Checklist cybersécurité PME : 15 mesures prioritaires
Une liste ordonnée, sans jargon, pour savoir par où commencer et vérifier l'essentiel dans votre entreprise.
Accès et identités (mesures 1 à 3)
- Activez la double authentification (MFA) sur la messagerie, les accès à distance (VPN, bureau à distance) et tous les comptes d'administration.
- Un compte par personne, des droits au strict nécessaire. Supprimez les comptes des anciens salariés et prestataires ; réservez les comptes administrateurs à l'administration.
- Mots de passe longs et uniques, idéalement avec un gestionnaire de mots de passe. Changez tout mot de passe par défaut d'équipement.
Postes et mises à jour (mesures 4 à 6)
- Mettez à jour systèmes, applications et équipements réseau (pare-feu, routeurs, NAS), en priorisant ce qui est accessible depuis Internet. Les vulnérabilités connues sont la porte d'entrée la plus courante.
- Équipez chaque poste d'une protection contre les logiciels malveillants maintenue à jour, et activez le chiffrement des disques des ordinateurs portables.
- Tenez un inventaire de vos équipements et logiciels : on ne protège pas ce qu'on ne connaît pas.
Sauvegardes (mesures 7 et 8)
- Sauvegardez régulièrement les données qui font tourner l'entreprise, avec au moins une copie hors ligne ou non modifiable, séparée de votre réseau principal (règle dite « 3-2-1 » : trois copies, deux supports, une hors site).
- Testez la restauration. Une sauvegarde jamais restaurée n'est qu'une hypothèse.
Réseau et exposition (mesures 9 à 11)
- Ne laissez aucun service d'administration exposé inutilement sur Internet (bureau à distance, interfaces d'équipements). Si un accès distant est nécessaire, passez par un VPN avec MFA.
- Séparez les réseaux : invités et Wi-Fi visiteurs d'un côté, postes et serveurs de l'autre ; isolez les objets connectés (caméras, imprimantes).
- Chiffrez les échanges : certificats valides, anciennes versions de TLS (1.0 et 1.1) désactivées.
Un audit réseau permet justement de vérifier ces trois points avec des constats concrets.
Humain, incident et prestataires (mesures 12 à 15)
- Sensibilisez vos équipes à l'hameçonnage : savoir repérer un message suspect et savoir qui prévenir, sans crainte d'être sanctionné. Des formations courtes suffisent à changer les réflexes.
- Préparez un plan de réaction d'une page : qui appeler, quoi débrancher, où sont les sauvegardes, qui prévient les clients et l'assureur. Voir que faire en cas de rançongiciel.
- Encadrez vos prestataires et fournisseurs : accès limités, comptes nominatifs, clauses de sécurité dans les contrats.
- Surveillez et gardez des traces : conservez les journaux utiles (connexions, administration) pour pouvoir comprendre un incident.
Par où commencer ?
Si vous ne pouvez pas tout faire, commencez par ce qui réduit le plus le risque pour le moins d'effort : MFA (1), mises à jour des équipements exposés (4), sauvegardes testées (7-8) et suppression des services exposés inutilement (9). Le reste suit par ordre de criticité.
Cette liste est un point de départ pédagogique, pas un référentiel de conformité. Pour aller plus loin, l'ANSSI publie un guide d'hygiène informatique de référence, et le guide NIS2 pour PME explique les obligations qui peuvent s'y ajouter.
Questions fréquentes
Combien de temps faut-il pour appliquer cette checklist ?
Cela dépend de la taille de l'entreprise et de son point de départ. Les mesures de base (MFA, mises à jour, sauvegardes) peuvent souvent être engagées rapidement ; la séparation des réseaux et l'encadrement des prestataires demandent plus de préparation.
Cette checklist suffit-elle pour être conforme à NIS2 ou au RGPD ?
Non. Elle couvre des mesures techniques et organisationnelles de base. La conformité demande en plus une gouvernance, des procédures documentées et des preuves.
Comment vérifier que ces mesures sont réellement en place ?
Par un contrôle interne ou un audit. Un audit réseau permet notamment de vérifier l'exposition des services, le chiffrement et plusieurs configurations de sécurité.
Une petite entreprise est-elle vraiment ciblée ?
Oui, car de nombreuses attaques sont automatisées et ne choisissent pas leurs victimes selon leur taille : elles exploitent les failles qu'elles trouvent. Le dispositif Cybermalveillance.gouv.fr accompagne régulièrement des TPE et PME victimes.
Vérifier ces points dans votre entreprise ?
30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.