Checklist cybersécurité PME : 12 mesures essentielles

Trois copies de vos données, sur deux supports différents, dont une hors site et hors ligne ou en mode immuable, qu'un rançongiciel ne peut pas chiffrer. Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde : testez la restauration au moins une fois par trimestre. En 2025, l'ANSSI a recensé 128 compromissions par rançongiciel en France, et les PME, TPE et ETI restent la catégorie la plus touchée.

Source : ANSSI, Panorama de la cybermenace 2025

Microsoft 365 ou Google Workspace, banque en ligne, logiciel métier, accès distants, console de sauvegarde. Microsoft estime que la double authentification bloque plus de 99,9 % des attaques de compromission de compte. Selon Cybermalveillance.gouv.fr, le piratage de compte est la première menace signalée par les professionnels en 2025, en hausse de 45 %.

Source : Microsoft Security, 2019

L'EDR (Endpoint Detection and Response) est le successeur de l'antivirus : il surveille les comportements, bloque un chiffrement en cours, isole le poste et garde les traces pour l'enquête. D'après le rapport Verizon 2025, un rançongiciel est présent dans 88 % des violations de données subies par les PME, contre 39 % dans les grandes organisations.

Source : Verizon, Data Breach Investigations Report 2025

Windows, macOS, navigateurs, logiciels métier, mais aussi pare-feu, routeurs et VPN, souvent oubliés. Verizon relève que l'exploitation de vulnérabilités est le point d'entrée de 20 % des violations en 2025, en hausse de 34 % sur un an, surtout via les équipements en bordure de réseau. Les mises à jour sont gratuites ; ce qui coûte, c'est de vérifier qu'elles sont bien appliquées partout.

Source : Verizon DBIR 2025

L'hameçonnage est la première menace tous publics confondus en 2025, en hausse de 70 % selon Cybermalveillance.gouv.fr, et les fraudes au virement progressent de 170 %. Une présentation annuelle ne suffit pas : des exercices de faux courriels réguliers et une règle simple (tout changement de RIB se vérifie par téléphone au numéro connu) font la différence.

Source : Cybermalveillance.gouv.fr, bilan 2025

Un mot de passe unique et long par service, mémorisé par un gestionnaire (Bitwarden, 1Password, KeePass) et partagé par ce canal, jamais par courriel ni sur un post-it. Le baromètre 2025 de Cybermalveillance.gouv.fr compte 46 % de TPE-PME équipées d'un gestionnaire de mots de passe, en hausse de 8 points.

Séparer les réseaux : postes de travail, invités, objets connectés, caisses et terminaux de paiement, serveurs. Si un poste invité ou une caméra est compromis, il ne peut pas atteindre le serveur de fichiers. Indispensable dès qu'il y a un Wi-Fi ouvert au public ou des équipements qu'on ne met jamais à jour.

Une fois par an, un regard extérieur sur la configuration réelle : comptes dormants, partages trop ouverts, sauvegardes non testées, équipements en fin de vie. Selon le baromètre 2025, 58 % des TPE-PME ne sauraient pas évaluer les conséquences d'une cyberattaque ; l'audit sert d'abord à répondre à cette question.

Qui appeler, quoi débrancher, quoi ne pas éteindre, où sont les sauvegardes, qui prévient les clients, dans quel délai notifier la CNIL. Deux pages, imprimées, à jour, testées une fois par an.

Qui a accès à quoi ? Comptes de personnes parties, comptes génériques, accès de fournisseurs et d'anciens prestataires. Verizon note que les tiers sont impliqués dans 30 % des violations en 2025, deux fois plus que l'année précédente. Désactiver tout ce qui ne sert plus, et revoir la liste chaque trimestre.

Couverture de la remédiation, de la perte d'exploitation et de l'assistance juridique, à condition d'avoir déjà le socle (double authentification, EDR, sauvegardes testées) que les assureurs vérifient au moment du sinistre.

Pour les structures critiques, un SOC (Security Operations Center) surveille le système 24 h sur 24. Pour une PME réunionnaise, une supervision plus légère suffit déjà à repérer un disque qui sature, un antivirus désactivé ou une sauvegarde en échec avant que cela devienne une panne.