Le patron d'une menuiserie de 14 salariés m'a appelé un lundi matin, paniqué. Le vendredi soir, ses serveurs étaient chiffrés. Le lundi, il découvrait que sa sauvegarde « automatique » écrasait les fichiers toutes les nuits depuis huit mois. Résultat : tout perdu. Sa facture de cybersécurité n'avait jamais dépassé zéro euro.
Cette histoire, je l'ai entendue sous des variantes légèrement différentes au moins cinq fois. Et à chaque fois, la même phrase revient : « Je pensais qu'on était trop petits pour intéresser quelqu'un. » C'est l'inverse qui est vrai. Une PME est une cible idéale : de l'argent qui circule, des données clients, et aucune équipe pour réagir. Alors comment choisir une solution de cybersécurité pour PME sans se ruiner ni se noyer dans le jargon ? Voici comment je procède concrètement.
Points clés à retenir
- La cybersécurité n'est pas un logiciel qu'on achète, c'est un empilement de couches à hiérarchiser dans le bon ordre.
- La sauvegarde testée et le filtre anti-hameçonnage règlent à eux seuls la majorité des sinistres que je vois en PME.
- Un outil que personne n'utilise vaut moins cher que zéro : l'ergonomie et le suivi comptent autant que les fonctions.
- Les ressources gratuites de l'ANSSI et du dispositif public d'aide aux PME doivent être votre premier détour, pas votre dernier recours.
- Avant de signer, exigez un test réel sur vos données : un POC de deux semaines évite des années d'errements.
- Le facteur qui plante le plus souvent un projet, ce n'est pas la technique, c'est l'absence d'un responsable identifié.
Comment choisir une solution de cybersécurité pour PME sans se tromper de combat
La question qu'on me pose le plus souvent est : « quel outil je prends ? » C'est la mauvaise première question. Poser un antivirus sur douze postes non sauvegardés, c'est poser une serrure blindée sur une porte sans mur à côté.
Ce que j'ai appris à faire, dans l'ordre, sur chaque PME où j'ai mis les mains dans le cambouis :
- Identifier ce qui ne doit jamais disparaître ni fuir. Un fichier de paie, un fichier de devis, une base de clients. Pas tout, trois ou quatre choses.
- Vérifier la sauvegarde avant tout le reste. Et la tester en restaurant réellement un fichier. Pas en regardant une case verte dans une console.
- Fermer les accès trop faciles. Double authentification sur la messagerie et le compte administrateur. C'est gratuit ou presque, et ça coupe un nombre considérable d'attaques.
- Ajouter les couches suivantes seulement après. Filtrage des mails, protection des postes, supervision. Dans cet ordre.
J'ai fait l'erreur, sur un de mes premiers projets, de commencer par le poste de travail parce que c'est ce que le commercial me vendait. Six mois plus tard, une pièce jointe malveillante a suffi. Le poste était « protégé », la messagerie ne filtrait rien. J'avais acheté un parapluie et oublié le toit.
Quelles solutions de cybersécurité sont disponibles pour les entreprises ?
Il existe une poignée de familles de solutions, et chaque PME finira par en avoir besoin de deux ou trois, jamais d'une seule. Les voici :
- Protection des postes : antivirus dit « de nouvelle génération », qui détecte les comportements suspects et pas seulement les signatures connues.
- Filtrage de la messagerie : anti-hameçonnage, anti-usurpation, mise en quarantaine des pièces jointes douteuses.
- Sauvegarde en ligne avec versionnage, le fameux filet qui sauve quand tout le reste a échoué.
- Gestion des accès : double authentification, coffre de mots de passe, gestion des droits.
- Supervision et détection, souvent sous forme de service managé par un prestataire.
- Sensibilisation des équipes, qui n'est pas un logiciel mais qui bloque plus d'attaques que bien des outils.
Un point que peu de comparatifs disent : vous n'avez pas besoin de tout, tout de suite. Une PME de dix personnes n'a pas à acheter une plateforme de supervision si elle n'a personne pour lire les alertes. Mon avis, et je l'assume : mieux vaut deux couches bien configurées et suivies que six outils allumés dont personne ne maîtrise le troisième.
Les offres d'infogérance : ce qu'on vous vend vraiment
La plupart des PME ne choisissent pas des outils, elles choisissent un prestataire qui les choisit à leur place. C'est souvent la bonne décision. À condition de savoir lire ce qu'on signe.
Les offres d'infogérance informatique pour PME se rangent en gros en trois formules, avec des prix et des engagements très différents :
| Formule | Ce qu'elle couvre | Pour qui |
|---|---|---|
| Assistance à la demande | Interventions ponctuelles, facturées à l'heure ou au forfait | PME sans besoin récurrent, avec un référent interne |
| Infogérance partielle | Supervision, mises à jour, sauvegarde, support sous contrat | Structure de 5 à 30 postes qui veut déléguer la technique |
| Infogérance complète managée | Tout, plus la sécurité pilotée et un suivi régulier | PME sans compétence interne et données sensibles |
Je me méfie des contrats où la sécurité n'apparaît que dans une ligne de la proposition commerciale. Un prestataire sérieux vous dira ce qu'il ne fait pas, et ce que vous devez faire de votre côté.
Sur un projet récent, j'ai audité un contrat d'infogérance « tout compris ». La supervision existait bien, mais aucune alerte n'était traitée le week-end. Le prestataire l'ignorait poliment. Ce genre de détail ne se voit que si vous posez la question noir sur blanc avant signature.
Quels sont les 4 piliers de la cybersécurité ?
La réponse tient en quatre mots, et c'est un bon cadre pour trier les offres : confidentialité, intégrité, disponibilité, traçabilité. Ces quatre propriétés ne sont pas des outils, ce sont les objectifs qu'un dispositif doit tenir.
- Confidentialité : seules les personnes autorisées accèdent à l'information. Chiffrement, gestion des droits.
- Intégrité : la donnée n'est pas altérée sans qu'on s'en aperçoive. Journalisation, contrôle des accès.
- Disponibilité : le service tourne malgré une panne ou une attaque. C'est là que la sauvegarde et la redondance entrent en jeu.
- Traçabilité : on sait qui a fait quoi et quand. Indispensable pour comprendre une attaque et, parfois, pour répondre à une obligation légale.
Pourquoi ce cadre aide à choisir ? Parce qu'un éditeur qui vous vend un outil pour un seul pilier ne vous protège que sur une facette. Une PME qui n'a rien sur la disponibilité se retrouve dans la situation de mon menuisier : tout perdu, avec l'impression d'avoir été équipée. La disponibilité n'est pas un luxe d'ingénieur, c'est la survie de l'entreprise.
Quel est le meilleur antivirus professionnel pour entreprise ?
Il n'y a pas de « meilleur » antivirus dans l'absolu, et quiconque vous en désigne un sans connaître votre parc se trompe ou vous vend quelque chose. Ce qui existe, ce sont de bons choix selon le contexte.
Trois familles tiennent la route pour une PME : les suites éditeur classiques avec console de gestion (type Bitdefender, ESET, Kaspersky), les protections intégrées aux grands environnements Microsoft, et les solutions managées où l'antivirus est piloté par votre prestataire.
Mon critère de choix, et je le défends : la console de gestion avant les fonctions marketing. Vous devez pouvoir voir en un écran quel poste est à jour, quel poste est en quarantaine, quel poste n'a pas remonté depuis trois jours. Un excellent moteur dans une console illisible est un mauvais achat pour une PME sans informaticien.
Un logiciel gratuit peut-il suffire à une petite structure ?
Parfois oui, souvent non. Un antivirus gratuit tient la route sur une machine isolée, avec du bon sens derrière. Dès qu'il y a des fichiers partagés, des mails clients et des accès à distance, la gratuité montre ses limites : pas de centralisation, pas d'alertes, pas de support.
Le vrai levier gratuit, ce sont les ressources publiques. L'ANSSI met à disposition des guides très concrets pour les PME, et le dispositif public d'aide aux petites entreprises oriente vers des prestataires référencés. J'ai fait passer une PME de zéro à un socle correct en suivant ce type de guide, sans dépenser un centime sur la première étape. Puis on a investi, ciblé, là où ça servait.
Un exemple concret de petit budget
Sur une structure de douze postes, j'ai tenu un socle dans une enveloppe mensuelle modeste en priorisant la sauvegarde, la double authentification et un filtrage mail de base. L'antivirus payant n'est venu qu'en quatrième position. Six mois plus tard, aucune attaque réussie n'est passée. Le facteur décisif : la personne en charge vérifiait chaque semaine, pas la marque des outils.
La méthode en pratique : auditer, tester, déployer, suivre
Une grille de sélection concrète, celle que j'applique quand on me demande un coup de main :
- Audit des risques sur deux heures. Où sont les données critiques ? Qui y accède ? Que se passe-t-il si la messagerie tombe trois jours ?
- Priorisation. Trois chantiers maximum la première année, dans l'ordre du pire scénario au moins grave.
- Test réel sur deux semaines. Installez l'outil sur un petit groupe, restaurez un fichier, simulez une attaque par mail. Ce qui échoue là échouera en production.
- Déploiement avec un responsable nommé. Une personne qui sait qu'elle regarde la console chaque lundi.
- Suivi trimestriel. Ce qui n'est pas mesuré n'est pas maintenu.
Le point 4 est celui qui plante le plus souvent. J'ai vu des licences payées, déployées, puis plus jamais ouvertes. La cybersécurité en PME n'est pas un achat, c'est une routine.
Ce qui reste quand le budget est serré
Si vous ne retenez qu'une chose de cet article, que ce soit celle-là : dans à peu près tous les incidents que j'ai vus, le point de rupture n'était pas l'absence d'un outil sophistiqué. C'était une sauvegarde non testée, ou un accès sans double authentification, ou une personne à qui personne n'avait expliqué à quoi ressemble un faux mail de facture.
Une PME peut se protéger correctement avec un budget modeste en choisissant les bonnes priorités. Et le jour où un prestataire vous promet une sécurité « complète » en une seule solution, posez-lui cette question : « et si ma messagerie tombe vendredi soir, que se passe-t-il lundi ? » Sa réponse vous en dira plus long que n'importe quelle fiche technique.
