Les PME concentrent aujourd'hui plus de la moitié des cyberattaques en Belgique. Pourtant, peu disposent des moyens d'une grande entreprise. Voici une approche pragmatique, dimensionnée pour les structures de 10 à 250 collaborateurs.
Les attaquants ont compris que les PME sont des cibles intéressantes : elles disposent souvent d'un trésor (données clients, propriété intellectuelle, comptes bancaires) sans avoir la maturité cyber des grandes entreprises. Le rapport effort/gain est meilleur.
Le CCB belge confirme : la grande majorité des incidents traités concerne des PME. Ransomware, fraude au virement, compromission de boîte mail, fuite de données : aucune PME n'est trop petite pour être attaquée.
Le coût moyen d'une cyberattaque pour une PME belge se situe entre 30 000 et 200 000 euros, en cumulant rançon éventuelle, perte d'activité, frais de remédiation et perte de confiance des clients. Pour beaucoup, c'est une menace existentielle.
De nombreuses PME, sous pression de leurs clients ou de la réglementation, se lancent directement dans une démarche ISO 27001 sans avoir les fondamentaux. Le résultat est presque toujours décevant : projet long, coûteux, qui produit beaucoup de documents et peu de sécurité réelle.
L'approche pragmatique consiste à d'abord installer les fondamentaux qui couvrent 80% des risques pour 20% de l'effort, puis à structurer progressivement. La certification, si elle est nécessaire, vient en couronnement après deux ou trois ans, pas en démarrage.
Cette approche permet de prouver rapidement votre maturité (questionnaires fournisseurs, communication client) tout en construisant une sécurité réelle, pas une conformité de façade.
Voici les huit mesures qui, mises en place correctement, couvrent la majorité des scénarios d'attaque ciblant les PME. Aucune n'est nouvelle, toutes sont essentielles.
Pour une PME de 30 collaborateurs, la mise en place des huit fondamentaux représente un investissement initial de 15 000 à 30 000 euros (consultant, déploiement) et un coût récurrent annuel de 12 000 à 25 000 euros (licences EDR, MFA, sauvegarde immuable, sensibilisation).
Ramené par collaborateur et par mois, cela représente environ 35 à 70 euros. À comparer au coût moyen d'une attaque réussie (30 000 à 200 000 euros) et à l'impact business d'une indisponibilité d'une semaine.
Pour les structures qui ne peuvent pas investir un consultant en interne, le RSSI externalisé à 1 ou 2 jours par mois est généralement la solution la plus efficiente. Vous bénéficiez de la compétence senior pour quelques milliers d'euros par mois.
Un sujet mérite une attention particulière : la sauvegarde. Elle est la dernière ligne de défense contre le ransomware. Et pourtant, dans la majorité des incidents que nous traitons, la sauvegarde n'a pas fonctionné.
Les trois erreurs les plus fréquentes : la sauvegarde sur un partage réseau (chiffré par le ransomware en même temps que les données), la sauvegarde non testée (qui ne fonctionne pas le jour J), la sauvegarde dont les identifiants sont stockés sur le poste compromis (l'attaquant les utilise pour effacer les sauvegardes).
Une sauvegarde efficace contre le ransomware doit être immuable (impossible à modifier ou supprimer pendant une période définie), déconnectée (pas de chemin d'accès depuis le SI principal), testée (restauration vérifiée au moins deux fois par an) et complète (incluant les données, mais aussi les configurations système).
Si un seul investissement doit être fait, c'est celui-là.
Échange gratuit de 30 minutes avec un consultant senior pour cadrer votre projet.
—