Cybersécurité informatique : l'essentiel pour une PME
La cybersécurité informatique regroupe les mesures qui protègent les systèmes et les données d'une organisation contre le vol, le blocage ou l'altération. Pour une PME, l'essentiel tient à quelques réflexes : double authentification, mises à jour, sauvegardes testées et plan en cas d'incident. Des dispositifs publics gratuits comme MonAideCyber et 17Cyber permettent de commencer sans gros budget. Ma spécialité est le développement et la maintenance d'applications : je vous indique donc aussi quand aller voir un spécialiste de la cybersécurité.
Ce que recouvre la cybersécurité informatique
Le terme mélange plusieurs métiers, ce qui rend les offres difficiles à comparer. Il y a la protection du parc (postes, messagerie, réseau), habituellement assurée par un prestataire informatique. Il y a la sécurité des applications et des sites, qui relève des développeurs. Il y a l'audit et le test d'intrusion, où un tiers tente d'entrer pour trouver les failles. Il y a enfin la gestion de crise. Une entreprise qui dit « je vais faire de la cyber » doit d'abord savoir de quelle partie elle parle.
Pour la sécurité des applications, une référence internationale sert de langage commun : le Top 10 2025 de l'OWASP, qui place en tête le contrôle d'accès défaillant, c'est-à-dire le fait qu'un utilisateur accède à ce qui ne lui est pas destiné. Pour l'organisation générale, l'ANSSI, l'agence nationale chargée de la sécurité des systèmes d'information, a publié un guide d'hygiène en 42 mesures, avec des niveaux standard et renforcé.
Ce que montrent les chiffres officiels
Le Panorama de la cybermenace 2025 de l'ANSSI, publié le 11 mars 2026, recense 1 366 incidents portés à sa connaissance en 2025, stables par rapport à 2024, et 128 compromissions par rançongiciel. Il note surtout une progression de l'exfiltration de données, c'est-à-dire leur vol, seule ou accompagnée d'un rançongiciel : 196 incidents, contre 130 en 2024. Ces chiffres couvrent ce qui remonte à l'ANSSI, dont les collectivités, la santé et l'enseignement. Ils ne mesurent donc pas toute la menace qui pèse sur les petites entreprises, et je préfère ne pas vous donner de pourcentage sur les PME que je n'ai pas pu recouper dans une publication officielle.
L'enseignement utile tient en une phrase : sauvegarder ne suffit plus. Une sauvegarde répare un blocage, elle ne répare pas une fuite. Un attaquant qui a copié vos fichiers clients peut vous exposer, même si vos serveurs redémarrent le soir même. D'où l'importance de limiter ce qui est accessible et à qui.
Les protections qui comptent, et à qui les demander
Le tableau suivant part de ce qu'un dirigeant peut demander concrètement, sans compétence technique.
| Mesure | Ce qu'elle évite | Interlocuteur |
|---|---|---|
| Double authentification sur la messagerie et les comptes sensibles | Le piratage de compte par mot de passe volé | Prestataire informatique |
| Mots de passe longs et conservés sous forme d'empreinte (CNIL) | L'exploitation d'une base de données volée | Développeur de l'application |
| Mises à jour des sites et applications | Les attaques automatiques sur des failles connues | Prestataire de maintenance |
| Sauvegardes hors ligne, avec restauration testée | La paralysie après un rançongiciel | Prestataire informatique ou hébergeur |
| Clauses de sécurité avec les sous-traitants (CNIL) | Une fuite venue d'un fournisseur | Direction et conseil juridique |
Une précision sur le dernier point : quand une violation de données personnelles présente un risque, vous devez la notifier à la CNIL au plus tard 72 heures après en avoir pris connaissance. Mieux vaut savoir à l'avance qui s'en charge plutôt que de le découvrir un vendredi soir.
Les dispositifs publics à connaître
Beaucoup d'aides publiques sont gratuites, et il serait dommage de les ignorer. Le Blog du Modérateur les présentait en octobre 2026 : MonAideCyber, service de l'ANSSI, met en relation avec un bénévole formé, qui réalise un diagnostic de premier niveau d'une heure à une heure et demie et remet six recommandations prioritaires. Il ne remplace pas un audit professionnel et ne donne pas de rapport écrit détaillé. 17Cyber, lancé par le ministère de l'Intérieur et Cybermalveillance.gouv.fr, s'adresse aux victimes, à toute heure, et peut orienter vers un prestataire technique labellisé.
Pour trouver ce type de prestataire, le label ExpertCyber a été développé par Cybermalveillance.gouv.fr avec des acteurs de la filière, pour identifier des professionnels compétents au service des TPE et PME. Vérifiez ses conditions actuelles sur le site officiel.
Quant à la directive européenne NIS2, qui élargit fortement les obligations de sécurité, une synthèse datée du 11 octobre 2026 indique que la loi française de transposition, dite loi Résilience, n'était alors ni adoptée ni promulguée. Cette source est un éditeur de sécurité : contrôlez l'état du texte sur Légifrance avant de décider. L'ANSSI invite déjà les futures entités concernées à s'engager sans attendre.
Quand il faut un spécialiste plutôt qu'un développeur
Si vous subissez une attaque, si vous devez sécuriser un réseau d'entreprise, ou si un donneur d'ordre exige un audit, adressez-vous à un prestataire spécialisé en cybersécurité. Un développeur n'est pas la bonne personne pour cela, et je ne vous dirai pas le contraire. Il en va de même pour le test d'intrusion : il gagne à être réalisé par quelqu'un qui n'a pas écrit le code.
Mon rôle se situe à un autre endroit : construire et maintenir des sites et des applications de façon saine, ce qui inclut le contrôle des accès, les mises à jour et l'hébergement. J'ai donc un intérêt à vous parler de maintenance, et vous pouvez en tenir compte. Si vous avez un site ou une application que plus personne n'entretient, c'est souvent une exposition simple à corriger : ma page maintenance et hébergement explique comment je travaille, et vous pouvez demander un devis en me disant ce qui tourne aujourd'hui.