Les PME face aux cyberattaques : quatre idées reçues à examiner

Les enquêtes annuelles sur la cybercriminalité publiées par les autorités françaises et européennes convergent sur un point : la part des petites et moyennes entreprises parmi les victimes déclarées progresse, alors que ces structures disposent de moins de moyens techniques et humains que les grands groupes. Le décalage entre cette exposition et la perception qu'en ont les dirigeants constitue le cœur du problème. Plusieurs représentations courantes méritent d'être reprises une par une.

« Une PME n'intéresse personne »

L'argument revient souvent : une entreprise sans notoriété, sans données sensibles et sans trésorerie importante n'aurait rien à offrir à un attaquant. Ce raisonnement confond ciblage et opportunisme. Une part significative des incidents recensés ne résulte pas d'une attaque dirigée contre une victime choisie, mais d'un balayage automatisé qui teste des milliers de systèmes à la recherche d'une faille non corrigée. À consulter également : rachat-credit-retraite.org.

Le mode opératoire dominant reste l'hameçonnage, souvent peu sophistiqué, envoyé en masse. La PME qui clique n'a pas été sélectionnée : elle s'est trouvée sur la trajectoire. À cela s'ajoute un facteur de contagion. Une petite structure peut servir de point d'entrée vers un donneur d'ordre, un cabinet comptable ou un prestataire logistique, ce qui en fait une cible indirecte pour atteindre un acteur plus gros.

« Il faut d'abord investir dans des outils techniques »

La réponse spontanée consiste à acheter un logiciel. Or les retours d'expérience des dispositifs d'accompagnement montrent que la plupart des incidents exploitent des failles organisationnelles avant des failles logicielles : un mot de passe partagé entre plusieurs salariés, une sauvegarde stockée sur le même réseau que les données qu'elle protège, un compte d'ancien collaborateur encore actif.

Ces points ne se règlent pas par un achat mais par des procédures. La segmentation des droits d'accès, la vérification régulière des sauvegardes par un test de restauration réel, la coupure des comptes sortants et une procédure écrite de signalement interne coûtent peu et couvrent une part importante du risque. L'outil vient ensuite, pour industrialiser ce qui a déjà été décidé.

La formation des équipes relève de la même logique. Elle porte ses fruits lorsqu'elle est répétée et adossée à un exercice concret, par exemple un message de test envoyé sans prévenir. Une sensibilisation unique en début d'année produit rarement un effet durable.

« Sous-traiter la sécurité règle la question »

Le recours à un prestataire est fréquent chez les structures qui n'ont pas d'équipe informatique interne. Il transfère l'exécution technique, pas la responsabilité. En cas de fuite de données, l'obligation de notification à la autorité de contrôle et aux personnes concernées pèse sur l'entreprise, pas sur son sous-traitant.

Deux limites apparaissent régulièrement. D'abord, la clause de responsabilité du contrat est souvent plafonnée à un montant sans rapport avec le coût réel d'un arrêt d'activité. Ensuite, le prestataire n'intervient que sur le périmètre décrit : les outils installés par les salariés eux-mêmes, les boîtes mail personnelles utilisées pour le travail ou les objets connectés du bâtiment restent fréquemment hors champ.

Un contrat de sous-traitance utile précise les délais d'intervention, les niveaux de service en cas d'incident et la restitution des données à l'échéance. Ces éléments se négocient avant la signature, rarement après.

Ce que change la taille de l'entreprise

Les grandes organisations absorbent un incident grâce à des équipes dédiées et à des capacités de bascule vers des sites de secours. Une PME perd souvent l'accès à sa facturation, à sa messagerie et à son système de production simultanément, faute de redondance. L'arrêt peut se prolonger plusieurs jours, avec un effet immédiat sur la trésorerie et sur les engagements pris auprès des clients.

Le sujet dépasse donc la seule question technique. Il touche à la continuité d'activité, à la relation avec les donneurs d'ordre — dont certains imposent désormais des exigences de sécurité dans leurs appels d'offres — et à la responsabilité juridique du dirigeant. Les structures qui s'en sortent le mieux ne sont pas nécessairement celles qui dépensent le plus, mais celles qui ont identifié ce qu'elles ne peuvent pas se permettre de perdre, et qui ont testé leur capacité à fonctionner sans.