Plan de cybersécurité d'une PME en 90 jours : par où commencer, étape par étape

Pour une PME qui démarre, le bon ordre est : inventorier, sécuriser les accès, mettre à jour, sauvegarder correctement, sensibiliser puis préparer la gestion de crise. Ces mesures de base traitent la majorité des scénarios fréquents (vol d'identifiants, rançongiciel, fraude au virement) pour un coût modéré, et elles conditionnent l'efficacité de tout outil acheté ensuite. Le plan ci-dessous s'étale sur trois mois, avec des livrables concrets à chaque étape. Il s'inspire des recommandations publiques de l'ANSSI, notamment de son guide d'hygiène informatique, et peut être mené par un dirigeant avec l'appui d'un prestataire.

Avant de commencer : désigner un responsable

Une mesure sans propriétaire ne se fait pas. Désignez une personne responsable du plan (dirigeant, responsable administratif, référent informatique), avec un temps dédié, par exemple une demi-journée par semaine. Si vous faites appel à un prestataire, vous gardez la responsabilité des décisions : sachez à qui appartiennent les comptes administrateurs et où se trouvent les sauvegardes.

Jours 1 à 30 : voir clair et fermer les portes évidentes

Semaine 1 : inventaire. Dressez la liste des postes, serveurs, téléphones, équipements réseau, applications en ligne, comptes de messagerie, et des personnes qui y ont accès. Notez les systèmes critiques, ceux dont l'arrêt bloquerait l'activité. Sans cet inventaire, vous ne pouvez ni protéger, ni restaurer, ni comparer des devis.

Semaine 2 : comptes et accès. Activez l'authentification multifacteur sur la messagerie, les accès distants et les comptes administrateurs. Supprimez les comptes des personnes parties et les comptes génériques partagés. Retirez les droits d'administrateur aux utilisateurs qui n'en ont pas besoin. Le guide sur le MFA et le gestionnaire de mots de passe détaille la mise en œuvre.

Semaine 3 : mises à jour. Appliquez les mises à jour du système et des logiciels sur tous les postes, et surtout sur les équipements exposés à Internet : pare-feu, VPN, serveurs web, routeurs. Remplacez ou isolez les systèmes qui ne reçoivent plus de correctifs.

Semaine 4 : sauvegardes. Vérifiez que les données importantes sont sauvegardées, qu'une copie est hors de portée du réseau principal et qu'une restauration a déjà été essayée. Si ce n'est pas le cas, c'est la priorité de la période suivante. Voir le guide sur les sauvegardes 3-2-1.

Jours 31 à 60 : renforcer et mesurer

Protection des postes. Vérifiez que chaque poste et serveur dispose d'une protection à jour, antivirus de nouvelle génération ou EDR selon vos moyens, gérée de façon centralisée. Comparez les options avec le guide sur le prix des antivirus et EDR.

Messagerie. Activez les protections anti-hameçonnage de votre solution de messagerie, configurez les enregistrements SPF, DKIM et DMARC de votre domaine pour limiter l'usurpation de votre nom, et alertez sur les messages venant de l'extérieur.

Réseau. Séparez le réseau invité du réseau interne, désactivez les accès distants inutiles (protocole de bureau à distance exposé à Internet notamment), et changez les mots de passe par défaut des équipements.

Sensibilisation. Organisez une session d'une heure pour tous, avec des exemples réels de messages frauduleux, la consigne de signaler plutôt que de cacher une erreur, et la procédure de vérification d'une demande de virement inhabituelle. Voir le guide sur la sensibilisation au phishing.

Premier point d'étape. À la fin du deuxième mois, relisez la checklist d'hygiène et mesurez ce qui reste à faire.

Jours 61 à 90 : se préparer à l'incident

Plan de crise minimal. Rédigez une fiche d'une page : qui décide, qui appelle qui, quels numéros (prestataire, assureur, banque), comment isoler un poste, où sont les sauvegardes. Imprimez-la et conservez un exemplaire hors ligne, car en cas d'attaque vos messageries et partages peuvent être inaccessibles.

Exercice. Simulez pendant une heure une attaque par rançongiciel avec la direction : que fait-on dans les dix premières minutes ? Qui prévient l'assureur ? Quand dépose-t-on plainte ? Le guide sur la conduite à tenir après une cyberattaque peut servir de trame.

Contrats. Relisez les contrats avec vos prestataires informatiques : accès détenus, obligations de sécurité, délais d'intervention, clauses de sortie. Relisez votre contrat d'assurance, ou envisagez d'en souscrire un avec le guide sur l'assurance cyber.

Test de restauration. Restaurez une sauvegarde complète d'un système important sur une machine de test et chronométrez-la. C'est la mesure la plus instructive du plan.

Tableau récapitulatif

Budget et temps à prévoir

Le plan est réalisable sans gros budget : l'essentiel de la valeur vient du temps passé et de la discipline. Les coûts apparaissent surtout pour la sauvegarde externalisée, la protection des postes et un éventuel accompagnement. Utilisez l'estimateur de budget pour obtenir une fourchette, et le guide sur le coût global pour une PME pour comprendre les postes de dépense.

Après les 90 jours

Un plan de sécurité n'est jamais terminé. Fixez trois rendez-vous réguliers : une revue mensuelle courte des comptes et correctifs, un test de restauration semestriel et une revue annuelle des risques et des contrats. Ajoutez ensuite des briques selon vos risques : audit, surveillance externalisée, assurance cyber. Si votre secteur ou votre taille vous expose à la directive NIS 2, lisez le guide sur la directive NIS 2.

Erreurs à éviter pendant le plan

• Lancer cinq chantiers en parallèle et n'en finir aucun.
• Déléguer entièrement à un prestataire sans comprendre ce qui est fait.
• Activer le MFA sans prévoir de méthode de récupération des comptes.
• Considérer la sauvegarde comme faite parce que le logiciel affiche « terminé ».
• Oublier les anciens collaborateurs, stagiaires et prestataires dont les accès restent ouverts.

Questions fréquentes

Peut-on faire ce plan sans informaticien ?

Pour les étapes d'organisation, oui. Pour les réglages techniques (pare-feu, sauvegardes, messagerie), appuyez-vous sur votre prestataire ou sur un professionnel référencé par Cybermalveillance.gouv.fr.

Combien de temps cela représente-t-il ?

Pour une PME d'une vingtaine de postes, comptez quelques jours de travail cumulés répartis sur trois mois, selon l'état de départ. Les chiffres varient fortement selon la complexité.

Faut-il commencer par un audit ?

Pas nécessairement. Si les mesures de base sont absentes, un audit listera des évidences. Faites d'abord le socle, puis auditez pour trouver ce qui reste.

Sources et références

• ANSSI — guide d'hygiène informatique et recommandations pour les PME.
• Cybermalveillance.gouv.fr — fiches pratiques et assistance.
• CNIL — guide de la sécurité des données personnelles.