plan de continuité & récupération
Formation des employés

Impact PME

Si vous êtes fournisseur → vérifications accrues de vos clients
Coût de conformité estimé : 10-50 K€ selon taille/secteur
Risque compétitif : non-conformité = perte de clients
Amende : jusqu'à 10 M€ ou 2 % CA
Délai : transitoire jusqu'à oct 2024 — actuellement applicable

07 — Gouvernance

Politique de sécurité

Un document qui définit les règles de sécurité de l'entreprise. Obligatoire pour ISO 27001, RGPD et NIS2, mais utile pour TOUTE PME.

Éléments clés d'une politique

Objectifs de sécurité (confidentialité, intégrité, disponibilité)
Mots de passe (longueur, complexité, MFA, gestionnaire)
Accès & droits d'accès (moindre privilège, révision annuelle)
Appareils & équipements (chiffrement disque, antivirus, contrôle USB)
Réseau & Wi-Fi (segmentation, VPN télétravail, pas de partage)
Data : classification, sauvegarde, suppression, chiffrement sensible
Télétravail : VPN obligatoire, écran verrouillé, pas de données sensibles locales
BYOD : autorisation case-by-case, chiffrement, gestion distante
Incidents : procédure de signalement, escalade, notification
Sanctions : conséquences du non-respect (avertissement, suspension...)

Template à utiliser

ANSSI publie des templates gratuits pour PME : ssi.gouv.fr. Adaptez, relisez avec RSSI/IT, faites signer par direction et communiquez à chacun.

Utile

08 — Gouvernance

RSSI & gouvernance

Le Responsable de la Sécurité des Systèmes d'Information (RSSI) — rôle clé dans une PME, souvent occupé par le responsable IT ou CTO.

Rôles du RSSI

Définir la stratégie de sécurité, feuille de route
Évaluer risques, piloter leurs traitements
Sélectionner outils, superviser infrastructure sécurité
Gérer incidents, investigations post-mortems
Former & sensibiliser équipe
Communiquer avec direction sur maturité/conformité
Audits internes, tests d'intrusion

En PME

Souvent combiné avec rôle IT (CTO, responsable infra)
Support externe recommandé (cabinet, consultant part-time)
Budget annuel : 20-50 K€ selon taille
Doit rapporter à direction (pas subordonné IT seul)
Accès décisionnaire sur projets IT

Gouvernance recommandée

Comité de sécurité trimestriel (direction + IT + métier)
Revue des risques annuelle
Audit/pen-testing annuel externe
Métriques de sécurité (incidents, conformité, maturité)
Budget sécurité défini & protégé

09 — Gouvernance

Gestion des fournisseurs

Vos fournisseurs d'IT, cloud, logiciels représentent un risque indirect : compromise de l'un = compromise potentielle de votre entreprise.

Processus de sélection fournisseur

Évaluer les risques liés au service (criticité, données sensibles, exposition internet)
Établir des critères de sécurité minimaux (ISO 27001, SOC 2, certifications)
Audit/questionnaire avant sélection
Contrat incluant clauses de sécurité & audit droit
Monitoring continu (rapports de sécurité, incidents)
Révision annuelle de conformité

Contrat de sécurité

Incluez :

Confidentialité des données
Notification d'incident dans les X heures
Droit d'audit / pen-testing
Assurance cybersécurité
Continuité de service (RTO/RPO)
Suppression données en fin de contrat
SLA de sécurité (patch, backup, monitoring)

Risk scoring fournisseur

Critique — données sensibles, impact élevé si compromission
Élevé — données importants, impact modéré
Modéré — données non-sensibles, impact low

Audit annuel pour fournisseurs critiques.

10 — Sécurité IT

Infrastructure réseau

La segmentation réseau est votre première défense : empêcher un attaquant d'accéder à tous vos systèmes une fois entré.

Segmentation réseau (zoning)

Zone DMZ — serveurs web/email exposés à internet
Zone métier — données d'entreprise (ERP, CRM, fichiers)
Zone critique — bases de données, données sensibles (chiffrement additif, accès minimal)
Zone invités — Wi-Fi visiteur, séparé du réseau d'entreprise
Zone IoT/imprimantes — appareils peu sécurisés, isolés

Firewall & pare-feu

Pare-feu edge (internet ↔ entreprise) : obligatoire
Pare-feu interne (inter-zone) : très recommandé
Règles par défaut : tout refuser, autoriser cas-par-cas
Logs audités régulièrement
Management centralisé
Mise à jour firmware

DNS & filtrage

Filtrage DNS (bloque sites malveillants)
Pas de DNS public simple → filtré/sécurisé
Bloc de malware domains, phishing domains
Logs pour détection menaces
Gratuit : Cloudflare 1.1.1.1 for Families

Accès distant non sécurisé = porte ouverte

Beaucoup de PME ont des serveurs exposés (RDP, SSH) avec mots de passe faibles. Les bots scannent en continu. Utilisez VPN, MFA obligatoire, segmentation réseau.

Critique

11 — Sécurité IT

Gestion des accès (IAM)

Qui accède à quoi ? La gestion des identités et des droits est critique. Un accès non révoqué après départ = porte entrouverte.

Principes de base

Moindre privilège — accès minimum nécessaire pour faire le job
Séparation des tâches — personne ne gère seule un accès critique
MFA obligatoire — sur tous les comptes sensibles (email, bases, admin)
Audit des droits — révision trimestrielle des accès
Annulation immédiate — à la date de fin d'emploi

Outils pour PME

Annuaire (AD/Entra) — gestion centralisée des comptes
MFA — Microsoft Authenticator, Google Authenticator, Authy
PAM (Privilège Access Mgmt) — Cyberark, Delinea pour comptes admin
SSO — Okta, Azure AD pour unifier accès
Audit logs — qui a accédé quand, d'où

Processus

Onboarding — créer compte, ajouter à groupes corrects
Changement rôle — réviser droits, ajouter/retirer accès
Offboarding — désactiver TOUS comptes, récupérer badge/clés
Révision Q — managers revalorisent les droits de leurs équipes
Incident — révoquer accès suspects immédiatement

12 — Sécurité IT

Sécurité endpoints

PCs, laptops, mobiles, serveurs — tous les appareils doivent être sécurisés. Point d'entrée favori des attaquants.

Contrôles essentiels

Mises à jour automatiques — OS, logiciels, firmware (patch en 48h max)
Antivirus/EDR — Windows Defender suffisant (gratuit) ou Sophos, Bitdefender (mieux)
Pare-feu OS — activé et configuré
Chiffrement disque — BitLocker (Windows) ou FileVault (Mac) — critique pour portables
MFA locale — Windows Hello, biométrie, ou PIN
Verrouillage — écran verrouillé après 5 min d'inactivité
Contrôle USB — interdire clés USB non autorisées, blocage DMA
Monitoring — détection anomalies (EDR), alertes en temps réel

MDM (Mobile Device Management)

Essentiel si BYOD :

Intune, MobileIron, Kandji
Chiffrement obligatoire
Gestion des apps
Localisation / wipe à distance
Supervision des données entreprise

Par système

Windows : Defender + Windows Update obligatoire + BitLocker
Mac : FileVault + System Integrity Protection + XProtect
Linux : firewall, SELinux/AppArmor, mises à jour
Android/iOS : MDM + appstore officiel uniquement

13 — Sécurité IT

Sauvegardes & continuité

Une bonne sauvegarde rend un ransomware inoffensif. C'est votre filet de sécurité critique contre la perte de données.

Règle 3-2-1

3 copies — originale + 2 sauvegardes
2 supports — disque + cloud, disque + bande, etc.
1 hors-site — au moins une copie géographiquement isolée (ransomware segmente rarement les sauvegardes cloud)

Stratégie de sauvegarde

Critique — quotidienne, RPO 24h max
Important — quotidienne ou 2-3x/semaine
Données métier — 1-2x/semaine minimum
Vérifier restauration 1x/an (sinon c'est pas une sauvegarde)
Immuabilité : 30j minimum où sauvegarde ne peut pas être modifiée

PCA (Plan de Continuité Activité)

RTO (Recovery Time Objective) — temps avant reprise activité
RPO (Recovery Point Objective) — perte de données acceptable
Priorités : quels systèmes restaurer en premier
Procédures documentées & testées
Contacts escalade définis
Test semestriel recommandé

Testez vos sauvegardes

Restauration qui échoue = pas de sauvegarde. Testez au moins 1x/an un scénario complet : corruption données, incident malware, incident RH. Documentez le temps réel de restauration.

Critique

14 — Sécurité IT

Sécurité cloud

AWS, Azure, GCP, Microsoft 365 — le cloud se sécurise, mais c'est votre responsabilité de configurer correctement (shared responsibility model).

Responsabilité partagée

Fournisseur cloud — infrastructure, réseau, chiffrement au repos
Vous — identités, accès (IAM), configuration des ressources, données, chiffrement en transit
Erreur de configuration = fuite (buckets S3 public, API keys exposées, mots de passe faibles)

Bonnes pratiques cloud

MFA obligatoire sur tous comptes admin cloud
IAM : moindre privilège, rôles explicites
Audit logs : toute action loggée, analysée
Segmentation : prod/dev/staging isolés
Chiffrement : données sensibles chiffrées (client-side)
Audit périodique : Cloud Security Posture Management (CSPM)

Configuration sécurisée

Buckets/ressources privées par défaut
Pas de secrets en clair (utiliser gestionnaire de secrets)
Alertes de connexion anormale
Backup des données cloud (non garanti par fournisseur)
Réseau isolé (VPC, firewall applicatif)

15 — Sécurité IT

Monitoring & logs

Vous ne pouvez défendre que ce que vous pouvez voir. Monitoring continu et logs analysés = détection précoce des incidents.

Que monitorer

Endpoints — malware, anomalies processus, connexions réseau suspectes
Réseau — trafic anormal, balayage de ports, tentatives de bruteforce
Accès — connexions rate-limit, accès hors heures, changements permissions
Systèmes — CPU/mémoire anormales (malware, crypto-minage), disque plein
Applications — erreurs répétées (attaque bruteforce ?), changements configuration
Cloud — créations de ressources suspectes, accès API anormaux

Logs essentiels

Authentification (succès/échecs)
Privilèges (changements, élévation)
Données sensibles (accès, suppression, export)
Changements systèmes (config, software)
Alertes antivirus/EDR
Connexions réseau (DNS, VPN, proxies)

Retention : minimum 90 jours, idéalement 1 an.

Tools pour PME

SIEM (léger) — Splunk (cher), ELK Stack (libre)
EDR — CrowdStrike, SentinelOne, Windows Defender ATP
Alertes — Grafana, Datadog (cher), libre : Prometheus
Cloud — Azure Security Center, AWS CloudTrail
Outsourcé — SOC managé (security operations center)

Pour commencer — Vous n'avez pas besoin d'un SIEM complet. Commencez par : logs centralisés Windows, EDR basique, alertes automatiques sur comportements suspects. Escalader quand vous avez les ressources.

16 — Facteur humain

Formation & sensibilisation

95 % des incidents incluent une erreur humaine. Former votre équipe est l'investissement sécurité avec le meilleur ROI.

Programme de formation annuel

Obligatoire (tous) — sécurité IT 101, phishing, mots de passe, télétravail (1-2h/an)
Par rôle — DEV (code sécurisé), IT (incident response), HR (onboarding sécurisé)
Nouveaux arrivants — avant jour 1, avant accès au réseau
Managers — gestion des risques, escalade incidents, sanctions non-respect
Sensibilisation continue — newsletter, affichages, cas d'études réels

Contenus recommandés

Reconnaître phishing (email, SMS, call)
Mots de passe forts & gestionnaires
MFA pourquoi/comment
Données sensibles : classification, partage sécurisé
VPN & télétravail
USB/appareils externes : risques
Incident : comment signaler
Social engineering : cas réels

Formats efficaces

Live (1h max, interactif) : meilleur engagement
E-learning (court modules 15min)
Vidéos (entertaining, mémorable)
Cas d'études : "Cela peut arriver à vous"
Affichages physiques (Wi-Fi password, phishing reminder)
Quiz/badges : gamification

Mesure d'engagement

Tracez : % personnes formées, score quiz, participation tests phishing. Objectif : 80 % de participation à formation, 70 % sans clic phishing test après 3 mois.

Utile

17 — Facteur humain

Tests de phishing simulés

Mesurer votre vraie résilience face au phishing. Les tests simulés entraînent et identifient qui a besoin de formation renfordée.

Cadre de test

Fréquence — mensuellement pour commencer, puis trimestriel
Taille — 10-20 % de l'effectif aléatoirement
Réalisme — emails qui ressemblent à de vrais phishings (partenaire, urgence, pièce jointe)
Transparence — direction approuve et communique ("c'est pour évaluer notre sécurité")
Action — cliquants reçoivent formation/coaching rapide

Métriques

% cliquants (objectif : < 10%)
% ayant entré identifiants (objectif : < 5%)
Taux de signalement phishing (objectif : > 50% après formation)
Évolution dans le temps (trend positive)
Par département (identifier zones faibles)

Outils

KnowBe4 — plateforme complète (formation + tests + métriques)
Gophish — libre, DIY mais limité
ProofPoint — robuste, cher
Mailchimp/Brevo — peux envoyer des emails de test (pas spécialisé)

18 — Facteur humain

Réponse aux incidents

Un incident SERA détecté un jour. La question n'est pas "si" mais "quand". Ayez une procédure prête.

Phases de réponse

Détection — système d'alerte (EDR, logs, utilisateur signale)
Triage — est-ce un vrai incident ? Évaluer sévérité (P1=critique, P4=mineur)
Confinement — isoler système infecté, couper accès réseau si nécessaire
Investigation — comprendre vecteur, scope, données touchées
Éradication — nettoyer malware, patcher, réviser accès
Restauration — restaurer services & données depuis sauvegarde saine
Post-mortem — débriefing dans les 2 semaines, améliorations documentées

Plan de réponse

Équipe : qui, quel rôle, escalade
Contacts : RSSI, IT, direction, avocat, fournisseur cloud, police
Communication : qui informe, externes (clients, régulateurs)
Notification légale : RGPD → CNIL 72h si fuites données
Logs pour investigation (ne pas effacer, chaîne de custody)
Procédure d'escalade (quand escalader, à qui)

Décision critique : payer rançon ?

Non (selon ANSSI, CNIL, Europol)
Rien ne garantit clé, vous financez cybercrime
Vous devenez cible récurrente ("paie l'attaquant")
Restauration depuis sauvegarde : votre réponse
Vraie assurance cybersécurité couvre certain coûts post-incident

Testez votre plan

1x/an, simulation complète : "Il y a un ransomware détecté", alertez l'équipe, exécutez plan. Vous découvrirez les problèmes (numéros obsolètes, process flou) en simulation, pas en vrai incident.

Critique

19 — Facteur humain

Télétravail sécurisé

Télétravail normal maintenant. Mais réseau domestique < réseau entreprise. Contrôles spécifiques obligatoires.

Politique télétravail

VPN obligatoire — tout accès données/systèmes via VPN chiffré
Wi-Fi sécurisé — WPA2/3, mot de passe fort, pas de public Wi-Fi sans VPN
Écran/clavier — verrouillage écran, pas de données sensibles visibles (tiers)
Pas de données locales — documents sensibles pas téléchargés en local, utilisez OneDrive/cloud
Appareil dédié — laptop/desktop pro, pas mélanger perso/pro
Antivirus — à jour même en télétravail
Arrière-plan réunion — flouter ou fond virtuel pour ne pas exposer données
Câble Kensington/sac — laptop ne pas laisser sans surveillance en public

VPN en PME

Gratuit/payant — Microsoft RAS VPN (Windows), OpenVPN, WireGuard
Professionnel — Cisco AnyConnect, Fortinet FortiClient, Palo Alto
Authentification : VPN + MFA (certificate + password, ou RADIUS)
Logs de connexion : qui, quand, d'où
Split tunnel : non recommandé (malware peut rester local)
Performance : VPN ajoute latence, testez avant déploiement

Équipement recommandé

Laptop fourni par entreprise (chiffrement, gestion centralisée)
Webcam/micro integrés, pas USB externe (risque malware)
Charge entreprise (SSD, RAM pour performance)
Support hauteur écran (ergonomie)
Casque filaire (pas Bluetooth avec données sensibles)
Budget : 800-1200 € par personne (amortissement 4 ans)

20 — Facteur humain

BYOD & appareils mobiles

BYOD = Bring Your Own Device. Risqué mais pratique. Nécessite contrôles strictes.

Politique BYOD

Autorisation préalable requise (cas-par-cas, pas accès données sensibles)
MDM obligatoire (Intune, MobileIron) : chiffrement, localisation, wipe distant
Separation : données entreprise dans container sécurisé, perso non touché
Mises à jour : OS à jour, antivirus installé
Pas de données sensibles en local sur BYOD
VPN obligatoire pour accès réseau
Droit d'accès : entreprise peut wiper données travail si appareil perdu

Contrôles mobiles

App from official store only (Play Store, App Store)
Jailbreak/rooting = interdiction immédiate
MFA sur app d'accès données
Auto-lock après 5min
Biométrie ou PIN 6+ chiffres
Pas de partage screen sans besoin
Signalement perte immédiat

Recommandation

Pour PME : BYOD limité aux emails/chat, pas données critiques. Pour accès complet : laptop d'entreprise avec VPN.

Avantage BYOD : économies équipement (personne a déjà phone). Risque : contrôle réduit, support complexe.

22 — Attaques

Malwares & ransomware

Logiciels malveillants qui chiffrent ou volent vos données. Pire scénario pour une PME : arrêt complet activité.

Vecteurs d'infection

Email piégé avec pièce jointe (.exe, .zip contenant malware, doc avec macro)
Clic lien phishing → téléchargement drive-by
Site web compromis (watering hole)
Exploit faille non corrigée (serveur exposé, logiciel old)
Accès RDP/SSH brute-forcé (mot de passe faible)
Fournisseur compromis (supply chain)
Usb/appareil infecté

Types de malware

Trojan — porte arrière, vol données
Spyware — surveillance keylogger, webcam
Botnet — zombie pour attaques DDoS
Worm — se réplique auto via réseau
Rootkit — persiste caché, très difficile à détecter
Ransomware — chiffre fichiers, demande rançon

Réduire risque malware

Mises à jour immediates (OS, logiciels)
Antivirus/EDR actif, mis à jour
Pas admin local pour utilisateurs (moindre privilège)
Pas executable depuis dossier download/temp
Filtrage email (pièces jointes suspectes bloquées)
Segmentation réseau (isoler serveurs)
Sauvegarde régulière hors-réseau
Formation utilisateurs (pas cliquer pièces jointes inattendues)

Si infecté par ransomware — Couper immédiatement du réseau, isoler machine, ne pas redémarrer. Consulter nomoreransom.org pour outils déchiffrement gratuits. Restaurer depuis sauvegarde saine. Signaler police + cybermalveillance.gouv.fr.

23 — Attaques

Attaques ciblées (APT)

Advanced Persistent Threat. Groupes organisés (souvent gouvernementaux) ciblant une organisation spécifique. Rare pour PME ordinaire mais possible si secteur sensible.

Caractéristiques APT

Campagne longue terme (mois/années)
Objectif spécifique : propriété intellectuelle, données gouvernement/défense, infrastructure critique
Sophistication élevée : zero-days, malware custom, reconnaissance poussée
Persistance : rootkits, accès multiples cachés
Traces minimales : malware qui s'efface, activité furtive
Ressources élevées : pas de bruit, patient

Détection difficile

Logs faux positif délibéré (noyer signal)
Malware qui "dort" et s'active sur commande
Chiffrement maîtrisé (signature antivirus inconnue)
Accès privilege via compte compté admin (se mélange à utilisation normale)
Temps détection moyen : 200+ jours

Si vous êtes ciblés

Anomalies multiples (pas juste un incident isolé)
Données volées (propriété intellectuelle)
Logique métier compris par attaquant
Escalader immédiatement ANSSI
Investigation forense externe recommandée
Notification clients probante

Pour PME ordinaire — APT peu probable sauf secteur critique (santé, défense, énergie). Priorité : protection ransomware/phishing. APT requiert renseignement tactique spécialisé (intelligence threat, threat hunting avancé) que PME ne peut pas gérer seule.

24 — ISO 27001 | Domaine A.8

Gestion des actifs (A.8)

Inventorier, classer et protéger tous les actifs (données, systèmes, logiciels). Si vous ne savez pas ce que vous avez, vous ne pouvez pas le protéger.

Contrôles A.8

A.8.1 — Inventaire des actifs : liste complète IT + non-IT (papier, données, personnes clés)
A.8.2 — Propriétaire responsable : chaque actif a un proprio qui valide utilisation/accès
A.8.3 — Classification données : sensible/confidentiel/public + règles de traitement

Inventaire PME (basique)

Serveurs (OS, logiciels, données, criticité)
Ordinateurs/laptops (OS, softw, utilisateur, localisation)
Données (où stockées, sensibilité, propriétaire, backup)
Logiciels (license, version, criticité)
Personnes clés (rôles, accès, succession plan)
Infrastructure cloud (services, données, accès)

Classification données

Public — peut être communiquée librement
Interne — données entreprise, pas pour tiers
Confidentiel — données commerciales, données clients
Restreint — données très sensibles (RGPD, financier)

Chaque classe = règles : où stocker, qui accède, chiffrement, retention.

Inventaire = démarrage

Sans inventaire, vous ne savez pas : où sont vos données sensibles, qui les accède, comment les protéger. Premier pas : feuille Excel + "IT + métier" = liste complète.

Critique

25 — ISO 27001 | Domaine A.11

Sécurité physique & environnementale (A.11)

Accès physique = accès logique. Quelqu'un dans votre salle serveur peut faire n'importe quoi. Contrôler qui entre où.

Contrôles A.11

A.11.1 — Périmètres physiques : murs, portes, clôtures autour zones critiques
A.11.2 — Contrôle d'accès physique : badge, code, biométrie, log d'entrée
A.11.3 — Sécurité bureaux/pièces : verrous, volets, caméras
A.11.4 — Protection équipements : antivol, isolement physique
A.11.5 — Climatisation/électricité : alimentation redondante, UPS, refroidissement

Salle serveur / data center

Accès : badge/code, un seul entrant/sortant enregistré
Caméra surveillance 24/7 (enregistrement 90j min)
Étagères fermées/verrouillées
Alimentation UPS + groupe électrogène
Climatisation redondante (pas surchauffe = crash)
Détection incendie + extinction automatique
Pas de tuyauterie au-dessus (risque fuite eau)

Bureaux & pièces

Zones sensibles isolées (pas d'accès libre à salle serveur)
Badge pour étrangers (visiteur doit être escorté)
Écrans anti-regards indiscrets (pas caméra sur données sensibles)
Poubelle sécurisée (documents confidentiels détruits, pas jetés)
Verrous portes, pas clés partout
Caméra parking/entrée (identifie intrus)

PME overlooking — Beaucoup PME pensent "sécurité=informatique". Non. Quelqu'un rentre avec USB malveillante, infecte réseau. Quelqu'un photographie écran sensible. Quelqu'un prend portable non verrouillé. Physique = première ligne de défense.

26 — ISO 27001 | Domaine A.7

Ressources humaines (A.7)

Sécurité commence avec les gens. Recruter sensibilisés, former régulièrement, gérer départs sans risque.

Contrôles A.7

A.7.1 — Avant embauche : vérifier antécédents, valeurs de sécurité, accès à données sensibles = accord signé
A.7.2 — Pendant embauche : onboarding sécurité (politique, formation, créer accès, logs)
A.7.3 — Sanctions : punition non-respect (avertissement, suspension, licenciement)

Avant embauche

Vérifier références précédentes
Accès données perso = vérif antécédents
Accord de confidentialité signé (avant 1er jour)
Disclosure intérêts conflit (famille, financier)
Qui accède aux données sensibles ?
Background check si critiques (trésorier, IT)

Onboarding jour 1

Formation sécurité (30min) : politique, phishing, mots de passe, confidentialité
Créer compte (email, AD, systèmes nécessaires)
MFA activée avant accès données
Equipement sécurisé (laptop chiffré, antivirus)
Signature politique + NDA
Tuteur attribué

Pendant emploi

Révision accès annuelle (manager valide droits)
Formation continue (1-2h/an minimum)
Confidentialité respectée (pas gossip données)
Escalade incident sans peur (dénonciation admise)

Départ (offboarding)

Jour départ : désactiver accès immédiatement
Récupérer équipement (laptop, badge, clés)
Retirer données perso ses dossiers
Rappel NDA (confidentialité persiste après)
Pas d'accès mail/données après départ
Vérifier pas données sensibles emportées

Offboarding = critique

Accident : responsable IT part avec code d'accès à votre cloud. Ancien employé mécontent efface données. Beaucoup PME oublient offboarding complet = risque.

Critique

27 — ISO 27001 | Domaine A.10

Cryptographie (A.10)

Chiffrer = dernière ligne de défense. Si données volées/compromises, chiffrement = elles sont inutiles pour attaquant.

Contrôles A.10

A.10.1 — Politique de chiffrement : quelles données chiffrer, comment, où
A.10.2 — Chiffrement en transit : HTTPS, TLS, VPN obligatoires (pas HTTP)
A.10.3 — Chiffrement au repos : disques, sauvegarde, données au repos chiffrées

Quoi chiffrer ?

Obligatoire : données perso (RGPD), données bancaires, secrets commerciaux
Recommandé : emails, fichiers cloud, portables, disques externes
Pas nécessaire : données publiques, logos, pages web publiques

Règle : donnée sensible + stockée/transmise = chiffrer

Outils PME

Disques : BitLocker (Windows), FileVault (Mac), LUKS (Linux)
Fichiers : 7-Zip (chiffrement AES), Cryptomator (cloud)
Email : PGP/GPG, ProtonMail (chiffrement end-to-end)
Cloud : chiffrement côté client AVANT upload
HTTPS : certificat SSL valide (pas self-signed)
VPN : WireGuard ou OpenVPN (AES-256)

Chiffrement = bonus sécurité — Attaquant avec données chiffrées ne peut rien faire. Ça n'empêche pas vol, mais le rend inutile. Coût : minime (logiciels gratuits/intégrés), bénéfice : maximal.

28 — ISO 27001 | Domaine A.14

Acquisition & développement de systèmes (A.14)

Avant déployer logiciel/système : architecture sécurisée, test de sécurité, intégration safe. Faille en prod = cher à fixer.

Contrôles A.14

A.14.1 — Exigences de sécurité claires : avant dev, document critères sécu
A.14.2 — Conception & architecture sécurisée : pas hardcoder secrets, least privilege, segmentation
A.14.3 — Développement sécurisé : code review, pas de failles OWASP top 10
A.14.4 — Test de sécurité : avant prod, teste vulnérabilités (auto-scan + manuel)

Avant développement

Document exigences sécurité (données sensibles ? authentification? accès roles ?)
Threat modeling (quels risques ? attaquants ?)
Acceptation risques par direction

Pendant développement

Pas secrets en code (API keys, passwords = vault externe)
Valider tous inputs (pas injection SQL, XSS)
Authentification forte (pas session faible)
Logs détaillés (mais pas sensibles)
Chiffrage données sensibles

Test avant prod

Scan auto (SAST : code static analysis)
Test dynamique : appli running, cherche failles
Code review (pair programming, autre dev regarde)
Pentesting app (simule attaque réelle)
Fix failles critiques avant déploiement

En production

Logs de toute action (identité, données, changements)
Alertes anomalies (accès répétés échoués, data export massif)
Patchs mises à jour (dépendances : librairies à jour)
Audit trimestriel : failles nouvelles ?

29 — ISO 27001 | Domaine A.5

Politiques de sécurité (A.5)

Ensemble de règles écrites que tous doivent suivre. Sans politique, pas de standards, chacun fait à sa convenance.

Contrôles A.5

A.5.1 — Directive sécurité : déclaration intention PDG, soutien direction, budget alloué
A.5.2 — Politiques : mots de passe, accès, télétravail, incidents, sanctions, etc.
A.5.3 — Communication & formation : tous connaissent politique

Politiques essentielles PME

Information security policy (générale)
Access control policy (qui accède à quoi)
Password policy (longueur, complexité, MFA)
Incident response policy (comment réagir)
Acceptable use policy (utilisation ressources IT)
Data classification policy (comment classer données)
Remote work policy (télétravail sécurisé)
BYOD policy (appareils perso)
Supplier policy (audit fournisseurs)
Disciplinary measures (sanctions non-respect)

Structure politique

Objectif : pourquoi cette règle existe
Scope : qui est concerné (tous? IT only?)
Règles : spécifiques, mesurables, actuelles
Propriétaire : qui vérifie respect
Sanctions : conséquences non-respect
Révision : mise à jour (annuelle min)
Signatures : tous attestent lecture

Où trouver templates

ANSSI (ssi.gouv.fr) publie templates gratuits. Adaptez à votre PME, signez, distribuez. Version papier dans chaque bureau + email pour confirmation lecture.

Utile

30 — ISO 27001 | Domaine A.6

Organisation & gouvernance (A.6)

Rôles, responsabilités, structures. Qui décide quoi, qui rend des comptes, escalade des problèmes.

Contrôles A.6

A.6.1 — Organisation : rôles clairs (PDG, RSSI, CTO, DPO), responsabilités définies
A.6.2 — Coordination : équipe sécu + métier travaillent ensemble

Rôles critiques PME

RSSI/CTO — stratégie, budgets, audits, reporting direction
Responsable IT — opérations, infrastructure, patchs, monitoring
DPO — RGPD, données perso, conformité légale
Propriétaires métier — classification données, risques métier
Managers — onboarding/offboarding, escalade incidents, sanctions
Comité de sécurité — direction + RSSI + CTO, trimestries

Reporting & escalade

Incidents P1 → PDG immédiatement
Incidents P2 → direction IT + RSSI jour même
Incidents P3 → ticket IT, suivi régulier
Risques → RSSI → comité sécu → direction
Changements sécu → comité approuve avant déploiement

RSSI ≠ IT — RSSI doit être indépendant IT, rapporter direction. Sinon : IT camoufle ses failles, risques pas remonté. Chez PME : RSSI peut être externe ou consultant part-time, pas subordonné CTO.

31 — ISO 27001 | Domaine A.12

Opérations & maintenance (A.12)

Jour-à-jour : mises à jour, maintenance, changements, logs. Opérations = défense constante contre failles nouvelles.

Contrôles A.12

A.12.1 — Mises à jour : planifiées, testées, appliquées rapidement (48h max failles critiques)
A.12.2 — Change management : changements IT documentés, approuvés, rollback plan
A.12.3 — Logs : toutes actions enregistrées, protégées, archivées
A.12.4 — Monitoring : détection anomalies, alertes en temps réel

Patch management (mises à jour)

Critique — 48h max (faille active exploitée)
Élevée — 2 semaines (faille sérieuse, pas encore exploitée)
Normale — 1 mois (bug, mais pas faille sécu)
Test d'abord en staging (avant prod)
Rollback plan si patch casse quelque chose
Maintenance window planifiée (pas changement surprise)

Change management

Ticket de changement : description, raison, risques, rollback
Approbation : CTO ou RSSI valide avant exécution
Test : staging d'abord, pas de surprises en prod
Implémentation : fenêtre planifiée, équipe dispo
Validation : changement successful? services ok?
Documentation : mise à jour runbooks

Logs & monitoring

Centralisés (syslog, ELK, splunk)
Protégés (chiffrement, accès limité)
Archivés long terme (1-2 ans min)
Analyzés pour détection menaces
Alertes sur anomalies (trop d'accès échoués, data export massif)

Maintenance secrète

Inventaire logiciels : versions, fin support
Fin de support = replacement ou déconnexion
Dépendances : libraires, frameworks à jour
Test de performance : changements ralentissent?
Documentation : runbooks pour incidents

32 — ISO 27001 | Domaine A.13

Communications & réseau (A.13)

Sécuriser données en transit (réseau, internet, emails). Attaquant peut intercepter sans chiffrement.

Contrôles A.13

A.13.1 — Segmentation réseau : zones isolées, firewall inter-zones
A.13.2 — Chiffrement en transit : HTTPS, TLS, VPN obligatoires
A.13.3 — Sécurité email : filtrage, chiffrement, SPF/DKIM/DMARC
A.13.4 — Sécurité accès à distance : VPN MFA, logs connexions

Segmentation (zones)

DMZ — serveurs publics (web, mail), firewall inbound/outbound
Métier — ERP, CRM, données, accès internal only
Critique — bases données, secrets, accès minimal + chiffrement additionnel
Invités/Wi-Fi public — complètement séparé, pas accès métier
IoT/Imprimantes — zone isolée (pas très sécurisé)

Protocoles sécurisés

HTTP → HTTPS (TLS 1.2+, certificat valide)
SMTP → SMTPS/submission (chiffré, authentifié)
VPN (OpenVPN, WireGuard, IPsec - AES-256)
SSH (clés, pas passwords, port non-standard)
DNS → DNS-over-HTTPS (DoH) filtré

Email sécurisé

SPF : valider expéditeur
DKIM : signer messages (authentifie serveur)
DMARC : policy si SPF/DKIM échoue (quarantine/reject)
Filtrage : sandbox malware, détecte phishing
Chiffrement end-to-end (PGP/S-MIME) optionnel

Wi-Fi

WPA2/3 (pas WEP/WPA)
Mot de passe fort (20+ chars aléatoire)
Réseau invités : séparé, pas accès interne
Monitoring : détecte appareils non-autorisés
Changement clé : 90 jours si personnel accès

33 — ISO 27001 | Domaine A.15

Relations fournisseurs (A.15)

Fournisseurs = vecteur d'attaque. Si fournisseur compromis, vous êtes. Audit, contrats, monitoring continu.

Contrôles A.15

A.15.1 — Sélection fournisseur : audit sécurité avant contrat, références
A.15.2 — Contrat sécurité : clauses confidentialité, audit droit, incident notification, SLA sécu
A.15.3 — Monitoring fournisseur : rapports sécurité, audits réguliers, liste d'attente de incidents

Avant sélection fournisseur

Évaluer criticité : données sensibles? impact si down?
Questionnaire sécurité (20-30 questions)
Vérifier certificats (ISO 27001, SOC 2, tier niveau)
Références clients (appeler pour vérifier)
Audit on-site si très critique (rare pour PME)

Contrat sécurité

SLA sécurité (99.9% uptime, response time incident)
Notification incident : 24h max si données compromises
Droit d'audit : vous pouvez auditer/pen-test
Data ownership : vos données restent vôtres
Suppression données : procedure fin contrat
Assurance responsabilité civile (couverture dommages)

Monitoring continu

Rapports sécurité mensuels/trimestriels
Alertes incidents (les informer immédiatement)
Audit annuel (externe ou questionnaire détaillé)
Revue contrats annuels
Benchmark concurrence (autres fournisseurs disponibles?)

Risk scoring fournisseur

Critique — données très sensibles (paiements, RGPD) : audit 2x/an
Élevé — données importantes : audit 1x/an
Modéré — données non-sensibles : audit tous les 2 ans
Changer fournisseur si scores baissent

34 — ISO 27001 | Domaine A.18

Conformité légale & audit (A.18)

Vérifier respect lois, standards, régulations. Audit interne + externe = validation conformité.

Contrôles A.18

A.18.1 — Conformité légale : identifier obligations (RGPD, NIS2, secteur-spécifique)
A.18.2 — Audit interne : auto-évaluation conformité régulière
A.18.3 — Audit externe : expert indépendant valide conformité

Obligations légales PME

RGPD (tous) : protection données, DPO, notification incidents
NIS2 (secteurs essentiels + fournisseurs critiques)
Secteur-spécifique : santé (HDS), finance (PCI-DSS), défense (ANSSI)
Lois locales : France (CNIL), EU (EDPB avis)
Mapping : qui est responsable de quoi (matrice RACI)

Audit & évaluation

Interne (annuel min) : checklist ISO 27001 contrôles, score maturité
Externe (annuel : cabinet indépendant, rapport détaillé, recommandations
Self-assessment : questionnaire avant audit (économise temps auditeur)
Corrective actions : plan d'action pour non-conformités
Certification ISO 27001 (optional, coûteux mais gage confiance)

Calendrier conformité PME

Janvier : révision politique + mapping obligations. Q1-Q2 : audit interne. Q2-Q3 : audit externe. Q4 : comité directeur, plan action 2025.

Utile

35 — ISO 27001 | Domaine A.9

Contrôle d'accès (A.9)

Qui a accès à quoi, comment vérifier l'identité, audit des accès. Fondation de toute sécurité IT.

Contrôles A.9

A.9.1 — Authentification : identité vérifiée (MFA obligatoire sensible)
A.9.2 — Gestion accès : moindre privilège, séparation tâches, révision annuelle
A.9.3 — Gestion mots de passe : longueur, complexité, renouvellement, gestionnaire
A.9.4 — Accès privilégié : compte admin séparé, audit logs, session enregistrée
A.9.5 — Révocation accès : immédiate à départ, lors changement rôle

Moindre privilège (PoLP)

Utilisateur normal : accès base métier uniquement
Manager : accès données équipe + rapports
Admin IT : accès infrastructure, gestion serveurs
Pas d'admin permanent : compte séparé pour tâches critiques
JIT (Just In Time) : accès temporaire puis révocation auto
Audit logs : toute action enregistrée, qu'on peut retracer

Séparation des tâches (SoD)

Approuveur ≠ exécuteur (pas même personne approuve+paie)
Développeur ≠ admin prod (dev casse pas prod accidentel)
Auditeur ≠ administrateur (auditeur indépendant)
Créateur données ≠ suppression (pas auto-destruction données)
Matrice d'accès : qui a quoi, approuvée direction

Authentification forte

Facteur 1 — Quelque chose que vous connaissez (password)
Facteur 2 — Quelque chose que vous avez (téléphone, clé USB)
Facteur 3 — Quelque chose que vous êtes (biométrie)
MFA — minimum 2 facteurs (password + SMS/app obligatoire sensible)
Pas SMS si possible (SIM swap risque) → app authenticator ou clé Yubikey

Gestion mots de passe

Longueur — 14+ caractères (pas 8)
Complexité — MAJUSCULES, minuscules, chiffres, symboles
Unicité — pas réutiliser sur sites différents
Gestionnaire — Bitwarden (gratuit), 1Password, Dashlane
Changement — si compromis détecté ou annuellement
Pas de reset — question secrète = faible, utiliser email/SMS au lieu

Audit d'accès PME — Une fois/an : manager valide droit de chaque subordonné. "Toujours besoin d'accès à X? Si non → retirer." Simple mais très efficace.

36 — ISO 27001 | Domaine A.16

Gestion des incidents de sécurité (A.16)

Processus complet : détection, triage, confinement, investigation, éradication, récupération, post-mortem.

Contrôles A.16

A.16.1 — Responsabilité & procédure : rôles clairs, plan d'action écrit
A.16.2 — Évaluation & classification : P1 (critique) à P4 (mineur), impacts
A.16.3 — Réponse & escalade : équipe mobilisée, comms pendant
A.16.4 — Investigation : rootcause, scope, données touchées
A.16.5 — Leçons apprises : post-mortem, amélioration continue

Triage & classification

P1 Critique — activité paralyse, données perso/paiements, escalade PDG immédiate
P2 Élevé — impact business significatif, données sensibles touchées, escalade jour même
P3 Moyen — impact limité, données non-critiques, suivi régulier 24-48h
P4 Faible — test de sécurité détecté, pas impact immédiat, ticket backlog

Réponse immédiate (P1-P2)

Activation équipe crise (5 min max)
Confinement : isoler systèmes affectés
Communication : PDG, clients si données, legal si RGPD
Preservation logs : ne pas effacer preuves
Premier rapport : situation 1-2h après détection

Investigation

Rootcause : comment attaquant a entré?
Timeline : quand c'est entré, quand détecté, combien temps dans système
Scope : quels fichiers/données touchés?
Impact : combien utilisateurs affectés, données volées/modifiées/supprimées?
Signaux attaquant : existe-t-il backdoor persistante?

Éradication & récupération

Patch faille ou configuration changée
Malware supprimé (antivirus, nettoyage manuel)
Accès compromis révoqués (mots de passe changés)
Sauvegarde saine restaurée
Vérification : système vraiment clean? (re-infection test?)

Post-mortem (2 semaines après)

Timeline exact : dates/heures clés reconstruites
What happened : vecteur attaque, données touchées
Why it happened : faille, erreur de config, manque contrôle
What we fixed : correctif appliqué, vérification
Lessons learned : quoi améliorer pour éviter récurrence
Action items : qui fait quoi by when
Confidentialité : rapport partagé leadership, pas clients (sauf obligation RGPD)

37 — ISO 27001 | Domaine A.17

Continuité d'activité & récupération (A.17)

Plan complet pour reprendre service après catastrophe. Ransomware, feu, perte data → rester actif.

Contrôles A.17

A.17.1 — Planification continuité : RTO/RPO définis, priorités clair, test réguliers
A.17.2 — Mise en œuvre : outils, procédures, documentation, contact escalade
A.17.3 — Test & révision : simulation annuelle, améliorations post-test

RTO vs RPO

RTO (Recovery Time Objective) — Temps max jusqu'à reprendre service
Exemple : "Site e-commerce en panne 4h = perte 50K€/h. RTO max = 4h"
RPO (Recovery Point Objective) — Perte données acceptable
Exemple : "Données critiques à jour max 1h. RPO = 1h (sauvegarde toutes heures)"

Tiers SLA datacenter

Tier 1 — 99.67% (36h downtime/an) = minimum acceptable
Tier 2 — 99.75% (22h downtime/an) = recommandé PME
Tier 3 — 99.99% (52 min downtime/an) = critique (santé, finance)
Tier 4 — 99.995% (26 min downtime/an) = très haute disponibilité

Stratégies récupération

Cold standby — sauvegarde archive (RTO 24-48h) = cheap
Warm standby — sauvegarde synchro (RTO 4-8h) = modéré
Hot standby — réplication temps réel (RTO < 1h) = cher
Active-active — 2 datacenters simultanés (RTO ~ 0) = très cher
PME = warm standby (meilleur rapport coût/bénéfice)

Checklist continuité PME

Priorités systèmes (ordre restauration)
Contacts escalade (direction, fournisseurs, clients)
Runbooks : comment restaurer chaque service
Sauvegarde testée régulièrement (pas sur théorie)
Équipe formée (pas juste doc, faire simulation)
Communication clients (status page, email)
Contrats hébergement (SLA, DR clause)

Test annuel = obligatoire

Simulation : "Production en panne le jour J, démarrez DR." Vous découvrirez les problèmes (procédure oubliée, contact obsolète, data pas à jour) en test, pas en vrai incident.

Critique

38 — Sécurité avancée

Sécurité applicative & OWASP

Failles dans le code = critique. OWASP Top 10 = 10 vulnérabilités à éviter absolument.

OWASP Top 10 2024

A.1 Injection — SQL injection, commande injection. Valider TOUS inputs
A.2 Authentification — mots de passe faibles, session piratées. MFA obligatoire
A.3 Injection à distance — XXE, SSRF. Parser XML/JSON unsafe
A.4 Accès sécurité brisée — API sans auth, tokens prévisibles
A.5 Violation contrôle d'accès — utilisateur accède données autre utilisateur
A.6 Misconfiguration sécurité — serveurs par défaut, pas mis à jour, debug mode on prod
A.7 Exposition données sensibles — pas chiffrement, logs données personnelles
A.8 XXS (Cross-Site Scripting) — HTML/JS non-échappé, exécution code côté client
A.9 Désérialisation dangereuse — objet malveillant → exec code
A.10 Utilisation composants vulnérables — librairies old = failles connues

Prévention développement

Code review obligatoire (pair program ou merge request review)
SAST (Static Analysis) : scan code avant commit (SonarQube, Checkmarx)
DAST (Dynamic Analysis) : test appli running (Burp Suite, OWASP ZAP)
Dépendances à jour (Dependabot, Snyk alerte vulnérabilités)
Secrets : pas en code (utiliser vault, environment variables)
Logs : utiles mais pas données sensibles (pas passwords, pas CC)

Sécurisation API

Authentification : token (JWT), OAuth2, pas custom
Authorisation : vérifier droits (pas admin pour tous)
Rate limiting : limiter appels (pas bruteforce API)
Input validation : longer, type, format vérifiés
Output encoding : HTML/URL/JSON echappé
HTTPS only : pas HTTP (jamais!)
Logs & monitoring : trace calls, alerter anomalies

39 — Sécurité avancée

Sécurité mobile & appareils

Smartphones/tablets = ordinateurs puissants. Données sensibles dedans. Sécuriser ou interdire.

Risques mobile

Malware apps malveillantes sur app stores
Network sniffer : Wi-Fi public = trafic intercepté
Perte/vol : device non chiffré = données volées
Jailbreak/Rooting : sécurité OS contournée
SIM swap : SMS 2FA intercepté
Permissions excessives : app accède caméra/mic sans besoin

Sécurisation Android

App store officiel uniquement (Play Store, pas APK tiers)
OS à jour (Security patches mensuels)
Chiffrement disque (Settings → Security)
Biométrie ou PIN (pas pattern = faible)
Google Play Protect activé (scan malware)
Location services off (sauf besoin)
Permissions : ne donner que strictement nécessaire
Work profile (Android for Work) : séparation données perso/travail

Sécurisation iOS

App Store uniquement (pas side-loading, sauf jailbreak)
iOS à jour (Security updates dès dispos)
Face/Touch ID ou code fort (6+ chiffres)
iCloud backup chiffré
Restrictions App Store (limite accès contenus)
Localiser mon iPhone (off sauf besoin)
Compartimentage : Managed Apple ID pour travail

BYOD vs équipement fourni

BYOD : utilisateur apporte son phone, entreprise = inconfort contrôle
MDM obligatoire (Intune, MobileIron) pour chiffrement/wipe distant
Données séparées (container work vs perso)
Coûts : utilisateur maintient phone, entreprise rembourse données
Équipement fourni : entreprise gère totalement, coûteux mais sûr

Pour PME : recommandations

Emails : app native (pas web si possible)
VPN : toujours activé pour data métier
Pas données sensibles en local (utilisez cloud)
MFA sur email perso (SIM swap = perte compte)
Lost phone : procédure désactivation accès immédiate

40 — Sécurité avancée

Gestion des données sensibles

Données = nouvel or. Protéger tout le cycle : collecte, stockage, traitement, suppression.

Cycle de vie données sensibles

Collecte — consentement explicite (RGPD), minimales données
Stockage — chiffrement, accès limité, sauvegarde
Traitement — pseudonymisation/anonymisation si possible
Partage — uniquement besoin, contrats confidentialité
Suppression — retention limité, destruction sécurisée après

Techniques protection

Chiffrement — AES-256 au repos, TLS 1.2+ en transit
Pseudonymisation — remplacer identifiant direct par hash (pas réversible sans clé)
Anonymisation — retirer info identifiante (définitif, pas récupérable)
Masquage — afficher **** au lieu numéro carte
Tokenization — remplacer données réelles par token (numéro référence)

Conformité RGPD données

Droit d'accès : fournir copie données sur demande (30 jours)
Droit rectification : corriger données incorrectes
Droit suppression : "droit à l'oubli" (pas tout effacer, ex legal hold)
Droit portabilité : exporter données format standard
Privacy by design : sécurité dès conception, pas after-thought

DPO essentiellement — Désignez DPO (interne/externe) pour gérer RGPD. DPO = interlocuteur CNIL, valide demandes d'accès, audit conformité.

41 — Sécurité avancée

Threat Intelligence & veille menaces

Connaître menaces avant qu'elles vous touchent. Intelligence = adaptation défense.

Sources threat intelligence

Automatisées — feeds malware, IPs/domaines malveillants, CVE nouveaux
Gouvernementales — CISA (US), ANSSI (France) alertes & avis
Communauté — forums de sécurité, blogs chercheurs, Twitter infosec
Commerciales — rapports cabinets (Mandiant, Gartner payants)
Dark web — monitoring leaks de votre entreprise (services externes)

Mise en action

Ajouter IPs malveillantes à firewall (blacklist)
Ajouter domaines malveillants à filtrage DNS
Chercher IOCs (Indicators of Compromise) dans logs
Patcher failles nouveaux rapidement
Alerter si groupe attaquant connu cible votre secteur

Pour PME : bases

S'abonner CERT-FR mailing list (gratuit)
Suivi Twitter @CISA, @Shadowserver
Newsletter Bleeping Computer (menace cyber)
Forum local CLUSIF (infosec France)
Une fois/trimestre : review CVEs critiques

42 — Métrique & Gestion

Métriques & KPIs de sécurité

Mesurer n'est pas compter. Métriques = quoi améliorer, budget justifié, gouvernance preuves.

KPIs critiques sécurité

MTTR (Mean Time To Respond) — Temps moyen avant action sur incident (objectif : <2h)
MTTD (Mean Time To Detect) — Temps moyen avant détection menace (objectif : <1h)
MTBF (Mean Time Between Failures) — Temps entre incidents (objectif : augmenter)
% Patches appliqués — Objectif 95% dans 30j (failles critiques 2j)
% Conformité ISO — Objectif 100% contrôles implémentés
Coût incident** — ROI sécurité : incidents évités × coût moyen

% Phishing cliqué — Benchmark avant/après formation (objectif <5%)

Disponibilité services — Uptime 99.5%+ (SLA cible)

Maturité sécurité (CMM)

Niveau 1 — Initial (réactif, processus ad hoc)

Niveau 2 — Managé (procédures documentées, audit basique)

Niveau 3 — Défini (standards ISO, metrics implantées)

Niveau 4 — Mesuré (analytics prédictive, SIEM)

Niveau 5 — Optimisé (innovation continue, security culture)

PME : objectif niveau 3 (5-10 ans)

Tableaux de bord (Dashboard)

Exécutif : risque global, incidents P1, budget vs plan

RSSI : métriques détaillées, tendances, gaps ISO

IT : patches appliqués, uptime, alertes EDR

Métier : disponibilité services, incidents récents

Mise à jour : mensuelle (direction), hebdo (RSSI/IT)

43 — Métrique & Gestion

Gestion des risques (EBIOS/ISO 31000)

Méthodologie formelle pour identifier, analyser, traiter risques. Framework : EBIOS (France) ou ISO 31000 (international).

Processus EBIOS (5 étapes)

Cadrage — Quoi protéger? Qui sont les menaces? Enjeux?

Identification — Lister scenarios menaces possibles

Analyse — Évaluer probabilité + impact (matrice risque)

Traitement — Sélectionner mesures (accepter/réduire/transférer)

Suivi — Documenter, réviser annuellement

Matrice risque (probabilité × impact)

Critique — P5I5 : action immédiate, budget alloué

Élevé — P4I4 ou P5I3 : plan d'action trimestri

Moyen — P3I3 : suivi annuel, optimisations

Faible — P1I2 ou moins : accepté ou backlog

Mesures (contrôles)

Prévention — Réduire probabilité (segmentation, MFA)

Protection — Limiter impact (backup, chiffrement)

Détection — Trouver incident vite (logs, monitoring)

Réaction — Répondre rapidement (plan incident, escalade)

EBIOS vs ISO 31000 — EBIOS = français, pratique, cyber-focalisé (ANSSI). ISO 31000 = généraliste tous risques (financier, opérationnel, cyber). Pour PME : EBIOS + agilité = meilleur ROI.

44 — Métrique & Gestion

Matrice RACI

Qui fait quoi ? Matrice RACI définit rôles pour chaque contrôle ISO/processus sécurité.

RACI = 4 rôles

Responsible (R) — Exécute la tâche (technicien qui applique patch)

Accountable (A) — Rend des comptes, valide complétude (CTO approuve patch)

Consulted (C) — Avis demandé avant (métier demande si patch safe)

Informed (I) — Notifié après (PDG informe que patch appliqué)

Exemple : Gestion patch critique

R = Technicien IT (installe patch)

A = CTO (approuve avant, valide après)

C = Métier (demandé si impact fonctionnel)

I = RSSI (audit trail), PDG (incident P1)

Contrôles ISO courants & RACI

Mises à jour : R=IT, A=CTO, C=Métier, I=RSSI

Incident response : R=IT, A=RSSI, C=Métier, I=PDG

Audit accès : R=HR, A=Manager, C=IT, I=RSSI

Développement code : R=Dev, A=Tech lead, C=Sécurité, I=RSSI

Audit fournisseur : R=Procure, A=RSSI, C=Métier, I=PDG

Avantages RACI

Clarté : plus de "c'est pas moi"

Responsabilité : qui est accountable (escalade claire)

Efficacité : pas consensus lent (A valide, pas tout le monde)

Audit trail : trace qui a autorisé quoi

45 — Métrique & Gestion

Benchmarking sécurité

Comment vous comparez à PME similaires ? Où investir prioritairement ?

Sources benchmarking

ANSSI — Rapports annuels paysage cyber France

Gartner/IDC — Coûts moyen sécurité par secteur/taille

Ponemon Institute — Cost of Data Breach étude annuelle

Verizon DBIR — Incident statistics, secteurs ciblés

Secteur associations — Chiffres industrie (finance, santé...)

Pairs anonymes — Enquête réseaux infosec (CLUSIF, ISACA)

Métriques à comparer

% budget IT pour sécurité (PME = 5-10%)

MTTR incident (meilleur = <2h)

% conformité ISO (objectif 90%+)

% phishing cliqué (benchmark 10-20%)

MTBF incident (viser tendance +)

Actions après benchmarking

Si vous êtes en retard : plans d'action prioritaires

Si vous êtes en avance : optimisations, innovation

Par domaine : segmentation, EDR, SIEM les plus critiques?

Négociation : "secteur même taille = budget 7%, donc nous demandons 8%"

46 — Conformité avancée

Mapping ISO 27001 ↔ RGPD

Comment ISO 27001 répond aux exigences RGPD ? Matrice = montrer audit conformité simultanée.

Domaines ISO 27001 couvrant RGPD

A.5 Politiques → Directive sécurité (article 32 RGPD)

A.7 RH → Rôles/responsabilités (article 38 = DPO)

A.8 Actifs → Inventaire données perso (article 30 registre)

A.9 Accès → MFA, moindre privilège (article 32 intégrité)

A.10 Cryptographie → Chiffrement données (article 32)

A.12 Opérations → Logs, monitoring (article 30 audit trail)

A.16 Incidents → Notification 72h (article 33)

A.17 Continuité → Backup, PCA (article 32 disponibilité)

Avantage — Certification ISO 27001 = 80% conformité RGPD. Reste 20% = procédures légales (consentement, DPIA, registre).

47 — Conformité avancée

Mapping ISO 27001 ↔ NIS2

NIS2 renforce obligations pour opérateurs essentiels et fournisseurs critiques. ISO 27001 couvre ~90% NIS2.

Exigences NIS2 couvertes par ISO

Gouvernance — A.5/A.6 = politiques, rôles, risques

Gestion des risques — A.5 = méthodologie EBIOS

Incident reporting — A.16 = notifier autorité 24h (NIS2 demande)

Sécurité de base — A.7 à A.14 = contrôles techniques/organisationnels

Continuité — A.17 = PCA/PRA, tests annuels

Écart NIS2 vs ISO

Reporting 24h au régulateur (ANSSI) = NIS2 uniquement

Audit/pentesting obligatoire (NIS2 article 21)

Gestion crises publiques (board reporting)

Test annuels simulation crises

Pour PME fournisseurs

Clients (opérateurs essentiels) demandent audit NIS2

ISO 27001 + 10% = conformité NIS2

Coûts : certification + reporting infra = 30-50K€/an

48 — Conformité avancée

Sécurité par secteurs spécifiques

Santé, finance, e-commerce = exigences propres + ISO 27001 base. Compliance stack.

Santé (HDS - Hébergement Données Santé)

Certification HDS (France) = obligation si données patients

HIPAA (US) = si patients américains

Exigences : ISO 27001 + chiffrement renforcé, audit extern 2x/an, traçabilité accès

Coûts : certification HDS = 15-50K€, audit annuel 5-10K€

Finance (PCI-DSS - Paiements)

Niveau : dépend volume transactions (niveau 1 = plus gros)

Exigences : ISO 27001 + segmentation réseau stricte (PAN isolée), chiffrement paiements, audit annuel

Coûts : audit PCI = 10-30K€/an, infrastructure (HSM, firewalls) = 50K€+

E-commerce (OWASP/RGPD)

OWASP Top 10 = failles appli critiques (injection, auth...)

Exigences : ISO 27001 + code review sécurité, pentesting 2x/an, WAF

Coûts : code review = 5-10K€, WAF = 5K€/an

Défense/Gouvernement (ANSSI)

PGSSI-G = certification ANSSI obligatoire

Exigences : ISO 27001 ++ très strict (data France, chiffrement gouvernement, audit permanent)

Coûts : très élevés, certification années

Stack compliance — ISO 27001 = socle. Secteur ajoute : HDS (santé), PCI-DSS (paiements), OWASP (web), etc. Cumul coûts mais certification croisée = 70% réutilisation.

49 — Conformité avancée

Certification ISO 27001

Comment obtenir certification ISO 27001 ? Étapes, coûts, bénéfices, pièges.

Processus certification (12-18 mois)

Audit initial (gap audit) — Cabinet évalue maturité actuelle (2-3K€)

Plan d'action — 6-12 mois implémentation contrôles manquants (interne)

Audit stage 1 — Cabinet vérifie processus documentés (1K€)

Audit stage 2 — Cabinet audit complet tout (3-8K€ pour PME)

Certification — Audit externe 1x/an maintenance (2-5K€)

Coûts PME (estimation)

Gap audit : 2-3K€

Implémentation : 20-50K€ (interne + consultant)

Audit certification : 5-10K€

Audit maintenance annuel : 3-5K€

Total année 1 : 30-70K€

Années suiv. : 5-10K€/an

Bénéfices certification

Gage confiance clients (exigence contrats)

Accès marchés publics

Réduction primes assurance cyber

Culture sécurité interne

Processus documentés (moins erreurs)

Piège courant — Certification = processus validé, pas "100% sécurisé". Restez vigilant post-certification. Audit = photographie point-in-time.

50 — Frameworks & Pratique

Frameworks NIST & SANS

Deux frameworks majeurs : NIST (gestion risques), SANS (réponse incidents). Complémentaires ISO 27001.

NIST Cybersecurity Framework

Identify — Inventaire actifs, risques, gestion ressources

Protect — Sauvegardes, accès, chauffement, maintenance

Detect — Logs, monitoring, alertes, anomalies

Respond — Plan incident, analyse, containment, éradication

Recover — Restauration, post-mortem, continuité

Avantage : Matrice 5 pillars = facile expliquer stakeholders (moins académique ISO).

SANS Incident Response (IR)

Preparation — Équipe, outils, runbooks, contacts

Identification — Détecter incident (alertes, utilisateur signale)

Containment — Short-term (isoler), long-term (patch faille)

Eradication — Retirer malware, changer accès compromis

Recovery — Restaurer services, vérifier clean

Post-Incident — Lessons learned, amélioration contrôles

Avantage : Très détaillé incident, 6 phases vs NIST 5 génériques.

Pour PME — NIST Framework = plateforme communication. SANS IR = playbook technique. ISO 27001 = procédures documentées. Combinez les trois pour robustesse.

51 — Frameworks & Pratique

DevSecOps & Automatisation sécurité

Intégrer sécurité CI/CD pipeline depuis le code. Trouver failles tôt = moins cher que prod.

Pratiques DevSecOps

Shift-left — Sécurité avant code production (dev local, pas attendre QA)

SAST (Static) — Scanner code avant commit (SonarQube, Checkmarx, Snyk)

DAST (Dynamic) — Scanner appli running (OWASP ZAP, Burp Suite)

SCA (Composition) — Dépendances vulnérables (Snyk, Dependabot, WhiteSource)

IaC scanning — Configuration-as-Code sécurisée (Terraform, Docker vulnérabilités)

Secrets management — Pas API keys en code (Vault, HashiCorp, AWS Secrets)

Compliance-as-code — Tester conformité automatiquement

Pipeline sécurisé

Dev local : SAST sur code

Git push : scanner secrets

CI build : SCA dépendances

Test stage : DAST appli

Deploy : IaC compliance check

Prod monitor : RASP runtime security

Outils DevSecOps PME

SAST : SonarQube Community (gratuit)

Secrets : TruffleHog (gratuit), Vault

SCA : Dependabot (GitHub gratuit), Snyk

DAST : OWASP ZAP (gratuit)

Container : Trivy (gratuit scan images)

52 — Frameworks & Pratique

Tabletop exercises & simulations crise

Exercice seco sans impact prod. Simuler crise : découvrir gaps avant vrai incident.

Types d'exercices

Tabletop — Discussion/quizz (2-4h, peu coûteux) : "Et si ransomware demain?"

Simulation — Scénario réaliste contrôlé (8-16h) : sandbox attaque, équipe répond

Full-scale — Production-like (24-48h) : attaque simulée réaliste, tous services impliqués

Scénarios PME

Ransomware — Données chiffrées, qui réagit, PCA activation

Data breach — Données volées, notification clients/CNIL, comms

Outage critique — Service down 24h, impact CA, communication PDG

Email compromise — PDG email piraté, CEO fraud emails, détection?

Déroulement tabletop

1h : Briefing scénario, joueurs (IT, métier, direction)

2h : Jeu : "Heure 0 — détection. Qui fait quoi?"

30min : Debrief, gaps documentés

Après : Plans d'action pour gaps, réviser procédures

Leçon — Tabletop annuel = investissement 10K€, économise 100K€+ en incident non-maîtrisé. Testez avant de casser pour vrai.

53 — Frameworks & Pratique

Supply chain security avancée

Dépendances code, fournisseurs, intégrations = risques. SBOM, vérifier provenance, scan continu.

SBOM (Software Bill of Materials)

Inventaire : toutes dépendances code (libraires, frameworks)

Versions : tracking précis (vulnérabilités CVE ciblées)

Licences : vérifier compatibilité (GPL, MIT, propriétaire)

Provenance : d'où vient le code (repo officiel, fork, mirror)?

Format : CycloneDX (standard), SPDX

Vérification supply chain

Package signing : vérifier signature auteur (npm, PyPI, Maven)

Checksums : hash fichiers vs repo officiel

Dépendances transitives : audit de l'audit (dépendances de dépendances)

Build reproducible : même input = même output (preuve pas compromise)

Outils PME

SBOM generation : CycloneDX plugin Maven/npm, Syft

Vulnérabilités : Snyk, Dependabot (gratuit)

Package verification : npm audit, cargo audit, pip-audit

Container registry : Harbor (self-hosted), ECR security scanning

54 — Frameworks & Pratique

Sécurité Big Data & IA

Données massives = profil menaces nouveau. IA = dualité (défense et attaque plus intelligente).

Risques Big Data

Stockage massif — Lacs données (data lake) = sensibilité dilée mais accès aisé

Accès étendu — Data scientists, analystes, modèles ML = beaucoup d'accès

Anonymisation échouée — Dé-anonymification via cross-data possible (RGPD risque)

Model poisoning — Données d'entraînement malveillantes → modèle biaisé

Inference attacks — Prédire données perso via appel modèle

Défense Big Data

Classification données stricte (plus critique = plus contrôle)

Chiffrement data lake (au repos + audit accès)

Séparation environnements (prod data ≠ test data)

Monitoring accès (qui consulte quoi, anomalies)

Privacy-preserving ML (differential privacy, federated learning)

IA & cybersécurité

IA défense : ML détecte anomalies (EDR, SIEM)

IA attaque : LLM génère phishing indétectable, evasion malware

Équilibre : IA défense doit évoluer aussi vite qu'attaque

Risque : Modèles volés, données entraînement leakées

55 — Frameworks & Pratique

Assurance cybersécurité

Assurance cyber = financer incident. Coûts directs (forensic, data recovery), indirects (perte activité), légaux.

Couvertures assurance cyber typiques

Data breach/privacy — Notification clients, credit monitoring, récupération données

Business interruption — Perte chiffre affaires pendant outage

Cyber extortion — Ransomware, DDoS rançon (pas paiement direct mais coûts réponse)

Notification & PR — Avocats, consultants crise communication

Forensic & recovery — Experts incident, restoration données

Liability — Responsabilité civile si incident affecte tiers

Coûts PME (annuel)

Couverture basique : 5-15K€/an (50-500K€ limite)

Couverture complète : 15-50K€/an (500K-5M€ limite)

Franchise : 5-50K€ (vous payez en cas incident)

Réduction : ISO 27001 = -10-20% prime

Pièges courants

Couverture complète ≠ tous incidents (exclusions malveillance interne)

Franchise élevée = apparemment cheap mais peut coûter plus en incident

Délais notification courts (souvent 24-72h = rapide!)

Audit de conformité avant paiement (doivent vérifier vous aviez contrôles)

Conseil — Assurance cyber = filet, pas solution. Contrôles sécurité = prévention. Combinez : 70% technologie + 30% assurance.

56 — Frameworks & Pratique

Gouvernance & Board reporting

Sécurité = enjeu stratégique. Board doit comprendre risques, budgets, incidents. Reporting clair = pouvoir d'action.

Reporting audit/board

Trimestriel : KPIs sécurité (incidents, patches, maturité), risques prioritaires, budget vs plan

Incidents P1 : notification immédiate PDG/board (escalade déjà pendant incident)

Annuel : stratégie sécurité 1-2 ans, investissements, audit externe bilan

Responsabilité : PDG/CFO = accountable légalement (RGPD, NIS2 = dirigeants recalés)

Dashboard board-ready

Risk heat map : Critique/Élevé/Moyen/Faible (1 slide)

Incidents tendance : Nombre, sévérité, MTTR (trend positive = bon)

Budget vs plan : Dépensé vs alloué, ROI (incidents évités)

Conformité : ISO %, RGPD/NIS2 status (% compliance)

Langage simple : Pas jargon technique, business impact

Conversation PDG-RSSI

RSSI : "Ransomware = risque critique, dépend de sauvegardes"

PDG : "Coûts? Impact? Probabilité?"

RSSI : "50% PME ciblées/an, 50K€ perte. Sauvegarde = 20K€/an. ROI 2.5x/an"

PDG : "OK budget 20K pour backup robuste"

Clé succès — RSSI doit parler "risque business", pas "architecture crypto". Traduire technique en impact financier/légal. Board comprend ROI, pas techno.

57 — Pratique

Audit & pen-testing

Audit de sécurité externe : test de vos défenses par des experts indépendants. Obligatoire pour ISO 27001, NIS2, et PME matures.

Types d'audits

Audit de conformité — vérifiez respectez politique, standards (RGPD, ISO, NIS2)

Évaluation configuration — serveurs, firewall, cloud, IAM bien configurés ?

Audit de code — applications métier, failles développement (OWASP)

Pentesting (offensive) — tentative réelle d'intrusion, en accord préalable

Threat hunting — recherche active menaces cachées dans logs/réseau

Pentesting : phases

Reconnaissance (OSINT, scan)

Analyse (failles identifiées)

Exploitation (prouver criticalité)

Post-exploitation (étendue accès ?)

Rapport détaillé + recommandations

Retest après corrections

Fréquence recommandée

Annuel — minimum pour PME mature

Avant déploiement critique — nouveau produit, infrastructure

Post-incident — vérifier autres failles

Semestriel — environnement sensible (données perso, paiements)

Coût PME : 3 000-10 000€ par audit

Choisir bon auditeur
Vérifiez : ISO 27001 certifié, expérience PME (pas que grands comptes), confidentialité (NDA signé), rapport transparent (pas vente outils). Demandez références clients. Évitez cabinets qui vendent aussi les solutions (conflit intérêt).
Utile

58 — Pratique

Budget & ROI sécurité

Combien dépenser ? Quel retour sur investissement ? Comment justifier auprès de direction.

Budget type PME (100-500 salariés)

Catégorie Budget annuel Priori

Antivirus/EDR endpoints 5-15 K€ P1

Firewall/Filtrage email 3-8 K€ P1

MFA & IAM 2-6 K€ P1

Sauvegardes managées 4-12 K€ P1

Formation/sensibilisation 1-3 K€ P2

VPN & accès distant 1-4 K€ P2

Monitoring/logs centralisés 3-10 K€ P2

Audit/pen-testing annuel 3-8 K€ P2

Consultant/RSSI part-time 10-30 K€ P3

TOTAL 32-96 K€

Calcul du ROI

Coût d'un incident : moyenne 4 500€ ransomware + arrêt activité (X jour × CA/jour)

Probabilité sans mesures : 57% PME touchées/an

Réduction après mesures : -80% incidents grâce sauvegardes, MFA, formation

Exemple : budget 50 K€, réduit risque 4 incidents/an (180 K€ perte) → ROI 260% an 1

Bénéfices intangibles

Confiance clients (ISO 27001, NIS2)

Conformité légale (RGPD, NIS2 = amendes évitées)

Réputation préservée

Rétention talent (sécurité données perso)

Accès marchés publics (critères sécu)

Argument de vente pour direction — "Investir 50 K€/an en sécurité réduit le risque d'un incident à 4 500€+arrêt production. C'est un investissement d'assurance. Sans mesures, la probabilité d'attaque = 57% PME touchées. Le ROI se fait sur 1 incident évité."

59 — Pratique

Gestion de crise

Communication de crise lors d'un incident majeur. Gérer perception publique, clients, médias en parallèle de la résolution technique.

Avant : préparer

Nommer crise manager (direction ou manager senior)

Équipe de crise : direction, IT, RSSI, Legal, Communication, HR

Procédure de notification : qui informe qui, quand

Template messages : clients, médias, autorités

Liste contacts : presse, autorités (CNIL, police), assureur

Simulation crise 1x/an (test communication)

Pendant l'incident

Activation équipe de crise immédiate

Premier message : reconnaître incident, action en cours, pas de détails prématurés

Mise à jour quotidienne (ou plus selon gravité)

Pas de communication technique (focus impact client)

Single source communication (éviter infos contradictoires)

Préparation notification légale (CNIL 72h si données)

Après : réputation

Rapport transparent post-mortem (clients intéressés)

Explainer : comment c'est arrivé, ce qu'on a changé

Assurance client : mesures renforcées

Média : proactivité ("voici nos actions")

Gestion social media (crises amplifient sur Twitter)

Pas de "no comment" (pire que la vérité)

Règle d'or — Transparence > silence. Les clients pardonneront incident + communication honnête. Ils pardonneront pas mensonge découvert après. Préparez mauvaise nouvelle, noyée dans "voici nos actions pour éviter ça".

60 — Pratique

Cas d'études : incidents réels PME

Incidents réels (données publiques) qui touchent des PME. Comprendre où ça casse aide à sécuriser.

Cas 1 : Ransomware via email compromis fournisseur

Contexte : PME 50 salariés, secteur BTP. Fournisseur logiciel compromis envoi email "update urgente" avec lien malveillant. Collaborateur clique, Trojan installé, ransomware se propage sur serveurs partagés 24h après.

Impact : 45 jours arrêt production, 180 K€ perte chiffre affaires, 15 K€ coûts restauration. Paiement rançon 8 K€ déconseillé mais contrariété métier.

Leçon : Segmentation réseau aurait limité propagation (2 jours au lieu 3 semaines). Sauvegarde hors-réseau aurait permis restauration 24-48h. Filtrage email + tests phishing auraient réduit clic.

Cas 2 : Usurpation CEO - virement détourné

Contexte : PME 20 salariés, secteur consulting. Email du "PDG" (adresse spoofée très similaire) à responsable comptabilité : "Effectue virement urgent 25 K€ à nouveau fournisseur avant vendredi 17h, réserver ta confidentialité." Virement exécuté immédiatement.

Impact : Virement irrécupérable (compte drop loin). Dépôt plainte police (mois avant enquête). Perte financière nette 25 K€ + frais.

Leçon : Formation sur CEO fraud. Double-validation pour virements > 10 K€. Procédure : rappeler PDG sur numéro connu avant transfert. Filtrage email (bannière "EXTERNE"). Pas de urgence = pas de clic.

Cas 3 : Fuite données sensibles (non chiffrées)

Contexte : PME healthcare 100 salariés. Disque dur portable d'un médecin volé dans gare. Contient dossiers patients (200) en Excel non chiffré. Données : nom, prénom, numéro sécu, pathologies.

Impact : Notification CNIL obligatoire. Patients alertés. Amende RGPD 15 K€ (PME, violation mineure). Coût gestion incident : temps legal, communication. Réputation (article presse local).

Leçon : Chiffrement BitLocker/FileVault obligatoire portables. Pas de données sensibles en local. Données sensibles ≠ Excel (utilisez base de données chiffrée). Classification données : perso sensible = chiffrement.

Cas 4 : Credential stuffing - compte admin piraté

Contexte : PME e-commerce 10 salariés. Admin utilise mot de passe "Soleil2024!" réutilisé sur LinkedIn + site de paiement. LinkedIn fuite (27M comptes), attaquant teste credentials sur WordPress admin → accès obtenu. Malware inséré sur produits vendus (skimmer payment).

Impact : 30 jours avant détection (via antifraude bancaire). 120 clients exposés données carte. Coût notification + investig : 12 K€. Perte clients (ex-utilisateurs bloquent site).

Leçon : Mots de passe uniques (gestionnaire). MFA obligatoire comptes admin/email. Avoir fuité sur LinkedIn ne doit pas = accès à votre systeme. Credential stuffing détection (alertes login anormaux).

Cas 5 : Succès : plan de continuité sauve PME

Contexte : PME 80 salariés, secteur finance. Attaque ransomware "LockBit" détectée via EDR (comportement crypto détecté en 4h). Sauvegarde quotidienne + backup hors-réseau en place. PDG décision rapide : couper réseau, pas payer rançon, restaurer depuis sauvegarde.

Impact : Restauration complète 48h (RTO 48h planifié). Perte données : nul (sauvegarde hi, RPO 24h). Coûts directs : 3 K€ restauration, 1 K€ audit post-incident. Indisponibilité métier : 2 jours (gérable).

Leçon : Sauvegardes + plan de continuité testé = protection maximale. Pas de rançon = pas enrichir cyber-criminels + pas cibler récurrente. Détection précoce (EDR) fait différence (4h vs 200j moyen).

62 — Référence

Glossaire

Termes techniques expliqués simplement.

ADM/Azure Entra
Active Directory. Annuaire centralisé qui gère les comptes, groupes, permissions. Un utilisateur = un compte = accès à tous les systèmes.

ANSSI
Agence Nationale de la Sécurité des Systèmes d'Information (France). Publie guides, alertes, assure cybersécurité nationale.

API Key
Clé d'accès à un service en ligne. À ne jamais partager ou laisser visible en code. Équivalent mot de passe pour applications.

APT
Advanced Persistent Threat. Groupe d'attaquants sophistiqué (souvent gouvernemental) ciblant une org spécifique longtemps.

Audit
Vérification indépendante que vous respectez politique/standards (RGPD, ISO 27001). Fait par auditeur externe.

Backdoor
Porte arrière. Accès caché/persistant qu'un attaquant maintient dans un système pour revenir.

BitLocker
Chiffrement disque Windows. Tout ce qui est écrit sur disque est chiffré automatiquement.

CEO Fraud
Usurpation de PDG par email. Attaquant demande virement urgent = fraude simple mais très efficace.

CNIL
Commission Nationale de l'Informatique et des Libertés (France). Autorité RGPD, traite plaintes, peut condamner.

Credential Stuffing
Attaquant teste identifiants volés sur des milliers de sites pour trouver accès.

DPO
Délégué à la Protection des Données. Rôle RGPD, supervise conformité données, contact CNIL.

EDR
Endpoint Detection & Response. Logiciel endpoints (ordinateurs) qui détecte comportements malveillants en temps réel.

Firewall
Pare-feu. Appareil/logiciel qui filtre trafic réseau. Laisse passer autorisé, bloque le reste.

Incident de sécurité
Événement : malware détecté, données exposées, serveur piraté, phishing réussi...

IAM
Identity & Access Management. Gestion centralisée des identités (qui a accès à quoi).

ISO 27001
Standard international management sécurité information. Certification de processus de sécurité solides.

MFA
Multi-Factor Authentication. 2+ preuves : mot de passe + SMS/app/clé. Beaucoup plus sûr que MDP seul.

NIS2
Directive européenne, renforce obligations sécurité pour opérateurs essentiels et fournisseurs critiques.

Pentesting
Penetration testing. Test d'intrusion, simule attaquant. Avec accord préalable, temps limité.

PCA/PRA
Plan Continuité Activité / Plan Reprise Activité. Procédure pour reprendre ops après incident.

RGPD
Règlement Général Protection Données (EU). Loi encadrant traitement données perso.

Ransomware
Logiciel rançon. Chiffre fichiers, exige rançon pour clé. Détruit activité si pas sauvegarde hors-réseau.

RSSI
Responsable Sécurité Systèmes Information. Rôle sécurité entreprise, supervise stratégie.

RTO/RPO
Recovery Time/Point Objective. Temps max pour reprendre service + perte données acceptable.

Segmentation
Diviser réseau en zones isolées. Si zone A compromise, zone B reste protégée.

SIEM
Security Information & Event Management. Centralise logs, analyse pour détecter attaques.

Smishing
Phishing par SMS. Faux message qui demande clic/identifiants.

Threat Hunting
Recherche active menaces. Expert cherche malware/accès suspects dans logs réseau.

VPN
Virtual Private Network. Tunnel chiffré entre device et serveur, cache votre IP/trafic.

Vishing
Phishing par appel vocal. Faux support/banque qui demande infos sensibles.

Vulnérabilité
Faiblesse logiciel/système exploitable. Patch corrige.

61 — Référence

Check-lists

Listes de vérification pratiques pour mettre en œuvre une hygiène de sécurité.

Sécurité de base (mois 1)

Inventaire actifs critiques (données, systèmes, personnes)

MFA sur tous comptes admin (email, serveurs, cloud)

Antivirus/EDR installé sur tous endpoints

Firewall edge configuré (defaut deny)

Mises à jour automatiques activées (OS, logiciels)

Sauvegarde quotidienne données critiques (test restauration)

Audit logs activés (authentification, accès donnés sensibles)

Governance (trimestre 1)

Politique de sécurité écrite & communiquée

RSSI nommé (interne ou externe)

Formation sécurité annuelle pour tous (phishing, mots de passe, télétravail)

Test de phishing simulé (baseline)

Plan de réponse aux incidents documenté

Audit fournisseurs critiques (sécurité, conformité)

RGPD : DPO désigné, traitement des données documenté

Renforcement (année 1)

Segmentation réseau implémentée (zones DMZ, métier, critique)

IAM : gestion centralisée des accès (AD/Entra), révision trimestrielle

Chiffrement disque portables (BitLocker, FileVault)

VPN télétravail déployé & MFA

Cloud : IAM renforcé, logs centralisés, audit config

Monitoring (EDR + logs centralisés) actif

Audit externe / pen-testing

Assurance cybersécurité souscrite

63 — Référence

Ressources & liens

Ressources officielles et outils pour approfondir.

🇫🇷 Ressources françaises

ANSSI (ssi.gouv.fr) — agence nationale cybersécurité, guides gratuits

cybermalveillance.gouv.fr — aide victimes, signalements

CNIL (cnil.fr) — RGPD, plaintes, avis

CERT-FR — alertes vulnérabilités, avis

📚 Guides & normes

ISO 27001 — management sécurité info (costly mais complet)

NIST Cybersecurity Framework — libre, reference US

OWASP Top 10 — top vulnérabilités apps web

CIS Critical Security Controls — 18 contrôles prioritaires

🛠 Outils

haveibeenpwned.com — vérifier fuites données

VirusTotal — scanner fichiers

nomoreransom.org — outils déchiffrement

Shodan — scanner expo internet (vous aussi)

📱 Logiciels recommandés

Bitwarden — gestionnaire mots de passe gratuit

Aegis/Raivo — app 2FA mobile

Cryptomator — chiffrement cloud

uBlock Origin — bloqueur publicités navigateur

Commencer simple — Vous n'avez pas besoin d'être expert. Commencez par les basics : inventaire actifs, MFA, sauvegarde, antivirus, formation. Escalader progressivement vers segmentation, monitoring, conformité ISO/NIS2 selon budget et timeline.

Cybersécurité pour PME

Cybersécurité en PME

Pourquoi les PME sont ciblées

Enjeux critiques

Les 3 piliers

Menaces PME 2025-2026

Ransomware

Phishing ciblé

Compromission fournisseur

Exploitation de failles

Usurpation identité

IA générative

Statistiques 2024-2025

Gestion des risques

Matrice de risque (probabilité × impact)

Les 4 stratégies de traitement

Cadre simple pour PME

RGPD

Obligations principales

Les sanctions

Être en conformité

ISO 27001

Les 3 axes de 27001

Les contrôles essentiels

Certification pour PME

Directive NIS2

Qui est concerné ?

Obligations NIS2

Impact PME

Politique de sécurité

Éléments clés d'une politique

RSSI & gouvernance

Rôles du RSSI

En PME

Gouvernance recommandée

Gestion des fournisseurs

Processus de sélection fournisseur

Contrat de sécurité

Risk scoring fournisseur

Infrastructure réseau

Segmentation réseau (zoning)

Firewall & pare-feu

DNS & filtrage

Gestion des accès (IAM)

Principes de base

Outils pour PME

Processus

Sécurité endpoints

Contrôles essentiels

MDM (Mobile Device Management)

Par système

Sauvegardes & continuité

Règle 3-2-1

Stratégie de sauvegarde

PCA (Plan de Continuité Activité)

Sécurité cloud

Responsabilité partagée

Bonnes pratiques cloud

Configuration sécurisée

Monitoring & logs

Que monitorer

Logs essentiels

Tools pour PME

Formation & sensibilisation

Programme de formation annuel

Contenus recommandés

Formats efficaces

Tests de phishing simulés

Cadre de test

Métriques

Outils

Réponse aux incidents

Phases de réponse

Plan de réponse

Décision critique : payer rançon ?

Télétravail sécurisé

Politique télétravail

VPN en PME

Équipement recommandé

BYOD & appareils mobiles