Cybersécurité pour PME — sérieuse, pas paranoïaque.

NIS2 (directive UE 2022/2555, transposée en droit français par le projet de loi de 2024 et applicable depuis le 17 octobre 2024) concerne deux catégories : les « entités essentielles » (énergie, santé, transports, banque, cloud, etc.) ET les « entités importantes » (services numériques, industrie critique, agroalimentaire, services postaux, déchets…). Seuil général : 50 salariés ou 10 M€ de CA, mais certains secteurs sont concernés dès la moindre activité. Concrètement, beaucoup plus de PME sont dans le périmètre qu'avant NIS1. On vous aide à qualifier votre statut en 1 h d'échange, puis à bâtir la gouvernance minimale : gestion des risques, déclaration d'incident sous 24 h à l'ANSSI, formation dirigeants, preuves documentaires. Sanction maximale : 10 M€ ou 2 % du CA mondial pour les entités essentielles. Point de départ concret : notre guide NIS2 pour PME et notre test d'éligibilité NIS2 en 8 questions, gratuit.

Un scan de vulnérabilités est automatisé (Nessus, Qualys, OpenVAS) : il identifie les CVE connues présentes sur votre infra. Utile, mais n'exploite rien et génère beaucoup de faux positifs. Un pentest est manuel : un auditeur humain tente réellement de compromettre votre système en enchaînant plusieurs failles, comme le ferait un attaquant. Il trouve des défauts de logique métier (escalade de privilège, IDOR, chaînage SSRF → RCE) qu'aucun scanner ne voit. On combine les deux : scan en continu pour la couverture large, pentest annuel sur zones critiques pour la profondeur. Méthodologie OWASP WSTG + OWASP API Security Top 10, rapport CVSS 4.0 avec preuves d'exploitation reproductibles.

DORA (règlement UE 2022/2554) est applicable depuis le 17 janvier 2025 à toute la chaîne financière européenne : banques, assureurs, fintechs, PSP, MAIS aussi leurs prestataires TIC critiques (cloud, SaaS, éditeurs). Cinq piliers : (1) gouvernance du risque TIC au niveau direction, (2) gestion d'incident avec classification et reporting réglementaire, (3) tests de résilience (pentest avancé TLPT obligatoire pour les acteurs significatifs tous les 3 ans), (4) gestion du risque tiers avec contrats renforcés, (5) partage d'information sur les menaces. Si vous fournissez un SaaS à une banque ou un assureur, ils vont vous demander un contrat DORA-compliant — on vous aide à vous mettre à niveau.

Le budget dépend de trois variables : le périmètre (site vitrine vs app métier avec 50 endpoints API), la profondeur (boîte noire, grise ou blanche — on recommande grise : on vous donne un compte utilisateur), et la charge d'audit que ces deux premiers points impliquent. Pour une PME, comptez généralement un pentest sur l'app principale chaque année + un scan continu en continu. Nos rapports sont utilisables pour répondre à un questionnaire sécurité client, une cyber-assurance (AXA, Hiscox, Generali demandent tous un audit récent) ou une certification ISO 27001. L'appel de cadrage de 30 min est gratuit ; le devis, forfaitaire et détaillé, suit sous 24 h.

Les MFA par SMS sont compromis depuis longtemps (SIM swap, interception SS7) et le NIST les a retirés des recommandations en 2020. Les TOTP (Google Authenticator, Authy) sont mieux mais phishable : un site frauduleux relais le code en temps réel. FIDO2 / passkeys (WebAuthn) résistent structurellement au phishing parce que la clé cryptographique est liée à l'origine (domaine) et ne quitte jamais l'appareil. Adoption 2026 : iOS 17+, Android 14+, tous les navigateurs modernes, Entra ID, Google Workspace, Okta. Pour une PME, le déploiement se cale sur votre parc : YubiKey physiques pour les admins (résistant même si le laptop est compromis), passkeys biométriques sur iPhone/Android pour les collaborateurs. Fin des attaques par phishing de credentials.

Le RGPD (article 32) impose des mesures techniques appropriées — il ne rend pas le chiffrement explicitement obligatoire, mais la CNIL et la jurisprudence considèrent qu'il est attendu dès que des données sensibles sont stockées. Concrètement : chiffrement at-rest systématique (disques Vercel/AWS EBS/Azure Disk, BDD Postgres avec TDE ou pgcrypto pour les champs sensibles), chiffrement in-transit TLS 1.3 obligatoire partout, chiffrement applicatif pour les PII très sensibles (numéro de sécu, données de santé) avec KMS (AWS KMS, HashiCorp Vault). Bonus : en cas de violation de données, le chiffrement fort peut vous dispenser de notifier les personnes concernées (article 34 §3.a).

Règle d'or : aucun secret dans Git, jamais. Stack recommandée 2026 : (1) HashiCorp Vault ou Doppler pour le coffre central, (2) injection au runtime via variables d'environnement gérées par la plateforme (Vercel env vars chiffrées, AWS Secrets Manager, Azure Key Vault), (3) rotation automatique trimestrielle des secrets longs-vivants, (4) scanner Git (GitGuardian, TruffleHog) en pré-commit ET côté serveur pour bloquer les fuites, (5) secrets à durée de vie courte via OIDC pour CI/CD (GitHub Actions → AWS sans clé statique). Un audit initial trouve presque toujours des secrets en clair dans le code ou les logs — c'est l'un des premiers trous qu'on bouche.

La cyber-assurance est devenue de facto obligatoire pour toute PME traitant des données sensibles ou dépendant du numérique. Couverture type : frais de remédiation, rançon (avec conditions), perte d'exploitation, frais légaux RGPD, notification aux personnes concernées. Assureurs 2026 (AXA, Hiscox, Generali, Coalition) demandent systématiquement : MFA sur tous les comptes admin, sauvegardes air-gappées testées, EDR sur les postes, patch management documenté, pentest annuel, formation phishing. Sans ces prérequis, primes x2-x3 ou refus pur. On vous met à niveau de ces exigences pour obtenir un bon tarif — le coût de l'audit est souvent amorti en 1 an via la baisse de prime.

Trois menaces concrètes qui explosent. (1) Phishing IA-généré : copies indiscernables d'emails internes, personnalisées avec les données LinkedIn/RH scrapées — les anciens indices (fautes, formulations bizarres) ont disparu. Défense : MFA FIDO2 + training basé sur le comportement, pas le texte. (2) Deepfake vocal : fraude au président via appel téléphonique synthétique de 30 secondes (cas Arup 2024, 25 M$ détournés). Défense : procédure de double validation hors canal pour tout virement > seuil. (3) Prompt injection dans les LLM de votre entreprise : un document uploadé peut détourner un agent IA pour exfiltrer des données. Défense : sandboxing des outputs, guardrails LlamaGuard, validation des actions sensibles. On couvre ces 3 scénarios dans nos formations.

Par les cinq mesures qui bloquent l'écrasante majorité des attaques réelles, dans cet ordre. (1) La double authentification sur tous les comptes à privilèges — messagerie, hébergement, banque, outils d'administration : meilleur rapport effort/protection du marché, et la mesure la plus simple à mettre en œuvre. (2) Des sauvegardes déconnectées et testées, parce qu'une sauvegarde jamais restaurée n'est pas une sauvegarde. (3) Les mises à jour appliquées sur tout ce qui est exposé sur Internet (site, VPN, serveur de fichiers) : l'immense majorité des intrusions exploite une faille déjà corrigée par l'éditeur, parfois depuis des mois. (4) La sensibilisation des personnes réellement exposées — direction, comptabilité, RH, assistanat — plutôt qu'une formation générale que personne ne retient. (5) Un inventaire honnête de ce que vous possédez : on ne protège pas ce qu'on a oublié. Le reste — segmentation, détection, gouvernance — vient ensuite et se hiérarchise au diagnostic. Nos outils d'audit gratuits donnent déjà un premier signal en quelques minutes, en-têtes de sécurité et conformité RGPD compris.

La question se pose avant l'attaque, jamais après — et trois défauts reviennent dans presque toutes les PME que nous auditons. D'abord, la sauvegarde est connectée en permanence au réseau : un rançongiciel moderne cherche justement les partages de sauvegarde et les chiffre en premier. Ensuite, personne n'a jamais tenté de restauration complète : on découvre le jour J que l'archive est incomplète, corrompue, ou que la restauration prend quatre jours quand l'activité ne peut pas s'arrêter plus de quatre heures. Enfin, le périmètre oublie les postes de travail, les boîtes mail hébergées et les outils SaaS — alors que le contrat de votre fournisseur ne garantit presque jamais la restauration de vos données. Notre règle : trois copies, deux supports différents, une hors site, une déconnectée — et une restauration réellement testée tous les trois mois, chronomètre en main. C'est ce test, pas le nombre de disques, qui décide si vous survivez.

Oui, et rarement pour les raisons qu'on imagine. Un site vitrine n'intéresse pas un attaquant pour vos données : il l'intéresse comme ressource — héberger une page de hameçonnage sous un nom de domaine légitime, relayer du spam, injecter des liens invisibles qui font chuter votre référencement, ou servir de porte d'entrée vers votre messagerie. La plupart de ces attaques ne visent d'ailleurs personne en particulier : ce sont des robots qui balaient Internet à la recherche d'une extension non mise à jour. Ajoutez-y les données personnelles que votre formulaire de contact collecte — nom, téléphone, parfois une pièce jointe — et vous en êtes responsable au sens du RGPD, quelle que soit la taille du site. Le socle raisonnable reste modeste : hébergement à jour, sauvegardes, en-têtes de sécurité, formulaire protégé, comptes d'administration sous double authentification. Tous les sites que nous livrons en création de site web sortent avec ce socle, sans option « sécurité » facturée à part.

L'audit se déroule en trois temps, dont l'ampleur dépend du périmètre retenu et vous est confirmée au devis : le diagnostic et la cartographie des risques avec votre direction et votre équipe technique, le test d'intrusion proprement dit, puis le re-test des correctifs, inclus chez nous. Vous repartez avec un rapport priorisé au format CVSS 4.0, preuves d'exploitation à l'appui, un plan de correction budgété et une synthèse lisible par un dirigeant. Côté fréquence, la règle qui tient : un test d'intrusion par an sur votre application principale, un scan automatisé en continu pour la couverture large, et un test ciblé après tout changement structurant — ouverture d'une API, nouveau parcours de paiement, migration d'hébergement, reprise d'un site existant. Vos clients grands comptes, votre assureur et les exigences NIS2 convergent vers cette cadence annuelle : autant l'adopter avant qu'on vous la réclame.

Ordre d'action. (1) NE PAS payer la rançon (ANSSI, FBI, CERT-FR : consensus ferme). (2) Isoler le système compromis du réseau, ne pas éteindre (on perd la mémoire vive = preuves). (3) Appeler un CERT ou notre équipe en urgence (on répond < 4 h sur nos clients sous contrat). (4) Notifier la CNIL sous 72 h si données personnelles concernées (obligation RGPD article 33), porter plainte auprès de la brigade de répression de la criminalité informatique. (5) Communication de crise préparée, pas improvisée. (6) Analyse forensique : comment, par où, depuis quand — indispensable pour l'assureur ET pour éviter la récidive. (7) Reconstruction à partir de sauvegardes propres, pas de restauration « à chaud » du système infecté. On intervient sur ce type de mission en mode incident — forfait fixe de deux jours pour stabiliser.