Une PME de 10 personnes a-t-elle besoin d'une entreprise de cybersécurité ?
Oui pour un socle de base fait sérieusement et suivi dans le temps : comptes d'administrateur séparés, double authentification, mises à jour, sauvegarde testée et accès à distance fermé. Pas forcément pour un centre de surveillance ou des outils pensés pour les grandes entreprises. Ce qui compte, c'est que quelqu'un soit clairement responsable de la sécurité, par écrit.
Le socle de sécurité d'une PME de 10 personnes
Le Centre pour la Cybersécurité Belgique (CCB) publie un cadre de référence, les CyberFundamentals. Son niveau de départ, « Small », est destiné aux micro-organisations ou aux organisations disposant de connaissances techniques limitées. Il tient en quelques mesures. Les voici, avec ce qu'elles protègent et qui doit s'en occuper dans une PME de 10 personnes.
| Mesure | Pourquoi | Qui s'en occupe |
|---|---|---|
| Comptes d'administrateur séparés | Un compte administrateur ouvre tout : s'il sert aussi à lire ses mails, un seul clic piégé suffit | Le prestataire, avec la liste des comptes remise au dirigeant |
| Double authentification partout | Un mot de passe volé ne suffit plus pour entrer, surtout dans la messagerie et l'accès à distance | Le prestataire l'active, chaque employé l'installe sur son téléphone |
| Mises à jour de sécurité | Les attaques courantes visent des failles déjà corrigées par l'éditeur | Le prestataire, de façon automatique et surveillée |
| Antivirus sur tous les appareils | Une deuxième barrière quand un fichier piégé passe malgré tout | Le prestataire, qui suit les alertes |
| Sauvegarde, dont une copie hors ligne, testée | Une copie que l'attaquant ne peut ni chiffrer ni effacer, et la preuve qu'on sait la remettre en place | Le prestataire fait le test, le dirigeant en reçoit le résultat |
| Accès à distance protégé | Une porte ouverte sur internet est essayée en permanence par des robots | Le prestataire |
| Savoir qui appeler en cas d'incident | Pendant une attaque, on perd du temps à chercher un numéro | Le dirigeant, avec une fiche imprimée |
La sensibilisation au phishing (les faux mails qui imitent une banque, un fournisseur ou Microsoft) complète ce socle : quelques exemples réels montrés à l'équipe, et une règle simple, « un doute sur un mail qui demande un paiement ou un mot de passe : on appelle l'expéditeur ».
Ces mesures ne sont pas théoriques. Selon Microsoft, plus de 99,9 % des attaques courantes sur les comptes (essais de mots de passe, rejeu de mots de passe volés, hameçonnage) sont arrêtées par la double authentification et le blocage des anciens protocoles de connexion.
Le scénario : la première semaine chez une PME de 10 postes
Exemple, inventé pour illustrer. Une PME fictive de 10 personnes travaille sur Microsoft 365. Ses fichiers sont sur un NAS (un petit serveur de fichiers) au bureau. Le comptable externe s'y connecte à distance une fois par mois. L'imprimante envoie les scans par mail. Rien n'est en panne, mais personne ne peut dire qui est responsable de la sécurité.
Ce qu'on vérifie
- Les comptes Microsoft 365 : qui est administrateur, si la double authentification est active pour chaque boîte, s'il reste des comptes d'anciens employés.
- La sauvegarde : ce qui est sauvegardé, où, s'il existe une copie hors du bureau et hors ligne, et quand une restauration a été testée pour la dernière fois.
- Les postes : version de Windows, mises à jour en retard, antivirus actif, droits d'administrateur des utilisateurs.
- Ce qui est visible depuis internet : les accès laissés ouverts sur le routeur, l'accès à distance du comptable, la page de réglage du NAS.
- Les appareils qui envoient des mails : l'imprimante, un logiciel de facturation, avec quel compte et par quel chemin.
Ce qu'on trouve, dans cet exemple
- Un compte administrateur partagé : le dirigeant et l'ancien informaticien utilisent le même identifiant, et l'ancien informaticien l'a toujours.
- Une boîte sans double authentification : celle de l'accueil, exclue « temporairement » parce que l'imprimante l'utilise pour envoyer les scans.
- Une sauvegarde jamais testée : le NAS se copie chaque nuit sur un disque branché à côté de lui. Personne n'a jamais essayé de restaurer un dossier.
- Trois postes en retard de mises à jour : on clique sur « plus tard » depuis des semaines.
- L'accès à distance ouvert sur internet : pour le comptable, un réglage du routeur rend un poste du bureau accessible à distance par n'importe qui, protégé par un simple mot de passe.
Ce qu'on corrige d'abord
On commence par ce qui ouvre la porte à un inconnu, pas par ce qui est le plus visible :
- Fermer l'accès à distance ouvert et le remplacer par un accès protégé par double authentification. Le CCB le demande explicitement : toujours la double authentification pour l'accès à distance.
- Reprendre les comptes administrateurs : un compte nominatif par administrateur, séparé de son compte de tous les jours, et l'ancien accès partagé désactivé.
- Activer la double authentification sur toutes les boîtes, après avoir trouvé une autre façon pour l'imprimante d'envoyer ses scans (voir notre article sur la double authentification dans Microsoft 365).
- Faire une copie hors ligne de la sauvegarde, puis tester une restauration : un dossier remis en place et ouvert, avec la date du test notée.
- Rattraper les mises à jour et les rendre automatiques, avec un contrôle qui signale un poste resté en retard.
Le schéma de l'exemple n'est pas exceptionnel : ce sont des oublis ordinaires, accumulés parce que personne n'avait la sécurité dans ses tâches.
Ce dont une PME de 10 personnes n'a généralement pas besoin
Sauf demande d'un client, d'un assureur ou de la loi, une PME de 10 personnes n'a généralement pas besoin d'outils pensés pour les grandes entreprises. Le risque n'est pas de dépenser trop, c'est de payer pour un tableau de bord pendant que le socle reste troué.
| Ce qu'on vous propose parfois | Pourquoi ce n'est souvent pas la priorité |
|---|---|
| Un centre de surveillance (SOC) dédié | Utile quand on a une équipe pour réagir aux alertes. Sans socle, il surveille surtout des portes ouvertes |
| Un test d'intrusion complet chaque année | Il révèle surtout ce qu'un inventaire simple aurait trouvé : accès à distance ouvert, comptes partagés |
| Une certification de type ISO 27001 | Un vrai chantier d'organisation. Pertinent si un client l'exige, rarement comme point de départ |
| Plusieurs outils de sécurité qui se recoupent | Chaque outil doit être réglé et suivi. Un outil bien suivi vaut mieux que trois installés et oubliés |
Pourquoi on vous le vend quand même ? Parce qu'un outil se montre plus facilement qu'un compte administrateur repris ou qu'une restauration testée. Demandez toujours : « quelle mesure du socle cela remplace-t-il, ou complète-t-il ? ».
Les questions à poser avant de signer avec une entreprise de cybersécurité
Un bon contrat dit qui fait quoi, dans quel délai, et comment vous récupérez tout si vous partez. Six questions suffisent à faire la différence entre un prestataire sérieux et une liste de services :
- Qui fait quoi, précisément ? Les mises à jour, la sauvegarde, les comptes, l'antivirus : pour chaque mesure du socle, qui s'en charge et comment vous le voyez.
- Quel délai d'intervention, par écrit ? Pas « au plus vite » : un délai écrit dans le contrat, et ce qu'il couvre (heures de bureau, week-end).
- Qui a les accès, et à quel nom ? Les comptes administrateurs de Microsoft 365, du routeur, du NAS et du nom de domaine doivent être à votre nom, avec une liste remise au dirigeant.
- Quand avez-vous testé une restauration pour la dernière fois ? Une sauvegarde qu'on n'a jamais remise en place n'est qu'une promesse. Demandez la date et le résultat du dernier test.
- Que se passe-t-il en cas d'incident ? Qui vous appelle, qui décide de couper quoi, qui prévient votre assureur, et ce qui est compris dans le contrat ou facturé en plus.
- Comment je récupère tout si je change de prestataire ? Les accès, la documentation et la sauvegarde doivent pouvoir passer à un autre sans blocage.
Une réponse floue à l'une de ces questions en dit plus long qu'une plaquette : c'est là que l'incident coûtera cher.
NIS2 : ma PME de 10 personnes est-elle concernée ?
En principe, non. Selon le CCB, la loi belge NIS2 du 26 avril 2024 vise en principe les organisations établies en Belgique qui fournissent un service listé dans ses annexes et qui dépassent la taille d'une moyenne entreprise : au moins 50 travailleurs à temps plein, ou un chiffre d'affaires annuel et un total de bilan annuel supérieurs à 10 millions d'euros.
Il existe des exceptions qui ne dépendent pas de la taille, et une petite entreprise peut être concernée indirectement, quand un grand client soumis à NIS2 exige des mesures de ses fournisseurs. Pour en avoir le cœur net, le CCB met à disposition un test du champ d'application sur sa page NIS2. Nous ne tranchons pas votre cas à votre place : c'est le texte de la loi et le CCB qui font foi.
Combien de temps faut-il pour mettre ce socle en place ?
Cela dépend moins du nombre de personnes que de l'état de départ. Il n'y a pas de durée standard honnête à annoncer avant d'avoir regardé. Ce qui fait varier :
- Ce qu'on sait déjà : une liste à jour des comptes, des appareils et des accès accélère tout. Un ancien prestataire injoignable ralentit tout.
- Les appareils anciens : une imprimante ou un logiciel qui ne supporte pas la double authentification demande une solution de remplacement avant de couper quoi que ce soit.
- La sauvegarde existante : la tester prend peu de temps si elle fonctionne, beaucoup plus s'il faut la refaire.
- La disponibilité de l'équipe : chaque personne doit installer la double authentification sur son téléphone, idéalement le même jour.
Le bon ordre compte plus que la vitesse : fermer d'abord ce qui est ouvert sur internet, puis les comptes, puis la sauvegarde.
Ce que DeepIT fait
DeepIT gère l'informatique de PME et de cabinets médicaux à Bruxelles. Pour la sécurité, nous mettons en place le socle décrit plus haut : double authentification, mises à jour, antivirus et détection Microsoft Defender sur les postes, sauvegarde avec une copie hors du bureau, réglages de messagerie contre l'usurpation (SPF, DKIM, DMARC), et une réponse quand un incident survient.
Nous commençons par regarder votre situation réelle, puis nous vous disons ce qui manque et dans quel ordre le corriger. Voir aussi notre gestion externalisée et, si votre serveur vous lâche un jour, comment récupérer vos données depuis la sauvegarde.