Cybersécurité TPE/PME : les essentiels

En 2026, 43% des cyberattaques ciblent les TPE/PME. Et parmi celles victimes d'une attaque majeure (ransomware, vol de données), 60% déposent le bilan dans les 18 mois. Ces statistiques font froid dans le dos, mais la bonne nouvelle est que la grande majorité de ces attaques auraient pu être évitées avec des mesures simples, peu coûteuses, et accessibles à n'importe quel dirigeant — même sans compétence technique.

En tant que technicien informatique aux Sables d'Olonne, j'accompagne les TPE et PME locales dans leur sécurité informatique. Voici le guide complet et concret pour protéger votre entreprise.

Pourquoi les TPE/PME sont la cible n°1

Le mythe du "trop petit pour être ciblé"

C'est le piège mortel n°1 : "On est trop petits, les hackers s'attaquent aux grandes entreprises." C'est complètement faux. Les cybercriminels préfèrent les PME car :

Elles ont beaucoup moins de protection que les grandes entreprises (pas de service informatique dédié, pas de SOC, pas de RSSI)
Elles représentent des cibles faciles et rentables — la rançon de 5 000€ sera payée plus facilement qu'un procès à millions
Les attaques sont automatisées : des robots scannent internet 24h/24 et attaquent toutes les vulnérabilités trouvées. Ils ne font aucune différence entre une PME et un grand groupe
Elles ont des données précieuses : fichiers clients, données bancaires, propriété intellectuelle, emails confidentiels
Elles sont souvent sous-traitantes de grandes entreprises — compromettre la PME donne accès au réseau du grand groupe

Les attaques les plus fréquentes en 2026

| Type d'attaque | Fréquence | Vecteur principal | Impact moyen | |---|---|---|---| | Phishing | 80% des attaques | Email avec lien/pièce jointe piégée | Vol de mots de passe, accès aux comptes | | Ransomware | En forte hausse | Email + logiciel piégé | Chiffrement des données, rançon 5-50K€ | | Fuite de données | Courante | Employé imprudent ou malveillant | Amendes RGPD, perte de clients | | Arnaque au président | En hausse (PME) | Appel/email usurpant le dirigeant | Virement frauduleux (10-100K€) | | Malware | Courant | Téléchargement, clé USB | Espionnage, vol de données | | Attaque supply chain | Émergente | Compromission d'un fournisseur/prestataire | Accès au réseau complet |

Le coût réel d'une cyberattaque pour une PME

Rançon : 5 000-50 000€ (souvent non récupérable, même en payant)
Arrêt d'activité : 3-15 jours en moyenne (perte de CA)
Frais de remédiation : 5 000-30 000€ (intervention d'experts, restauration des systèmes)
Amendes RGPD : jusqu'à 4% du CA annuel en cas de fuite de données personnelles
Perte de clients : 20-40% des clients changent de prestataire après une fuite de leurs données
Impact sur la réputation : difficile à quantifier mais souvent durable

Les 12 mesures essentielles de cybersécurité

1. La sauvegarde 3-2-1 (LA mesure la plus critique)

C'est la mesure n°1, non négociable. Si vous ne faites qu'une seule chose de cette liste, faites celle-ci. Suivez la règle 3-2-1 :

3 copies de chaque donnée critique (la donnée originale + 2 copies)
2 supports différents (disque externe + cloud)
1 copie hors-site (cloud professionnel ou autre lieu physique)

Règle critique anti-ransomware : une des sauvegardes doit être déconnectée du réseau. Si le disque de sauvegarde est branché en permanence, le ransomware le chiffrera aussi. Utilisez une sauvegarde rotative (2 disques, un connecté, un dans un coffre).

Testez la restauration au moins une fois par trimestre. Une sauvegarde qu'on ne peut pas restaurer sous pression est inutile.

2. Les mises à jour automatiques sur tous les postes

L'une des armes les plus simples et les plus efficaces. Activez les mises à jour automatiques sur tous les postes sans exception :

Windows Update sur tous les PC (configurez les heures de redémarrage pour ne pas perturber le travail)
Navigateurs à jour (Chrome, Firefox, Edge se mettent à jour automatiquement — vérifiez que ce n'est pas désactivé)
Logiciels métier à jour (contactez votre éditeur pour les mises à jour de sécurité)
Firmware de la box et des équipements réseau (routeur, switch, point d'accès Wi-Fi)
Antivirus et bases de signatures

3. Politique de mots de passe stricte

Imposez une politique de mots de passe à tous les collaborateurs :

14 caractères minimum (phrase de passe recommandée : "MonChienJoueAuParcLeSamedi!")
Un mot de passe UNIQUE par compte (pas le même pour l'email, le CRM, et Facebook)
Gestionnaire de mots de passe professionnel obligatoire : Bitwarden Teams (4€/utilisateur/mois), 1Password Business (7€/utilisateur/mois)
2FA/MFA obligatoire sur tous les comptes critiques : email professionnel, banque en ligne, CRM, ERP, cloud, VPN
Audit régulier : vérifiez que les mots de passe ne sont pas compromis (Have I Been Pwned)

4. Formation des collaborateurs (95% des attaques = erreur humaine)

La technologie seule ne suffit pas. 95% des cyberattaques réussies commencent par une erreur humaine. Formez vos équipes :

Reconnaître le phishing : vérifier l'adresse de l'expéditeur, ne pas cliquer sur les liens suspects, ne pas ouvrir les pièces jointes inattendues
Ne jamais donner un mot de passe par téléphone, email, ou SMS — même à quelqu'un qui prétend être votre banque ou votre fournisseur informatique
Signaler tout comportement suspect immédiatement (email bizarre, pop-up inhabituel, fichier chiffré)
Verrouiller son poste en quittant son bureau (Win + L)
Exercices de phishing simulé : envoyez un faux email de phishing à vos équipes et mesurez qui clique. C'est le meilleur outil de sensibilisation

5. Protection des postes de travail

Chaque poste de travail doit avoir :

Antivirus actif et à jour (Windows Defender suffit pour les TPE, ou une solution EDR professionnelle comme CrowdStrike, SentinelOne, ou Sophos Intercept X pour les PME)
Chiffrement du disque (BitLocker sur Windows Pro) pour protéger les données si un PC portable est volé
Verrouillage automatique après 5 minutes d'inactivité
Comptes utilisateur standard (pas Administrateur) pour les employés — empêche l'installation de logiciels non autorisés
Pare-feu Windows activé sur chaque poste
Protection anti-ransomware de Windows Defender activée (Accès contrôlé aux dossiers)

6. Sécurité du réseau d'entreprise

Votre réseau est le système nerveux de votre entreprise :

Wi-Fi professionnel en WPA3 avec mot de passe fort (pas le mot de passe par défaut de la box)
Réseau invité séparé pour les visiteurs, les appareils personnels des employés, et les objets connectés
Pare-feu activé sur la box et configuré correctement (aucun port ouvert sans nécessité)
VPN obligatoire pour les connexions à distance (télétravail)
Segmentation réseau : le Wi-Fi des caméras de surveillance ne doit PAS être sur le même réseau que les PC de travail

7. Gestion des accès (principe du moindre privilège)

Chaque collaborateur ne doit avoir accès qu'aux données et systèmes nécessaires à son travail
Supprimer les accès immédiatement quand un collaborateur quitte l'entreprise (le jour même, pas "quand on aura le temps")
Auditer les accès régulièrement : qui a accès à quoi ? Y a-t-il des comptes orphelins ?
Comptes nominatifs : interdisez les comptes partagés type "admin" ou "direction"
Mot de passe Wi-Fi différent entre le réseau employés et le réseau invités

8. Sécurité de l'email professionnel

L'email est le vecteur d'attaque n°1. Protégez-le :

SPF, DKIM, DMARC configurés sur votre domaine (ces protocoles empêchent l'usurpation de votre adresse email par des tiers)
Anti-spam professionnel activé (filtrage renforcé)
Pièces jointes : politique de blocage des fichiers exécutables (.exe, .scr, .bat, .ps1, .vbs)
Formation sur les emails suspects (voir point 4)

9. Plan de réponse aux incidents

Préparez un plan de réponse AVANT l'attaque. En situation de crise, personne ne réfléchit clairement :

Qui appeler en priorité ? Technicien IT, assurance cyber, CNIL (en cas de fuite de données), avocat
Comment isoler un PC infecté ? Débrancher le câble Ethernet, couper le Wi-Fi, éteindre le switch si nécessaire
Comment restaurer les données ? À partir de quelle sauvegarde, avec quel outil, dans quel ordre
Comment communiquer ? Informer les clients si leurs données sont compromises (obligation RGPD sous 72h), communiqué interne pour les employés

Imprimez ce plan et affichez-le dans le bureau. En cas de ransomware, vos PC pourraient être inaccessibles.

10. Conformité RGPD

Si vous traitez des données personnelles (clients, prospects, employés), vous êtes concerné par le RGPD :

Registre de traitement : listez les données que vous traitez, pourquoi, et combien de temps vous les conservez
Protection des données : chiffrement, accès restreint, politique de conservation
Notification à la CNIL obligatoire sous 72h en cas de violation de données
Consentement documenté pour la collecte de données marketing
DPO (Délégué à la Protection des Données) : obligatoire pour certaines entreprises

11. Sécurité physique

La cybersécurité passe aussi par la sécurité physique :

Verrouillage des bureaux contenant des postes avec des données sensibles
Pas de post-it avec des mots de passe collés sur l'écran (oui, ça arrive encore)
Destructeur de documents pour les papiers contenant des données sensibles
Câble antivol pour les PC portables en open space

12. Assurance cyber

De plus en plus de TPE/PME souscrivent une assurance cyber qui couvre :

Les frais de remédiation (intervention d'experts, restauration des données)
La perte d'exploitation pendant l'arrêt
Les frais juridiques (notification CNIL, avocats, communication de crise)
La rançon (certaines polices, pas toutes — vérifiez)
La responsabilité civile en cas de fuite de données de vos clients

Prix indicatif : 500-3000€/an pour une TPE de 5-20 personnes, selon le secteur d'activité.

Budget cybersécurité : combien ça coûte ?

| Mesure | Coût mensuel (5 postes) | |---|---| | Mises à jour Windows | Gratuit | | Windows Defender | Gratuit | | Bitwarden Teams | 20€ | | Sauvegarde cloud pro | 30-50€ | | Formation cybersécurité annuelle | ~40€ (500€/an ÷ 12) | | Assurance cyber | ~100-200€ (1200-2400€/an ÷ 12) | | TOTAL mensuel | ~200-350€ |

Comparé au coût moyen d'un ransomware pour une PME (15 000-100 000€), c'est un investissement dérisoire.

Combien coûte une cyberattaque pour une TPE ?

Le coût moyen d'une cyberattaque pour une TPE en France est estimé entre 15000 et 50000 euros, incluant la perte de chiffre d'affaires pendant l'arrêt d'activité, le coût de remédiation technique pour restaurer les systèmes, les éventuelles amendes RGPD en cas de fuite de données clients, et l'impact sur la réputation de l'entreprise. Pour une PME, le coût moyen monte à 100000 à 500000 euros. Un ransomware qui chiffre tous les fichiers de l'entreprise peut paralyser l'activité pendant plusieurs jours à plusieurs semaines. L'investissement en cybersécurité préventive de quelques centaines à quelques milliers d'euros par an est dérisoire face à ces risques.

Quelles sont les obligations légales de cybersécurité pour les TPE ?

Le RGPD impose aux entreprises de toute taille de protéger les données personnelles de leurs clients avec des mesures de sécurité appropriées. En cas de violation de données, vous devez notifier la CNIL sous 72 heures et informer les personnes concernées si le risque est élevé. Les amendes RGPD peuvent atteindre 20 millions d'euros ou 4 pourcent du chiffre d'affaires mondial. Pour une TPE, les mesures de base exigées par le RGPD incluent des mots de passe forts pour tous les comptes, des sauvegardes régulières, la mise à jour des systèmes, et un antivirus à jour sur tous les postes.

PC-Service sécurise votre entreprise

PC-Service accompagne les TPE et PME aux Sables d'Olonne dans leur cybersécurité :

Audit de sécurité initial complet
Mise en place de la sauvegarde professionnelle 3-2-1
Configuration sécurisée des postes et du réseau
Formation des collaborateurs au phishing
Maintenance préventive mensuelle
Plan de réponse aux incidents
Intervention d'urgence en cas d'attaque

Appelez le 07 67 84 59 89 ou utilisez notre formulaire de contact. Devis gratuit.