Dans une PME, la sécurité informatique repose rarement sur une équipe dédiée. C’est souvent le gérant, un associé ou le prestataire qui passe une fois par mois qui s’en occupe, entre deux urgences commerciales. Pourtant, la plupart des incidents qui frappent les petites structures ne demandent pas de gros moyens pour être évités. Ils naissent d’un mot de passe réutilisé, d’une mise à jour repoussée ou d’un virement validé un vendredi soir sans vérification. Voici dix réflexes simples, à faire entrer dans la routine de l’entreprise plutôt qu’à ranger dans un classeur.
Pourquoi les petites entreprises sont dans le viseur
Les attaquants ne choisissent pas toujours leurs cibles. Ils envoient des milliers de courriels piégés et attendent qu’une porte s’ouvre. Une PME a moins de défenses qu’un grand groupe, mais elle possède des comptes bancaires, des fichiers clients et, souvent, des accès aux outils de ses donneurs d’ordre. C’est ce dernier point qui la rend intéressante.
Les données des grands comptes circulent en effet chez leurs partenaires. En avril 2026, Cybernews a rapporté une fuite de plus de 40 millions d’enregistrements dans laquelle apparaissaient des noms comme L’Oréal, Renault ou l’ambassade de France. Quand une entreprise de cette taille est exposée, ce sont aussi ses fournisseurs, ses prestataires et ses sous-traitants qui deviennent des points d’entrée possibles, ou des victimes collatérales.
Pour les dirigeants qui ne savent pas par où commencer, le dispositif public Cybermalveillance.gouv.fr propose des fiches pratiques, un outil de diagnostic et une mise en relation avec des prestataires de proximité en cas d’incident.
Les comptes et les accès
Réflexe 1 : un mot de passe unique par service. Réutiliser le même code pour la messagerie, la banque et le logiciel de comptabilité revient à confier une seule clé à tout le bâtiment. Un gestionnaire de mots de passe règle le problème et permet de partager un accès entre collègues sans l’envoyer par courriel ou par SMS.
Réflexe 2 : la double authentification partout où elle existe, en priorité sur la messagerie, la banque en ligne, les outils de facturation et les réseaux sociaux de l’entreprise. Si un mot de passe fuite, ce second facteur reste le dernier verrou.
Réflexe 3 : des droits limités. Chacun n’accède qu’à ce dont il a besoin pour travailler, et personne n’utilise un compte administrateur au quotidien. Les comptes des anciens salariés, stagiaires ou prestataires sont fermés le jour de leur départ, pas trois mois plus tard.
Les postes de travail et les sauvegardes
Réflexe 4 : les mises à jour automatiques. Ordinateurs, téléphones, box internet, imprimantes connectées et site web (avec ses extensions) doivent être tenus à jour. Une grande partie des intrusions exploite des failles connues depuis des mois, pour lesquelles un correctif existe déjà.
Réflexe 5 : des sauvegardes qui fonctionnent vraiment. La règle dite 3-2-1 reste une bonne base : trois copies des données, sur deux supports différents, dont une hors ligne ou hors site. Une fois par trimestre, essayez de restaurer un dossier. Une sauvegarde jamais testée n’est qu’une promesse.
Réflexe 6 : chiffrer les ordinateurs portables et les téléphones professionnels. Un appareil oublié dans un train ou volé dans une voiture devient alors un simple problème matériel, et non une fuite de données clients.
Les échanges et la vigilance au quotidien
Réflexe 7 : vérifier toute demande de virement ou de changement de coordonnées bancaires par un autre canal. La fraude au faux fournisseur et la fraude au président reposent sur l’urgence et l’autorité. Un simple rappel au numéro habituel, pas celui indiqué dans le courriel, suffit à déjouer la plupart des tentatives.
Réflexe 8 : signaler plutôt que supprimer en silence. Un lien douteux, une pièce jointe inattendue ou un faux message de livraison reçus par un salarié ont probablement été envoyés à d’autres. Une adresse interne ou un canal de discussion dédié aux signalements permet de prévenir toute l’équipe en quelques minutes.
Les données clients et l’organisation
Réflexe 9 : savoir où se trouvent les données personnelles. Fichiers clients, CV reçus, coordonnées des salariés : il faut savoir qui y accède, où ils sont stockés et combien de temps ils sont conservés. Le RGPD impose de notifier une violation de données à la CNIL dans les 72 heures lorsqu’elle présente un risque pour les personnes concernées, et l’autorité met à disposition des guides adaptés aux petites structures.
Réflexe 10 : un plan d’incident tenu sur une page. Qui appeler, comment isoler un poste, où trouver les coordonnées du prestataire informatique, de la banque et de l’assureur, comment porter plainte. Le jour où un écran affiche une demande de rançon, personne n’a envie de chercher ces informations dans une boîte mail peut-être inaccessible.
Faire durer les bonnes habitudes
Ces dix réflexes ne valent que s’ils deviennent automatiques. Un quart d’heure par mois suffit pour passer en revue les comptes actifs, vérifier l’état des sauvegardes et rappeler à l’équipe les arnaques du moment. Les nouveaux arrivants peuvent recevoir ces règles dès leur premier jour, avec leur badge et leur adresse électronique.
La sécurité d’une PME ne se joue pas sur un achat coûteux, mais sur une série de petits gestes répétés. C’est moins spectaculaire qu’un logiciel dernier cri, et c’est précisément ce qui fait la différence le jour où un courriel piégé arrive dans la mauvaise boîte.
